Cloud Security für KMU
Der Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) des Bundesamts für Sicherheit in der Informationstechnik spezifiziert Mindestanforderungen an sicheres Cloud Computing und richtet sich in erster Linie an professionelle Cloud-Anbieter, deren Prüfer und Kunden.
Der Kriterienkatalog C5 wurde im Jahr 2016 durch das Bundesamt für Sicherheit in der Informationstechnik erstmalig veröffentlicht. Der C5 bietet Cloud-Kunden eine wichtige Orientierung für die Auswahl eines Anbieters. Er bildet die Grundlage, um ein kundeneigenes Risikomanagement durchführen zu können. Im Jahr 2019 wurde der C5 grundlegend überarbeitet, um auf aktuelle Entwicklungen einzugehen und die Qualität noch weiter zu erhöhen.
Das BSI hat auch einen Mindeststandard zur Mitnutzung externer Cloud-Dienste in der neuen Version 2.0. Der auf der gesetzlichen Grundlage von § 8 Abs. 1 BSIG veröffentlichte Mindeststandard zur Mitnutzung externer Cloud-Dienste sorgt dafür, dass Entscheidungen im Vorfeld einer Mitnutzung externer Cloud-Dienste einen transparenten Ablauf haben und dadurch ein definiertes Mindestsicherheitsniveau erreicht wird. Die Version 2.0 berücksichtigt zugleich den Kriterienkatalog Cloud Computing (C5:2020) sowie das aktuelle IT-Grundschutz-Kompendium (Edition 2021).
Einen besonderen Mehrwert dürfte die aktualisierte Fassung jedoch für Verantwortliche der Bundesverwaltung aufweisen.
Einen anderen Adressatenkreis bedient der Leitfaden „Cloud Security“ des Bundesverband IT-Sicherheit e.V. (TeleTrusT).
Der TeleTrusT-Leitfaden „Cloud Security“ richtet sich vorwiegend an kleine und mittlere Unternehmen. Er beginnt mit einer systematischen Betrachtung der Risiken bei der Nutzung von Cloud-Diensten, gegliedert nach allgemeinen IT-Risiken, Cloud-spezifischen Risiken und rechtlichen Anforderungen. Betrachtet werden auch die Sicherheitsvorteile von Cloud Services.
Der Leitfaden zeigt technische, organisatorische und rechtliche Maßnahmen zur Reduktion und Beherrschung ermittelter Risiken auf. Neben Mechanismen und Konfigurationsmöglichkeiten, die integraler Bestandteil der Cloud-Dienste sind, wird fokussiert auf externe Sicherungsmechanismen eingegangen: Identity Provider, Cloud Access Security Broker (CASB), Cloud Encryption Gateways, E-Mail Security Gateways, Cloud VPNs, Cloud Firewalls, Confidential Computing, Backup und Notfallplanung. Im Bereich organisatorischer Maßnahmen wird auf die Aufgabenverteilung zwischen Anbieter und Nutzer sowie auf die Vertragsgestaltung eingegangen.
(Foto: monsitj – stock.adobe.com)
Verwandte Produkte
Das könnte Sie auch interessieren
-
Folge 41: So hält das Urheberrecht den Anforderungen der KI stand
Beim Einsatz generativer KI spielt neben dem Datenschutzrecht das Urheberrecht eine wichtige Rolle. Die Rechtsbereiche dürfen nicht miteinander vermischt werden. Welche Rechte bei der Erstellung von neuen Inhalten bzw. beim Training der KI tangiert sind (Input), und zum anderen, welche Rechte mit den von KI-(mit)erzeugten Inhalten verbunden sind, gleich ob Musik, Text oder Bild, und
Mehr erfahren -
Grenzen des Missbrauchs beim Auskunftsrecht
In der jüngeren Vergangenheit hat sich der EuGH mit zahlreichen Vorlagefragen zu datenschutzrechtlichen Themen befassen müssen. Darunter waren auch etliche Fragestellungen, die sich mit dem Inhalt und der Weite des Auskunftsanspruchs aus Artikel 15 DS-GVO befassten. Der EuGH konkretisierte bspw. im Rahmen seines Urteils, ob im Rahmen des Auskunftsrechts die Identität der Empfänger offenzulegen sind.
Mehr erfahren -
Besonders schützenswerte Daten in Personalakten
Besonders sensible personenbezogene Daten dürfen nur in sehr begrenzten Ausnahmefällen im Rahmen von Beschäftigungsverhältnissen verarbeitet werden. Diese Daten umfassen beispielsweise Informationen, die Rückschlüsse auf den Gesundheitszustand oder die politische Überzeugung der Beschäftigten zulassen, sowie Hinweise auf religiöse Diskriminierung oder rassistische Verfolgung bieten können. Auch Informationen über Gewerkschaftszugehörigkeiten fallen unter diesen speziellen Schutz. Wie ist datenschutzrechtlich
Mehr erfahren
