Wahrnehmung vs. Wirklichkeit
IT-Experten empfinden die Cloud oft als unsicher oder weniger sicher, als wenn sich ihre Anwendungen und Daten in ihren eigenen Rechenzentren befinden. Aber Wahrnehmungen stimmen nicht unbedingt mit der Realität überein.
Als CA und das Ponemon Institute im Mai 2010 eine Studie unter mehr als 900 IT-Experten in Auftrag gaben, stellten sie fest, dass IT-Experten der Meinung waren, dass Sicherheitsrisiken in der Cloud schwieriger einzudämmen seien, einschließlich der Sicherung des physischen Standorts von Datenbeständen und der Einschränkung des Zugriffs privilegierter Benutzer sensible Daten. Die Umfrage ergab, dass IT-Mitarbeiter zugeben, dass sie unvollständige Kenntnisse darüber haben, welche ihrer Computerressourcen in der Cloud bereitgestellt werden, hauptsächlich weil diese Entscheidungen von Endbenutzern außerhalb einer IT-Überprüfung getroffen werden. Etwa die Hälfte aller Befragten räumt ein, dass viele Cloud-Ressourcen vor der Bereitstellung in ihrem Unternehmen nicht auf Sicherheit geprüft werden.
Vielleicht dreht sich die ganze Aufregung mehr um unsichere Webanwendungen als um die Cloud selbst. Viele der wichtigsten Web-Sicherheits-Exploits wie Cross-Site-Scripting und SQL-Injection sind Dinge, die es fast schon seit der Erfindung von Webservern gibt, und aus irgendeinem Grund ärgern sie immer noch viele Unternehmensinstallationen. Ironischerweise zeigt ein Bericht von Derek Brink von der Aberdeen Group vom Mai 2010, dass Benutzer von Cloud-basierten Web-Sicherheitstools mit weniger Malware-Vorfällen besser abschneiden als ihre Äquivalente vor Ort.
Sicherlich gibt es mehr oder weniger sichere Cloud-Umgebungen, genauso wie es mehr oder weniger sichere lokale Rechenzentren gibt. Die Cloud Security Alliance ist eine gemeinnützige Organisation, die gegründet wurde, um die Sicherheitsgarantie bei Cloud-Computing-Anbietern zu fördern. Die Allianz fördert bewährte Sicherheitspraktiken und schafft einen Konsens zu bestimmten Sicherheitsfragen. Es wurde vor zwei Jahren von einem Konsortium aus Anbietern und Endbenutzer-IT-Managern gegründet und hat mehrere Arbeitsgruppen eingerichtet, die sich beispielsweise auf Rechenzentrumsbetrieb, eDiscovery und Lebenszyklusmanagement konzentrieren.
Jeder, der nach Cloud-Diensten sucht, sollte klare und überzeugende Antworten auf vier Fragen suchen:
Wie werden Daten sowohl im Gebrauch als auch im Ruhezustand verschlüsselt, wenn sie in der Cloud-Infrastruktur gespeichert werden?
Sind differenzierte Zugriffskontrollen vorhanden?
Wie viel der Cloud-Infrastruktur ist redundant?
Wie gut sind Webanwendungen geschützt?
Wir betrachten jeden dieser Punkte auf den folgenden Seiten genauer.
