Anbieter zum Thema

PWC PricewaterhouseCoopers GmbH WPG

Materna Information & Communications SE

IBYKUS AG für Informationstechnologie

secunet Security Networks AG

Auf der anderen Seite gibt es auch Standards, nach denen ein Cloud-Anbieter seine Cloud-Infrastruktur aufbauen soll. Diese Standards sind die Grundlage für Zertifizierungen, mit denen ein gewisser Grad an Sicherheit gegenüber Cloud-Nutzern nachgewiesen werden können.

Studie zur Cloud-Nutzung

Wolken über dem Public Sector

Ein Beispiel für einen solchen Standard für Cloud-Anbieter ist der BSI-Kriterienkatalog Cloud Computing C5, der die Mindestanforderungen für einen sicheren Betrieb weiter spezifiziert. Er umfasst verschiedene Bereiche, darunter Datenschutz, Datensicherheit, Compliance, Verfügbarkeit, Integrität und Transparenz. Cloud-Nutzer wie Organisationen der ­öffentlichen Verwaltung können wiederum von einem solchen Standard bewährte Kriterien ableiten, um geeignete Anbieter zu finden, Dienste richtig zu konfigurieren und Sicherheitsmaßnahmen umzusetzen.

Nicht zuletzt beinhaltet auch die Datenschutz-Grundverordnung (DSGVO) der EU viele wichtige Prinzipien, die dabei helfen, eine Cloud-Umgebung sicherer zu gestalten. Von Zugriffskontrollen über Verschlüsselung bis hin zur Minimierung von Daten zahlen die meisten Vorgaben klar auf den Schutz der Infrastrukturen ein. Hierbei müssen sowohl Cloud-Nutzer als auch Cloud-Anbieter sich ihrer jeweiligen Verantwortung bewusst sein und entsprechende Maßnahmen umsetzen.

Datenkontrolle erhöhen

Weil Standards allein nicht genügen, um Risiken im Kontext der Cloud-Transformation vollständig zu mitigieren, müssen Organisationen der öffentlichen Verwaltung eine Reihe von Anforderungen mitdenken. Besonders wichtig: ein ganzheitliches Informationssicherheitsmanagementsystem (ISMS). Damit können Unternehmen die Sicherheit ihrer Cloud-Infrastruktur verbessern, indem sie klare Richtlinien und -verfahren fest­legen, Risiken proaktiv identifizieren und behandeln sowie angemessene Sicherheitsmaßnahmen ­implementieren, um die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Daten in der Cloud zu gewährleisten.

Zugleich gilt es von Anfang an, ein hohes Maß an Souveränität im Zusammenhang mit der Cloud zu wahren. Das spielt eine entscheidende Rolle, um die volle Kontrolle über die Daten zu behalten – unabhängig von ihrem Standort oder dem Cloud-Anbieter. Für Unternehmen bedeutet Cloud-Souveränität, dass sie flexibel entscheiden können, wo und wie sie ihre Daten speichern, verarbeiten und verwalten. Dies ermöglicht es ihnen, ihre Datenstrategie entsprechend ­ihren spezifischen Bedürfnissen anzupassen und ihre Datenschutz- und Compliance-Anforderungen zu erfüllen. Um die Vorgaben aus der DSGVO auch in der Cloud einzuhalten, müssen Organisationen zudem auch ihr Datenschutzkonzept entsprechend ausrichten.

Systemhärtung im Fokus

Um die Cloud-Transformation im Sinne der geschilderten Standards und Anforderungen umzusetzen, braucht es eine Reihe konkreter Maßnahmen. Zentral dafür ist ein Sicherheitskonzept, das die Schutzmaßnahmen für Daten und Systeme in der Cloud definiert und gemäß relevanten Standards wie dem BSI-IT-Grundschutz aufgebaut ist. Mit einem Härtungsleitfaden, der einzelne Maßnahmen des Sicherheitskonzeptes konkretisiert und auf spezifische Konfigurationen abzielt, stellen Organisationen zudem sicher, dass ihre Cloud-Infrastruktur entsprechend der besten Sicherheitspraktiken konfiguriert ist. Dieser Leitfaden definiert ­spezifische Maßnahmen zur Absicherung von Cloud-Ressourcen, einschließlich Netzwerkkonfigurationen, Zugriffskontrollen, Patch-Management und Logging. Damit können Organisationen sicherstellen, dass ihre Infrastruktur gegen bekannte Schwachstellen und Angriffsvektoren geschützt ist. Die Vorgaben für die Härtung bilden eine wichtige Ergänzung zum Sicher­heitskonzept und unterstützen Unternehmen dabei, die Sicherheit ihrer Cloud-Umgebung kontinuierlich zu verbessern.

Digitale Souveränität

Darum wird die souveräne Cloud immer wichtiger

Wie die Härtung im Detail gelingt, ist wiederum stark von der bevorzugten Cloud-Architektur abhängig. Während Unternehmen mit einer souveränen Cloud die volle Kontrolle über Daten, Funktionen und Ressourcen behalten, sind die Möglichkeit der Konfiguration bei Public-Cloud-Modellen deutlich eingeschränkter. Bestimmte Funktionalitäten zwecks Härtung einzuschränken, ist dort nicht immer möglich. Mittelwege bieten Private-­Cloud-Lösungen oder die hybride Kombination verschiedener ­Modelle.

Vertrauen stärken

Um die Sicherheit und Compliance von Cloud-Umgebungen in der ­öffentlichen Verwaltung sicherzustellen, sollten Organisationen im ersten Schritt ein Multi-Compliance-Management-System aufbauen. Das hilft nicht nur dabei, Vorgaben und Anforderungen richtig umzusetzen und zu steuern, sondern auch, eine enge Verbindung mit bestehenden Systemen wie dem ISMS zu gewährleisten. Zusätzlich können Check- und Mängellisten für verschiedene Standards und Anforderungen als nützliche Werkzeuge dienen, um sicherzustellen, dass keine wesentlichen Aspekte übersehen werden.

Greifen sämtliche Maßnahmen wirksam ineinander, können öffentliche Organisationen und Unternehmen von den Vorteilen der Cloud profitieren, ohne neue Risiken einzugehen. Damit stärken sie nicht zuletzt auch das Vertrauen der Bürger:innen in die Transformation des öffentlichen Sektors – neben den digitalen Fähigkeiten ebenfalls ein wichtiger Faktor, um im zunehmenden Standortwettbewerb die Nase vorne zu haben.

(ID:50092329)