Cloud Computing Compliance Controls Catalogue

Microsoft Azure Deutschland erhält C5-Testat vom BSI

| Redakteur: Florian Karlstetter

Microsoft Azure Deutschland hat die Anforderungen des „Cloud Computing Compliance Controls Catalogue“ (C5) vom Bundesamt für Sicherheit in der informationstechnik (BSI) bestanden.
Microsoft Azure Deutschland hat die Anforderungen des „Cloud Computing Compliance Controls Catalogue“ (C5) vom Bundesamt für Sicherheit in der informationstechnik (BSI) bestanden. (Bild: © WrightStudio - stock.adobe.com)

Microsofts Cloud-Plattform Azure Deutschland erhält ein Testat nach dem Anforderungskatalog „Cloud Computing Compliance Controls Catalogue“ (C5), der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entworfen wurde.

Im Rahmen des regelmäßigen Audits wurde aktuell für Azure Deutschland ebenfalls die Cloud Controls Matrix (CCM) der Cloud Security Alliance (CSA), die Trust-Prinzipien – Sicherheit, Verfügbarkeit, Integrität und Vertraulichkeit – der Service Organization Controls (SOC) und die Wirksamkeit der implementierten Kontrollen (Prüfung nach Typ II) attestiert.

Im Rahmen der regelmäßigen SOC 1/SSAE16-, SOC 2/AT Section 101- und ISAE 3402-Prüfungen wurden die im Report aufgeführten Dienste der Cloud-Plattform Microsoft Azure Deutschland und dem Datentreuhändermodell der Microsoft Cloud Deutschland untersucht. Geprüft wurde nach Typ II. Das heißt, die getesteten Cloud-Dienste von Azure Deutschland wurden über den im Report benannten Zeitraum bezüglich ihrer Wirksamkeit der implementierten Kontrollen beobachtet und es wurde ein uneingeschränkter Bestätigungsvermerk durch den Prüfer ausgesprochen.

Dazu ein Statement von BSI-Präsident Arne Schönbohm: „Als nationale Cyber-Sicherheitsbehörde gestaltet das BSI Informationssicherheit in der Digitalisierung auch durch die Schaffung von IT-Sicherheitsstandards wie den C5-Katalog. Die Erteilung des Testats an Microsoft Azure Deutschland ist ein erneuter Beleg dafür, dass der C5-Katalog vom Markt angenommen wird. Die Cloud-Anbieter haben erkannt, dass IT-Sicherheit ein Verkaufsargument ist, das den Anwendern immer wichtiger wird, um den Herausforderungen der Digitalisierung zu begegnen.“

Mit der C5-Testierung betont Microsoft sein Engagement zu einem bedeutenden Informationssicherheits- und IT-Compliance-Programm. Microsoft bietet seinen Kunden aufgrund der erfolgreichen Testierung mehr Transparenz zur Sicherheit seiner Dienste. Außerdem wird ein Dialog über ein definiertes Mindestniveau an Informationssicherheit gefördert. Im Vergleich zu anderen Sicherheitsstandards bietet der Anforderungskatalog C5 die Umfeldparameter, die Auskunft über Datenlokation, Diensterbringung, Gerichtsstandort, Zertifizierungen sowie Ermittlungs- und Offenbarungspflichten gegenüber staatlichen Stellen geben. Aufgrund der geschaffenen Transparenz wird dem Kunden die Entscheidung erleichtert, ob Cloud-Dienste den gesetzlichen Vorschriften (zum Beispiel im Datenschutz), den eigenen Richtlinien oder auch der Gefährdungslage bezüglich Wirtschaftsspionage entsprechen.

Compliance für die Cloud mit BSI C5

BSI Anforderungskatalog Cloud Computing (C5)

Compliance für die Cloud mit BSI C5

03.05.17 - Geht es um die Cloud, ist das Pflichtenheft so lang wie bei kaum einem anderen IT-Bereich. Mit dem Anforderungskatalog C5 adressiert das BSI (Bundesamt für Sicherheit in der Informationstechnologie) die großen Themen, von der Administrationsebene bis zur Zugriffskontrolle. C5 steht für Cloud Computing Compliance Controls Catalogue und richtet sich an professionelle Cloud-Diensteanbieter, deren Prüfer und natürlich auch die Kunden. lesen

