Grenzenlose Gefahren? Tim Cole Internet-Publizist

Präsentation zum Thema: "Grenzenlose Gefahren? Tim Cole Internet-Publizist"—  Präsentation transkript:

1 Grenzenlose Gefahren? Tim Cole Internet-Publizist
IT ohne Grenzen Grenzenlose Gefahren? Tim Cole Internet-Publizist

2 Was ist Cloud Computing?
Edge Computing PaaS P2P Computing Virtualisierung Ubiquitous Computing Private Cloud Meta Computing „Blue“ Cloud Public Cloud Organic Computing SaaS ASP Hosted Computing Miet-IT Grid Computing Grid Cluster Computing Island Computing On-Demand Utility Computing Elastic Computing Distributed Computing

3 Was ist Cloud Computing?
Forrester: „Pool aus abstrahierter, hochskalierbarer und verwalteter IT-Infrastruktur, die Kundenanwendungen vorhält und nach Verbrauch abgerechnet wird“ Gartner: „Bereitstellen skalierbarer IT-Services über das Internet für eine potenziell große Zahl externer Kunden“ Red Hat: „Grid for Rent“ Salesforce.com: „Cloud = SaaS“

4 „Cloud Computing is just another form of outsourcing“
Martin Buhr Amazon Web Services

5 Was ist Cloud Computing?

6 Was ist Cloud Computing?

7 Vorteile von Cloud Computing
virtuelle Nutzung von Software, Speicher, Rechenleistung und IT-Infrastrukturen Unternehmen können bis zu 25 Prozent ihrer IT-Kosten einsparen* Beliebige Skalierbarkeit „Infrastructure-as-a-Service“ Abrechnung nach Nutzung Fixkosten in variable Kosten umwandeln Quelle: A.T. Kearny

8 Risiken von Cloud Computing?

9 Markt für Cloud Computing in Deutschland

10 Das große Cloud-Fressen

11 Was tun? „Noch müssen die meisten Anwender vom Nutzen und der Sicherheit von Cloud Computing überzeugt werden.“ *Quelle: DevCental

12 Welche Wolke hätten‘s gern?

13 Europäische Datenschutzrichtlinie (Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr) Schutz der Privatsphäre von natürlichen Personen bei der Verarbeitung von personenbezogenen Daten Mindeststandards für den Datenschutz, die in allen Mitgliedstaaten der Europäischen Union Verbietet in der Regel die Verarbeitung sensibler personenbezogener Daten

14 Artikel 25 Die Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn dieses Drittland ein „angemessenes Schutzniveau“ gewährleistet.

15 Europäischer Datenschutzbeauftragte
„European Date Protection Regulation applies to cloud services regardless of where the data are processed“ Peter Hustinx Europäischer Datenschutzbeauftragte auf dem „European Cyber Security Awareness Day“ in Brüssel, 13. April 2010

16 A crucial difference Data Controller: person or legal entity that determines the means and purposes of processing personal data Data Processor: person or legal entity that processes the data on behalf of the controller (storing, holding, operating on, transmitting, disclosing or accessing data)

17 Verantwortlicher und Verarbeiter in der EU
Firma (Persönlice Daten) Cloud Verantwort licher Cloud Verarbeiter EU

18 Zwei Fragen, die Sie sich stellen sollten
Welches nationale Recht gilt dort, wo meine Daten gespeichert werden? Welches nationale Recht gilt dort, wohin meine Daten übertragen werden sollen?

19 Die „Two-Cloud Strategy“
North America Europe

20 Die „Two-Cloud Strategy“
Amazon European Cloud (Dublin) Microsoft just opened a second data center in Europe (Amsterdam and Dublin) T-Systems offering data storage in Europe to US customers Data Security „made in Germany“ Google considering heading for Europe

21 Warum nur zwei? Russia North America Europe China Middle East ASEAN
Africa Latin America Australia New Zealand

22 „Digitale Kleinstaaterei“

23 Kunden und Service Provider müssen sich damit abfinden, dass es in Zukunft mehr als eine, und potenziell sehr viele Clouds geben wird.

24 Securing the Cloud

25 IT Security als „blinder Fleck“
„Software-Entwickler verstehen (in der Regel) nichts von IT Security“ „IT Security Profis verstehen (in der Regel) nichts von Software-Entwicklung“

26 „Beide verstehen nichts von Identity Management“

27 Im Cloud können die Folgen fatal sein

28 Ziele von IT-Security Schutz vor technischem Systemausfall
Schutz vor Sabotage oder Spionage Schutz vor Betrug und Diebstahl Schutz vor Systemmissbrauch, durch illegitime Ressourcennutzung, Veränderung von publizierten Inhalten, etc. Quelle: Wikipedia, Stichwort „Informationssicherheit“

29 SCHUTZ

30 Ziele von Identity Management
Konsistenz und Aktualität der Nutzerdaten Erleichterung bei der Einführung von neuen Diensten und Methoden (z.B. Single Sign-on) Vereinfachung der Datenhaltung dauerhafte Kosteneinsparungen in der Administration bessere Kontrolle über die Ressourcen optimale Unterstützung von internationalen Projekten im Bereich Cloud Computing höhere Sicherheit

