In 6 Schritten zur Cloud-Anwendung II
Schritt 2: Unternehmenseigene Strategie entwickeln
Im zweiten Schritt sollte eine Cloud Computing-Strategie entwickelt werden, die gezielt auf die Bedürfnisse des Unternehmens ausgerichtet ist. Diese Strategie muss die funktionellen und finanziellen Ziele enthalten, die Entscheider mit dem Einsatz von Cloud Computing erreichen wollen – beispielsweise die IT-Infrastruktur zu reduzieren, Anwendungen mit neuestem Funktionsumfang zu nutzen oder die IT zu entlasten.
Zudem sollte die Strategie berücksichtigen, wie und in welchen Schritten die Migration konkret erfolgt. Da für die erfolgreiche Verlagerung in die Cloud ein Konzept entscheidend ist, das individuell auf das jeweilige Unternehmen zugeschnitten ist, sollte die erarbeitete Strategie die Planungsgrundlage für alle weiteren Aktivitäten darstellen.
Schritt 3: Datenschutz, Compliance und Sicherheitsanforderungen beachten
Obwohl sich Cloud Computing weiter durchsetzt, dominieren immer noch Sicherheits- und Datenschutzbedenken in deutschen Unternehmen. So zeigen aktuelle Studienergebnisse, dass hiesige Entscheider (63 Prozent) bisher vor allem aus diesen Gründen nicht in Cloud Computing investiert haben . Vor diesem Hintergrund ist es also ratsam, bestehende rechtliche Rahmenbedingungen und unternehmenseigene Compliance-Regelungen zu prüfen.
Denn meist dürfen Organisationen in Deutschland personenbezogene Daten nur innerhalb der EU-Grenzen lagern, nicht jedoch in Drittstaaten. Dies spielt auch bei der Auswahl der Cloud-Variante eine wesentliche Rolle. So ist es in der Public Cloud schwieriger nachzuvollziehen, wo die Daten konkret liegen.
- Tipps zur datenschutzrechtlichen Vorsorge
Wie sicher sind meine (personenbezogenen) Daten in der Cloud überhaupt? Wann beziehungsweise wo muss ich damit rechnen, dass ausländische Behörden auf meine Daten zugreifen? Fünf Tipps für mehr Sicherheit beim Cloud Computing. - Tipp 1:
Nutzen Sie nur europäische Clouds, um Konflikte mit dem hiesigen Datenschutz zu vermeiden - Tipp 2:
Bei internationalen Cloud-Modellen mit Bezug zu unsicheren Drittstaaten müssen ausreichende Garantien des Cloud-Dienstleisters eingefordert werden. - Tipp 3:
Machen Sie gegebenenfalls von dem Ihnen möglicherweise zustehenden Sonderkündigungsrecht Gebrauch. Als erste Orientierungshilfe gibt es dazu es ein Positionspapier des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein, ULD, vom 15. November 2011 - Tipp 4:
Prüfen Sie bevor sie sich für einen Cloud-Dienstleisters entscheiden dessen Beteiligungsverhältnisse in möglicherweise unsichere Drittstaaten. - Tipp 5:
Gestalten Sie Ihre Verträge mit den Cloud-Anbietern auch in datenschutzrechtlicher Hinsicht rechtssicher, indem Sie (neben den Mindestanforderungen aus Paragraf 11 BDSG) auch den Speicher- und Verarbeitungsort Ihrer Daten genau festlegen und Übermittlungsverbote Ihrer Daten in unsichere Drittstaaten vereinbaren und mit Vertragsstrafen verbinden.
Wer plant, Teile seiner Prozesse in die Cloud zu verlagern, setzt zudem in der Regel auf eine langfristige Zusammenarbeit mit einem externen Cloud-Provider. Hier sollte unbedingt auf die Erfahrung und die Historie des potenziellen Anbieters sowie auf die Größe des Unternehmens geachtet werden. Ein Provider, der in unterschiedlichen Geschäftsbereichen aktiv ist, verfügt in der Regel über ein solideres Fundament. Entscheider sollten zudem darauf bestehen, dass Dienstleister ihr Sicherheitskonzept offenlegen und zeigen können, welche technischen und organisatorischen Maßnahmen sie zum Schutz der Unternehmensdaten ergreifen.
Dies können etwa Zertifizierungen wie FERPA, EU Safe Harbour oder ISO 27001 sein. Darüber hinaus sollte auch die Verfügbarkeit vertraglich in den Service Level Agreements (SLAs) vereinbart werden.
Geht es um das Thema Verfügbarkeit von Anwendungen, sollten Unternehmen jedoch nicht nur den Cloud-Provider sondern auch den jeweiligen Internet Service-Provider (ISP) in die Pflicht nehmen. Zwar garantiert der Cloud-Anbieter eine gewisse Verfügbarkeit, doch gilt dies in der Regel nur, wenn die Internetverbindung stabil läuft.
Unternehmen sollten daher die Möglichkeit prüfen, bei Bedarf zwei ISPs unter Vertrag zu nehmen und entsprechende SLAs vereinbaren. Über geeignete Monitoring-Tools können Firmen zudem nachvollziehen, welche Faktoren und Schnittstellen die Anwendungs-Performance in der Cloud möglicherweise beeinträchtigen. Der Verband EuroCloud in Deutschland hat beispielsweise ein Zertifikat zur Auditierung von Cloud-Providern erarbeitet. Dieses Audit soll Unternehmen Sicherheit bei der Anbieterwahl versprechen. Bewertet werden etwa die Bereiche Vertrag und Compliance, Sicherheit, Betrieb und Infrastruktur, Prozesse, Anwendung und Implementierung.