16. Risikomanagement bei Nutzung und Angebot von Cloud-Computing

Dieses Kapitel kommt in logischer Folge nach dem Kapitel über Outsourcing, da viele Aspekte des „Outsourcing“ sowohl aus der Sicht des Anbieters als auch aus Sicht des Kunden respektive des Konsumenten beim Cloud-Computing ebenfalls zutreffen. Auch können die Prozesse für das Risikomanagement und das Sicherheitsmanagement, soweit diese generisch sind, beim Cloud-Computing angewandt werden.

Hingegen erfordert die Virtualisierung von IT-Komponenten und die Inanspruchnahme von IT-Leistungen in der Form von „Services aus der Steckdose“ eine neue Art der Risiko-Ermittlung und Massnahmenbestimmung, um sowohl auf der Anbieterseite als auch auf der Kundenseite akzeptable Restrisiken erreichen zu können.

Um in diesem Buch die Möglichkeiten des Risikomanagements und der Informationssicherheit erfassen zu können, muss vorab das Wesen, die Möglichkeiten und die Varianten des Cloud-Computings in den wesentlichen Charakterzügen und Modellen behandelt werden. Für eine allgemein anerkannte Terminologie werden die Definitionen der US-amerikanischen für Standardisierungen zuständigen Bundesbehörde NIST (NIST = National Institute of Standards and Technology) verwendet [Nide11]. Diese Definitionen der NIST werden mehrheitlich auch in den internationalen Standardisierungsanstrengungen der ISO angewandt (s. ISO/IEC 27017:2015, [Isoc15]). In den Ausführungen dieses Kapitels wird festgestellt, dass ein Cloud-Computing-Angebot ohne festgeschriebene Leistungsvereinbarungen für kritische oder sensible Serviceanforderungen nicht in Frage kommen kann. Demzufolge wird gezeigt, wie in den Phasen eines „Gartner Sourcing Lifecycle“ und mit Prozessen des Servicemanagements sowohl auf der Seite des Providers als auch auf der Seite des Kunden den Anforderungen angemessene, leistungsfähige und sichere Lösungen erarbeitet und umgesetzt werden können. Die Risiken und einzuhaltenden Massnahmen können dabei mit einem in den Phasen des Lifecycles erstellten und umgesetzten Sicherheitskonzepts gesteuert und kontrolliert werden. Die spezielle Art der Risiko-Identifikation und der Risiko-Analyse beim Cloud-Computing wird mit entsprechen Beispielen und einem erstellten Risiko-Assessment-Register dargelegt.