CloudCycle auf der CeBIT: Garantiert sicher und datenschutzkonform in die Cloud

Gemeinschaftsprojekt bietet automatisierte Kontrolle von Cloud-Anbietern

Cloud Computing bietet öffentlichen Einrichtungen und mittelständischen Unternehmen flexible und kosteneffiziente Chancen für vernetzte Zusammenarbeit. Doch Unsicherheiten bezüglich Daten­schutz und IT-Sicherheit halten diese potenziellen Anwender oft davon ab, Cloud-Dienste zu nutzen. Selbst ein Daten­schutz-Audit beim Cloud-Anbieter durchzuführen und die Einhaltung der Sicherheits- und Daten­schutzvorgaben regelmäßig zu kontrollieren, stellt für Behörden und KMU ein massives Problem dar. Auf der CeBIT zeigt das Team des Gemeinschaftsprojekts CloudCycle in Halle 9 am Stand E24 des Bundesministeriums für Wirtschaft und Energie (BMWi) ein Lösungskonzept, mit dem sich Daten­schutz-Anforderungen automatisiert und zuverlässig prüfen lassen.

Wenn Behörden und Unternehmen für die Verarbeitung personen­bezogener Daten Cloud-Dienste nutzen, liegt meist eine Auftragsdatenverarbeitung nach §11 BDSG vor. Das bedeutet, dass sie für die Sicherheit und den Schutz ihrer Daten verantwortlich bleiben. Cloud-Anwender sind dadurch gesetzlich verpflichtet, vor Auftragserteilung und währenddessen regelmäßig zu kontrollieren, ob der Cloud-Anbieter alle Daten­schutzanforderungen erfüllt. Ein Anwender kann eine Kontrolle vor Ort selbst praktisch nicht leisten – Daten und Anwendungen sind in einer komplexen Cloud-Umgebung meist über mehrere geographische Standorte und auf verschiedene Cloud-Betreiber verteilt. Hinzu kommt, dass größere Cloud-Anbieter bei der Vielzahl von Kunden durch ständige Vor-Ort-Kontrollen nicht nur extrem belastet würden, sondern dies auch die Datensicherheit gefährden könnte.

Im Rahmen des Projekts CloudCycle wurde zur Unterstützung von Auditoren ein Lösungskonzept für automatisierte Kontrollen beim Cloud-Anbieter entwickelt. Durch das automatisierte Testat ist es möglich, Sicherheits- und Compliance-Vorgaben im gesamten Lebenszyklus eines Cloud-Dienstes kontinuierlich und kundenspezifisch zu überwachen.

Die automatisierten Überprüfungen werden über die in TOSCA (Topology and Orchestration Specification for Cloud Applications, eine Standardisierungsgruppe von OASIS) beschriebene Policy, die die Prüfkriterien einer Dienstinstanz enthält, gesteuert und auf Basis von manipulationssicheren Log-Daten durchgeführt.

Eine Policy definiert eine nicht-funktionale Anforderung an einen Cloud-Dienst. Durch sie werden Sicherheits­anforderungen definiert, die erfüllt sein müssen, um einen Cloud-Dienst sicher zu betreiben. Diese Anforderungen werden während der automatisierten Installation und während des Betriebs durch die TOSCA-Laufzeitumgebung sichergestellt. Das Ziel von TOSCA ist es dabei, die Sicherheits­anforderungen herstellerneutral zu definieren und Anwender in die Lage zu versetzen, mit ihren Anwendungen von einem Cloud-Anbieter zu einem anderen problemlos zu wechseln. Im Rahmen des CloudCycle Projekts wurden erste Sicherheits-Policies definiert und ein Policy-Framework prototypisch umgesetzt, welches deren Umsetzung in den verschiedenen Phasen des Lebenszyklus des Cloud-Dienstes ermöglicht.

Das Projekt CloudCycle wird vom BMWi gefördert und gemeinsam von den Projektpartnern regio IT, der Universität Stuttgart, IBM, dem Fraunhofer-Institut für Sichere Informations­technologie und der kommunalen Informationsverarbeitung Baden-Franken durchgeführt.