23.06.2015
1
Microsoft Azure
Sicherheit, Datenschutz & Compliance
Michael Kranawetter
National Security Officer
Microsoft Deutschland GmbH
Microsoft Azure
Bedenken vor Einführung
60%nannten Bedenken über die Datensicherheit als Einführungsbarriere
45%sorgten sich, dass die Cloud zu einem Verlust der Datenkontrolle führen würde
Realisierte Vorteile
94%erfuhren Sicherheitsvorteile, die sie zuvor nicht vorausgesetzt hatten
62%nannten einen Anstieg im Datenschutz als Ergebnis der Cloud Einführung
Cloud Innovation EINE CHANCE FÜR MEHR SICHERHEIT & COMPLIANCE
SICHERHEIT
• Design/Betrieb• Infrastruktur• Netzwerk• Identität/Zugriff• Daten
DATENSCHUTZ
COMPLIANCE
23.06.2015
2
Microsoft Azure
Microsoft Azure
3
Automatisiert
verwaltete Ressourcen
Elastisch
Nutzungsbasiert
EINHEITLICHE PLATTFORM FÜR MODERNES BUSINESS
Support Märkte weltweit. Compute und Storage alle 6 Monate.
Microsoft Azure
Security techniques
– Information security
managementsystems –
Requirements
Security techniques
- Code of practice for information security controls
Sichere Cloud – standardbasiert und überprüfbar
Anforderungen für Herstellung, Einführung, Betrieb, Überwachung, Wartung und Verbesserung eines dokumentierten Informationssicherheits-Managementsystems unter Berücksichtigung der IT-Risiken innerhalb der gesamten Organisation
11 Überwachungsbereiche mit 39 Hauptkategorien (Kontrollzielen), untersetzt mit 133 Sicherheitsmaßnahmen zur Erreichung der Kontrollziele
Zuordnungstabelle ISO27001/2 zu IT Grundschutz (BSI Seite)
23.06.2015
3
Microsoft Azure
Sichere Cloud – standardbasiert und überprüfbar
Februar 2015
Microsoft Azure
Geteilte VerantwortungREDUZIERTE KOSTEN FÜR SICHERHEIT + ERHALTUNG VON FLEXIBILITÄT, ZUGANG & KONTROLLE
Kunden Microsoft
On-Premises IaaS PaaS SaaS
23.06.2015
4
Microsoft Azure
Transparenz & unabhängige Prüfung
7
Optimale Vorgehensweise
und BeratungPrüfung durch
Dritte
Cloud SecurityAlliance
Security Intelligence
Report
Compliance Pakete
Trust Center
Zugriff auf Auditberichte
Security Response Center Berichte
HELFEN KUNDEN SICHERHEITS- & COMPLIANCE VERPFLICHTUNGEN EINZUHALTEN
Microsoft Azure
Microsoft‘s Maßnahmen in Aktion
8
23.06.2015
5
Microsoft Azure
Sicherheit eingebettet in Planung, Design, Entwicklung & Bereitstellung
Etablierte Kontrollen, um Bedrohungen abzuwenden, aufzudecken, einzugrenzen & darauf zu reagieren
Härten der Cloud Services durch realistisch simulierte Angriffe
Globale, 24x7 Vorfallreaktion, um die Angriffs-auswirkungen zu minimieren
Design & Betrieb
TOMSicherheits-Maßnahmen
Simulierte Angriffe
Reaktion auf einen Vorfall
Security Development Lifecycle (SDL)
Microsoft Azure
Angriff annehmen
Planspiel-Übungen
direkter Penetrationstest
Zentrale Protokollierung & Überwachung der Sicherheit
Angriff abwenden
Bedrohungs-Modell
Code-Überprüfung
Security Development Lifecycle (SDL)
Sicherheits-Untersuchung
Simulation eines Angriffs
Die Simulation eines Angriffs identifiziert & adressiert potentielle Lücken
Das gründliche Betrachten der fortlaufenden, direkten Überprüfung des Sicherheitsreaktionsplans verbessertdie Durchschnittszeit für die Erkennung & die Wiederherstellung drastisch
Die Auswirkung eines internen Angriffs wird reduziert (sicherstellend, dass eingedrungene Angreifer keinen breiten Zugriff haben)
Regelmäßige Einschätzung der Umgebung auf seinen einwandfreien Zustand nach einem Angriff
23.06.2015
6
