Die Anforderungen an sichere Cloud Services sind äusserst komplex. Ein KMU oder gar ein Anwender vermag die verschiedenen Problembereiche rund um den Einsatz von Cloud Computing nicht durchschauen. Auch grosse Unternehmen und IT-Experten stossen schnell an ihre Grenzen, wenn es um die Zusammenhänge der Datensicherheit, Datenschutz, Compliance und rechtliche Anforderungen der jeweils beteiligten Länder geht. Insbesondere bei kritischen Infrastruktur Services sind Risiken hinsichtlich Cyberkriminalität heute eine ernstzunehmende Bedrohung.
Und doch hält der Trend unaufhaltsam an. Systeme, Daten und Services werden ungehindert in die Cloud verschoben, obwohl viele Fragen hinsichtlich Zugriffssicherheit, Wiedererlangung der Daten nach Konkurs des Providers oder bloss Verantwortlichkeiten im Betriebs- und Support-Umfeld nicht geklärt sind. Die betriebswirtschaftlichen Anreize für einen Cloud Service sind einfach zu verlockend und das Vertrauen in die Partnerschaft zu gross, als dass man sich mit Einzelheiten befassen vermag. Die Warner von der rechtlichen, sicherheitstechnischen und Risiko-überwachenden Front bleiben zwar oft ungehört auf der Entscheider Ebene. Wie will man das auch prüfen und über die Dauer der Cloud-Service-Beziehung überwachen können? Dazu fehlen in aller Regel die Kraft, das Geld und auch das notwendige Wissen.
Dieser Umstand mag wohl unzufrieden sein, ist aber leider eine Tatsache. Dieser Umstand hat die EuroCloud Europe (ECE) bewogen, einen Prüfstandard für Cloud Services zu entwickeln. Die ECE ist dabei in ständigem Dialog mit Cloud Dienstleistern, Anwender und den verschiedenen Regierungsorganisationen, um die Anforderungen zu koordinieren und zu präzisieren. Lange wurde daran gefeilt um ein allseitig akzeptiertes Zertifikat anzubieten und damit das Vertrauen in die Cloud Services auf Kunden- und Anwenderseite noch stärker zu etablieren. Nun steht das Zertifizierungssystem zur Verfügung: ECSA EuroCloud Star Audit.
Anders als bei anderen Zertifizierungssystemen wie ISO27001, ISO20000 oder ISAE3402 steht nicht bloss das Management System im Fokus des Audits, sondern der Cloud Service selbst wird zusammen mit seinem Umfeld geprüft. Konkret werden folgende Kategorien des Services erfasst:
- Service Provider-Profil inklusive die beteiligten externen Partner
- Vertragsgestaltung und Service Level Vereinbarung
- Landesspezifische Gesetzgebung und Regulatoren
- Sicherheit und Datenschutz
- Betrieb und Infrastruktur Rechenzentrum
- Betriebsprozesse
- Implementierung und Schulung
- Konkrete Anwendung (SaaS, PaaS und IaaS)
Das Konzept dabei ist, die Qualität der Umsetzung und der Kontrollen mit Punkten zu versehen und dabei verschiedene Gütestufen, respektive einen bis fünf Sterne zu erreichen. Daher der Name Star Audit. Analog wie man dies bei Hotels kennt, kann dann zwischen einem Einstern- und Fünfstern-Service unterschieden werden.
Im Grunde geht es aber klar um die zuverlässige Bereitstellung von technischen Dienstleistungen, die Einhaltung rechtlicher Vorgaben sowie um Datenschutz (Privacy), Datensicherheit und allgemeiner Qualitätsstandards, wie man diese im Bereich Service Management und Information Security Management her kennt. Beim Audit muss der Provider entsprechende Nachweise offenlegen, welche durch eine akkreditierte Prüfstelle kontrolliert wird. Er ist zudem verpflichtet, signifikante Änderungen der Rahmenbedingungen wie beispielsweise Ort der Leistungserbringung oder Änderungen der Subunternehmen sowie allfällige kritische Vorfälle umgehend zu melden.
Als Ergebnis kann ein Cloud Service je nach Umsetzungsgrad folgende drei Gütestufen erhalten:
- Trusted Cloud-Service (drei Sterne)
- Trusted Cloud-Service Advanced (vier Sterne)
- Trusted Cloud-Service Advanced, High Availability (fünf Sterne)
Bei einer Fünf-Sterne-Zertifizierung garantiert der Provider eine redundante Bereitstellung des Serviceangebots über mindestens zwei Rechenzentren mit einer Verfügbarkeit von 99,99 Prozent! Zudem verpflichtet er sich, den Service regelmässig, mindestens jährlich einer Notfallübung zu unterziehen.
ECSA stellt ein ausgereiftes Zertifizierungsschema dar, welches explizit für die Beurteilung von Cloud Services entwickelt wurde. Der grosse Vorteil einer solchen Zertifizierung liegt im Bewertungsverfahren, welches in der Service-Lieferkette alle Teilnehmer und Anforderungen beurteilt. Die wesentlichen Anforderungen können auch im Rahmen eines Self-Assessments beurteilt werden. Die Kontroll-Elemente sind als Übersicht frei zugänglich.
Neben der reinen Auditierung bietet ECSA auch ein umfassendes Partner und Schulungsprogramm an. Man darf gespannt sein, wie sich das Label durchsetzt. Das Interesse scheint aber bereits sehr gross zu sein.
Hallo Martin,
sehr interessanter Beitrag. Sicherheit bei Cloud Services ist super wichtig. Deshalb ist es auch gut, dass es Gütesiegel gibt, die diesen Schutz kennzeichnen. Somit gibt es den Nutzern ein sichereres Gefühl. Außerdem können diese Siegel eventuelle Neukunden anwerben, da ihnen diese Seite nun viel vertrauter erscheint.
Viele Grüße wünscht dir kundentests