M 2.538 Planung der sicheren Einbindung von Cloud Services

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, IT-Sicherheitsbeauftragter

Entscheidet sich eine Institution zur Nutzung von Cloud Services, sind in der Folge umfangreiche Planungsmaßnahmen durchzuführen, um deren sicheren Betrieb zu gewährleisten. Insbesondere sind hierbei die Planung der sicheren Migration und die Planung der sicheren Einbindung in die vorhandene IT-Landschaft zu nennen.

In M 2.537 Planung der sicheren Migration zu einem Cloud Service finden sich beispielsweise Hinweise auf die stufenweise Einführung von Cloud Services sowie die generelle Notwendigkeit, Cloud Services eng in die IT der eigenen Institution einzubinden. Bei der tatsächlichen Planung der sicheren Einbindung von Cloud Services in die eigene Institution sind darüber hinaus allerdings weitere Aspekte zu betrachten, die über die ersten Überlegungen der Migrationsplanung hinausgehen.

Basierend auf den ermittelten Anforderungen für die Cloud-Nutzung (siehe M 2.534 Erstellung einer Cloud-Nutzungs-Strategie) sind notwendige Anpassungen mindestens in den nachfolgend beschriebenen Bereichen der Institution zu prüfen und zu planen. Die Ergebnisse der Prüfung sind dabei zu dokumentieren und für den Fall sich verändernder Anforderungen entsprechend anzupassen. Sofern sich aus den ermittelten Ergebnissen Handlungsbedarf ergibt, ist dies ebenfalls zu dokumentieren und als Grundlage für die Umsetzung weiterer Maßnahmen im Rahmen der Umsetzung oder für die Durchführung von Kosten-Nutzen-Analysen anzusehen.

Anpassung der Schnittstellensysteme

Als Schnittstellensysteme sollten auf jeden Fall betrachtet werden: Loadbalancer, Proxys, Router, Sicherheitsgateways, Federation-Systeme.

Um den Anpassungsbedarf an bestehenden Schnittstellensystemen sowie den Bedarf an potenziellen Neuanschaffungen in diesem Bereich zu ermitteln, empfiehlt sich die Beantwortung folgender Fragestellungen:

Sofern eine Schnittstelle (API - Application Programming Interface) zur Einbindung eines Cloud Services genutzt wird, sind zusätzlich die entsprechenden Maßnahmen des Bausteins B 5.24 Web-Services anzuwenden.

Anpassung der Netzanbindung

Um zu ermitteln, ob die vorhandene Netzanbindung angepasst werden muss, sollten folgende Punkte geklärt werden:

Anpassung des Administrationsmodells

Um notwendige Anpassungen des Administrationsmodells zu identifizieren, sollten nachfolgende Fragen beantwortet werden:

Anpassung des Datenmanagementmodells

Je nach gewähltem Bereitstellungsmodell befinden sich gegebenenfalls eigene Daten nicht mehr ausschließlich in der administrativen Hoheit der eigenen Institution. Es ist daher zu planen, ob und in welcher Form sich die Datensicherungs- und Datenaufbewahrungs-Strategien durch die Nutzung von Cloud Services verändern.

Prüffragen: