Ich habe kürzlich die Prüfung für das Certificate of Cloud Security Knowledge (CCSK) der Cloud Security Alliance (CSA) bestanden. Der Lehrplan dieses Zertifikats bietet einen umfassenden Überblick, wie Daten in der Cloud gesichert werden können. Der Lehrplan ist ganzheitlich aufgebaut und deckt deshalb nicht nur technische Aspekte, sondern auch Bereiche wie Governance und Strategie ab. Entsprechend ist das Zertifikat auch für Fachkräfte ausserhalb der IT interessant, beispielsweise aus den Bereichen Recht, Compliance und Governance.
Als jemand, der im Bereich Recht tätig ist, habe ich die nachfolgenden vier Erkenntnisse besonders relevant gefunden.
1. Modell der geteilten Verantwortung
Eines der grundlegendsten Konzepte in der Cloud-Sicherheit ist das Modell der geteilten Verantwortung. Dieses Modell definiert die Verantwortlichkeiten zwischen einem Cloud-Service-Provider (CSP) und einem Cloud-Service-Kunden (CSC) – abhängig von der Art des genutzten Dienstes. Je mehr Verantwortung der Anbieter übernimmt, desto weniger bleibt beim Kunden und umgekehrt. Entscheidend ist dabei:
- Die auf Kundenseite verbleibenden Aufgaben müssen korrekt gemanagt werden.
- Die Verantwortlichkeiten des Anbieters müssen überwacht und durchgesetzt werden. Das Modell ist auch für die Ausarbeitung von Auftragsdatenbearbeitungsverträge (ADV) von Bedeutung, da der Anbieter technische und organisatorische Massnahmen (TOMs) nur innerhalb seines Verantwortungsbereichs umsetzen kann.
2. Eine Cloud-Strategie ist essenziell
Unternehmen können Cloud-Dienste auf unterschiedliche Weise nutzen, was sich erheblich auf Chancen, Risiken und Kosten auswirkt. Entsprechend erfordert die Cloud-Nutzung häufig eine Abwägung gegenläufiger Interessen, etwa zwischen Sicherheit und Flexibilität oder zwischen Kosteneffizienz und Compliance. Daher ist es für Unternehmen ratsam, eine Cloud-Strategie zu definieren, welche die Cloud-Nutzung mit den geschäftlichen Zielen sowie der Risikobereitschaft der Organisation in Einklang bringt. Diese Strategie sollte:
- gegenläufige Prioritäten ausbalancieren,
- klare Ziele für die Cloud-Nutzung setzen und
- die Grundlage für die Cloud-Governance schaffen (siehe nächster Abschnitt). Da eine Cloud-Strategie weitreichende organisatorische Auswirkungen hat, sollte sie, unter Einbezug der relevanten Stakeholder wie dem Cloud Center of Excellence (CCoE) (vgl. nachfolgend), vom Management definiert werden.
3. Governance ist das A und O
Die Einführung von Cloud-Diensten birgt erhebliche Risiken und Herausforderungen. Ohne angemessene Governance kommt es zu einer unkontrollierten Nutzung der Cloud, was zu Sicherheitslücken, Compliance-Verstössen und Cloud-Wildwuchs führen kann. Eine effektive Cloud Governance mindert diese Risiken. Wichtige Aspekte einer Cloud Governance sind:
- Definition von Rollen und Verantwortlichkeiten für das Cloud Management,
- Etablierung von Richtlinien und Verfahren, um eine Cloud-Nutzung in Einklang mit der Cloud-Strategie sowie mit den rechtlichen und regulatorischen Vorgaben zu erreichen,
- Implementierung von Überwachungsmassnahmen, wie z. B. ein Cloudregister, um Transparenz und Kontrolle zu gewährleisten.
4. Cloud Center of Excellence (CCoE)
Obwohl das CCoE nicht explizit im CCSK-Lehrplan behandelt wird, ist seine Wichtigkeit eine logische Schlussfolgerung aus der Notwendigkeit einer Cloud-Strategie und einer Cloud-Governance. Ein CCoE ist ein bereichsübergreifendes Team mit Vertretern aus den Abteilungen IT, Compliance, Risikomanagement und Recht. Die genaue Rolle eines CCoE muss jedes Unternehmen für sich definieren. Typische Verantwortlichkeiten sind:
- Beratung zur Cloud-Strategie – Strategische Entscheidungen sollten vom Management getroffen werden, jedoch kann das CCoE eine fundierte Analyse und Empfehlungen liefern.
- Entwicklung und Durchsetzung eines Governance-Rahmens – Das CCoE setzt die Cloud-Strategie in Governance-Richtlinien um und sorgt für deren Einhaltung.
- Wissensvermittlung – Das CCoE schult Mitarbeitende zu Cloud-bezogenen Themen, etwa Sicherheit und Datenschutz.
- Management von Cloud-Anwendungen – Das CCoE bestimmt, welche Cloud-Anwendungen genutzt werden dürfen, um die Einhaltung der Governance-Richtlinien sicherzustellen und Cloud-Wildwuchs zu vermeiden. Aus meiner Sicht ist ein CCoE nicht nur nützlich, sondern ein strategischer Vorteil. Durch die Einbindung verschiedener Fachbereiche wie IT und Recht, fördert es das gegenseitige Verständnis und sorgt für eine fundierte Entscheidungsfindung, da verschiedene Perspektiven diskutiert und abgestimmt werden müssen.
Abschliessende Gedanken
Ich kann es sehr empfehlen, die CCSK-Prüfung abzulegen oder zumindest den kostenlosen Studienleitfaden durchzugehen. Wer sich intensiver mit dem Thema befassen möchte, dem empfehle ich das Buch «CCSK Exam Guide» von Graham Thompson. Es basiert zwar auf einer früheren Version der Prüfung (v4), bleibt aber eine ausgezeichnete Ressource. Technische Konzepte werden klar und verständlich erklärt - weshalb es auch für Personen ohne tiefgehenden technischen Hintergrund geeignet ist.