Strategien für Cloud-Souveränität Wege zu mehr Cloud-Sicherheit

Anbieter zum Thema

Gartner Deutschland GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Yorizon GmbH & Co. KG

Souveräne, öffentliche Cloud-Angebote ergeben sich aus Datenschutzgesetzen. Aufgrund der mangelnden Standardisierung dieser variieren die Angebote unter den Anbietern stark. Vor der Anwendung müssen I&O-Führungskräfte eine Sovereign-Cloud-Strategie auf drei Säulen aufbauen: Daten, Technologie und Betrieb.

Für viele Unternehmen stellt die Cloud-Souveränität eine Herausforderung dar. Die Schwierigkeit besteht unter anderem darin, dass die Datenschutzverordnungen von Land zu Land variieren. Deshalb unterscheiden sich die Lösungen, um sensible Daten zu schützen, stark zwischen den Cloud-Anbietern. Aktuell gibt es keine allgemein anerkannte Definition für den Begriff „Sovereign Cloud“. Daher müssen I&O-Führungskräfte prüfen, ob ein Angebot mit der Bezeichnung „Souveräne Cloud“ tatsächlich den Anforderungen des Unternehmens entspricht. Unternehmen, deren Souveränitätsanforderungen auf Infrastruktur- und Technologieunabhängigkeit beruhen, müssen bei der Einführung der Cloud meist auf Public-Cloud-Funktionen und Skalierung verzichten.

Empfehlungen

• Definieren Sie zunächst, welche Souveränitätsanforderungen für Ihr Unternehmen relevant sind und zwar in jedem Land, in dem es tätig ist. So können Sie Ihre Cloud-Strategien für Souveränität umsetzen.

• Wählen Sie einen Anbieter, der sowohl die aktuellen als auch die zukünftigen Anforderungen der digitalen Souveränität bewertet.

• Führen Sie eine Auswirkungsanalyse durch, um zu bewerten, welche Cloud-Funktionen nach dem Wechsel möglicherweise entfallen.

Annahmen für die strategische Planung

Bis zum Jahr 2025 werden rund 30 Prozent der multinationalen Unternehmen mit Umsatzeinbußen, Markenschäden oder rechtlichen Schritten aufgrund von unkontrollierten digitalen Sicherheitsrisiken zu kämpfen haben. Bis 2028 werden über 50 Prozent der multinationalen Unternehmen Strategien zur digitalen Souveränität verfolgen. Momentan sind es weniger als 10 Prozent.

Viele Geschäftsprozesse und Unternehmensdaten werden auf Cloud-Plattformen bereitgestellt. Daher sorgen sich Unternehmen zunehmend über die Abhängigkeit von ausländischen Infrastrukturanbietern. Die Public-Cloud-Angebote der US-amerikanischen oder chinesischen Anbieter stimmen nämlich nicht immer mit den Datenschutz- oder Compliance-Anforderungen hierzulande überein. Die USA ist mit 83,7 Prozent Vorreiter bei der Bereitstellung von Cloud-Infrastrukturen. Die chinesischen Hyperscaler machen 13,6 Prozent aus.

Unternehmen, mit hohen Anforderungen hinsichtlich der Datensicherheit, wählen häufig Cloud-Anbieter, privaten Clouds und lokalen Infrastrukturen, die lokal verwaltet und gesteuert werden. Denn diese Clouds gewähren den Schutz der sensiblen Daten, internen Prozesse und Abläufe. Der Nachteil einer privaten Cloud im Vergleich zu der öffentlichen Cloud kann darin bestehen, dass die Funktionen begrenzt sein. Die öffentlichen Clouds entwickeln sich stets weiter, doch aufgrund der vagen Souveränitätsdefinitionen, fällt es I&O-Führungskräften schwer, den passenden Anbieter zu finden.

I&O-Führungskräfte können die Anforderungen des Unternehmens bezüglich der Souveränitätsanforderungen passend bewerten, indem sie sich auf die folgenden drei Bereiche konzentrieren:

• Daten

• Betrieb

• Technologie

Daten-Souveränität

Der Rechtsrahmen und die Goverance befassen sich mit der Anforderung der Datenhoheit – also mit der Frage, wie Daten mit den Gesetzen und Vorschriften des einheimischen Unternehmensstandorts in Einklang mit ausländischen Datenschutzverordnungen gebracht werden können. Kooperationen zwischen Public-Cloud-Anbietern und inländischen Partnern verbessern die betrieblichen Herausforderungen. Außerdem befassen sich einige Public-Cloud-Anbieter mit den länderspezifischen Anforderungen bezüglich der Souveränität.

Der Standort, an dem die Daten gespeichert und verarbeitet werden, ist ebenfalls von entscheidender Bedeutung, da gewährleistet werden muss, dass unbefugte Dritte keinen Zugriff auf die Daten erhalten.

Daher verfügen die meisten Anbieter über folgende Technologien und Fähigkeiten:

• Sichere Daten: Data at rest, Hardware-Sicherheitsmodule (HSM) mit Sicherheitszertifizierung wie FIPS, Data in use.

• Gewährleistung der Datenaufbewahrung: Definition und Implementierung von Richtlinien und Leitplanken, damit die Daten am gewünschten Standort gespeichert werden und keine Replikation oder Synchronisierung an anderen Standorten erfolgt.

• Kontrolle des Datenzugriffs durch Tools zur Identität, Audits, Landingzone.

Betriebliche Souveränität

Die Cloud-Souveränität garantiert, dass die Daten, Dienste und Infrastruktur am Zielstandort des Unternehmens verbleiben. Dadurch kann ebenso die betriebliche Souveränität gesichert werden. Denn es kann gewährleistet werden, dass neben personenspezifischen auch sensible Daten sicher gespeichert wurden.

Technologische Souveränität

Unternehmen, die über eine technologische Souveränität verfügen, mindern das Risiko in den IT-Lieferketten. Kleinere und mittlere lokale Cloud-Anbieter, private Clouds und On-Premises-Systeme helfen den Unternehmen dabei, die technologische Unabhängigkeit zu gewährleisten.

Die Ausarbeitung einer souveränen Cloud-Stategie für Ihr Unternehmen

Lassen Sie sich bei der Ausarbeitung rechtlich von der Compliance- und Risikoabteilung beraten, wenn es um die Souveränitätsanforderungen Ihres Landes oder Ihrer Branche geht. Besonders für multinationale und branchenmäßig diversifizierte Unternehmen kann dies ein komplexes Unterfangen darstellen.

Vor- und Nachteile der Public Cloud und der Private Cloud

Die Vorteile der Public Cloud bestehen zweifelsohne in der Skalierbarkeit, Ausfallsicherheit, Innovation und der Funktionen. Public Clouds versuchen den Souveränitätsanforderungen zu entsprechen, doch die Souveränität kann nicht immer gewährleistet werden.

Die Private Cloud sticht hingegen durch ihre sichere Datenspeicherung hervor. Andererseits verfügt sie häufig über weniger Funktionen als die Public Cloud.

* Die Autoren Miguel Angel Borrega, Alessandro Galimberti, Ken Rothenberger und Rene Buest arbeiten als Analysten für das Marktforschungsunternehmen Gartner.

(ID:50051857)