Cloud Computing - „Entscheidungshilfe für den Datenschutzbeauftragten“

Berlin, 25. April 2013

René Büst

BvD-Datenschutztage 2013 // #Workshop

Cloud Computing

„Entscheidungshilfe für den Datenschutzbeauftragten“

AgendaDie Inhalte des Vortrags

Cloud Computing

Hinweise für den DSB Q & A

René Büst

René BüstCloud Computing & Technologie Analyst und Advisor

Technologie Analyst & Advisor● Cloud Computing ● Mobile● New Work● Business Technology

Tätigkeitsbereiche● Content & Lectures● Research & Analysis● Advisory & Strategy

Publikationen● CloudUser.de● div. Blogs● u.a. Computerwoche.de

CloudUser.deBlog über Cloud Computing, IT-Infrastrukturen, IT-Management und Strategien

Cloud Computing

Cloud ComputingHintergrund und Bedeutung

Flexibler Bezug von IT-Ressourcen über eine Datenverbindung, bevorzugt das Internet.

Cloud ComputingHintergrund und Bedeutung

FlexibelOn-Demand + Pay per use

1. On-DemandWenn die Ressource benötigt wird.

2. Per pay useExakte Abrechnung der beanspruchten Ressource.

Cloud ComputingHintergrund und Bedeutung | Cloud Bereitstellungsmodelle

Ressourcen

Applikationen Plattformen Infrastrukturen

Bereitstellung von Services

Cloud ComputingHintergrund und Bedeutung | Cloud Arten

Bereitstellung von Services

Public Privat Hybrid Community

Zahlen vom Bitkom

Zahlen vom BitkomCloud Computing im Jahr 2012 in Deutschland

Jedes dritte deutsche* Unternehmen nutzt Lösungen aus der Cloud.

Quelle: http://www.bitkom.org/de/presse/8477_75140.aspx

2011 2012

22 Prozent planen

28 Prozent nutzen

9 Prozent

Wachstum(Einsatz)

29 Prozent planen

37 Prozent nutzen

20 – 99Mitarbeiter

26 Prozent

Einsatz in Bezug auf die Unternehmensgröße.

100 – 199Mitarbeiter

ab 2000Mitarbeiter

45 Prozent

65 Prozent

Grund: 79 Prozent haben Angst vor Datenverlust.

Vorbehalte gegenüber der Public Cloud.

2011 2012

7 Prozent planen

6 Prozent nutzen

4 Prozent

Wachstum(Einsatz)

11 Prozent planen

10 Prozent nutzen

Forrester: „70 Prozent der Private Clouds sind keine Clouds.“

Die Deutschen bevorzugen die Private Cloud.

2011 2012

22 Prozent planen

27 Prozent nutzen

7 Prozent

Wachstum(Einsatz)

29 Prozent planen

34 Prozent nutzen

79 Prozent haben Angst vor Datenverlust

Hinweise für den DSB

Hinweise für den DatenschutzbeauftragtenDie Richtung spielt keine Rolle

Was muss Wie geregelt sein?

Was muss Wie geregelt sein?Cloud Computing Konformität

● Verantwortung und Verträge

● Outsourcing

● Datensicherheit

● Datenschutz

Verantwortung und Verträge

Was muss Wie geregelt sein?Cloud Computing Konformität | Verantwortung und Verträge

● Was?● Rechte und Pflichten messbar festlegen● Leistungserbringung beanstanden können

● Wie?● EVB-IT vom CIO des Bundes [1]

– „Ergänzende Vertragsbedingungen für die Beschaffung von Informationstechnik (EVB-IT)“

– Standardvorgehensweisen zur IT-Planung & -Steuerung– Deckt Großteil der Anforderungen des Bundesdaten-

schutzgesetz oder den Landesdatenschutzgesetzen ab.

Outsourcing

Was muss Wie geregelt sein?Cloud Computing Konformität | Outsourcing

● Was?● Maßnahmen und Risikobehandlungen● IT-Sicherheitskonzept, Notfallkonzept, Vertragsgestaltung● Aus der Vergagenheit (80er, 90er) lernen

● Wie?● Baustein B1.11 des Grundschutzkatalogs

– Einsatzszenarien und Maßnahmenempfehlungen für Risikobehandlung im Bereich des Outsourcings nach BSI [3].

● Betrachtet u.a. technische und organisatorische Maßnahmen.

● Thematisiert ebenfalls Abhängigkeiten zu einem Anbieter.

