Cloud Compliance

Cloud-Compliance ist die Disziplin, nachzuweisen, dass Daten, Workloads und ihre Kontrollen in Cloud-Diensten die Anforderungen erfüllen, die für die Organisation gelten. Dazu gehören Gesetze wie GDPR, HIPAA oder LGPD, vertragliche Verpflichtungen wie PCI DSS und Bewertungsrahmen wie ISO 27001 und SOC 2. Der Umzug von Systemen zu einem Cloud-Anbieter ändert, wo die Kontrollen laufen, nicht die Pflichten.

Was kontrolliert werden muss, hängt vom Servicemodell ab. Bei Infrastructure as a Service konfiguriert der Kunde Betriebssysteme, Anwendungen und Dateneinstellungen, daher gelten die meisten Anforderungen unmittelbar. Bei Software as a Service betreibt der Anbieter die Plattform, während der Kunde Identitäten, Freigabeeinstellungen und den Datenexport durch Nutzer steuert. In jedem Modell bleiben regulierte Daten in der Verantwortung des Kunden.

Jeder große Anbieter veröffentlicht ein Shared-Responsibility-Modell. Der Anbieter verantwortet die Cloud selbst: Hardware, physische Sicherheit und Verfügbarkeit. Der Kunde verantwortet Sicherheit und Compliance in der Cloud: Datenklassifizierung, Zugriffsentscheidungen, Konfiguration und Nutzeraktivität. Zertifizierungen des Anbieters decken nur dessen Seite dieser Linie ab, nie die des Kunden.

Die Aufteilung ist wichtig, weil Regulierer den Dateneigentümer in die Pflicht nehmen. Eine Aufsichtsbehörde akzeptiert „der Anbieter war zertifiziert“ nicht als Antwort, wenn die Ursache ein falsch konfigurierter Speicher-Bucket, ein Link, der für jeden offen ist, oder ein Mitarbeiter war, der Datensätze auf ein privates Konto exportiert hat. Compliance-Arbeit beginnt damit, die Verantwortungsmatrix jedes Dienstes auf die Pflichten der Organisation abzubilden und die Lücken auf Kundenseite zu schließen: Identität, Konfiguration, Protokollierung und Datenumgang.

Datenschutzrecht folgt den Daten, nicht der Infrastruktur. Unter der GDPR entsteht durch die Nutzung eines Cloud-Anbieters eine Auftragsverarbeitung: Nötig sind ein Auftragsverarbeitungsvertrag, dokumentierte Unterauftragsverarbeiter und Garantien für Datentransfers, wenn Daten die Region verlassen. HIPAA verlangt eine Business Associate Agreement, bevor geschützte Gesundheitsinformationen die Dienste des Anbieters berühren.

Daraus folgen zwei Pflichten. Die erste ist zu wissen, welche regulierten Daten existieren und wo sie liegen: welche Dienste sie speichern, in welchen Regionen und auf welcher vertraglichen Grundlage. Das ist ohne Klassifizierung und ein Diensteverzeichnis nicht möglich, das auch Shadow IT erfasst, also Werkzeuge, die Mitarbeiter eigenständig eingeführt haben. Die zweite ist die Kontrolle der Bewegung. Regulierte Daten, die über ein nicht genehmigtes Konto oder eine fehlgeleitete Freigabe den genehmigten Bereich verlassen, sind ein Compliance-Vorfall und können auch als Datenschutzverletzung gelten, auch ohne böse Absicht.

Frameworks liefern das Vokabular, mit dem Compliance gegenüber Kunden, Auditoren und Regulierern belegt wird. Die gefragtesten sind:

Ein Cloud-Anbieter verkleinert den Geltungsbereich von PCI DSS nicht: Die Umgebung mit Kartendaten muss überall geprüft werden, wo sie läuft.

Das Audit in der Cloud ist mehrschichtig. Auf Anbieterseite stützt sich das Audit auf dessen Attestierungen, etwa den SOC-2-Bericht und das ISO-27001-Zertifikat. Auf Kundenseite beruht es auf Nachweisen, die die Organisation selbst erzeugt: Konfigurations-Baselines, Zugriffsprüfungen, Aktivitätsprotokolle und Vorfallsdokumentation.

Kontinuierliches Compliance-Monitoring ersetzt die jährliche Momentaufnahme. Da sich Cloud-Umgebungen täglich ändern, erwarten Auditoren automatisch erzeugte Nachweise: Warnungen bei Konfigurationsabweichungen, vollständige Audit-Trails darüber, wer was in welchem Dienst getan hat, und Berichte auf Abruf. Die Kundenseite folgt meist vier Schritten:

1. 1

   Baseline

   Halten Sie die genehmigte Konfiguration jedes Cloud-Dienstes fest und prüfen Sie jede Änderung dagegen.

2. 2

   Zugriff prüfen

   Kontrollieren Sie, wer auf jeden Dienst zugreifen kann, und entfernen Sie Konten ohne verantwortliche Person.

3. 3

   Spur sichern

   Speichern Sie, wer in jedem Dienst was getan hat, mit Zeitpunkt und Objekt, so lange die Richtlinie es verlangt.

4. 4

   Berichte auf Abruf

   Erstellen Sie Nachweise für den Auditor aus den gespeicherten Protokollen, nicht aus dem Gedächtnis.

In Anexet greift diese Kontrolle am Arbeitsplatz: Die Einstellungen der Cloud-Speicherkontrolle im Agentenprofil legen für jeden Dienst die Zugriffsstufe, den Prüfmodus und die Schattenkopie fest.

In der Praxis besteht ein Programm aus wenigen Bausteinen: einem Verzeichnis der tatsächlich genutzten Cloud-Dienste, auch der nicht genehmigten; der Klassifizierung der Daten, die sie erreichen; einer Zuordnung von Kontrollen zu jedem relevanten Framework, damit eine Kontrolle mehrere Anforderungen erfüllt; der Durchsetzung auf den Kanälen, über die Daten in die Dienste hinein- und hinausfließen; und der Nachweissammlung, die all das auf Abruf belegbar macht.

Keiner dieser Bausteine gilt nur für eine einzige Vorschrift. Pflichten vermehren sich, etwa durch ein neues Datenschutzgesetz, einen neuen Vertrag oder eine neue Framework-Version, während die zugrunde liegenden Kontrollen selten ändern. Organisationen, die Verzeichnis, Klassifizierung, Durchsetzung und Audit-Trail pflegen, nehmen jede neue Anforderung auf, indem sie diese auf bestehende Kontrollen abbilden. Den schützenden Teil dieser Arbeit behandelt Cloud-Datensicherheit.

Weiterlesen: Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.