88
Des Weiteren spielen Portabilität und Interoperabilität eine wichtige Rolle,
um die Gefahren eines Vendor Lock‐ins, d.h. die zwangsweise Bindung an
einen Anbieter aufgrund von Kompatibilitätsproblemen der Systeme bei
einem Wechsel, zu minimieren. Dafür müssen Exit‐Vereinbarungen mit dem
Cloud‐Anbieter mit zugesicherten (Standard‐)Formaten unter Beibehaltung
aller logischen Relationen getroffen werden.
Sicherer Zugang zu den Cloud‐Diensten
Nicht nur die Daten selbst, sondern auch Zugangsdaten für Cloud‐Dienste
oder eigene Anwendungen müssen geschützt werden. Zugangsdaten sollten
einerseits verschlüsselt übertragen und andererseits regelmäßig
rotiert/geändert werden. Eine regelmäßige Rotation minimiert die Gefahren
durch Kompromittieren der Zugangsdaten und bewirkt gleichzeitig einen
Zusatzschutz in der Verwaltung der Zugangsrechte, z.B. wenn Mitarbeiter
das Unternehmen verlassen, Zugangsrechte aber nicht gelöscht wurden.
Im Allgemeinen sollten starke Authentifizierungen, z.B. eine Zwei‐Faktor‐
Authentifizierung, einfachen Authentifizierungsmechanismen (z.B.
Nutzername und Passwort) vorgezogen werden. Bei den Cloud‐Lösungen
wie auch bei klassischer On‐Premise‐IT sollten die Zugriffsrechte individuell
nach dem Need‐to‐Know‐Prinzip vergeben werden, und die vergebenen
Rollen und Rechte sind regelmäßig zu überprüfen.
Darüber hinaus sollten die „Best Practices“ im Bereich der
Schlüsselverwaltung genutzt werden:
kein Zugriff der Administratoren auf die Schlüssel;
keine Offenlegung von Schlüsseln im Klartext;
separate Authentifizierung beim Zugang zu
Schlüsselverwaltungsfunktionen;
Maßnahmen zum Schutz der zwischengespeicherten Schlüssel;
sichere Archivierung und Replizierung von Schlüsseln.
Des Weiteren ist auf Seiten des Cloud‐Providers zu beachten, dass
Mitarbeiter mögliche Rechte nicht missbrauchen und vertraulich mit
Informationen des Kunden umgehen. Nutzer und Administratoren der
Cloud‐Provider sollen nur die Rechte besitzen, die sie zur Erfüllung ihrer
Aufgaben benötigen (Least Privilege Model), und die kritischen
Administrationstätigkeiten sollen in einem Vier‐Augen‐Prinzip durchgeführt
werden.
