Bundesamt für Sicherheit in der Informationstechnik

M 4.437 Planung von Cloud-Diensteprofilen

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Aufgrund der hohen Komplexität ist eine detaillierte Planung für die Bereitstellung von Cloud-Diensten unerlässlich. Bereits in einer konzeptionellen Betrachtung und im Vorfeld einer Projektierung ist deshalb eine Analyse der notwendigen Rahmenbedingungen durchzuführen.

Cloud-Diensteprofile werden durch einen Satz von Informationen definiert, der die Cloud-Ressourcen und deren Konfiguration beschreibt. Cloud-Ressourcen sind CPU , Arbeitsspeicher, Netze oder Speichersysteme/Speichernetze (Storage). Die Cloud-Diensteprofile müssen eine fehlerfreie automatische Reproduktion von Cloud-Diensten ermöglichen.

Anforderungen aufnehmen

Zuerst müssen die Anforderungen an Cloud-Dienste aufgenommen werden. Für die Cloud-Diensteprofile sind, wie bei Anwendungen und IT-Systemen, die notwendigen Komponenten (Software, Datenbanken, Betriebssysteme, Netze, Infrastrukturdienste wie DNS ) sowie deren Konfiguration zu planen. Zudem müssen messbare Qualitätsindikatoren für die Cloud-Dienste festgelegt werden.

Automatisierung planen

Es muss geplant werden, wie die Bereitstellung des Cloud-Dienstes automatisiert werden kann. Hierbei sind auch Sicherheitsmaßnahmen zur Mandantentrennung zu berücksichtigen. Abhängig von den Sicherheitsanforderungen an die Mandantentrennung muss der Cloud-Diensteanbieter gegebenenfalls unterschiedliche Netze, Virtualisierungshosts oder Speichersysteme vorsehen und die damit verbundenen Konfigurationen vorbereiten.

Bei Konfiguration durch Cloud-Anwender: Eingaben validieren

Cloud-Dienste können zum Teil auch direkt über Eingaben der Cloud-Anwender in ihrer Ausprägung definiert und anschließend (teil-)automatisiert bereitgestellt werden. Die Eingaben der Cloud-Anwender können über Administrationsschnittstellen oder Webportale (sogenannte Self-Service-Portale) erfolgen.

Wenn Cloud-Anwender in dieser Weise Cloud-Dienste konfigurieren können, muss der Cloud-Diensteanbieter Prozesse planen, um diese Eingaben zu überprüfen: In der Schnittstellenlogik oder in den Webportalen müssen Parameter vordefiniert und Wertegrenzen festgelegt werden, um die Eingaben der Cloud-Anwender zu validieren.

Authentisierung und Verschlüsselung (Zugriffsweg) planen

Unabhängig von der Ausprägung des Cloud-Dienstes oder dem Bereitstellungsmodell muss der Cloud-Diensteanbieter die Authentisierung und den Zugriffsweg für die Cloud-Dienste planen. Hierzu gehört die Vorkonfiguration des Secure Sockets Layer ( SSL / TLS ) für die Verschlüsselung des Zugriffsweges.

Verwaltung von Schlüsseln, Authentisierungsdaten, Rollen und Rechten planen

Es muss die sichere Ablage von Schlüsselmaterial und Authentisierungsdaten für den kontrollierten Zugriff auf den Cloud-Dienst konzipiert werden. In diesem Rahmen ist die sichere Anbindung an ein zentrales Identitätenmanagementsystem, z. B. über Standards wie SAML (Security Assertion Markup Language), für die Cloud-Dienste vorzubereiten. Die Anlage vorbereiteter Rollen- und Rechteprofile ist ebenfalls im Rahmen der Cloud-Diensteprofile zu planen und für die Vervielfältigung des Cloud-Dienstes für verschiedene Mandanten vorzubereiten.

Zentrale Überwachung (Monitoring) vorbereiten

Für eine zukünftige Überwachung und Abrechnung von Cloud-Diensten muss in den Cloud-Diensteprofilen hinterlegt werden, wie eine zentrale Überwachung angebunden wird.

Mehrschichtige Sicherheitsarchitektur planen

Es müssen Einstellungen für eine mehrschichtige Sicherheitsarchitektur (engl.: layered security) geplant werden. Dementsprechend sind Einstellungen für virtuelle Netze, für virtuelle Firewalls, VLAN s und sichere Transportkanäle vorzubereiten.

Ergänzend: Sichere Software-Entwicklung und sichere Betriebsumgebung berücksichtigen

Es sind je nach Konfiguration des Cloud-Diensteprofils Sicherheitsaspekte aus der sicheren Software Entwicklung zu berücksichtigen. Insbesondere ist bei der Entwicklung von Cloud-Angeboten für SaaS der Baustein B 5.21 Webanwendungen heranzuziehen. Je nach Ausprägung der Cloud-Dienste kann es notwendig sein, die Vorbereitung von gekapselten Laufzeitumgebungen (engl.: Sandboxing) zu planen.

Prüffragen:

  • Sind die Sicherheitsanforderungen an die Cloud-Dienste aufgenommen und in die Planung der Cloud-Dienste einbezogen?

  • Sind Rollen und Berechtigungen für die Cloud-Diensteprofile klar vordefiniert?

  • Sind Eingabevalidierungen und Grenzwerte für die Bereitstellung von Cloud-Diensten definiert?

  • Sind eine Authentisierung und eine Verschlüsselung des Zugriffswegs für die Cloud-Dienste geplant und genügen sie den anerkannten Regeln der Technik?

  • Ist eine Überwachung der Cloud-Dienste in der Planung berücksichtigt worden?

  • Sind Einstellungen zur netzbasierten Mandantentrennung über virtuelle Netze, virtuelle Firewalls, VLANs bei der Planung der Cloud-Diensteprofile berücksichtigt worden?

Stand: 14. EL Stand 2014

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK