CCX 2021 Cloud Computing Conference Geteilte Verantwortung zum Schutz von Anbietern und Kunden

Auf der CCX Cloud Computing Conference 2021 der Vogel IT-Akademie am 14. September wird Carsten Marmulla von carmasec den Workshop „Das ‚Shared Responsibility Model‘ in der Praxis“ halten. Im Interview erklärt er, was sich dahinter verbirgt und warum es wichtig ist, sich damit zu beschäftigen.

Anbieter zum Thema

Vogel IT-Akademie

Cronon GmbH

Arvato Systems

Herr Marmulla, Ihr Workshop hat das Problem der geteilten Verantwortung zum Thema. Was steckt genau dahinter?

Carsten Marmulla: Das Themengebiet „Shared Responsibility Model“ bildet essentiell die einzelnen Ebenen der Verantwortlichkeiten für alle Aspekte eines Service-Provider-Angebots ab und trägt sehr wesentlich zum Verständnis der Dienstleistung bei, unabhängig davon, ob dieses Angebot in der Cloud oder als klassischer „Managed Service“ in einem Rechenzentrum erbracht wird. Häufig kommt es erst bei Abweichungen zum Regelbetrieb oder bei Compliance-Problemen zur Auseinandersetzung mit dem Thema Verantwortung. Daraus folgt nicht selten die Fragestellung des Verschuldens und der Haftung. Deshalb kann Klarheit und Bestimmtheit über die Verantwortlichkeiten von Beginn an ein zentraler Wettbewerbsvorteil sein.

Warum ist dieses Thema für Sie oder Ihr Publikum so wichtig?

Die technologische Entwicklung hat eine sehr hohe Komplexität erreicht, deshalb neigen einige Anwenderunternehmen zu einer Simplifizierung von Rahmenbedingungen, um Zeit zu sparen. Bereits klassische „Managed Services“ erfordern aber eine klare Regelung und Kenntnis der abgegrenzten Verantwortlichkeiten zwischen Kunde und Dienstleister. In Cloud-Infrastrukturen hängt es dann zusätzlich vom gewählten Service-Modell ab, für welche Ebenen welche Seite verantwortlich und haftbar gemacht werden kann. Ein unklares Verständnis oder eine fehlende Regelung von Verantwortungen können gerade bei Sicherheits- oder Compliance-Vorfällen schwerwiegende Konsequenzen für das Anwenderunternehmen haben, deshalb ist es ratsam gemeinsam mit dem Service-Provider eine klare Abgrenzung der Verantwortlichkeiten zu definieren.

Was sind für Sie die derzeit wichtigsten technologischen bzw. marktbezogenen Entwicklungen in Ihrem Bereich?

Ganz klar sind hier die verstärkte Nutzung von cloud-basierten Dienstleistungsangeboten ein zentraler, starker Treiber. Abhängig vom gewählten Service-Modell verschiebt sich die Verantwortung zwischen Anwender-/Kundenunternehmen und Service-Provider. Zudem ist es gerade bei einer Betrachtung der Sicherheitsaspekte wichtig, zwischen „Security of the Cloud“ und „Security in the Cloud“ zu unterscheiden, d.h. bewerte ich beispielsweise über einschlägige Zertfizierungen und Auditberichte die Sicherheit der vom Service-Provider bereitgestellten Cloud-Infrastruktur bzw. Cloud-Dienstes oder die Sicherheit der darin abgebildeten Geschäfts- bzw. IT-Prozesse und der damit verbundenen Datenverarbeitung. Hierzu ist es dann auch erforderlich die regulatorischen Anforderungen mit den technischen Möglichkeiten der cloud-basierten Infrastruktur abzugleichen und Lösungen aufzusetzen, die das Vorteilsversprechen des Dienstleistungsangebots mit den jeweils geltenden Compliance-Regelungen in Einklang bringen.

Carsten Marmulla, Senior Trusted Advisor, carmasec GmbH & Co. KG.

Was sind Ihrer Meinung nach derzeit die größten Herausforderungen für Unternehmen?

Das Management der Komplexität ist häufig eine der größten Herausforderungen, da zugleich der für die Umsetzung eingeplante Zeit- und Budgetrahmen meist ambitioniert geplant ist. Die Komplexität erfordert mittlerweile regelmäßig die Orchestrierung eines Projektteams mit Experten aus unterschiedlichen Themengebieten, denen aber das gemeinsame Zielbild klar kommuniziert werden muss, um dieses überhaupt erreichen zu können. Häufig fehlt es auch an „Übersetzern“, die Geschäftsanforderungen und regulatorische Anforderungen – gerade auch im internationalen Cloud-Umfeld – verstehen und in technische Konzepte für und mit der IT des Anwenderunternehmens umsetzen können. Gerade in diesen Projektsituationen mit vielen Beteiligten ist es umso notwendiger die Verantwortungsbereiche deutlich voneinander abzugrenzen und ein klares Bild über Pflichten und Rechte der Akteure zu bekommen und dies im Gesamtkonzept zu berücksichtigen.

Wie unterstützen Sie Ihre Partner in ihrem Tagesgeschäft bei technischen Problemen?

Wir unterstützen Anwendungsunternehmen und IT-Dienstleister von der Anforderungsanalyse über die Konzeption bis hin zur technischen Umsetzung von IT-Lösungen, die insbesondere auch nicht-funktionale Anforderungen von Projektbeginn an mitberücksichtigt und somit Versäumnisse und Defizite im Bereich von Cybersicherheit und IT-Compliance zu vermeiden versucht. Dazu zählt für uns auch eine unmissverständliche Erarbeitung einer geregelten Verantwortung für jeden Teilaspekt der erbrachten Dienstleistung, um Aufgaben und Pflichten zuweisen zu können und Zertifizierungen und Auditberichte im validen Kontext einordnen zu können. Gerade die Unterscheidung zwischen „Security der Cloud“ und „Security in der Cloud“ sind höchst erklärungsbedürftig und erfordern nicht nur entsprechende Methodenkenntnisse sondern auch Praxiswissen, wie sich komplexe Infrastrukturen strukturieren lassen ohne regulatorische Anforderungen zu vernachlässigen.

Was erscheint Ihnen abschließend noch besonders wichtig?

Für uns ist es wichtig, dass Sicherheitsanforderungen nicht zur Bremse oder zum Verhinderer von innovativen Lösungsansätzen werden. Gleichzeitig ist es aber unser Anspruch, auch diese Anforderungen so frühzeitig wie möglich in das Projekt einzubringen und Verständnisfragen schnell und pragmatisch aufzuklären. Produktivität und Security sind im besten Fall keine Widersprüche.

Cloud Computing Conference der Vogel IT-Akademie

CCX 2021: die virtuelle Reise in die Cloud-Ära

Keynote auf der CCX 2021 Cloud Computing Conference

Object Storage im Cloud-Umfeld immer wichtiger

CCX 2021 Cloud Computing Conference

„Zero Trust“-Ansatz als Antwort auf Ransomware-Gemengelage

(ID:47552076)