Microsoft Azure 11
Vorfall erkannt
Sicherheitsteameingeschaltet
Sicherheits-vorfallbestätigtEreignis
DevOpseingeschaltet
Vorfall Einschätzung
Auswirkung auf den Kunden feststellen
AzureKundenMitteilung
KundenProzessSchritt 1
BetroffeneKunden
bestimmen
Kunden Mitteilung
Security Incident Management (SIM) teamals Teil von Microsoft Online Security Services & Compliance (OSSC)
• Ausführlicher 9-Schritte Reaktionsprozess
• Fokus auf Eindämmung & Wiederherstellung
• Erstellen Kundenmitteilung
Reaktion auf einen Vorfall 24x7
Microsoft Azure 12
24 Stunden überwachte physikalische Sicherheit
Sichere Trennung von Multi-Tenant Umgebungen
Firewalls
Patch Management
Systemüberwachung und Protokollierung
Antiviren/Antimalware Schutz
Erkennung von Bedrohungen
Spurensicherung
Schutz der Infrastruktur - TOM
23.06.2015
7
Microsoft Azure 13
Sichere Multi-Tenant Architektur
AZURE:
• Der Fabric Controller verwaltet die Plattform und Kundenumgebungen zentral aber voneinander isoliert
• Betreibt eine konfigurationsgehärtete Version des Windows Servers als Host OS
• Nutzt Hyper-V Windows Server 2012 - ein ausgereifter und bei Unternehmen bewährter Hypervisor
• Betreibt Windows Server auf Guest VMs für den Plattformservice
KUNDE:
• Verwaltet sein Umfeld mittels Schnittstellen im Servicemanagement und d. Abonnements
• Wählt aus der Galerie oder bringt ein eigenes OS für seine virtuellen Rechner mit
Azure Speicher
SQL Datenbank
FabricController
KundeAdministrator
Gast VM Gast VM
Kunde 2
Gast VM
Kunde 1Portal
Smart API
End-nutzer
Host OS
Hypervisor
Microsoft Azure
Microsoft Azure 14
Überwachung & Protokollierung
AZURE:
• Verrichtet die Überwachung & Alarmierung bei Sicherheitsvorfällen für die Plattform
• Ermöglicht die Sammlung von Sicherheitsdaten mittels dem Monitoring Agent oder Windows Event Forwarding
KUNDE:
• Konfiguriert die Überwachung• Exportiert Vorfälle zu einer SQL
Datenbank, HDInsight oder ein SIEM zur Analyse
• Überwacht den Alarm & Berichte• Reagiert auf Vorfälle
Azure Speicher
KundeAdministrator
Gast VM Cloud Service
Kunde VMs
PortalSmart API
Gast VM
Aktiviert den MonitoringAgent
Ereignis
Extrahiert Ereignisinformation an SIEM oder anderes Berichtsystem
EreignisID
Computer Ereignis Beschreibung Schweregrad
Datum
1150 Machine1 Beispiel Sicherheitsereignis 4 04/29/2014
2002 Machine2 Unterschrift erfolgreich aktualisiert 4 04/29/2014
5007 Machine3 Konfiguration angewendet 4 04/29/2014
1116 Machine2 Beispiel Sicherheitsereignis 1 04/29/2014
1117 Machine2 Zugriffsversuch 1 04/29/2014
SIEM Admin Sicht
warnt & berichtet
HDInsight
Microsoft Azure
23.06.2015
8
Microsoft Azure 15
Netzwerk Schutz - TOM
Trennt den Netzwerkzugang zwischen Kunden, Management Systemen & dem Internet
Verbindet zum Cloud Service durch die Nutzung privater IP Adressen, Subnetze
Site-to-Site, Point-to-Site und ExpressRouteermöglichen eine sichere Verbindung mit Azure
Virtuelle Netzwerke
Cloud bisOn-Premise Verbindungen
Netzwerk Isolation
Microsoft Azure 16
VPN Verbindungen
Kunde 1
Isolierte, virtuelle Netzwerke
Entwicklung X
Microsoft Azure
VPN
Externe Nutzer
Kundenseite
Computer hinter Firewall
AZURE:
• Ermöglicht eine Verbindung von Kundenseite und externen Nutzern zu virtuellen Netzwerken in Azure mittels Ort-zu-Ort (site-to-site)und Punkt-zu-Ort (point-to-site) VPNs
KUNDE:
• Konfiguriert den VPN Client
• Verwaltet Zertifikate, Richtlinien und Nutzerzugang
23.06.2015
9
Microsoft Azure 17
Microsoft Mitarbeiter-Zugriffsmanagement
Enterprise Cloud-Identitäten – Azure AD
Überwachung & Zugriffsschutz zu Cloud Apps
Multi-Faktor-Authentifizierung
Identität & Zugriff
Microsoft Azure 18
Microsoft Mitarbeiter-Zugriffsmanagement
Vorab überprüfter Administrator
fragt Zugriff an
MSFT LEADERSHIP gewährtvorläufige Rechte
• Kein dauerhafter Zugriff auf die Plattform und auf die virtuellen Rechner der Kunden• Gewährt die geringsten Rechte, die zur Erfüllung der Aufgabe erforderlich sind• Multi-Faktor-Authentifizierung ist für jeden Zugriff erforderlich• Zugriffsanfragen werden kontrolliert und protokolliert
Punktueller(JIT) & rollen-
basierter Zugriff
Microsoft Unternehmens-
netzwerk
Microsoft Azure
BLOBSTABELLEN QUEUES
LAUFWERKE
23.06.2015
10
Microsoft Azure
Möglichkeiten zur Datenverschlüsselung
Datentrennung
Datenlokation und Redundanz
Datenvernichtung
19
Datensicherheit
Microsoft Azure 20
Verschlüsselung ruhender Daten
Virtueller Rechner:
• Datenlaufwerke –Festplattenverschlüsselung durch BitLocker
• Boot Laufwerke – Partner Lösungen• SQL Server – transparente
Datenverschlüsselung• Dateien & Ordner - EFS in Windows ServerSpeicher:• BitLocker Laufwerkeverschlüsselung für
Datenimport / -export• StorSimple mit AES-256 VerschlüsselungAnwendungen:• Client Side Verschlüsselung durch .NET
Crypto API• RMS SDK für die Dateienverschlüsselung
Ihrer Anwendungen
23.06.2015
11
Microsoft Azure 21
Datenlöschung
Datenvernichtung
• Löschung ist NIST 800-88 konform
• Defekte Festplatten werden im Rechenzentrum zerstört
• Unmittelbar vom Hauptstandort entfernt
• Die geo-reproduzierte Datenkopie wird asynchron entfernt
• Kunden können nur den Festplattenplatz lesen, den sie geschrieben haben
Festplatten Handling
Microsoft Azure
Datenschutz-kontrollen sind im Azure Design und Betrieb eingebaut
Kundendaten werden nur für den geleitesten Service genutzt und nicht für Werbezwecke
Datenverarbeitungs-vereinbarungen, EU Model Clauses, HIPAA BAA
1010101010101010101010101010101010101010101010101010
1010101010101010101010101010
10101010101010101010101010101010
Beschränkter Datenzugriff & -nutzung
Vertragliche Ver-pflichtungen
Datenschutz „by design“
Datenschutz von Grund auf
23.06.2015
12
Microsoft Azure 23
Beschränkte Nutzung
Azure teilt keine Daten mit Anzeigen-Services
Azure fördert keine Kundendaten zu Werbezwecken
Lesen Sie das Kleingedruckte der Datenschutzerklärungen anderer Cloud Service Anbieter
Microsoft Azure
Vertragliche Verpflichtungen
EU DatenschutzBestätigung
• Microsoft zeigt ein starkes vertragliches Engagement zur Sicherung von Kundendaten erfasst durch HIPAA BAA, Datenverarbeitungsvereinbarung & EU Modellklauseln
• Jede Branche & Region profitiert von den hohen Standards der Microsoft Enterprise Cloud-Dienste, insbesondere beim Datenschutz
• Microsoft setzt die Messlatte für den Datenschutz von EU Kundendaten sehr hoch
• Microsoft bietet Kunden EU Modellklauseln für den Transfer personengebundener Daten über internationale Grenzen hinaus
• Microsoft hat als erstes Unternehmen eine Bestätigung des Artikel 29 Komitee der EU Datenschutz Behörden bewirkt, das seine Methoden befürwortet
Breiter vertraglicher Umfang
23.06.2015
13
Microsoft Azure 25
Bedenken über den Regierungszugriff
Keine Hintertüren
Verbesserte Sicherheit
AZURE:
• Bietet keiner Regierung direkten oder uneingeschränkten Zugriff auf Ihre Daten.