Bestätigung auch seitens Cloud Security Alliance

Neben der C5-Testierung wurden ausgewählte Cloud-Dienste von Azure Deutschland auf Grundlage der Sicherheitsmaßnahmen der Cloud Controls Matrix (CCM) geprüft. Die Cloud Security Alliance (CSA) ist ein neutraler Dritter, der Cloud-Kunden mit der CCM Informationen über die Sicherheitsverfahren der Cloud-Anbieter liefert, sodass diese die allgemeinen Sicherheitsrisiken besser einschätzen können. Die CSA bietet Anbietern von Cloud-Diensten die notwendigen Tools, um ein solides Sicherheitskonzept umzusetzen, sowie die Möglichkeit, die Sicherheit auf Basis weiterer Zertifizierungen zu bewerten. Die CSA bietet zudem umfassende Informationen und bewährte Vorgehensweisen, die für Prüfer, Zertifizierungsstellen und Sicherheitsberater relevant sind.

Die geprüften Trust-Prinzipien Sicherheit, Verfügbarkeit, Integrität und Vertraulichkeit der Service Organization Controls (SOC) stimmen mit den bereits seit langem bestehenden Zusagen von Microsoft im Hinblick auf Sicherheit, Datenschutz und Transparenz überein.

Datenspeicherung in Deutschland mit deutschem Datentreuhänder

Über die Microsoft Cloud Deutschland stellt Microsoft Geschäftskunden Public-Cloud-Dienste aus deutschen Rechenzentren in Frankfurt/Main und Magdeburg bereit. Ausschließlich der Datentreuhänder, T-Systems International GmbH, hat die Kontrolle über den Zugriff auf Kundendaten, soweit der Zugriff nicht vom Kunden oder von Endnutzern des Kunden ausgeht. Wird die Zustimmung durch den Datentreuhänder erteilt, greift Microsoft nur unter dessen Aufsicht zeitlich begrenzt auf die Kundendaten zu.

Der Datentreuhänder steuert durch zwei Cloud Control Center an den Standorten Berlin und Magdeburg die Rechenzentren der Microsoft Cloud Deutschland. Durch den redundanten Aufbau kann der Ausfall eines Control Centers problemlos abgefangen werden.

Trusted-Cloud-Prinzipien

Die Microsoft Cloud Deutschland basiert auf Microsofts weltweiten Trusted-Cloud-Prinzipien: Sicherheit, Datenschutz, Compliance und Transparenz. Die deutschen Rechenzentren nutzen die gleichen Technologien und bieten die gleichen Service-Level und Sicherheitsstandards wie die globalen Microsoft-Cloud-Angebote. Dazu gehören Multi-Faktor-Authentifizierungen, biometrische Scans, Smartcards, Datenverschlüsselungen nach SSL/TLS-Protokollen, physische Sicherheitsmaßnahmen, Sicherungen gegen Naturkatastrophen und Stromausfälle.

Neben dem aktuellen Audit hat TÜV NORD CERT GmbH, ein Unternehmen der TÜV NORD GROUP, der Microsoft Deutschland MCIO GmbH bereits im Januar 2017 die Konformität ihres Informationssicherheits-Managementsystems nach ISO/IEC 27001:2013 für die Public-Cloud-Dienste von Microsoft Azure Deutschland bestätigt. Die Zertifizierung nach ISO/IEC 27001 sagt aus, dass Microsoft insbesondere die eigenen hohen Sicherheitsstandards und darüber hinaus zahlreiche regulatorische und gesetzliche Anforderungen in Bezug auf die Informationssicherheit einhalten.

Escort-Service im Rechenzentrum

Wie sich Microsoft aus seiner deutschen Cloud aussperrt

Escort-Service im Rechenzentrum

31.01.17 - Allen Kritikern zum Trotz verzeichnet Microsoft mit seinem Cloud-Geschäft im abgelaufenen Quartal erneut eine satte Steigerung. 5,2 Milliarden US-Dollar betrug allein der Gewinn und damit ein Wachstum von 3,6 Prozent – und die Analysten schließen ein weiteres Wachstum nicht aus. lesen

Kostenfreies Microsoft Compliance-Handbuch

Microsoft Deutschland bietet eine deutsche Version des „IT Grundschutz Compliance Workbook Microsoft Azure Germany”. Das Handbuch unterstützt Kunden mit Empfehlungen, wie sie für Anwendungen, die auf Microsoft Azure basieren, ein „IT Grundschutz“-Zertifikat erhalten können. Die deutsche Version steht zum kostenlosen Download zur Verfügung.

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44842148 / Recht und Datenschutz )