23.06.2015

1

Microsoft Azure

Sicherheit, Datenschutz & Compliance

Michael Kranawetter

National Security Officer

Microsoft Deutschland GmbH

Microsoft Azure

Bedenken vor Einführung

60%nannten Bedenken über die Datensicherheit als Einführungsbarriere

45%sorgten sich, dass die Cloud zu einem Verlust der Datenkontrolle führen würde

Realisierte Vorteile

94%erfuhren Sicherheitsvorteile, die sie zuvor nicht vorausgesetzt hatten

62%nannten einen Anstieg im Datenschutz als Ergebnis der Cloud Einführung

Cloud Innovation EINE CHANCE FÜR MEHR SICHERHEIT & COMPLIANCE

SICHERHEIT

• Design/Betrieb• Infrastruktur• Netzwerk• Identität/Zugriff• Daten

DATENSCHUTZ

COMPLIANCE

23.06.2015

2

Microsoft Azure

Microsoft Azure

3

Automatisiert

verwaltete Ressourcen

Elastisch

Nutzungsbasiert

EINHEITLICHE PLATTFORM FÜR MODERNES BUSINESS

Support Märkte weltweit. Compute und Storage alle 6 Monate.

Microsoft Azure

Security techniques

– Information security

managementsystems –

Requirements

Security techniques

- Code of practice for information security controls

Sichere Cloud – standardbasiert und überprüfbar

Anforderungen für Herstellung, Einführung, Betrieb, Überwachung, Wartung und Verbesserung eines dokumentierten Informationssicherheits-Managementsystems unter Berücksichtigung der IT-Risiken innerhalb der gesamten Organisation

11 Überwachungsbereiche mit 39 Hauptkategorien (Kontrollzielen), untersetzt mit 133 Sicherheitsmaßnahmen zur Erreichung der Kontrollziele

Zuordnungstabelle ISO27001/2 zu IT Grundschutz (BSI Seite)

23.06.2015

3

Microsoft Azure

Sichere Cloud – standardbasiert und überprüfbar

Februar 2015

Microsoft Azure

Geteilte VerantwortungREDUZIERTE KOSTEN FÜR SICHERHEIT + ERHALTUNG VON FLEXIBILITÄT, ZUGANG & KONTROLLE

Kunden Microsoft

On-Premises IaaS PaaS SaaS

23.06.2015

4

Microsoft Azure

Transparenz & unabhängige Prüfung

7

Optimale Vorgehensweise

und BeratungPrüfung durch

Dritte

Cloud SecurityAlliance

Security Intelligence

Report

Compliance Pakete

Trust Center

Zugriff auf Auditberichte

Security Response Center Berichte

HELFEN KUNDEN SICHERHEITS- & COMPLIANCE VERPFLICHTUNGEN EINZUHALTEN

Microsoft Azure

Microsoft‘s Maßnahmen in Aktion

8

23.06.2015

5

Microsoft Azure

Sicherheit eingebettet in Planung, Design, Entwicklung & Bereitstellung

Etablierte Kontrollen, um Bedrohungen abzuwenden, aufzudecken, einzugrenzen & darauf zu reagieren

Härten der Cloud Services durch realistisch simulierte Angriffe

Globale, 24x7 Vorfallreaktion, um die Angriffs-auswirkungen zu minimieren

Design & Betrieb

TOMSicherheits-Maßnahmen

Simulierte Angriffe

Reaktion auf einen Vorfall

Security Development Lifecycle (SDL)

Microsoft Azure

Angriff annehmen

Planspiel-Übungen

direkter Penetrationstest

Zentrale Protokollierung & Überwachung der Sicherheit

Angriff abwenden

Bedrohungs-Modell

Code-Überprüfung

Security Development Lifecycle (SDL)

Sicherheits-Untersuchung

Simulation eines Angriffs

Die Simulation eines Angriffs identifiziert & adressiert potentielle Lücken

Das gründliche Betrachten der fortlaufenden, direkten Überprüfung des Sicherheitsreaktionsplans verbessertdie Durchschnittszeit für die Erkennung & die Wiederherstellung drastisch

Die Auswirkung eines internen Angriffs wird reduziert (sicherstellend, dass eingedrungene Angreifer keinen breiten Zugriff haben)

Regelmäßige Einschätzung der Umgebung auf seinen einwandfreien Zustand nach einem Angriff

23.06.2015

6

Microsoft Azure 11

Vorfall erkannt

Sicherheitsteameingeschaltet

Sicherheits-vorfallbestätigtEreignis

DevOpseingeschaltet

Vorfall Einschätzung

Auswirkung auf den Kunden feststellen

AzureKundenMitteilung

KundenProzessSchritt 1

BetroffeneKunden

bestimmen

Kunden Mitteilung

Security Incident Management (SIM) teamals Teil von Microsoft Online Security Services & Compliance (OSSC)

• Ausführlicher 9-Schritte Reaktionsprozess

• Fokus auf Eindämmung & Wiederherstellung

• Erstellen Kundenmitteilung

Reaktion auf einen Vorfall 24x7

Microsoft Azure 12

24 Stunden überwachte physikalische Sicherheit

Sichere Trennung von Multi-Tenant Umgebungen

Firewalls

Patch Management

Systemüberwachung und Protokollierung

Antiviren/Antimalware Schutz

Erkennung von Bedrohungen

Spurensicherung

Schutz der Infrastruktur - TOM

23.06.2015

7

Microsoft Azure 13

Sichere Multi-Tenant Architektur

AZURE:

• Der Fabric Controller verwaltet die Plattform und Kundenumgebungen zentral aber voneinander isoliert

• Betreibt eine konfigurationsgehärtete Version des Windows Servers als Host OS

• Nutzt Hyper-V Windows Server 2012 - ein ausgereifter und bei Unternehmen bewährter Hypervisor

• Betreibt Windows Server auf Guest VMs für den Plattformservice

KUNDE:

• Verwaltet sein Umfeld mittels Schnittstellen im Servicemanagement und d. Abonnements

• Wählt aus der Galerie oder bringt ein eigenes OS für seine virtuellen Rechner mit

Azure Speicher

SQL Datenbank

FabricController

KundeAdministrator

Gast VM Gast VM

Kunde 2

Gast VM

Kunde 1Portal

Smart API

End-nutzer

Host OS

Hypervisor

Microsoft Azure

Microsoft Azure 14

Überwachung & Protokollierung

AZURE:

• Verrichtet die Überwachung & Alarmierung bei Sicherheitsvorfällen für die Plattform

• Ermöglicht die Sammlung von Sicherheitsdaten mittels dem Monitoring Agent oder Windows Event Forwarding

KUNDE:

• Konfiguriert die Überwachung• Exportiert Vorfälle zu einer SQL

Datenbank, HDInsight oder ein SIEM zur Analyse

• Überwacht den Alarm & Berichte• Reagiert auf Vorfälle

Azure Speicher

KundeAdministrator

Gast VM Cloud Service

Kunde VMs

PortalSmart API

Gast VM

Aktiviert den MonitoringAgent

Ereignis

Extrahiert Ereignisinformation an SIEM oder anderes Berichtsystem

EreignisID

Computer Ereignis Beschreibung Schweregrad

Datum

1150 Machine1 Beispiel Sicherheitsereignis 4 04/29/2014

2002 Machine2 Unterschrift erfolgreich aktualisiert 4 04/29/2014

5007 Machine3 Konfiguration angewendet 4 04/29/2014

1116 Machine2 Beispiel Sicherheitsereignis 1 04/29/2014

1117 Machine2 Zugriffsversuch 1 04/29/2014

SIEM Admin Sicht

warnt & berichtet

HDInsight

Microsoft Azure

23.06.2015

8

Microsoft Azure 15

Netzwerk Schutz - TOM

Trennt den Netzwerkzugang zwischen Kunden, Management Systemen & dem Internet

Verbindet zum Cloud Service durch die Nutzung privater IP Adressen, Subnetze

Site-to-Site, Point-to-Site und ExpressRouteermöglichen eine sichere Verbindung mit Azure

Virtuelle Netzwerke

Cloud bisOn-Premise Verbindungen

Netzwerk Isolation

Microsoft Azure 16

VPN Verbindungen

Kunde 1

Isolierte, virtuelle Netzwerke

Entwicklung X

Microsoft Azure

VPN

Externe Nutzer

Kundenseite

Computer hinter Firewall

AZURE:

• Ermöglicht eine Verbindung von Kundenseite und externen Nutzern zu virtuellen Netzwerken in Azure mittels Ort-zu-Ort (site-to-site)und Punkt-zu-Ort (point-to-site) VPNs

KUNDE:

• Konfiguriert den VPN Client

• Verwaltet Zertifikate, Richtlinien und Nutzerzugang

23.06.2015

9

Microsoft Azure 17

Microsoft Mitarbeiter-Zugriffsmanagement

Enterprise Cloud-Identitäten – Azure AD

Überwachung & Zugriffsschutz zu Cloud Apps

Multi-Faktor-Authentifizierung

Identität & Zugriff

Microsoft Azure 18

Microsoft Mitarbeiter-Zugriffsmanagement

Vorab überprüfter Administrator

fragt Zugriff an

MSFT LEADERSHIP gewährtvorläufige Rechte

• Kein dauerhafter Zugriff auf die Plattform und auf die virtuellen Rechner der Kunden• Gewährt die geringsten Rechte, die zur Erfüllung der Aufgabe erforderlich sind• Multi-Faktor-Authentifizierung ist für jeden Zugriff erforderlich• Zugriffsanfragen werden kontrolliert und protokolliert

Punktueller(JIT) & rollen-

basierter Zugriff

Microsoft Unternehmens-

netzwerk

Microsoft Azure

BLOBSTABELLEN QUEUES

LAUFWERKE

23.06.2015

10

Microsoft Azure

Möglichkeiten zur Datenverschlüsselung

Datentrennung

Datenlokation und Redundanz

Datenvernichtung

19

Datensicherheit

Microsoft Azure 20

Verschlüsselung ruhender Daten

Virtueller Rechner:

• Datenlaufwerke –Festplattenverschlüsselung durch BitLocker

• Boot Laufwerke – Partner Lösungen• SQL Server – transparente

Datenverschlüsselung• Dateien & Ordner - EFS in Windows ServerSpeicher:• BitLocker Laufwerkeverschlüsselung für

Datenimport / -export• StorSimple mit AES-256 VerschlüsselungAnwendungen:• Client Side Verschlüsselung durch .NET

Crypto API• RMS SDK für die Dateienverschlüsselung

Ihrer Anwendungen

23.06.2015

11

Microsoft Azure 21

Datenlöschung

Datenvernichtung

• Löschung ist NIST 800-88 konform

• Defekte Festplatten werden im Rechenzentrum zerstört

• Unmittelbar vom Hauptstandort entfernt

• Die geo-reproduzierte Datenkopie wird asynchron entfernt

• Kunden können nur den Festplattenplatz lesen, den sie geschrieben haben

Festplatten Handling

Microsoft Azure

Datenschutz-kontrollen sind im Azure Design und Betrieb eingebaut

Kundendaten werden nur für den geleitesten Service genutzt und nicht für Werbezwecke

Datenverarbeitungs-vereinbarungen, EU Model Clauses, HIPAA BAA

1010101010101010101010101010101010101010101010101010

1010101010101010101010101010

10101010101010101010101010101010

Beschränkter Datenzugriff & -nutzung

Vertragliche Ver-pflichtungen

Datenschutz „by design“

Datenschutz von Grund auf

23.06.2015

12

Microsoft Azure 23

Beschränkte Nutzung

Azure teilt keine Daten mit Anzeigen-Services

Azure fördert keine Kundendaten zu Werbezwecken

Lesen Sie das Kleingedruckte der Datenschutzerklärungen anderer Cloud Service Anbieter

Microsoft Azure

Vertragliche Verpflichtungen

EU DatenschutzBestätigung

• Microsoft zeigt ein starkes vertragliches Engagement zur Sicherung von Kundendaten erfasst durch HIPAA BAA, Datenverarbeitungsvereinbarung & EU Modellklauseln