Datensicherheit

Was muss Wie geregelt sein?Cloud Computing Konformität | Datensicherheit

● Was?● Konkrete Sicherheitszusagen● Technische und organisatorische Maßnahmen

● Wie?● Publikationen der Anbieter

– Sicherheitsarchitektur, Empfehlungen zur Nutzung● Zertifizierungen und Zulassungen● ~100% Sicherheit nur durch Audit des Kunden

selbst.

Datenschutz

Was muss Wie geregelt sein?Cloud Computing Konformität | Datenschutz

● Was?● Datensparsamkeit● Umgang mit personenbezogenen Daten● Umgang mit unternehmenskritischen Daten● Konkrete Zusagen zum Ort der Datenverarbeitung● Einhaltung des gewünschten Datenschutzniveaus

Eine Anwendung von Cloud-Diensten ohne konkrete Ortsvorgaben oder -zusagen zur Verarbeitung personenbezogener Daten ist datenschutzrechtlich nicht zulässig.

Was muss Wie geregelt sein?Cloud Computing Konformität | Datenschutz

● Wie?● Technische und organisatorische Maßnahmen zur

Auftragsdatenverarbeitung (§ 11 BDSG) nach § 9 BDSG.● Pflicht des Kunden: Regelmäßig prüfen ob die

gesetzlichen Anforderungen des § 9 BDSG (nach §11 BDSG) eingehalten werden.

● Prüfberichte oder Testate von Wirtschaftsprüfern● Nachweise für ISO/IEC 27001, SSAE 16 oder ISAE 3402● Vertraglich geregelte Datenschutz-Dokumentation

– Muss durch den DSB auf Einhaltung nach §9 BDSG geprüft werden.

Welche Fragen stellen?

Welche Fragen stellen?Was ist bei einem Cloud Computing Anbieter zu hinterfragen?

Erfüllt der Anbieter die rechtlichen Anforderungen?

Erfüllt der Anbieter die technischen Voraussetzungen für die rechtlichen Regelungen

und Bestimmungen?

Wo befindet sich der Rechtsstand und ist das mit den Unternehmensrichtlinien zu vereinbaren?

Ist der Anbieter nach <x> zertifiziert?

Kann der Anbieter nachweisen, dass er die Bestimmungen des BDSG einhält?

Verfügt der Anbieter über ein Konzept/ Dokumentation über die Umsetzung der technischen und organisatorischen Maßnahmen nach §9 BDSG?

Kann der Anbieter nachweisen, dass seine Mitarbeiter über das Datengeheimnis nach §5 BDSG

aufgeklärt wurden?

Nimmt der Anbieter besondere Maßnahmen bei der Auswahl und der Einstellung seiner

Mitarbeiter vor?

Verfügt der Anbieter über einen Datenschutzbeauftragten?

Wo werden die Daten verarbeitet?

Nennt der Anbieter die Standorte wie das Land und die Region?

Werden die Daten ggf. in einem für das Unternehmen nicht zulässigen Land gespeichert?

Werden personenbezogene Daten außerhalb der EU bzw. des EWR verarbeitet?

Entspricht die Datenhaltung den unternehmenseigenen Richtlinien?

Legt der Anbieter transparent offen, ob der Staat Zugriff auf die Daten erhält?

Werden die Daten vollständig von den Systemen entfernt, wenn diese von dem Kunden über den

Web Service gelöscht werden?

Wertet der Anbieter die Daten aus, um damit Werbung zu betreiben?

Cloud Anbieter Checkliste

Cloud Anbieter ChecklisteÜberprüfen Sie den Cloud Computing Anbieter Ihrer Wahl

http://buest.de/cloud-anbieter-checkliste

Aktiv mitgestalten

Aktiv mitgestaltenAgieren nicht reagieren

● Nicht reagieren● Nicht nur Absolution erteilen.

● Agieren● Sie kennen die kritischen Daten.

● Aktiv mitgestalten● Aktiv beteiligen und aufzeigen welche Daten

sensibel zu behandeln sind.

Public Cloud ist kein Tabuthema

Public Cloud ist kein TabuthemaEs geht primär um das „was“ und sekundär um das „wie“

● Risiken analysieren● Risikoklassen identifizieren und einteilen

● Daten klassifizieren● Organisatorisches Thema● Personenbezogene Daten● Anonyme Daten● Unternehmenskritische Daten

● Daten verschlüsseln● Technologisches Thema

Public Cloud ist kein TabuthemaEs geht primär um das „was“ und sekundär um das „wie“

● Fragen stellen● Den richtigen Leuten die richtigen Fragen stellen.

