Bundesamt für Sicherheit in der Informationstechnik

M 4.437 Planung von Cloud-Diensteprofilen

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Aufgrund der hohen Komplexität ist eine detaillierte Planung für die Bereitstellung von Cloud-Diensten unerlässlich. Bereits in einer konzeptionellen Betrachtung und im Vorfeld einer Projektierung ist deshalb eine Analyse der notwendigen Rahmenbedingungen durchzuführen.

Cloud-Diensteprofile werden durch einen Satz von Informationen definiert, der die Cloud-Ressourcen und deren Konfiguration beschreibt. Cloud-Ressourcen sind CPU , Arbeitsspeicher, Netze oder Speichersysteme/Speichernetze (Storage). Die Cloud-Diensteprofile müssen eine fehlerfreie automatische Reproduktion von Cloud-Diensten ermöglichen.

Anforderungen aufnehmen

Zuerst müssen die Anforderungen an Cloud-Dienste aufgenommen werden. Für die Cloud-Diensteprofile sind, wie bei Anwendungen und IT-Systemen, die notwendigen Komponenten (Software, Datenbanken, Betriebssysteme, Netze, Infrastrukturdienste wie DNS ) sowie deren Konfiguration zu planen. Zudem müssen messbare Qualitätsindikatoren für die Cloud-Dienste festgelegt werden.

Automatisierung planen

Es muss geplant werden, wie die Bereitstellung des Cloud-Dienstes automatisiert werden kann. Hierbei sind auch Sicherheitsmaßnahmen zur Mandantentrennung zu berücksichtigen. Abhängig von den Sicherheitsanforderungen an die Mandantentrennung muss der Cloud-Diensteanbieter gegebenenfalls unterschiedliche Netze, Virtualisierungshosts oder Speichersysteme vorsehen und die damit verbundenen Konfigurationen vorbereiten.

Bei Konfiguration durch Cloud-Anwender: Eingaben validieren

Cloud-Dienste können zum Teil auch direkt über Eingaben der Cloud-Anwender in ihrer Ausprägung definiert und anschließend (teil-)automatisiert bereitgestellt werden. Die Eingaben der Cloud-Anwender können über Administrationsschnittstellen oder Webportale (sogenannte Self-Service-Portale) erfolgen.

Wenn Cloud-Anwender in dieser Weise Cloud-Dienste konfigurieren können, muss der Cloud-Diensteanbieter Prozesse planen, um diese Eingaben zu überprüfen: In der Schnittstellenlogik oder in den Webportalen müssen Parameter vordefiniert und Wertegrenzen festgelegt werden, um die Eingaben der Cloud-Anwender zu validieren.

Authentisierung und Verschlüsselung (Zugriffsweg) planen

Unabhängig von der Ausprägung des Cloud-Dienstes oder dem Bereitstellungsmodell muss der Cloud-Diensteanbieter die Authentisierung und den Zugriffsweg für die Cloud-Dienste planen. Hierzu gehört die Vorkonfiguration des Secure Sockets Layer ( SSL / TLS ) für die Verschlüsselung des Zugriffsweges.

Verwaltung von Schlüsseln, Authentisierungsdaten, Rollen und Rechten planen

Es muss die sichere Ablage von Schlüsselmaterial und Authentisierungsdaten für den kontrollierten Zugriff auf den Cloud-Dienst konzipiert werden. In diesem Rahmen ist die sichere Anbindung an ein zentrales Identitätenmanagementsystem, z. B. über Standards wie SAML (Security Assertion Markup Language), für die Cloud-Dienste vorzubereiten. Die Anlage vorbereiteter Rollen- und Rechteprofile ist ebenfalls im Rahmen der Cloud-Diensteprofile zu planen und für die Vervielfältigung des Cloud-Dienstes für verschiedene Mandanten vorzubereiten.

Zentrale Überwachung (Monitoring) vorbereiten

Für eine zukünftige Überwachung und Abrechnung von Cloud-Diensten muss in den Cloud-Diensteprofilen hinterlegt werden, wie eine zentrale Überwachung angebunden wird.

Mehrschichtige Sicherheitsarchitektur planen

Es müssen Einstellungen für eine mehrschichtige Sicherheitsarchitektur (engl.: layered security) geplant werden. Dementsprechend sind Einstellungen für virtuelle Netze, für virtuelle Firewalls, VLAN s und sichere Transportkanäle vorzubereiten.

Ergänzend: Sichere Software-Entwicklung und sichere Betriebsumgebung berücksichtigen

Es sind je nach Konfiguration des Cloud-Diensteprofils Sicherheitsaspekte aus der sicheren Software Entwicklung zu berücksichtigen. Insbesondere ist bei der Entwicklung von Cloud-Angeboten für SaaS der Baustein B 5.21 Webanwendungen heranzuziehen. Je nach Ausprägung der Cloud-Dienste kann es notwendig sein, die Vorbereitung von gekapselten Laufzeitumgebungen (engl.: Sandboxing) zu planen.

Prüffragen:

  • Sind die Sicherheitsanforderungen an die Cloud-Dienste aufgenommen und in die Planung der Cloud-Dienste einbezogen?

  • Sind Rollen und Berechtigungen für die Cloud-Diensteprofile klar vordefiniert?

  • Sind Eingabevalidierungen und Grenzwerte für die Bereitstellung von Cloud-Diensten definiert?

  • Sind eine Authentisierung und eine Verschlüsselung des Zugriffswegs für die Cloud-Dienste geplant und genügen sie den anerkannten Regeln der Technik?

  • Ist eine Überwachung der Cloud-Dienste in der Planung berücksichtigt worden?

  • Sind Einstellungen zur netzbasierten Mandantentrennung über virtuelle Netze, virtuelle Firewalls, VLANs bei der Planung der Cloud-Diensteprofile berücksichtigt worden?

Stand: 14. EL Stand 2014