Was ist das CSRM und warum ist es wichtig?

In der Vergangenheit, vor der Geburt der Cloud, könnte man argumentieren, dass unsere Beziehung zur IT in der Wirtschaft viel einfacher war. Der Großteil der Rechen- und Datenspeicherung erfolgte lokal, oft an einem bestimmten Ort, und alles, was mit Computern zu tun hatte, lag größtenteils in der Verantwortung der IT-Abteilung. Im Cloud-Zeitalter sind die Dinge jedoch etwas weniger klar. Moderne Unternehmen verlassen sich in hohem Maße auf Cloud-Dienste zum Speichern und Verwalten von Daten, aber das schnelle Tempo des Wandels führt dazu, dass es immer noch verlockend ist, die IT-Mitarbeiter sich mit allem befassen zu lassen.

Auch wenn es verlockend sein könnte, die Verantwortung denjenigen zu übertragen, die über das meiste Computer-Know-how verfügen, die Cloud berührt so viele Aspekte des Geschäftslebens, dass man nicht umhinkommt, sich zumindest mit einigen der Schlüsselprinzipien auseinanderzusetzen, die unsere Beziehungen zu den neuen Technologien bestimmen. Im Vordergrund dieser Konzepte steht das sogenannte „Cloud Shared Responsibility Model“ oder CSRM.

Was ist das Cloud Shared Responsibility Model (CSRM)?

Vereinfacht ausgedrückt handelt es sich beim Cloud Shared Responsibility Model (CSRM) um ein Framework, das die Sicherheitsrollen und Verantwortlichkeiten zwischen Cloud-Dienstanbietern und Kunden definiert und abgrenzt, wer für die Sicherung verschiedener Aspekte der Cloud-Infrastruktur und -Daten verantwortlich ist.

Jeder der großen Hyperscaler hat seine eigene, detaillierte Definition des genauen Umfangs der Kunden- und Anbieterverantwortung. Bevor wir jedoch weiter darauf eingehen, lohnt es sich, zunächst die folgende Frage zu beantworten: Warum sollte ein Unternehmen überhaupt mehr darüber wissen?

• Rechtsschutz
• Einsparmaßnahmen
• Reputationsmanagement
• Strategischer Vorteil
• Transparente Kommunikation

Anstatt nur eine Reihe belastender Verpflichtungen zu sein, bietet das CSRM den Unternehmen eine Reihe klarer Vorteile. Erstens stellt es sicher, dass Sie auf der richtigen Seite des Gesetzes bleiben, indem es Ihnen hilft, die Datenschutzbestimmungen einzuhalten, rechtliche Probleme zu vermeiden und dadurch oft Geld zu sparen. Zweitens kann es auch lebensrettend für Ihren Ruf sein, indem es die Sicherheit und das Vertrauen Ihrer Kunden gewährleistet.

Schließlich, und das ist vielleicht weniger offensichtlich, kann Ihnen die ernste Beschäftigung mit CSRM auch einen strategischen Vorsprung auf dem Markt verschaffen, indem Sie intelligente Entscheidungen treffen und gleichzeitig die Transparenz erhöhen und Ihnen helfen, solide Beziehungen zu Kunden, Investoren und Partnern aufzubauen.

• PCG Managed Services: Ihre One-Stop-Lösung für Cloud-Management

Das CSRM im Detail

Obwohl das Cloud Shared Responsibility Model (CSRM) fast jeden Aspekt der Nutzung von Cloud-Diensten berührt, sind Sicherheit und Compliance die wichtigsten betroffenen Geschäftsbereiche. Das oben gezeigte Modell beschreibt die Verantwortlichkeiten sowohl von Cloud-Dienstanbietern (CSPs) als auch von Kunden auf verschiedenen Ebenen der Cloud-Infrastruktur, einschließlich Infrastruktur, Plattform und Software.

Eine wesentliche Stärke des CSRM besteht darin, dass auf jeder Ebene klar erkennbar ist, wer für Sicherheitsmaßnahmen und Compliance-Verpflichtungen verantwortlich ist. Beispielsweise verwalten Cloud-Anbieter in der Regel die Sicherheit der zugrunde liegenden Infrastruktur, während Kunden dafür verantwortlich sind, ihre Daten und Anwendungen sicherzumachen.

