Bundesamt für Sicherheit in der Informationstechnik

M 4.448 Einsatz von Verschlüsselung für Speicherlösungen

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, Leiter IT

Für Informationen, die in einer Speicherlösung einen hohen Schutzbedarf bezüglich Vertraulichkeit aufweisen, sollten Möglichkeiten zum Einsatz von Verschlüsselung geprüft werden.

Werden Daten in Speicherlösungen verschlüsselt, müssen Institutionen weiterhin die Maßnahmen M 2.46 Geeignetes Schlüsselmanagement sowie M 5.68 Einsatz von Verschlüsselungsverfahren zur Netzkommunikation beachten und die notwendigen Vorgaben umsetzen.

Es ist zwischen der Verschlüsselung der Daten auf dem Transportweg (Data-in-Motion) oder der Daten direkt auf der Speichereinheit (Data-at-Rest) zu unterscheiden. Die Verschlüsselung auf dem Transportweg ist auch bei Replikationen und Backup-Traffic relevant, während erstellte Backup- oder Archivdaten at Rest zu verschlüsseln sind.

Die Verschlüsselung von Daten mit hohem oder sehr hohem Schutzbedarf bezüglich Vertraulichkeit sollte vorrangig durch die Anwendung sichergestellt werden, die auch für die Verarbeitung der Daten zuständig ist.

Hierbei kann die Verschlüsselungstechnik entweder direkt in die Komponenten einer Speicherlösung integriert sein oder die Verschlüsselung mithilfe eines zusätzlichen Produkts gewährleistet werden. Eine einfach umzusetzende Lösung bietet zum heutigen Stand der Einsatz von selbst verschlüsselnden Festplatten innerhalb eines Speichersystems.

Der Transport von Fibre-Channel-Frames sollte auch dann über eine verschlüsselte Verbindung erfolgen, wenn die Daten das Rechenzentrum nicht verlassen.

Die Sicherung einer SAN -Verbindung über IP erfordert die Umsetzung zusätzlicher Schutzmaßnahmen, da eine IP -Verbindung wesentlich leichter zu kompromittieren ist als eine dedizierte Fibre-Channel-Verbindung. Stellt die Anwendung die Verschlüsselung der Verbindung nicht zur Verfügung, muss eine verschlüsselte Verbindung auf anderem Weg (beispielsweise über Funktionen des Betriebssystems oder des Transportnetzes) herbeigeführt und genutzt werden, um die Vertraulichkeit der Daten aufrechtzuerhalten.

Prüffragen:

  • Erfolgt eine Verschlüsselung von Informationen mit hohem Schutzbedarf?

  • Ist festgelegt, auf welchen Ebenen (Data-in-Motion und Data-in-Rest) die Verschlüsselung erfolgen soll?

  • Werden zusätzliche Schutzmaßnahmen zur Absicherung einer SAN-Verbindung über IP umgesetzt?

Stand: 14. EL Stand 2014