M 4.437 Planung von Cloud-Diensteprofilen
Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsbeauftragter
Verantwortlich für Umsetzung: Administrator
Aufgrund der hohen Komplexität ist eine detaillierte Planung für die Bereitstellung von Cloud-Diensten unerlässlich. Bereits in einer konzeptionellen Betrachtung und im Vorfeld einer Projektierung ist deshalb eine Analyse der notwendigen Rahmenbedingungen durchzuführen.
Cloud-Diensteprofile werden durch einen Satz von Informationen definiert, der die Cloud-Ressourcen und deren Konfiguration beschreibt. Cloud-Ressourcen sind CPU, Arbeitsspeicher, Netze oder Speichersysteme/Speichernetze (Storage). Die Cloud-Diensteprofile müssen eine fehlerfreie automatische Reproduktion von Cloud-Diensten ermöglichen.
Anforderungen aufnehmen
Zuerst müssen die Anforderungen an Cloud-Dienste aufgenommen werden. Für die Cloud-Diensteprofile sind, wie bei Anwendungen und IT-Systemen, die notwendigen Komponenten (Software, Datenbanken, Betriebssysteme, Netze, Infrastrukturdienste wie DNS) sowie deren Konfiguration zu planen. Zudem müssen messbare Qualitätsindikatoren für die Cloud-Dienste festgelegt werden.
Automatisierung planen
Es muss geplant werden, wie die Bereitstellung des Cloud-Dienstes automatisiert werden kann. Hierbei sind auch Sicherheitsmaßnahmen zur Mandantentrennung zu berücksichtigen. Abhängig von den Sicherheitsanforderungen an die Mandantentrennung muss der Cloud-Diensteanbieter gegebenenfalls unterschiedliche Netze, Virtualisierungshosts oder Speichersysteme vorsehen und die damit verbundenen Konfigurationen vorbereiten.
Bei Konfiguration durch Cloud-Anwender: Eingaben validieren
Cloud-Dienste können zum Teil auch direkt über Eingaben der Cloud-Anwender in ihrer Ausprägung definiert und anschließend (teil-)automatisiert bereitgestellt werden. Die Eingaben der Cloud-Anwender können über Administrationsschnittstellen oder Webportale (sogenannte Self-Service-Portale) erfolgen.
Wenn Cloud-Anwender in dieser Weise Cloud-Dienste konfigurieren können, muss der Cloud-Diensteanbieter Prozesse planen, um diese Eingaben zu überprüfen: In der Schnittstellenlogik oder in den Webportalen müssen Parameter vordefiniert und Wertegrenzen festgelegt werden, um die Eingaben der Cloud-Anwender zu validieren.
Authentisierung und Verschlüsselung (Zugriffsweg) planen
Unabhängig von der Ausprägung des Cloud-Dienstes oder dem Bereitstellungsmodell muss der Cloud-Diensteanbieter die Authentisierung und den Zugriffsweg für die Cloud-Dienste planen. Hierzu gehört die Vorkonfiguration des Secure Sockets Layer (SSL/TLS) für die Verschlüsselung des Zugriffsweges.
Verwaltung von Schlüsseln, Authentisierungsdaten, Rollen und Rechten planen
Es muss die sichere Ablage von Schlüsselmaterial und Authentisierungsdaten für den kontrollierten Zugriff auf den Cloud-Dienst konzipiert werden. In diesem Rahmen ist die sichere Anbindung an ein zentrales Identitätenmanagementsystem, z. B. über Standards wie SAML (Security Assertion Markup Language), für die Cloud-Dienste vorzubereiten. Die Anlage vorbereiteter Rollen- und Rechteprofile ist ebenfalls im Rahmen der Cloud-Diensteprofile zu planen und für die Vervielfältigung des Cloud-Dienstes für verschiedene Mandanten vorzubereiten.
Zentrale Überwachung (Monitoring) vorbereiten
Für eine zukünftige Überwachung und Abrechnung von Cloud-Diensten muss in den Cloud-Diensteprofilen hinterlegt werden, wie eine zentrale Überwachung angebunden wird.
Mehrschichtige Sicherheitsarchitektur planen
Es müssen Einstellungen für eine mehrschichtige Sicherheitsarchitektur (engl.: layered security) geplant werden. Dementsprechend sind Einstellungen für virtuelle Netze, für virtuelle Firewalls, VLANs und sichere Transportkanäle vorzubereiten.
Ergänzend: Sichere Software-Entwicklung und sichere Betriebsumgebung berücksichtigen
Es sind je nach Konfiguration des Cloud-Diensteprofils Sicherheitsaspekte aus der sicheren Software Entwicklung zu berücksichtigen. Insbesondere ist bei der Entwicklung von Cloud-Angeboten für SaaS der Baustein B 5.21 Webanwendungen heranzuziehen. Je nach Ausprägung der Cloud-Dienste kann es notwendig sein, die Vorbereitung von gekapselten Laufzeitumgebungen (engl.: Sandboxing) zu planen.
Prüffragen:
-
Sind die Sicherheitsanforderungen an die Cloud-Dienste aufgenommen und in die Planung der Cloud-Dienste einbezogen?
-
Sind Rollen und Berechtigungen für die Cloud-Diensteprofile klar vordefiniert?
-
Sind Eingabevalidierungen und Grenzwerte für die Bereitstellung von Cloud-Diensten definiert?
-
Sind eine Authentisierung und eine Verschlüsselung des Zugriffswegs für die Cloud-Dienste geplant und genügen sie den anerkannten Regeln der Technik?
-
Ist eine Überwachung der Cloud-Dienste in der Planung berücksichtigt worden?
-
Sind Einstellungen zur netzbasierten Mandantentrennung über virtuelle Netze, virtuelle Firewalls, VLANs bei der Planung der Cloud-Diensteprofile berücksichtigt worden?