Im nächsten Abschnitt werden wir die spezifischen Verantwortlichkeiten detaillierter untersuchen, um ein tieferes Verständnis dafür zu erlangen, wie jede Partei zum gesamten Sicherheits- und Compliance-Rahmen des CSRM beiträgt.

• ISO 27001 - Compliance as a Service [Dienstleistung]
• Erfüllung von Compliance-Anforderungen mit der Cloud [Einblick]

CSP-Verantwortlichkeiten

Das Hauptanliegen der großen Dienstanbieter besteht darin, sich um die wesentlichen Sicherheits- und Zuverlässigkeitsaspekte der Cloud zu kümmern. Dazu gehört die physische Sicherheit ihrer Rechenzentren und Netzwerkinfrastruktur, die Sicherstellung, dass Ihre Daten immer dann verfügbar sind, wenn Sie sie benötigen, und die Aufrechterhaltung der Gesamtsicherheit der Cloud-Infrastruktur. Sie nutzen verschiedene Maßnahmen wie Überwachungssysteme, Redundanz und Sicherheitskontrollen, um sich vor Bedrohungen zu schützen und Ihre Daten zu schützen.

Im Wesentlichen besteht die Aufgabe der Hyperscaler darin, eine sichere und zuverlässige Umgebung für Ihre Daten und Anwendungen bereitzustellen, sodass Sie sich auf die Führung Ihres Unternehmens konzentrieren können, ohne sich um die technischen Details kümmern zu müssen.

Zusammenfassung der Verantwortlichkeiten des Anbieters:

1. Physische Sicherheit von Rechenzentren und Netzwerkinfrastruktur.
2. Sicherstellung der Verfügbarkeit und Zuverlässigkeit von Cloud-Diensten.
3. Aufrechterhaltung der Sicherheit der zugrunde liegenden Cloud-Infrastruktur.

Verantwortlichkeiten des Kunden

In ähnlicher Weise haben Kunden ihre eigenen Verantwortlichkeiten, die hauptsächlich mit der tatsächlichen Verwaltung von Daten und Anwendungen innerhalb der gepflegten Umgebung zu tun haben. Zu diesen Aufgaben gehören Aufgaben wie die Konfiguration von Zugriffskontrollen, die Verschlüsselung sensibler Daten und die Implementierung von Sicherheitsmaßnahmen zum Schutz vor Bedrohungen wie Malware und unbefugtem Zugriff.

Kunden haben außerdem die Aufgabe, die Einhaltung relevanter Vorschriften und Standards sicherzustellen sowie ihre Cloud-Umgebung regelmäßig auf Sicherheitslücken zu überwachen und zu prüfen. Durch die aktive Verwaltung ihrer Daten und Anwendungen tragen Kunden zur allgemeinen Sicherheit und Integrität des Cloud-Ökosystems bei.

Zusammenfassung der Verantwortlichkeiten des Kunden:

1. Sicherung von Daten und Anwendungen innerhalb der Cloud-Umgebung
2. Konfigurieren von Zugriffskontrollen und Authentifizierungsmechanismen
3. Implementierung von Datenverschlüsselungs- und Sicherungsstrategien

Unterschiede zwischen den großen Cloud-Anbietern

Im Hinblick auf die Ausgewogenheit der Verantwortlichkeiten von Kunde und Anbieter besteht bei den großen Cloud-Diensten ein allgemeiner Konsens über Best Practices für Datensicherheit, Compliance und Ressourcenmanagement. In bestimmten Bereichen wie Datenverschlüsselungsstandards, Zugriffskontrollmechanismen und für bestimmte Branchen erforderlichen Compliance-Zertifizierungen bestehen jedoch Nuancen. Während AWS Wert auf Flexibilität und Skalierbarkeit legt, lässt sich Azure oft nahtlos in Microsoft-Technologien integrieren und GCP priorisiert innovative maschinelle Lern- und Analysefunktionen.

• Sehen Sie sich unsere speziellen Pakete für jeden Hyperscaler an: AWS Managed Services, Microsoft Azure Managed Services und Google Cloud Managed Services.

Herausforderungen für Kunden

Kunden stehen im Rahmen des Cloud Shared Responsibility Model (CSRM) vor mehreren Herausforderungen, darunter die Komplexität des Verständnisses und der Verwaltung gemeinsamer Verantwortlichkeiten. Aufgrund der Aufteilung der Verantwortlichkeiten kann es für Kunden schwierig sein, sich zurechtzufinden und sicherzustellen, dass sie ihren Verpflichtungen angemessen nachkommen.