● Informationen erheben● Je mehr Wissen über den Anbieter vorhanden ist,

desto besser.● Erhobene Daten sind auch für den

Datenschutzbeauftragten das heutige Gold.

Quellen

QuellenWeiterführende Informationen

[1] „EVB-IT und BVB“, IT-Beauftragte der Bundesregierung http://www.cio.bund.de/DE/IT-Beschaffung/EVB-IT-und-BVB/evb-it_bvb_node.html[2] „B 1.11 Outsourcing“, BSIhttps://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/baust/b01/b01011.html

[A] „Datenschutzwerkzeuge für die Cloud“, Sven Thomsen,

http://clouduser.de/gastbeitraege/datenschutzwerkzeuge-fur-die-cloud-6471[B] „Cloud Computing: Die rechtlichen Herausforderungen sind lösbar“, Jan Schneider

http://clouduser.de/gastbeitraege/die-rechtlichen-herausforderungen-sind-losbar-6405

renebuest researchbusiness technology - analysis | strategy | advisory

René BüstHauptstr. 44a64401 Groß-Bieberau

Tel.: +49 6166 233 76 93E-Mail: rene@renebuest.deWeb: http://renebuest.deBlog: http://clouduser.deTwitter: @ReneBuest

Cloud Computing - „Entscheidungshilfe für den Datenschutzbeauftragten“

Technology

Entscheidungshilfe Welche Schule für mein Kind? 2011

Cloud Computing Studie Logistik - imis.de Computing in der... · cloud computing – logistik – strategie – investition – zeit – datensicherheit – chancen – flexibilitÄt

Kleine Entscheidungshilfe - nicht zuletzt für die kommenden Bundestagswahlen

Cloud-Computing und Datensicherheit - uni-leipzig.degraebe/Texte/Girke-19-Folien.pdf · 16.01.2019 - Cloud-Computing und Datensicherheit - Alexander Girke 5 Grundlagen Cloud-Computing

Pervasive Computing Visionen, Potenziale und Folgewirkungen · Pervasive Computing Visionen, Potenziale und Folgewirkungen Marc Langheinrich Inst. für Pervasive Computing, ETH Zürich

Technische Aspekte des Cloud Computing · Cloud Computing Cloud-Seminar Cloud Computing { Schwerpunkte laut De nition " Unter Ausnutzung virtualisierter Rechen- und Speicherressourcen

Entscheidungshilfe für die Webentwicklung anhand des

des Hessischen Datenschutzbeauftragten Professor Dr. … · ZPO Zivilprozessordnung ZPÜ Zentralstelle für private Überspielungsrechte . Der Hessische Datenschutzbeauftragte 46

Entscheidungshilfe: Recommender System

Praktikum Pervasive Computing - ibr.cs.tu-bs.de fileDistributed Systems and Ubiquitous Computing – Praktikum Pervasive Computing 3/21 Monty Beuster Organisatorisches Angemeldungen

Entscheidungshilfe / Entscheidungskompetenz · Entscheidungshilfe / Entscheidungskompetenz Jens Ulrich Rüffer Deutsche Fatigue Gesellschaft DGHO, Stuttgart 2017

Cloud Computing mit mathematischen Anwendungen · 2015-11-10 · Cloud Computing mit mathematischen Anwendungen ... Open-Source software infrastructure for implementing cloud computing

DNA - Computing

Physical Computing - · PDF filePhysical Computing und Arduino J urgen Plate 3. M arz 2012 J urgen Plate Physical Computing

Mobile Computing

wearable computing

Einladungsschreiben und Entscheidungshilfe zum ...€¦ · von 6 Monaten. Das Ergebnis der ... Einladungsschreiben und Entscheidungshilfe zum Mammographie-Screening 25.02.2016 Institut

Entscheidungshilfe „Welche Schule für mein Kind?“

Häufig gestellte Fragen zu Datenschutzbeauftragten (FAQ) · – poststelle@ldi.nrw.de Seite 1 von 28 S Häufig gestellte Fragen zu Datenschutzbeauftragten (FAQ)

Orientierungshilfe – Cloud Computing · PDF fileOrientierungshilfe Cloud Computing (Version 1.0 /Stand 30.08.2011) 3 Vorbemerkung Die Datenschutzbeauftragten des Bundes und der Länder