• Jede Branche & Region profitiert von den hohen Standards der Microsoft Enterprise Cloud-Dienste, insbesondere beim Datenschutz

• Microsoft setzt die Messlatte für den Datenschutz von EU Kundendaten sehr hoch

• Microsoft bietet Kunden EU Modellklauseln für den Transfer personengebundener Daten über internationale Grenzen hinaus

• Microsoft hat als erstes Unternehmen eine Bestätigung des Artikel 29 Komitee der EU Datenschutz Behörden bewirkt, das seine Methoden befürwortet

Breiter vertraglicher Umfang

23.06.2015

13

Microsoft Azure 25

Bedenken über den Regierungszugriff

Keine Hintertüren

Verbesserte Sicherheit

AZURE:

• Bietet keiner Regierung direkten oder uneingeschränkten Zugriff auf Ihre Daten.

• Unterstützt weder Regierungsbemühen unsere Verschlüsselung zu knacken, noch bietet es einer Regierung Verschlüsselungsschlüßel, die zum Schutz der Daten unterwegs oder gespeichert auf unseren Servern genutzt werden.

• Entwickelt keine Hintertüren in unseren Produkten und wir unternehmen Schritte, die die unabhängige Überprüfung durch Regierungen sicherstellen.

Sollten, wie Presseberichte andeuten, sich Regierungen an breiterer Kommunikationsüberwachung beteiligen, so geschah dies ohne das Wissen oder die Beteiligung von Microsoft und wir unternehmen Schritte die Datensicherheit unserer Kunden unterwegs und im Ruhezustand zu verbessern.

Microsoft Azure 26

Juristische Anfragen von Kundendaten

Transparenz

Klare Prinzipien und Interessenvertretung

AZURE:

• Wird keine Kundendaten an Dritte preisgeben (einschließlich Gesetzesvollzug, andere Regierungsinstanzen oder zivile Prozessführer), außer durch Ihre Anordnung oder durch gesetzliche Verpflichtung

• Wird versuchen Anfragen Dritter an den Kunden umzuleiten

• Wird unverzüglich den Kunden benachrichtigen, es sei denn es wurde juristisch untersagt, dann wird die Anfrage vor Gericht angefochten

• Wird juristische Anfragen von im Ausland gespeicherten Kundendaten anfechten

• Veröffentlicht einen Law Enforcement Request Report, der einen Einblick gibt in das Ausmaß der Anfragen

Microsofts langjähriges Engagement die Privatsphäre und Sicherheit der Kunden zu schützen reicht bis dahin wie wir auf gesetzliche Anfragen von jeder Regierung nach Kundeninformationen reagieren, egal ob diese Anfragen zum Zweck des Strafgesetzesvollzugs oder der nationalen Sicherheit sind.

23.06.2015

14

Microsoft Azure

Umgang mit Regierungsanfragen

https://www.eff.org/who-has-your-back-government-data-requests-2014

Microsoft Azure

ISO 27001 SOC 1 Type 2SOC 2 Type 2

FedRAMP/FISMAPCI DSS Level 1UK G-Cloud

Standards für Informations-sicherheit

Effektive Kontrollen

Regierungs-& Branchen-Zertifikate

Vereinfachte Compliance

23.06.2015

15

Microsoft Azure

Strategie zur Sicherheits-Compliance

Sicherheits-analytik

RisikomanagementOptimale

Vorgehensweisen

Sicherheits-maßstabs-analyse

Tests und Überprüfung

Sicherheit-ComplianceRahmenwerk

• Sicherheitsziele werden im Kontext von Geschäfts- und Industrie-Anforderungen gesehen

• Sicherheitsanalytik & optimale Vorgehensweisen werden eingesetzt um Bedrohungen zu erkennen und zu reagieren

• Ein hoher Maßstab für Zertifizierungen und Compliance Beglaubigungen wurde gesetzt

• Ständige Überwachung, Tests und Prüfung

• Fortlaufendes Update der Zertifizierungen für neue Dienste

Microsoft Azure

Eine einheitliche Plattform für modernes Business

Microsoft Engagement

23.06.2015

16

Microsoft Azure