Risikoanalyse mit speziellen Cloud-Risiken

Das Risikomanagement ist für viele Unternehmen gesetzlich gefordert (§91 AktG, KonTraG und §43 GmbHG) und sollte in den Unternehmen ein kontinuierlicher Prozess sein. Nachzulesen sind Rahmenbedingen und Vorgehensvorschläge in der ISO/IEC 31000 „Risikomanagement“ und im BSI Standard 100-3 „Risikoanalyse auf der Basis von IT-Grundschutz“.

Mit der wachsenden Zahl an Cloud-Angeboten und der Cloud-Nutzung müssen sich Unternehmen zwangsläufig mit cloud-spezifischen Risiken auseinander setzen. Die da beispielsweise wären:

1. Verlust an Transparenz sowie Steuerungs- und Kontrollmöglichkeit

Als Cloud-Nutzer übertragen Unternehmen dem Cloud-Provider eine Vielzahl an Aufgaben, die relevant für IT-Sicherheit und den Datenschutz sind. Die Verantwortung dafür verbleibt jedoch im Unternehmen.

Whitepaper Empfehlung

Workloads in Cloud-Rechenzentren

Silicon Photonics

2. Abhängigkeit vom Provider (Lock-in)

Die Fixierung oder vertragliche Bindung an einen Provider und/oder Provider-spezifische, proprietäre Applikationen macht den Cloud-Vorteil der Flexibilität teilweise wieder zunichte, da ein Providerwechsel aufwändig ist.

3. Mandantenfähigkeit

Besonders in der Public Cloud ist es wichtig, dass der Provider über sichere Technologien zur Trennung der Daten einzelner Mandanten verfügt.

Dies gilt besonders für das Datenhandling und die Datensicherung. Es muss ebenfalls sichergestellt werden, dass eine durchgängige Löschung von Daten in der Cloud bis hin zum Cloud-Archiv möglich ist. Der Provider muss über ausgereifte Technologien verfügen und in einer Prüfung, den Beweis für die Nutzung revisionssicherer Prozesse antreten können.

4. Internet-Verbindung

Die Cloud-Nutzung setzt die Verfügbarkeit von Internet voraus. Hier gibt es durchaus relevante regionale Unterschiede, die die Unternehmen durch den Einsatz verschiedener Technologien (Breitband, DSL, Funk, LTE, …) und/oder die Nutzung mehrere Provider ausgleichen müssen, was u. U. mit zusätzlichen Kosten verbunden ist. In jedem Fall bedeuten zusätzliche Verbindungen zusätzliche Risiken für den Datentransfer.

5. Bedrohungen für die Datenübertragung

Die steigenden Datenmengen im Internet stellen auf ihrem Weg über zahlreiche Gateways lohnende Ziele für Hacker, Industriespione und ggf. auch Nachrichtendienste dar.

Auf der nächsten Seite nennen wir weitere Risiken, darunter Man in the Middle Attacken, DDoS-Angriffe, Verlust von Identitäten und mehr.