• Unterstützt weder Regierungsbemühen unsere Verschlüsselung zu knacken, noch bietet es einer Regierung Verschlüsselungsschlüßel, die zum Schutz der Daten unterwegs oder gespeichert auf unseren Servern genutzt werden.
• Entwickelt keine Hintertüren in unseren Produkten und wir unternehmen Schritte, die die unabhängige Überprüfung durch Regierungen sicherstellen.
Sollten, wie Presseberichte andeuten, sich Regierungen an breiterer Kommunikationsüberwachung beteiligen, so geschah dies ohne das Wissen oder die Beteiligung von Microsoft und wir unternehmen Schritte die Datensicherheit unserer Kunden unterwegs und im Ruhezustand zu verbessern.
Microsoft Azure 26
Juristische Anfragen von Kundendaten
Transparenz
Klare Prinzipien und Interessenvertretung
AZURE:
• Wird keine Kundendaten an Dritte preisgeben (einschließlich Gesetzesvollzug, andere Regierungsinstanzen oder zivile Prozessführer), außer durch Ihre Anordnung oder durch gesetzliche Verpflichtung
• Wird versuchen Anfragen Dritter an den Kunden umzuleiten
• Wird unverzüglich den Kunden benachrichtigen, es sei denn es wurde juristisch untersagt, dann wird die Anfrage vor Gericht angefochten
• Wird juristische Anfragen von im Ausland gespeicherten Kundendaten anfechten
• Veröffentlicht einen Law Enforcement Request Report, der einen Einblick gibt in das Ausmaß der Anfragen
Microsofts langjähriges Engagement die Privatsphäre und Sicherheit der Kunden zu schützen reicht bis dahin wie wir auf gesetzliche Anfragen von jeder Regierung nach Kundeninformationen reagieren, egal ob diese Anfragen zum Zweck des Strafgesetzesvollzugs oder der nationalen Sicherheit sind.
23.06.2015
14
Microsoft Azure
Umgang mit Regierungsanfragen
https://www.eff.org/who-has-your-back-government-data-requests-2014
Microsoft Azure
ISO 27001 SOC 1 Type 2SOC 2 Type 2
FedRAMP/FISMAPCI DSS Level 1UK G-Cloud
Standards für Informations-sicherheit
Effektive Kontrollen
Regierungs-& Branchen-Zertifikate
Vereinfachte Compliance
23.06.2015
15
Microsoft Azure
Strategie zur Sicherheits-Compliance
Sicherheits-analytik
RisikomanagementOptimale
Vorgehensweisen
Sicherheits-maßstabs-analyse
Tests und Überprüfung
Sicherheit-ComplianceRahmenwerk
• Sicherheitsziele werden im Kontext von Geschäfts- und Industrie-Anforderungen gesehen
• Sicherheitsanalytik & optimale Vorgehensweisen werden eingesetzt um Bedrohungen zu erkennen und zu reagieren
• Ein hoher Maßstab für Zertifizierungen und Compliance Beglaubigungen wurde gesetzt
• Ständige Überwachung, Tests und Prüfung
• Fortlaufendes Update der Zertifizierungen für neue Dienste
Microsoft Azure
Eine einheitliche Plattform für modernes Business
Microsoft Engagement