Darüber hinaus besteht ein erhebliches Risiko von Fehlkonfigurationen und Sicherheitsverletzungen aufgrund von Kundenfehlern. Ohne entsprechendes Fachwissen oder Aufsicht kann es passieren, dass Kunden ihre Cloud-Umgebung unbeabsichtigt falsch konfigurieren und so Schwachstellen hinterlassen, die von böswilligen Akteuren ausgenutzt werden könnten.

Diese Herausforderungen unterstreichen die Bedeutung von Bildung, Schulung und robusten Sicherheitspraktiken für Kunden, die im Cloud-Ökosystem tätig sind. Sie können durch den Einsatz zweier einfacher Strategien erheblich gemildert werden:

1. Befolgen Sie eine Reihe etablierter Best Practices
2. Nutzen Sie professionelle Beratung.

Empfohlene Vorgehensweise

AWS, Azure und Google Cloud setzen sich alle für robuste Sicherheitsmaßnahmen und die Einhaltung von Compliance innerhalb des CSRM ein und schlagen mehrere Bereiche mit Best Practices vor. Dazu gehören die folgenden Empfehlungen, die allen Anbietern gemeinsam sind:

1. Zugangskontrollen und Identitätsmanagement. Implementieren Sie strenge Zugriffskontrollen und legen Sie Wert auf Identitätsmanagement, um Benutzerberechtigungen zu regulieren und unbefugten Zugriff einzuschränken. Sehen:
2. Datenschutz und Verschlüsselung. Nutzen Sie Verschlüsselungstechniken, um Daten sowohl während der Übertragung als auch im Ruhezustand zu schützen, und implementieren Sie Maßnahmen, um deren Integrität und Verfügbarkeit sicherzustellen.
3. Überwachung. Implementieren Sie umfassende Überwachungspraktiken, um Sicherheitsvorfälle umgehend zu erkennen und darauf zu reagieren.
4. Branchen- und regionale Standards. Halten Sie sich an Compliance-Standards, die für Ihre Branche und geografische Region relevant sind.

Während die Grundprinzipien übereinstimmen, bietet jeder Anbieter spezifische Tools und Lösungen an, die auf die einzigartigen Funktionen seiner Plattform zugeschnitten sind. Daher ist es auch wichtig, dass Sie die empfohlenen Vorgehensweisen des von Ihnen gewählten Cloud-Anbieters befolgen, um eine umfassende Sicherheit und Compliance-Abdeckung zu gewährleisten.

1. AWS: Modell der geteilten Verantwortung
2. Microsoft Azure: Geteilte Verantwortung in der Cloud
3. GCP: Geteilte Verantwortung und gemeinsames Schicksal in Google Cloud

Sie benötigen Unterstützung? Die Experten der PCG beraten Sie gern!

Das sind alles gute Tipps und hoffentlich haben Sie jetzt ein besseres Verständnis für das Cloud Shared Responsibility Model. Wenn Sie sich jedoch immer noch unsicher sind, denken Sie daran, dass Sie die Herausforderung nicht alleine meistern müssen!

Als erfahrene Cloud-Berater können wir es kaum lassen, auf den Wert unserer Erkenntnisse zum Entwurf, der Implementierung und Optimierung von Cloud-Lösungen hinzuweisen, die auf die spezifischen Anforderungen und Ziele jedes Unternehmens zugeschnitten sind. Dennoch ist der Bereich Sicherheit und Compliance für den Erfolg eines Unternehmens so wichtig, dass es eine falsche Ökonomie ist, zu versuchen, ihn alleine zu bewältigen.

Durch die Nutzung des Wissens eines erfahrenen Beraters sind Unternehmen besser in der Lage, ihre Sicherheitslage einzuschätzen, Schwachstellen zu identifizieren und wirksame Strategien zur Risikominderung zu entwickeln. Die Beratung durch Cloud-Experten gewährleistet nicht nur eine fundierte Entscheidungsfindung und verbessert die Sicherheit und Compliance in Cloud-Umgebungen, sondern kann auch zum Erfolg all Ihrer Bemühungen zur digitalen Transformation beitragen.