02 27 PSL ISMS Cloud-Dienste

Zweck

Diese Richtlinie soll Informationen zur Evaluation und zum Umgang mit Cloud-Diensten liefern.

Geltungsbereich

Diese Richtlinie gilt für alle Mitarbeiter an allen Standorten der Parasol Island.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Einleitung

IT-Systeme oder genutzte Software befinden sich heutzutage nicht mehr allein in der Hoheit eines Unternehmens. Insbesondere die Nutzung von Cloud-Diensten hat in den letzten Jahren stark zugenommen. Auch bei Parasol Island ist diese Entwicklung deutlich zu erkennen. Immer mehr IT-Dienste werden genutzt. Dabei ist es wichtig, den Überblick zu haben, welche Dienste gerade aktuell sind, wer dafür verantwortlich ist und wofür sie verwendet werden. Darüber hinaus ist auch die Informationssicherheit und der Datenschutz zu betrachten: Ist der Dienst sicher genug? Wie sieht die Exit-Strategie für Parasol Island aus? Erfüllt der Dienst die rechtlichen Anforderungen an den Datenschutz? Diese Fragen sollten vor Einführung und Nutzung eines Cloud-Dienstes beantwortet sein. Die Anforderungen an die Evaluation eines Cloud-Dienstes werden im nächsten Abschnitt beschrieben. Ist die Evaluation positiv abgeschlossen, darf der Dienst verwendet werden. Wie dies zu organisieren ist und wie der Umgang mit eingesetzten Cloud-Diensten aussehen muss, wird im Abschnitt „Einsatz von Cloud-Diensten“ beschrieben.

Evaluation

„Insbesondere bei organisationsfremden IT-Diensten, die mit verhältnismäßig geringen Kosten oder kostenfrei nutzbar sind, besteht ein erhöhtes Risiko, dass die Beschaffung und Inbetriebnahme ohne geeignete Berücksichtigung der Informationssicherheitsanforderungen erfolgt und somit die Sicherheit nicht gewährleistet ist.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Vor dem Einsatz eines Cloud-Dienstes muss kontrolliert werden, ob dieser den Anforderungen der Parasol Island genügt. Dabei sind geltende rechtliche und vertragliche Anforderungen zu beachten sowie die Anforderungen, die sich aus dem VDA ISA, bzw. der ISO 27001 ergeben. Dienste, die nicht geprüft und freigegeben wurden, dürfen nicht verwendet werden.

Darüber hinaus ist vor dem Einsatz eines Cloud-Dienstes eine Risikoanalyse durchzuführen.

Bei all dem ist insbesondere zu berücksichtigen, welche Informationswerte (siehe auch (ISMS, 02_20 )) von diesem Cloud-Dienst verarbeitet werden und welchen Schutzbedarf diese haben. Denn aus diesen ergibt sich der Schutzbedarf für den Cloud-Dienst.

Die Evaluierung und Freigabe auch in Abhängigkeit vom Schutzbedarf haben einem festgelegten Verfahren zu folgen und sind zu dokumentieren. Die Einhaltung dieses wird regelmäßig überprüft. Auch die Nicht-Freigabe ist unter Angabe der Begründung zu dokumentieren (Stichwort: „Blacklist“).

Durch die dezentrale Organisation der Parasol Island und dem Einsatz von Cloud-Diensten auch in einzelnen Projekten sollte darauf geachtet werden, dass ein unternehmensweites Verständnis vorhanden ist, welche Dienste im Einsatz sind, um Synergien nutzen zu können und nicht unterschiedliche Dienste für den gleichen Einsatzzweck zu verwenden.

Darüber hinaus gelten die Regelungen für Changes bei der Parasol Island. Diese sind in der Richtlinie zu Change Management (ISMS, 02_05) beschrieben.

Einsatz von Cloud-Diensten

„Es ist wichtig, dass ein gemeinsames Verständnis der Verantwortungsaufteilung existiert und die Umsetzung aller Sicherheitsanforderungen sichergestellt wird. Bei der Nutzung von organisationsfremden IT-Dienstleistungen und IT-Diensten sind deshalb die Verantwortlichkeiten bezüglich der Umsetzung von Maßnahmen zur Informationssicherheit festzulegen und nachweisbar zu dokumentieren.“ (1.2.4) (Verband der Automobilindustrie e.V. (VDA), 2020)

Dienste, die nicht geprüft und freigegeben wurden, dürfen nicht verwendet werden.

Parasol Island muss sich jederzeit über die eingesetzten Cloud-Dienste gewahr sein. D.h. es ist ein Verzeichnis aller genutzter Dienste zu führen, inkl. der Informationen über den Schutzbedarf, die Verantwortlichen, der Zweck des Einsatzes und eventuell zusätzlicher Sicherheitsmaßnahmen, die bei der Nutzung des Dienstes zu treffen sind.

Die Konfiguration des Dienstes ist anhand der notwendigen Sicherheitsanforderungen konzipiert, umgesetzt und dokumentiert. Anhand dieser Dokumentation wird die Konfiguration des Dienstes in regelmäßigen Abständen kontrolliert. Dies gilt insbesondere, wenn es sich um einen Dienst mit hohem Schutzbedarf handelt.

Eine ausreichende Schulung von Administratoren, Verantwortlichen und Benutzern des IT-Dienstes erfolgt ebenfalls in regelmäßigen Abständen. Im besten Fall oder bei sicherheitsrelevanten komplexen Diensten ist ein detailliertes Schulungskonzept zu erstellen.

Die Verantwortlichkeiten müssen für jeden Cloud-Dienst definiert sein. Dabei ist auch darauf zu achten, dass Verantwortlichkeiten teamübergreifend bestehen können. Jede verantwortliche Person oder Abteilung muss sich seiner Verantwortung und der damit einhergehenden Pflichten und Aufgaben bewusst sein. Dies gilt insbesondere auch für den Dienstleister, der den Cloud-Dienst anbietet.

Nutzungsende von Cloud-Diensten

Um als Informationseigentümer die Hoheit über die Informationswerte zu gewährleisten, ist es erforderlich, dass im Falle einer Beendigung des IT-Dienstes die Informationswerte wieder sicher entfernt werden können bzw. bei Bedarf zurückgegeben werden. (Verband der Automobilindustrie e.V. (VDA), 2020)

Wird die Nutzung eines Cloud-Dienstes eingestellt, so muss nicht nur sichergestellt werden, dass es einen sicheren und unterbrechungsfreien Übergang zu einer alternativen Lösung gibt, sondern auch, dass die Informationen, die vom Cloud-Dienst gespeichert wurden, vollständig und sicher entfernt werden. Um dies sicherzustellen ist bereits vor der Nutzung des Cloud-Dienstes die passende Ausstiegsstrategie zu ermitteln und festzuhalten.