Sicherheit als Prozess:
Grundregeln für sicheres Managed-Hosting

von Werner Veith (werner.veith@networkcomputing.de)

Share
27.11.2009

Bei Managed-Hosting reicht es nicht, den günstigsten Anbieter zu finden. Dieser muss wie das eigene Unternehmen bestimmte Anforderungen an die Sicherheit erfüllen. NTT Europa hat acht Basis-Vorgaben zusammengestellt.

Lagert ein Unternehmen Applikationen per Managed-Hosting aus, ist es damit nicht einfach aller Verantwortung enthoben. In diesem Rahmen muss sich die Firma auch darum kümmern, ob der Anbieter entsprechende Sicherheitsbedingungen erfüllt. NTT Europe [1], ein Managed-Hosting-Provider [2], hat daher acht Grundregeln zusammengestellt, die ein Anbieter erfüllen sollte. Dies beginnt bei einem plausiblen Sicherheitskonzept, Sicherheit in der Prozesskette bei der Verarbeitung der Daten oder dem physikalischen Schutz. Ohne eine kontinuierliche Überprüfung dieser Maßnahmen sollte Unternehmen aber der Wirksamkeit nicht unbedingt vertrauen. Sicherheit ist ein Prozess, was gerne übersehen wird.

Managed-Hosting bei NTT Europa: Aufbau einer Hochverfügbarkeitslösung

Ohne ein Sicherheitskonzept geht nichts. Das gilt sowohl für das Unternehmen als auch den Provider, den es beauftragen will. Es muss klar sein, wer im Unternehmen beziehungsweise beim Hosting-Anbieter welche Daten lesen, ändern oder weitergeben darf. Beide Sicherheitskonzepte müssen schließlich zusammenpassen.

Weiter fordert NTT Europe, dass der gesamte Prozess des Datenaustausches vom Unternehmen bis zum Provider klar definiert und organisiert ist. Dazu gehört auf der technischen Seite, dass die Informationen während ganzen Weges verschlüsselt sind. Dies gilt auch für die Speicherung auf Systemen des Managed-Hosting-Anbieters. Dabei dürfen dort auch nur autorisierte Mitarbeiter Zugriff die verschlüsselten Daten haben.

Dann muss sich das Unternehmen mit dem Anbieter abstimmen, welche Mitarbeiter bei ihm überhaupt Zugriffsrechte auf die gespeicherten Informationen haben dürfen. Dabei muss der Provider auch sicherstellen, dass etwa seine Mitarbeiter keine Daten ohne vorige Autorisierung durch das Unternehmen an Dritte weitergeben können.

Natürlich muss der Provider auch für die physikalische Sicherheit seines Rechenzentrums sorgen. Dies fängt mit Schutzmechanismen gegen Wassereinbruch oder Feuer an und geht hin bis zu Kontrollmechanismen, wer zu welchen Bereichen Zutritt hat.

Außerdem verlangt NTT Europe, dass der Anbieter sein Können über Zertifikate wie für die ISO 27001 für Informationssicherheitsmanagement nachweisen kann. Dazu gehört auch, dass dieses regelmäßig überprüft wird. Verarbeitet das Unternehmen in irgendeiner Form Kreditkartendaten, greifen auch die PCI-Vorgaben (Payment-Card-Industry). Das gilt dann auch für den Provider.

Schließlich genügt es nicht, all diese Dinge einzuhalten. Es muss auch regelmäßig die Wirksamkeit überprüft werden. NTT Europe nennt als Richtwert ein bis zweimal pro Jahr. Dazu gehört auch, auf sich ändernde Sicherheitsvorgaben rasch zu reagieren können.

[1] http://www.ntteuropeonline.de/
[2] http://www.ntteuropeonline.de/managed-hosting1.html

Verwandte Artikel