226
}
wert, wenn der Infrastrukturlieferant im Innenverhältnis nur eine
Verfügbarkeit von 99,5 % zusichert und keine geeigneten
Redundanzverfahren eingerichtet sind.
6.3.3
Cloud-IT-spezifische Auditierungen
Derzeit befinden sich eine Reihe von Cloud-IT-Zertifizierungen im Aufbau.
Eine Anlehnung an bestehende internationale Zertifizierungen aus dem
Bereich ISO, IDW und nationaler Prüfsysteme macht durchaus Sinn.
Allerdings ist es gerade bei einem Klassiker wie der ISO 27001 gar nicht so
klar, was denn überhaupt geprüft wurde. Es wird gerne mit dieser
Zertifizierung geworben und es ist unstrittig, dass damit ein relevanter
Nachweis der Professionalität des Anbieters erfolgt. Bei dieser Zertifizierung
muss aber vorher der Anwendungsbereich (Scope) festgelegt werden, auf
den geprüft wird, und dieser muss nicht zwingend den Anforderungen der
Compliance-Betrachtung entsprechen. In gleicher Weise ist auch die
beliebte Zertifizierung SSAE16/ISAAE 3420 (vormals SAS 70 II) zu sehen, die
in erster Linie die korrekte Durchführung von Transaktionen in Bezug auf
buchhaltungsrelevante Vorgänge testiert.
Die Organisation EuroCloud bietet über die deutsche Landesvertretung
EuroCloud Deutschland_eco e.V. aus Köln erstmals eine Cloud-Zertifizierung
unter dem Namen EuroCloud Star Audit an. Die Zertifizierung ist spezifisch
auf die Bereiche IaaS, PaaS und SaaS ausgelegt und hat definierte Aussagen
zu Kontrollelementen, die abgestuft zu erfüllen sind, um als
vertrauenswürdiger Cloud-Anbieter zertifiziert zu werden.
Daneben existiert noch eine Reihe von Initiativen verschiedener
Organisationen wie zum Beispiel
CSA − Cloud Security Alliance
CIF Cloud Industry Forum
ETSI − European Telecommunication Standards Institute,
die bestimmte Teilbereiche unter besonderer Berücksichtigung von Cloud-
Computing zertifizieren oder diese als Regeln zur Selbstauskunft durch den
Anbieter ausgearbeitet haben.
