03 24 PSL ISMS EvaluationCloudDiensten

Zweck

Ziel dieses Dokumentes ist es, Auswahlkriterien für Cloud-Dienstleister festzulegen und einen entsprechenden Prozess zu definieren, nach dem neue Cloud-Dienstleister evaluiert und freigegeben werden. Es konkretisiert die Anforderungen, die sich aus der Richtlinie für den Umgang mit Cloud-Diensten ergeben (ISMS, 02_27).

Geltungsbereich

Diese Arbeitsanweisung gilt verbindlich für IT-Administratoren an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Anforderungen

Vor dem Einsatz eines neuen Cloud-Dienstes ist dieser dahingehend zu prüfen, ob er den Anforderungen der Parasol Island gerecht wird. Diese Anforderungen sind maßgeblich von denjenigen Informationswerten abhängig, die von dem Dienst verarbeitet werden, und dem daraus resultierenden Schutzbedarf. Weitere Informationen zu Informationswerten und Schutzbedarf finden sich in der Richtlinie zu Informationswerten (ISMS, 02_20).

Konkrete Anforderungen an Cloud-Dienste werden in der folgenden Google Tabelle (Reiter: Schutzbedarf Informationsträger) gepflegt: Informationswerte. Diese Anforderungen sind einmal im Jahr vom Informationssicherheitsbeauftragten in Zusammenarbeit mit dem IT-Administrator zu kontrollieren und anzupassen.

Dokumentation

Zur Dokumentation der evaluierten und genutzten Cloud-Dienste dient das IT-Diensteverzeichnis:

IT-Diensteverzeichnis

Dies ist eine Google-Tabelle, in der auf dem ersten Tabellenblatt („Übersicht“) tabellarisch die freigegebenen (und auch die verbotenen) Cloud-Dienste aufgelistet werden. Nicht evaluierte Cloud-Dienste – also solche, die nicht aufgelistet sind – dürfen allerdings auch nicht genutzt werden.

Alle weiteren Detailinformationen werden pro Cloud-Dienst auf einem eigenen Tabellenblatt aufgeführt. Diese werden im Folgenden beschrieben.

Verantwortlichkeiten

Als für einen Dienst „verantwortlich“ gelten diejenigen Personen, die für die Sicherheit und korrekte Benutzung des Dienstes zuständig sind. Sie prüfen auch, ob die Mitarbeiter diesen korrekt verwenden und organisieren notwendige Schulungsmaßnahmen.

Die „Administratoren“ sind für die korrekte Konfiguration des Dienstes zuständig, legen Benutzer an (sperren diese) und vergeben Berechtigungen.

Für die Freigabe von Anträgen zur Änderung von Berechtigung oder Anlage neuer Benutzer ist grundsätzlich die Geschäftsführung zuständig, daher werden diese nicht pro Dienst aufgeführt.

Informationssicherheit

Zur Feststellung der Informationssicherheit sind die folgenden Aspekte zu analysieren:

Verschlüsselung

Es muss festgestellt werden, wie Transport- und Ablageverschlüsselung aussehen. Darüber hinaus ist auch wichtig, ob Parasol Island im Schlüsselbesitz ist oder nur der Dienstanbieter.

Zertifizierungen

Hat das Unternehmen bzw. der Dienst Zertifizierungen im Bereich Informationssicherheit. Dies können z.B. TISAX, ISO 270xx oder auch SOC sein.

Mandantentrennung

Wird der Dienst von verschiedenen Kunden verwendet (dies dürfte bei allen Dienstanbietern der Fall sein), so ist sicherzustellen, dass die Daten unterschiedlicher Kunden strikt voneinander getrennt sind. Folgende Punkte sind zu berücksichtigen:

• Separierung von Daten, Funktionen, Applikationen, Betriebssystem, Speicher und Netzwerk.
• Risikobewertung für den Betrieb von Fremdsoftware innerhalb der geteilten Umgebung.

Sollte ein Dienst über keine Mandantentrennung verfügen, weil er z.B. keine Daten speichert, sondern nur Einzelanfragen beantwortet, so muss dennoch sichergestellt sein, dass es nicht zu einer Mischung von Daten kommen kann.

