11 Wenn es um die Absicherung von Daten geht, beginnt und endet das Denken meist bei der Verschlüsselung. Verschlüsselung ist ein guter Anfang, aber sicher nicht das Ende des Weges, den ein Unternehmen gehen muss, um seine Daten richtig zu schützen. Auf dem langen Weg zu vorbildlicher Sicherheit sollte auch ein Halt beim Thema Compliance eingeplant werden. In diesem Blogbeitrag nehme ich Sie mit auf eine kurze Reise dazu, was für die Compliance einer Lösung für Cloud-Speicher in der Regel nötig ist. Es gibt viele verschiedene regulatorische Vorschriften, an die sich Unternehmen halten. HIPAA etwa ist ein Satz von Sicherheitsregeln und Schutzmaßnahmen, die beim Umgang mit Gesundheitsinformationen umgesetzt werden müssen, und FIPS 140-2 wird von Behörden genutzt, um Anforderungen und Standards für die eingesetzte Verschlüsselung festzulegen. Compliance-Vorschriften Die gute Nachricht: Compliance-Vorschriften haben einige Gemeinsamkeiten. Hier einige gängige Anforderungen, die Unternehmen auf ihrem Weg zur Compliance berücksichtigen sollten: Rollenbasierter Zugriff Datenverschlüsselung Datenintegrität Auditing Rollenbasierter Zugriff hilft, die Berechtigungen der Nutzer eines Systems voneinander zu trennen. Wenn die Nutzerin Jane etwa Ärztin in einer medizinischen Einrichtung ist, sollte sie vollen Zugriff auf die Informationen ihrer Patienten haben. Jeff, der in derselben Einrichtung als Administrator für Cloud-Speicher arbeitet, sollte dagegen nur Zugriff auf die Wartung des Speichers haben und nicht auf Patientenakten. Daten sollten niemals im Klartext übertragen werden – vertrauliche Informationen müssen also verschlüsselt werden. Die meisten oder alle Public-Cloud-Speicheranbieter unterstützen Verschlüsselung per SSL, doch wie sieht es mit der Private Cloud aus? Eine wirklich unternehmenstaugliche Private-Cloud-Speicherlösung bietet diese Funktion ebenfalls. Datenintegrität ist aus Compliance-Gründen wichtig, weil der Empfänger der Daten oder der Prüfer wissen muss, dass die Daten nicht manipuliert wurden. Üblicherweise erreicht man das über die Unterstützung von Write Once Read Many (WORM) in einer Speicherlösung oder über die Versionierungsfunktionen der Amazon S3-API. Auditing ist für die Compliance und die allgemeine Systemadministration unerlässlich. Speicheradministratoren sollten ein Protokoll aller Änderungen am System führen, auf das sie bei Bedarf künftig zurückgreifen können – mit Details wie dem Nutzer, der die Änderung vorgenommen hat, Datum und Uhrzeit der Änderung, dem Namen der ausgeführten Aktion, der geänderten Komponente und etwaigen Fehlermeldungen. Scality RING ist die ideale Lösung für Unternehmen, die eine sichere Private-Cloud-Speicherlösung suchen, die Sicherheits- und Compliance-Anforderungen ernst nimmt. Foto von Markus Spiske (auf Englisch) auf Unsplash (auf Englisch)
