Datenschutzgerechtes CloudComputing -Risiken und Empfehlungen -

Transkript

1 Datenschutzgerechtes CloudComputing -Risiken und Empfehlungen - Dr. Thomas Reinke Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (Bereich Technik und Organisation) ecomm Brandenburg, 22. Februar 2012

2 Gliederung Die Aufgaben der LDA Brandenburg Cloud Computing Begriff, Klassifikation Eigenschaften, Risiken Empfehlungen aus Sicht der Aufsichtsbehörde Literaturhinweise: Orientierungshilfe -CloudComputing der Konferenz der Datenschutzbeauftragten des Bundes und der Länder (September 2011) Eckpunktepapier -Sicherheitsempfehlungen für CloudComputing Anbieter, Bundesamt für Sicherheit in der Informationstechnik (Mai 2011) LDA Bbg,

3 Die Aufgaben der LDA Brandenburg Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Dagmar Hartge (seit 2005) Kleinmachnow, Stahnsdorfer Damm 77 Tel: / 356-0, Fax: / Mail: poststelle@lda.brandenburg.de Bearbeitung von Anfragen und Beschwerden, Unterstützung Betroffener Beratung und Kontrolle öffentlicher Stellen im Land Brandenburg Beratung und Kontrolle nicht-öffentlicher Stellen im Land Brandenburg (seit ) Zusammenarbeit mit Datenschutzbehörden Verfolgung von Ordnungswidrigkeiten (seit ) LDA Bbg,

4 CloudComputing in Deutschland IDC-Studie: Transformation der Unternehmens-IT auf dem Weg in die Cloud (Juni 2011) größte Hürden aus Sicht der Befragten: IT-Sicherheit, Datenschutz, Erfüllung rechtlicher Anforderungen, Performanz, Verfügbarkeit, Qualität des Dienstleisters,... LDA Bbg,

5 CloudComputing Begriff und Eigenschaften Definition des National Institute for Standards and Technology (NIST): Cloud Computingist ein Modell, das es erlaubt, bei Bedarf jederzeit und überall bequem über ein Netz auf einen geteilten Vorrat von konfigurierbaren Rechnerressourcen (z.b. Netze, Server, Speicher, Anwendungen) zuzugreifen, die schnell und mit minimalem Managementaufwand oder geringer Serviceprovider-Interaktion zur Verfügung gestellt werden. Eigenschaften: Elastizität, Skalierbarkeit Optimierung, Konsolidierung Kostenreduktion - pay per use Zuverlässigkeit, Verfügbarkeit Ortsunabhängigkeit Qualitätssicherung durch Anbieter Selbstzuweisung, -konfiguration durch Nutzer LDA Bbg,

6 Arten des CloudComputing (1) 3 Servicemodelle - Was wird bereitgestellt? Software asa Service (SaaS)-z.B. Google Apps, MS Office 365 Platform as a Service (PaaS) - z.b. Google AppEngine, MS Azure, force.com Infrastructure as a Service (IaaS)- z.b. Amazon EC2, S3, OpenNebula Toolkit Anwendungen z.b. HR, CRM, Office,... Plattformen z.b. DB, Middleware, Werkzeuge,... Infrastrukturen z.b. Rechenleistung, Speicher, Netze,... Cloud Services reale Hardware LDA Bbg,

7 Arten des CloudComputing (2) 4 Liefermodelle - Wie werden Dienste bereitgestellt? private cloud hybrid cloud public cloud community cloud private cloud public cloud Service Service Service Internet Service Service Service (exklusiv, für 1 Organisation) (öffentlich, für 2 + Organisationen) LDA Bbg,

8 ... und wo liegt das Problem? IT-Sicherheit bzgl. Rechenzentrum Serverinfrastruktur, Netze Cloud-Software Anwendungssoftware anwendungsspezifische Daten Abschottung der Cloud-Dienste und -Daten ggü. Mitarbeitern des Dienstleisters und ggü. anderen Kunden Vertrauen in den Dienstleister, Qualität der Dienstleistung, Nachvollziehbarkeit der Abrechnung, Möglichkeit des Wechsels datenschutzrechtliche Aspekte bei der Verarbeitung personenbezogener Daten in der Cloud Einhaltung des Bundes- bzw. des Landesdatenschutzgesetzes LDA Bbg,

9 Datenschutzrechtliche Aspekte (1) Zulässigkeit der Verarbeitung personenbezogener Daten in der Cloud spezialgesetzliche Vorschriften können bestimmte Formen des Cloud Computings ausschließen oder besondere Anforderungen stellen z.b. 80 SGB X: (5) Die Erhebung, Verarbeitung oder Nutzung von Sozialdaten im Auftrag durch nicht-öffentliche Stellen ist nur zulässig, wenn 1. beim Auftraggeber sonst Störungen im Betriebsablauf auftreten können oder 2. die übertragenen Arbeiten beim Auftragnehmer erheblich kostengünstiger besorgt werden können und der Auftrag nicht die Speicherung des gesamten Datenbestandes des Auftraggebersumfasst.... LDA Bbg,

10 Datenschutzrechtliche Aspekte (2) Datenverarbeitung im Auftrag gem. 11 BDSG (bzw. 11 BbgDSG) (1) Werden personenbezogene Daten im Auftrag durch andere Stellen... verarbeitet..., ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes... verantwortlich.... (2) Der Auftragnehmer ist... sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen,... Gestaltung des Vertrags zur DV im Auftrag gem. 11 Abs. 2 BDSG (bzw. VV zum BbgDSG) Beachte: Regelungen zu Unteraufträgen Ort der Datenverarbeitung durch den Dienstleister im europäischen Wirtschaftsraum: Geltung der EU-Datenschutzrichtlinie außerhalb des europ. Wirtschaftsraumes: Prüfung auf Zulässigkeit der Datenübermittlung und auf angemessenes Datenschutzniveau erforderlich LDA Bbg,

11 Datenschutzrechtliche Aspekte (3) technische und organisatorische Maßnahmen gem. 9 BDSG (bzw. 10 BbgDSG) Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Revisionsfähigkeit und Transparenz Absicherung von Cloud-Diensten und -Daten, z.b. durch Identitäts- und Rechtemanagement Zutritts-, Zugangs- und Zugriffskontrolle Verschlüsselung/Signatur der Daten Separierung der Daten und Anwendungen Netztrennung, Netzsegmentierung Firewalls, IDS, IPS neue Risiken durch CloudComputing => zusätzliche Sicherheitsmaßnahmen Fortschreibung des Sicherheitskonzepts, Beachte: Empfehlungen des BSI LDA Bbg,

12 Zusammenfassung und Empfehlungen Der Einsatz von CloudComputing zur Verarbeitung personenbezogener Daten bedarf einer vorherigen sorgfältigen rechtlichen und technischen Prüfung (Zulässigkeit, Dienstleister, Ort der Verarbeitung, Sicherheitsmaßnahmen,...). Werden CloudComputing Angebote eines Dienstleisters genutzt, sind die Anforderungen der Datenverarbeitung im Auftrag zu beachten. Die Verantwortung für die Einhaltung gesetzlicher Bestimmungen verbleibt beim Auftraggeber. Die Nutzung von Public oder Hybrid Cloudszur Verarbeitung personenbezogener Daten scheitert im Allgemeinen wegen Mängeln bei Abschottung, IT-Sicherheit, Datenschutz und Transparenz seitens der Cloud Computing Anbieter. Soll eine Private oder Community Cloudzur Verarbeitung personenbezogener Daten genutzt werden, sind insbesondere das Trennungsgebot einzuhalten sowie geeignete und angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen. LDA Bbg,