Identity- und Accessmanagement

Wie sicher lässt sich die Anmeldung gestalten? Und wie erfolgt diese. Besteht die Möglichkeit zur Multifaktor-Authentifizierung? Wenn ja, welche zusätzlichen Faktoren stehen zur Verfügung? Gibt es evtl. die Möglichkeit Single-Sign-On mit einem bereits bei Parasol Island etablierten Identity-Provider (z.B. Microsoft Azure Active Directory) zu nutzen?

Ausstiegsstrategie

Sollte die Nutzung des Cloud-Dienstes enden, wie kann dann sichergestellt werden, dass a) alle Daten an einen anderen Ort transferiert werden und b) keine Daten beim Dienstanbieter verbleiben? Schon vor Beginn der Nutzung ist für beide Punkte ein Plan zu erstellen.

Spezielle Risiken

Die Nutzung eines jeden Cloud-Dienstes bringt auch neue Risiken mit sich. Diese müssen mit in das Risikomanagement aufgenommen werden. Weitere Informationen finden sich in der Richtlinie zum Risikomanagement (ISMS, 02_12).

Datenschutz

Insbesondere für Cloud-Dienste relevant, die auch personenbezogene Daten verarbeiten, sind die folgenden Informationen:

Standort der Rechenzentren und Sitz des Unternehmens

Wo werden die Daten gespeichert? In Deutschland, im Europäischen Wirtschaftsraum (also im direkten Einflussbereich der DSGVO), in einem sicheren Drittland oder in einem unsicheren Drittland? Die gleichen Fragen stellen sich auch beim Sitz des Unternehmens, denn davon sind die gesetzlichen Bedingungen abhängig, denen das Unternehmen unterliegt.

Bei einem Anbieter in einem unsicheren Drittland verlangt die DSGVO die Erstellung eines Transfer Impact Assessments, bzw. einer Datenschutzfolgeabschätzung. Mehr dazu in der Richtlinie für Datenschutz (ISMS, 02_06).

Auftragsverarbeitungsverträge oder Data Protection Addendums

Vor der Nutzung des Cloud-Dienstes sollten die Auftragsverarbeitungsverträge geprüft werden. Je nachdem wie der Anbieter seinen Vertrag bereitstellt, sollte eine URL auf die Webseite gespeichert werden oder die Datei im ISMS abgelegt und darauf verlinkt werden.

Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen sind verpflichtender Teil des Auftragsverarbeitungsvertrages. Sie beschreiben alle Maßnahmen, die zum Schutz der Daten getroffen wurden.

Die ToMs müssen nicht separat dokumentiert werden. Wenn sie als eigene Datei oder Webseite zur Verfügung gestellt wurden, empfiehlt es sich aber, sie separat zu verlinken.

Risikobetrachtung

Werden nicht alle Anforderungen an Cloud-Dienste erfüllt, so ist eine Risikobetrachtung durchzuführen, ob der Einsatz des Dienstes dennoch in Frage kommt. Dabei geht es darum, festzustellen, ob die nicht erfüllten Anforderungen in Summe ein so hohes Restrisiko ergeben, dass der Dienst nicht eingesetzt werden kann, oder ob z.B. risikominimierende Maßnahmen getroffen werden können, um den Einsatz zu rechtfertigen.

Die offizielle Freigabe erfolgt nach Prüfung durch den Informationssicherheitsbeauftragten durch die Geschäftsführung. Dabei wird grundsätzlich überprüft, inwieweit der Cloud-Dienst die Anforderungen an die unterschiedlichen Schutzziele erfüllt und welche Informationswerte daher verarbeitet werden dürfen.

Es gelten die allgemeinen Bedingungen aus dem Change-Management (ISMS, 02_05).

Entsprechend des Ergebnisses müssen die Listen im Wiki der Parasol Island aktualisiert werden, die erlaubte und verbotene Dienste aufführen.

Kontrolle

Die bei Parasol Island verwendeten Cloud-Dienste werden regelmäßig überprüft. D.h. auf der einen Seite wird überprüft, ob die verwendeten Dienste noch den Anforderungen entsprechen, auf der anderen Seite muss aber auch überprüft werden, dass nur freigegebene Dienste verwendet werden. Die Prüfung erfolgt einmal im Jahr und wird von der IT in Zusammenarbeit mit dem Informationssicherheitsbeauftragten durchgeführt. Die Koordination übernimmt der Informationssicherheitsbeauftragte.