173
als Teil des Cloud‐Controllings stattfindet, da sich die Risiken und auch die
geeigneten Maßnahmen im Nutzungszeitraum verändern können.
Auslöser für solche Veränderungen sind u.a.:
organisatorische Änderungen, z.B. Erhöhung/Reduktion des
Personalstands, Ausweitung der Geschäftstätigkeit, Veränderungen
in der Kundenstruktur und in den Kundenbedürfnissen
gesetzliche Änderungen, insbesondere Änderungen im Datenschutz
technische Änderungen, z.B. Sicherheitsaspekte, neue Technologien,
Änderungen in der IT‐Landschaft des Unternehmens
kommerzielle Änderungen, z.B. Cloud‐Services mit äquivalentem
Funktionsumfang und preislichen Vorteilen
Die Abwägung, welche Maßnahme die geeignetste zur Risikobewältigung ist,
hängt von der Art des Risikos ab und erfolgt auf wirtschaftlicher Ebene
durch einen Vergleich der Höhe des Schadenspotenzials mit den Kosten, die
die jeweilige Risikobewältigungsmaßnahme verursacht.
Risiken durch den Cloud‐Provider
Eine Risikoeinschätzung hinsichtlich des Cloud‐Providers ist nur dann
möglich, wenn eine ausreichende Transparenz bei der Serviceerbringung
seitens des Anbieters gegeben ist. Selbst wenn ein regionales Softwarehaus
ausgesucht wird, das bisher eine für die jeweiligen Zwecke gut
funktionierende Softwarelösung als Lizenz angeboten hat und diese nun
auch als Mietsoftware zur Verfügung stellt, kann es sein, dass dabei
Infrastrukturdienste von außereuropäischen Anbietern eingesetzt werden,
und damit indirekt rechtliche Unsicherheiten entstehen.
Seitens ENISA (European Network and Information Security Agency) wurden
die folgenden Hauptrisiken aufgeführt:
unzureichende Servicelevel‐Garantien
Providerabhängigkeit
unzureichende Datenabgrenzung
Probleme bei der Einhaltung von Compliance‐Vorgaben
unzureichende Absicherung der Administrationsfunktionen
Datenschutzverletzungen
