Vier Monate sind bereits vergangen, seit die neue US-Regierung im Amt ist. Die letzten Wochen und Monate haben zu einer bedeutenden Verunsicherung hinsichtlich der Entwicklung der USA und deren internationaler Beziehungen geführt. Dies wirft auch Fragen im Hinblick auf die Nutzung von Cloud-Diensten der US-amerikanischen Hyperscaler auf:

• Sind die Daten sicher vor den Zugriff der US-Behörden?
• Reichen die aktuellen Lawful Access Reviews aus, um der sich verändernden Risikolandschaft gerecht zu werden?
• Wie wirken sich Abhängigkeiten von einzelnen Anbietern auf potenzielle Serviceunterbrechungen aus?

Insbesondere die daraus resultierenden rechtlichen Fragen werden von David Rosenthal detailliert beantwortet. Ebenso werden die Veränderungen der Risiken und deren Bewertung erläutert. Die Bedenken werden vor allem durch drei Entwicklungen getrieben:

Nach unserer Einschätzung ist es unerlässlich, insbesondere für Unternehmen in Branchen mit strengen Regulierungsanforderungen, wie der Finanzbranche oder dem Bereich kritischer Infrastruktur, ihre Lawful Access Reviews zu überprüfen und gegebenenfalls an die neuen Gegebenheiten anzupassen. Als Folge davon müssen auch die organisatorischen und technischen Massnahmen angepasst werden. Dafür hat das Team um David Rosenthal eine aktualisierte Variante des FLARA (Foreign Lawful Access Risk Assessment) erstellt, die diesen neuen Gegebenheiten Rechnung tragen soll. 

Aus Sicht von Zühlke werden insbesondere die Themen Business Continuity Management (BCM) und Exit-Strategie in naher Zukunft erheblich an Bedeutung gewinnen. Unsere Erfahrungen aus Kundenprojekten zeigen, dass beide Bereiche nur unzureichend oder oberflächlich adressiert wurden. Umso dringlicher ist es nun, bestehende Lücken zu schließen und entsprechende Strategien gezielt weiterzuentwickeln.

1. Aktualisierung von CCRA, FLARA und zugehörigen Massnahmen

Aus unserer Sicht ist es essenziell, das CCRA sowie die zugehörigen Risikoanalysen regelmäßig auf ihre Aktualität und Angemessenheit zu überprüfen. Wir empfehlen, das neue FLARA im Rahmen der laufenden Nachbeurteilung zu verwenden.

Daraus geht in der Regel eine Vielzahl von organisatorischen und technischen Anforderungen hervor, um Cloud Dienstleistungen sicher betreiben zu können. Viele Anforderungen sollten bereits durch den Einsatz eines Security Frameworks umgesetzt worden sein. Sollte dies, zum Beispiel aufgrund der Größe Ihres Unternehmens, nicht der Fall sein, bietet OWASP mit dem Cloud Security Cheat Sheet oder der Cloud-Native Application Security Top 10 einen guten Einstieg. 

2. Priorisierung des Business Continuity Management (BCM) 

Nebst der Aktualisierung von CCRA, FLARA, sowie daraus resultierenden organisatorischen und technischen Maßnahmen, werden nun jedoch zwei weitere Themenfelder relevanter: BCM und Exit-Strategie.

Das Thema BCM ist komplex und wird in der Realität oft unterschätzt. Dennoch raten wir dringend, sich frühzeitig und strukturiert damit auseinanderzusetzen. Wie gut ist Ihr Unternehmen in diesem Bereich aufgestellt? Idealerweise können Sie alle nachfolgenden Fragen mit Ja beantworten. Ist das nicht der Fall, besteht konkreter Handlungsbedarf.

• Ist eine Organisationsstruktur zur Bewältigung von Störungen definiert und dokumentiert?
• Sind Verantwortlichkeiten und Rollen wie BCM-Beauftragter und Krisenteams klar zugewiesen?
• Ist ein BCM-Plan vorhanden, der Ablaufpläne, Eskalationspfade und Kommunikationsstrategien beschreibt?
• Sind Performanceanforderungen zur Umsetzung der Business Continuity Requirements definiert?
• Sind Kapazitätsanforderungen zur Umsetzung der Business Continuity Requirements beschrieben?
• Wurden diese Anforderungen aus einer systematischen Business Impact Analyse (BIA) abgeleitet?
• Ist für jeden kritischen IT-Service ein Recovery Time Objective (RTO) definiert?
• Ist für jede relevante IT-Ressource ein Recovery Point Objective (RPO) definiert?
• Wird die Wirksamkeit des BCM-Plans mindestens jährlich durch Tests oder Übungen überprüft?
• Werden aus Tests gewonnene Erkenntnisse dokumentiert und im Plan berücksichtigt (kontinuierliche Verbesserung)?
• Decken die skizzierten BCM-Szenarien einen Komplettausfall Ihrer Cloud-Infrastruktur ab?

3. Erstellen einer Cloud-Exit Strategie, bevor man sie braucht 

Wenn das Wort «Exit-Strategie» fällt, wird oft lässig abgewunken. Teilweise, weil es von Cloud-Kritikern in einer beinahe Panik schürenden, unfundierten Art und Weise verwendet wird und daher an Substanz verliert. Teilweise aber auch daher, weil man sich mit unangenehmen Themen beschäftigen muss und davor zurückscheut. Tatsache ist: Ein Cloud Ausstieg ist in der Regel mit gewaltigen Kosten verbunden, weil Effekte wie Vendor-Lock-in greifen und häufig die Infrastruktur on-premises den Anforderungen und Kapazitäten nicht mehr entspricht.

Im Rahmen einer Cloud-Exit-Strategie ergeben sich für Sie verschiedene Handlungsoptionen, die je nach technologischer Reife, Risikobereitschaft und strategischer Ausrichtung differenziert zu bewerten sind.

Nachfolgend werden drei zentrale Exit-Varianten dargestellt. Es gilt zu beachten, dass auch Mischvarianten denkbar sind.

Für eine ganzheitliche Sicherheits- und Resilienzstrategie empfehlen wir die regelmäßige Überprüfung bestehender Risikoanalysen wie FLARA und CCRA sowie der daraus abgeleiteten organisatorischen und technischen Maßnahmen. Zudem gewinnt das Thema BCM zunehmend an Bedeutung – nutzen Sie hierzu unseren Kurztest zur Standortbestimmung Ihrer aktuellen BCM-Reife. Ergänzend dazu sollten Sie sich frühzeitig mit möglichen Cloud Exit-Strategien und deren konkreten Umsetzungsvarianten auseinandersetzen, um im Ernstfall handlungsfähig zu bleiben. Was wir Ihnen auf jeden Fall raten, ist, mit genügend Abstand über den Status Quo Ihrer Risikobeurteilung nachzudenken. 

Die Services von Zühlke stellen den Aufbau nachhaltig sicherer Cloudlösungen ins Zentrum und berücksichtigen dazu das dynamische Bedrohungsumfeld. Mit unserer Kompetenz in Cloud Security unterstützen wir Ihre Organisation mit einer detaillierten Gap Analyse Ihrer technischen Maßnahmen und helfen gezielt bei der Umsetzung notwendiger technischer Anpassungen.

Unsere Experten und Expertinnen unterstützen Sie bei der Entwicklung wirksamer BCM-Strategien, um die betriebliche Kontinuität Ihrer Organisation langfristig abzusichern. Darüber hinaus begleiten wir Sie bei der Ausarbeitung von Cloud Exit-Strategien und deren konkreter technischer Umsetzung.