Definition: Sicherheits-Framework aus Frankreich Was ist SecNumCloud?

Anbieter zum Thema

netfiles GmbH

Hyland Software Germany GmbH

Cloudgermany.de GmbH

SecNumCloud ist ein Sicherheits-Framework und Sicherheitssiegel für Cloud-Dienste aus Frankreich. Entwickelt hat es die französische Agentur für Cybersicherheit ANSSI. Um sich für das SecNumCloud-Label zu qualifizieren, sind zahlreiche technische und organisatorische Anforderungen zu erfüllen.

SecNumCloud ist die Bezeichnung für ein Sicherheits-Framework und ein Sicherheitssiegel für Cloud-Computing-Dienste. Es wurde von der französischen Agentur für Cybersicherheit ANSSI entwickelt. Um ein hohes Schutzniveau der auf den Cloud-Computing-Plattformen der Betreiber gehosteten und verarbeiteten Daten zu erreichen und für robuste und gegenüber Cyberangriffen widerstandsfähige Cloud-Lösungen zu sorgen, definiert das Framework strenge Anforderungen für die Betreiber der Cloud-Computing-Services.

SecNumCloud ist aus dem Programm „New Industrial France“ aus dem Jahr 2014 entstanden und an die ISO-Norm 27001 angelehnt. Mittlerweile wurde das Framework mehrfach überarbeitet, aktualisiert und erweitert. Im Jahr 2022 erschien die Version 3.2 des SecNumCloud-Frameworks der ANSSI.

Cloud-Computing-Anbieter können sich für das SecNumCloud-Label qualifizieren und dadurch ein hohes Sicherheitsniveau ihrer Services nachweisen. Das Label wird für einen Zeitraum von drei Jahren vergeben. In Frankreich wird das SecNumCloud-Label für Cloud-Dienste, die beispielsweise von bestimmten Regierungsbehörden oder von Kritischen Infrastrukturen (KRITIS) in Anspruch genommen werden, vorausgesetzt. Auch die Verarbeitung von E-Invoicing-Daten im Rahmen des Mehrwertsteuergesetzes in einer Cloud erfordert die Einhaltung des Sicherheitslabels. Die aktuelle Liste der SecNumCloud qualifizierten Anbieter ist über die offizielle Regierungswebsite abrufbar.

In Europa existieren neben SecNumCloud zahlreiche weitere Initiativen und Frameworks für die Cybersicherheit von Cloud-Computing-Services wie der C5-Kriterienkatalog (Cloud Computing Compliance Criteria Catalogue) des BSI (Bundesamt für Sicherheit in der Informationstechnik) in Deutschland. Ein europaweit einheitliches Sicherheitsschema ist mit dem EUCS (European Cybersecurity Certification Scheme for Cloud Service) in Arbeit. Auf lange Sicht könnte EUCS nationale Frameworks wie SecNumCloud ablösen.

Was ist die ANSSI?

SecNumCloud wurde von der ANSSI entwickelt. ANSSI steht für Agence Nationale de la Sécurité des Systèmes d'Information. Die ANSSI ist eine 2009 per Dekret gegründete französische Behörde für Informationssicherheit. Sie ist hinsichtlich ihrer Aufgaben mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland vergleichbar.

Die Behörde ist dem Generalsekretariat für Verteidigung und nationale Sicherheit (SGDSN) angegliedert und untersteht dem französischen Premierminister. Untergliedert ist die ANSSI in vier Unterdirektionen. In zahlreichen Bereichen, unter anderem auch bei Sicherheitsstandards für Cloud-Services, Cloud-Plattformen und Cloud-Anbieter, bestehen Kooperationen der ANSSI mit dem BSI.

Ziele und Zielgruppen von SecNumCloud

Durch die zunehmende Verbreitung und Nutzung von Cloud-Services und die stetig steigenden Cybersecurity-Risiken ist die Cloud-Sicherheit auch in Frankreich in den Fokus politischer Debatten gelangt. In der Cloud gehostete und verarbeitete Daten müssen aus nationalem und wirtschaftlichem Interesse geschützt werden. Die ANSSI hat sich des Themas angenommen.