31 KONTROLLE

32 Klassischer Security-Ansatz: Perimeter Defense
Internet corporation datacenter

33 Eine Wolke hat keinen „Perimeter“

34 ? Internet/Extranet/Intranet datacenter

35 …digitale Identität, Identity Management und das Ende des Identitäts-Chaos im Internet…

36 „Identität ist das größte ungelöste Problem der IT“
Martin Kuppinger Kuppinger Cole + Partner Analyst for Digital Identity & Identity Management

37 IT Business drivers Business Need Operational Efficiency
automation “cut out the fat” process optimization „get closer to the market“ Business Need Operational Efficiency Cost Containment Security Compliance Identity Management user productivity “more bang for bucks” internal auditing “keep the boss out of jail” © Kuppinger Cole + Partner 2008

38 Identity-Ansatz: Lückenlose Kontrolle
AUDIT supplier company customers „extended enterprise“ (things) products / services applications IT systems (machines) Geschäftsprozesse dürfen nicht isoliert von den Identitäten gesehen werden Effizienz von Unternehmen bedeutet heute in hohem Maße effizientere, durchgehende Prozesse Dahinter stehen aber Anwendungen – bei Partnern, im Unternehmen, bei Kunden (wobei auch ein Prozess im Unternehmen oft viele Anwendungen umfasst – Beispiel Airbus mit über 60 Anwendungen im Kernprozess Und dahinter sind die Benutzer, digitale Identitäten Geschäft basiert auf Vertrauen – ich muss wissen, mit wem ich handle. Und ich muss steuern können, wer was im Geschäftsprozess darf (people) users So who is allowed to do what within your business processes?

39 Identity Management in the Cloud

40 Identity and Information Security
Was wollen wir? Informationssicherheit Wer hat Zugriff auf unsere Informationen? Zwei Elemente: Zugangskontrolle: das „was?“ Was darf mit einer Information geschehen? Identität: das „wer?“

41 Was wir brauchen: „Identity-aware Clouds“
Richtlinien Wer darf was? Identitiäten Die „wer‘s“ verwalten Mitarbeiter, Zulieferer, Partner, Kunden…

42 IAM kann die Cloud-Sicherheit erhöhen und gleichzeitig das Benutzererlebnis verbessern
Eine Identität für alle Services (SSO) Identitäten von Anwendungen trennen („Identity as a Service“) Selbstverwaltung oder vertrauenswürdige Dritte (Facebook?) Wiederverwendbare Identitiäten (z.B. OpenID) Einheitliche Richtlinien über verschiedene Clouds Starke Authentisierung für interne Anwendungen Trusted for a specific interaction/transaction – you most likely won‘t trust Facebook for some high-value financial transactions, for example

43 3 Thesen zu Identity & Security:
„Kunden müssen ihre Security Policies mit Benutzer- und Rollen-Management sowie mit Business-Prozessen integrieren.“ „Technische Lösungen müssen heute Identity & Access Management (IAM) auf allen Ebenen gewährleisten: Netzwerk-Infrastruktur, Anwendungen und Daten.“ „Das ist nur durch die Kombination von IAM und IT Security möglich.“

44 „Identitäts-basierte Security und effektives Rollenmanagement in der Cloud ist Voraussetzung für nachhaltige Sicherheit.“

45 IAM ist die Grundlage für sicheres Cloud Computing
IAM adressiert ALLE Aspekte von Cloud Security DLP (Data Leakage Prevention) Attestierung von Zugriffsberechtigungen Schutz vor Insider-Angriffen Missbrauch privilegierter Benutzerkonten („Evil Admins“) Fazit: Investitionen in Cloud Computing dürfen nicht zu Lasten von IAM gehen

46 Was tun? Statt sich um den Schutz von Systemen sollte sich die IT mehr um den Schutz von Informationen kümmern. Das heißt: Starke Zugangskontrolle und wirkungsvolles Identity Management. Unternehmen und Organisationen müssen auf den “worst Case” vorbereitet sein. Bürger und Konsumenten müssen versuchen, die Macht über ihre persönlichen Informationen zurück zu gewinnen. Wir brauchen ein Recht auf “digitales Vergessen”.

47 „Questions to ask your IT
Was bringt Cloud Computing für uns? Kostenvorteile Nachhaltigkeit Sicherheit (Zertifizierung!) Firmenwert („was passiert bei M&As?“) Welche Cloud-Strategie ist für uns die richtige? Muss ich mich ganz entscheiden, oder kann ich Cloud für einzelne IT-Aufgaben verwenden und ansonsten weitermachen wie bisher? Was sagen unsere Wirtschaftsprüfer? Was sagen unsere Kunden? Fühlen die sich wohl bei dem Gedanken, dass wir mit ihren Daten Cloud Computing betreiben? Binde ich mich an einen bestimmten Provider, oder bin ich frei zwischen Providern zu wechseln?

48 Fazit: Unternehmen sollten nicht über „Cloud Computing“ sondern über „Cloud IT“ sprechen. Die setzt neue Organisationsformen und neue Ansätze in Sicherheit, Identity Management, GRC (Governance, Risk Management & Compliance) sowie Business Prozess Development & Management voraus und erzwingt damit eine völlig neue IT-Kultur im Unternehmen. Cloud ist ein ganz neues Spiel, und keiner kommt daran vorbei!

49 Vielen Dank! tim@cole.de