92
Maßnahmen zur Prävention von „Cloud‐Risiken“
Aus der „Lieferkette“ des Cloud‐Services von der Produktion zum Nutzer
sind durchgehend die Kriterien
1.
Verfügbarkeit
2.
Vertraulichkeit
3.
Integrität
4.
vertragliche und rechtliche Sicherheit
sicherzustellen. Kriterien 1 bis 3 sind operative IT‐Qualitäten, die in einem
Service Level Agreement zusätzlich zu den vertragsrechtlichen Punkten mit
den beteiligten Partnern in der Lieferkette festgelegt werden müssen.
Cloud‐Services unterscheiden sich auch hinsichtlich der Prüfbarkeit der
bereitgestellten Qualitäten. Gerade die Anzeige der Qualitäten für die
Zuverlässigkeit der bezogenen Dienste liefert dem Cloud‐Nutzer aber jene
Informationen in sein Cockpit, die er braucht, um in diesen „bewölkten
Wetterbedingungen“ sicher seinen Kurs zu halten. Eine Maßnahme kann
dann sein, die Steuerbarkeit der „Lieferkette“ durch geeignete
Messinstrumente und Zielvorgaben herzustellen und wie der Linienpilot
kontinuierlich abzulesen, und sie dann mit seinem Soll‐Kurs zu vergleichen.
Eine wertvolle Hilfestellung sind Prüfzeugnisse und Zertifikate von
anerkannten und zuverlässigen Prüfstellen wie z.B. das EuroCloud Star
Audit. Sie übernehmen für den Nutzer eine Zuverlässigkeitsüberprüfung der
Cloud‐Anbieter, indem sie verpflichtende und wiederkehrende Audits
durchführen, das Zertifikat mit Ablaufdatum erstellen und so die Spreu vom
Weizen trennen.
Der Pilot bedient sich der Flugsicherung, um sicher und ohne Zwischenfälle
ans Ziel zu kommen. Max Clever sollte einen zertifizierten Cloud‐Service‐
Anbieter auswählen, um Sicherheitsvorfälle aus der Cloud‐basierten IT‐
Unterstützung der Geschäftsprozesse vermeiden zu können, damit sein
Unternehmen die geplanten Geschäftsziele erreichen kann.
3.2.5
Detektion von Sicherheitsvorfällen
Die Detektion eines Sicherheitsvorfalls ist für den Cloud‐Nutzer eine viel
schwierigere Aufgabe. In klassischen IT‐Umgebungen, in denen die Daten im
Unternehmen selber verarbeitet werden, hilft ein interner Security Incident
Management‐Prozess, der durch Monitoring, Logfile‐Analysen, Intrusion
Detection Systeme, aber auch durch Data Loss Prevention‐Lösungen bedient
wird, Hackereinbrüche und Datenverluste zu erkennen.