Mit der Bereitstellung des Sicherheits-Frameworks SecNumCloud und des zugehörigen Qualifizierungsverfahrens wird die Zielsetzung verfolgt, einen Nachweis und eine Referenz der Sicherheit und Vertrauenswürdigkeit von Cloud-Computing-Diensten zu schaffen. Hinsichtlich des Sicherheitsniveaus stellt die SecNumCloud-Qualifizierung den höchsten französischen Standard dar. So können Behörden oder Betreiber kritischer Infrastrukturen aber auch nationale oder europäische Wirtschaftsunternehmen auf die Sicherheit und Vertrauenswürdigkeit ihrer Cloud-Provider vertrauen.

Zielgruppe des Sicherheits-Frameworks sind Cloud-Service-Provider für PaaS (Platform-as-a-Service), IaaS (Infrastructure-as-a-Service), SaaS (Software-as-a-Service) und CaaS (Container-as-a-Service), die die Sicherheit und Vertrauenswürdigkeit ihrer Services und die Robustheit ihrer Infrastruktur gegenüber Cyberbedrohungen nachweisen möchten oder müssen.

Die verschiedenen Themengebiete und Anforderungen für eine SecNumCloud-Qualifizierung

Die zu erfüllenden Anforderungen für eine SecNumCloud-Qualifizierung decken ein breites Spektrum an technischen und organisatorischen Aspekten ab. Sie sind servicespezifisch und hängen vom Typ des vom Provider angebotenen Service ab. SecNumCloud untergliedert die Anforderungen in die folgenden 14 verschiedenen Themengebiete:

• 1. Informationssicherheitsrichtlinien und Risikomanagement: Definition formaler Richtlinien, Identifikation und Analyse von Sicherheitsrisiken, Implementierung eines Risikomanagements, Überwachung der Wirksamkeit getroffener Sicherheitsmaßnahmen und anderes.

• 2. Organisation der Informationssicherheit: Benennung eines Chief Information Security Officer (CISO) mit entsprechenden Verantwortlichkeiten, Einrichtung eines Informationssicherheitskomitees, Sensibilisierung und Schulung der Mitarbeiter hinsichtlich der Informationssicherheit, Definition und Dokumentation der Sicherheitsprozesse und anderes.

• 3. Human-Resources-Sicherheit: Implementierung von Richtlinien zur Einstellungs- und Genehmigungsverwaltung, Sensibilisierung der Mitarbeiter hinsichtlich Sicherheitsrisiken wie Phishing, Malware oder Social Engineering, Schulung der Mitarbeiter hinsichtlich der Sicherheitspraktiken beispielsweise für die Erstellung sicherer Passwörter, Implementierung von Maßnahmen zum Schutz personenbezogener Daten der Mitarbeiter und anderes.

• 4. Asset-Management: Inventarisierung aller Hardware-, Software- und Daten-Assets, Klassifizierung der Assets hinsichtlich ihrer Kritikalität für die Organisation, Implementierung von Sicherheitsmaßnahmen zum Schutz der Assets wie Verschlüsselung der Daten oder Zugriffskontrollen auf Hard- und Software und anderes.

• 5. Zugangskontrolle und Identitätsmanagement: Implementierung eines Identitäts- und Accessmanagements (IAM), Definition von Richtlinien zur Steuerung des Zugriffs auf Unternehmensressourcen, Implementierung strenger Zugriffskontrollen wie Multi-Faktor-Authentifizierung, Überwachung und Protokollierung des Zugriffs auf Unternehmensressourcen und anderes.

• 6. Verschlüsselung: Verwendung starker Verschlüsselungsverfahren zum Schutz der Daten bei der Übertragung und im Ruhezustand, sicheres Schlüsselmanagement, Implementierung von Zugriffskontrollen auf Schlüssel und anderes.

• 7. Physische Sicherheit und Umgebungssicherheit: Implementierung physischer Sicherheitsmaßnahmen zum Schutz der Infrastruktur, Schutz der Räumlichkeiten vor Katastrophen wie Bränden oder Überschwemmungen, Implementierung von Verfahren zur Evakuierung und Wiederherstellung und anderes.

• 8. Betriebssicherheit: Implementierung eines Incident- und Schwachstellenmanagements, Implementierung eines Malware-Schutzes, Implementierung von Backup- und Wiederherstellungsstrategien, Implementierung von Zugriffskontrollen auf Systeme und Daten, Protokollierung und Rückverfolgbarkeit der Aktivitäten, Implementierung eines Netzwerkschutzes, Implementierung von Passwortsicherheitsrichtlinien und anderes.

