Gastbeitrag: »Cloud Ready«:
Richtige Weichenstellungen für sichere Clouds

von Lars Bube (lars.bube@crn.de), Prof. Dr. Sacher Paulus*

Share
05.02.2010

Cloud Computing wird dieses Jahr zu einem wichtigen Thema, um das kaum ein IT-Verantwortlicher herumkommen wird. Doch oft bremsen noch Ängste ob der Sicherheit in den Wolken eine ernsthafte Auseinandersetzung mit den Möglichkeiten der neuen Technologie für das eigene Unternehmen. Eine solide Strategie für die eigenen Wolken-Pläne ist deshalb unumgänglich.

Keine Beiträge im Forum. » Diskussion starten!

Prof. Dr. Sacher Paulus: Die private Cloud ist »kaum etwas anderes als das, was landläufig als Extranet gehandelt wird.«

Inzwischen ist das Thema »Cloud IT« ja mehr als nur Marketing-Hype. Viele Unternehmen nutzen schon ganz praktisch die Möglichkeiten, die einem die Cloud-Ansätze für das Business bringen. Neben klassischem Bereithalten von Software oder Storage in der »Wolke« geht es dabei aber immer häufiger um die service-orientierte, organisationsübergreifende Integration von Anwendungen. Dabei stehen verbesserte Analytics und Just-in-Time-Verarbeitung von Daten im Vordergrund der Vorteile.

Gerade hier haben aber viele Angst davor, in die »Cloud« zu gehen, weil sie glauben, das Thema Sicherheit sei noch nicht »gelöst«. Als ob die In-House-IT so wahnsinnig sicher wäre – siehe die zahlreichen Datenskandale und Online-Spionagefälle der letzten Zeit. Aber weil die Angst so weit verbreitet ist, haben Anbieter den Begriff der »private Cloud« erfunden, also sozusagen eine Cloud hinter der Firewall, im »sicheren« abgeschlossenen Firmennetzwerk.

Machen wir uns doch nichts vor: das ist kaum etwas anderes als das, was landläufig als »Extranet« gehandelt wird. Es erfordert die gleichen hohe Investitionen in Technologie- und Prozessveränderungen, kommt im Ergebnis aber so ziemlich aufs Gleiche heraus. Eine »private« Cloud macht nur Sinn, wenn dahinter eine Vision steht, nämlich die Absicht, zu gegebener Zeit in die »richtige« Cloud zu wechseln. Das setzt aber früher oder später neue Sicherheitskonzepte voraus. Und an denen sollten Unternehmen heute schon arbeiten – egal für welche Wolkenform sie sich entscheiden.

»drinnen = gut, draußen = böse«

Die bisherigen Vorstellungen von Innen und Außen werden mit der Cloud hinfällig.

Die heutigen, in der Praxis verbreiteten Sicherheitskonzepte beruhen im Prinzip immer noch auf dem Paradigma »drinnen = gut, draußen = böse«. Pech nur, dass es in der Cloud gar kein »draußen« mehr gibt. Daten müssen in der Wolke dort geschützt werden, wo sie sind oder wohin sie bewegt werden. Es gibt entsprechende Technologieansätze, nur sind sie noch nicht auf Cloud-Maßstab skalierbar. Erreichen lässt sich das nur, wenn erste Unternehmen den ersten Schritt wagen und den notwendigen Technologiewechsel auf Datenebene vollziehen.

Konkret bedeutet dies: statt Festplattenverschlüsselung muss jedes einzelne Informationselement verschlüsselt sein. Statt zentraler Berechtigungskonzeptionen, die den Zugriff auf Informationen innerhalb abgegrenzter »Hoheitsgebiete« überwachen, müssen unternehmensübergreifende, digitalisierte, interoperable, automatisch auswertbare Policies her, und sie müssen für die Verarbeitung von Daten zwingend vorgeschrieben sein. Die heute verfügbaren Mainstream-Produkte sind noch nicht so weit, aber mit XACML und SAML sowie den WS-Security-Standards sind wenigstens schon mal die Grundlagen vorhanden.

Unternehmen können sich auf diesen Wandel vorbereiten, wenn sie die Erlaubnis zum Verwenden bestimmter Daten in Policies gießen. Ein guter Anfang ist die Dokumentenklassifikation (zum Beispiel in »vertraulich«, »intern« oder »öffentlich«), die es eigentlich sowieso in jedem Unternehmen gibt – oder geben sollte. Aber Technologie kann den Verantwortlichen diese Aufgabe nicht abnehmen, höchstens erleichtern.

Oder, um es auf den Punbkt zu bringen: Ein Unternehmen wird erst dann »cloud-ready« sein, wenn es genau sagen kann welche Daten wann, wie und von wem verarbeitet werden dürfen. Aber das sollten sie eigentlich ohnehin längst können, auch wenn sie noch nicht auf der großen Wolke schweben.

*Prof. Dr. Sacher Paulus ist Senior Analyst des Analystenunternehmens Kuppinger Cole [1].

[1] http://www.kuppingercole.com/

Verwandte Artikel