Search

Neben den Vorteilen von Cloud-Diensten ergeben sich durch ihren Einsatz haufig Risiken fur die IT-Sicherheit von Unternehmen. Durch das am 12. Juni 2015 verabschiedete Gesetz zur Erhohung der Sicherheit informationstechnischer Systeme sollen Betreiber Kritischer Infrastrukturen dazu verpflichtet werden, ihre IT besser vor Cyber-Attacken zu schutzen. In diesem Kontext gilt es zu klaren, welche Anforderungen Cloud-Betreiber als Dienstleister Kritischer Infrastrukturen umzusetzen haben oder inwiefern diese per Definition des IT-Sicherheitsgesetzes als Betreiber Kritischer Infrastrukturen angesehen werden konnen. Im Rahmen des IT-Risiko- und Sicherheitsmanagements bei Kritischen Infrastrukturen entstehen bei der Auslagerung von (zentralen) Prozessen und Funktionen zudem Unklarheiten, wie der Einsatz von Cloud-Dienstleistungen zu bewerten ist und welcher Handlungsbedarf auf die Cloud-Betreiber zukommt, zum Beispiel durch das geforderte Mindestsicherheitsniveau der IT-Systeme. In dem Beitrag werden ein Anforderungskatalog an Cloud-Dienstleistungen zur Umsetzung des IT-Sicherheitsgesetzes auf Grundlage von Experteninterviews entwickelt sowie Implikationen fur das IT-Risikomanagement von Cloud-Dienstleistungen dargestellt. Abschliesend werden Handlungsempfehlungen fur Cloud-Betreiber und Betreiber Kritischer Infrastrukturen gegeben.

Aus dem IT-SiG ergeben sich diverse Anforderungen fur Cloud-Betreiber, die entweder selbst als KRITIS klassifiziert sind oder die als Dienstleister eines KRITIS agieren. Hieraus lassen sich Implikationen bzw. Handlungsempfehlungen fur die betroffenen Unternehmen und das IT-Risikomanagement von Cloud-Services ableiten. Bestehende Masnahmen, wie bspw. im Rahmen eines funktionierenden internen Kontrollsystems (IKS), mussen entsprechend integriert oder erweitert werden.

Neben vielfaltigen Vorteilen ergeben sich durch den Einsatz von Cloud-Services Risiken fur die IT-Sicherheit von Unternehmen. Dies ist insbesondere fur Betreiber Kritischer Infrastrukturen relevant, die durch das Gesetz zur Erhohung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) dazu verpflichtet werden, ihre IT besser vor Cyber-Attacken zu schutzen. Die durch die Auslagerung von Prozessen und Funktionen in Cloud-Services entstehenden Risiken mussen folglich im Rahmen eines funktionierenden IT-Risiko- und Sicherheitsmanagements entsprechend uberwacht werden. In diesem Kontext ist eine vollstandige Identifikation sowie Bewertung der aus dem Einsatz von Cloud-Services entstehenden Risiken unerlasslich. Im vorliegenden Beitrag werden daher auf Grundlage von Experteninterviews ein Anforderungskatalog an Cloud-Services zur Umsetzung des IT-Sicherheitsgesetzes sowie ein Framework fur das IT-Risikomanagement von Cloud-Services in Kritischen Infrastrukturen prasentiert.

Beim IT-Risikomanagement von Cloud-Services im Kontext des IT-SiG sind wiederum verschiedene Perspektiven zu unterscheiden. So kann ein KRITIS-Betreiber Prozesse und Funktionen an einen Cloud-Dienstleister auslagern oder selbst eine Cloud betreiben. Zudem wird die Sicht eines Cloud-Betreibers als Dienstleister von KRITIS skizziert.

Zu unterscheiden ist, ob ein Cloud-Betreiber selbst als KRITIS klassifiziert wird oder als Dienstleister eines KRITIS-Betreibers agiert. Zur Konkretisierung der Vorgaben des IT-SiG sowie zur Klassifizierung der Betreiber wurden in zwei Korben entsprechende Verordnungen erlassen. Hierzu wurde am 22. April 2016 die erste „Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-Kritisverordnung – BSI-KritisV)“ des Bundesministeriums des Innern (BMI) fur den ersten Korb der Sektoren Energie, Wasser, Ernahrung sowie Informationstechnik und Telekommunikation erlassen (BMI 2016), die potenziell fur Cloud-Betreiber masgeblich ist.

Infolge der Digitalisierung und der damit zusammenhangenden vermehrten Nutzung und Abhangigkeit von Informationstechnik erhoht sich implizit der Sicherheitsbedarf von KRITIS. Zudem bedingen veranderte Gefahrdungslagen, gesetzliche Regelungen wie das IT-Sicherheitsgesetz und aufkommende Technologien, wie bspw. das Cloud Computing, einen kontinuierlichen Prozess sowie stetigen Bedarf der Anpassung von Schutzmasnahmen. Die Risiken aus dem Einsatz und der Bereitstellung von Cloud-Services hangen masgeblich von den gewahlten Bereitstellungs- und Servicemodellen sowie den betroffenen Systemen, Prozessen und Funktionen ab.

Fur das Paradigma des Cloud Computings existiert keine etablierte und universal gultige Definition, vielmehr ist ein breites Spektrum an Beschreibungsversuchen und Begriffsabgrenzungen zu finden. Eine in der Wissenschaft sowie Praxis weit verbreitete und allgemein akzeptierte Definition wurde durch das National Institute of Standards and Technology (NIST) aufgestellt, welche unter anderem verschiedene Service- und Bereitstellungsmodelle differenziert.

In einem Zeitalter der Digitalisierung und globalen Vernetzung gewinnt der Begriff „IT-Sicherheit“ immer mehr an Bedeutung. Angriffe auf IT-Systeme bergen okonomische und Reputationsverluste fur die betroffenen Unternehmen sowie Gefahren fur das Gemeinwesen. Die Aufgabe der IT-Sicherheit besteht folglich darin, „Unternehmen und deren Werte (Know-how, Kundendaten, Personaldaten) zu schutzen und wirtschaftliche Schaden, die durch Vertraulichkeitsverletzungen, Manipulationen oder auch Storungen der Verfugbarkeit von Diensten des Unternehmens entstehen konnen, zu verhindern“.

Grundsatzlich konnen klassische IT-Risikomanagementkonzepte und -theorien des IT-Outsourcings beim Cloud Computing Anwendung finden. Diese mussen jedoch an den jeweiligen Anwendungsfall sowie die Anforderungen des IT-SiG angepasst werden. Ein wesentlicher Unterschied ist dabei der Automatisierungsgrad. Anders als beim klassischen IT-Outsourcing steht beim Cloud Computing nicht die Dienstleistungsbundelung und -beratung im Vordergrund, vielmehr ist ein hoher Grad an Automatisierung masgeblich, welcher sich in der Regel durch eine anonyme und standardisierte Interaktion auszeichnet.