• 9. Kommunikationssicherheit: Einrichten eines Firewall-Schutzes, sichere Fernkommunikation beispielsweise per VPN, Implementierung eines Intrusion Detection Systems (IDS) und eines Intrusion Prevention Systems (IPS) und anderes.

• 10. Übernahme, Entwicklung und Wartung von Informationssystemen: Implementierung sicherer Anwendungsentwicklungsprozesse, Sicherheitstests der Anwendungen vor dem produktiven Betrieb, Einspielen von Sicherheitspatches für identifizierte Schwachstellen und anderes.

• 11. Beziehungen zu Dritten: Strenge Kriterien bei der Auswahl von Cloud-Service-Providern, vertragliche Vereinbarungen von Sicherheitsverpflichtungen, Implementierung von Sicherheitskontrollen, regelmäßige Sicherheitsüberprüfungen der Service-Provider, Sicherstellung angemessener Datenschutzmaßnahmen bei den Dienstleistern, Implementierung eines Incident-Managementverfahrens und anderes.

• 12. Management von Informationssicherheitsvorfällen: Definition eines Incident- und Krisenmanagementplans, Etablierung eines Incident-Response-Teams (CERT), regelmäßige Tests des Incident- und Krisenmanagementplans und anderes.

• 13. Business Continuity: Implementierung eines Business-Continuity-Plans (BCP) und eines Business-Recovery-Plans (PRA), regelmäßige Tests dieser Pläne und anderes.

• 14. Compliance: Identifikation der für die Organisation maßgeblichen gesetzlichen und regulatorischen Informationssicherheitsanforderungen, Implementierung von Maßnahmen zur Einhaltung der Anforderungen, regelmäßige Audits zur Einhaltung gesetzlicher Vorschriften und anderes.

Insgesamt enthält die Version 3.2 des Sicherheits-Frameworks verteilt über diese 14 Themenbereiche über 360 verschiedene Anforderungen. Auch Schutzkriterien hinsichtlich außereuropäischer Gesetze, die sicherstellen, dass Cloud-Computing-Anbieter und die von ihnen verarbeiteten Daten nicht Gegenstand außereuropäischer Gesetze werden, sind definiert.

Die verschiedenen Schritte einer Qualifizierung

Eine SecNumCloud-Qualifizierung lässt sich in mehrere Schritte unterteilen. Sie beginnt damit, dass der Anbieter seine Anwendung an die ANSSI meldet. Nach einer Validierung der Berechtigung wird der Anbieter in einer Liste von Unternehmen geführt, die sich einer Qualifizierung unterziehen. Anschließend wird in Zusammenarbeit zwischen dem Anbieter und dem zuständigen Evaluierungszentrum der Evaluierungsprozess definiert. Es folgt ein initiales Audit der Konformität der Anwendung, der Infrastruktur und der Sicherheitsmaßnahmen mit dem Framework. Dem initialen Audit schließt sich die Umsetzungsphase von Empfehlungen und Vorgaben aufgrund der Ergebnisse des initialen Audits an.

Abschließend erfolgt das finale Audit. Das finale Audit stellt sicher, dass alle Anforderungen des SecNumCloud-Frameworks erfüllt sind. Die Ergebnisse dieses Audits werden der ANSSI mitgeteilt. Sie entscheidet, ob auf Basis der bereitgestellten Informationen die SecNumCloud-Qualifizierung erteilt werden kann. Die formale Anerkennung erfolgt durch die Veröffentlichung über die ANSSI-Website. Nach dieser formalen Anerkennung muss der Anbieter dafür sorgen, dass die Anforderungen kontinuierlich erfüllt werden. Es finden jährliche Audits statt. Nach drei Jahren muss der Qualifizierungsprozess wieder neu durchlaufen werden.

Microservices, Cloud Native, REST API , Kubernetes & Co.: Cloud Computing Wiki

Von AWS bis XaaS: Alle relevanten Schlagworte aus dem Bereich Cloud Computing finden Sie verständlich erklärt in unseren Definitionen. Ganz im Sinne eines kleinen, aber feinen Glossars lesen Sie hier neutral verfasste und leicht verständliche Erklärungen zu den wichtigsten Begriffen. Als Service für Sie haben wir die hier erklärten Begriffe in unseren Beiträgen auch direkt mit den zugehörigen Lexikoneinträgen verlinkt. So können Sie die wichtigsten Erläuterungen direkt dort nachschlagen.  

Zum Special: Definitionen rund um Cloud Computing

(ID:50078386)