Definieren einer Strategie für die Datenhoheit

In diesem Artikel wird beschrieben, wie Sie Ihre Strategie für die Datenhoheit bei Einsatz von Clouddiensten planen können. In vielen geopolitischen Regionen gibt es Vorschriften für den Umgang mit bestimmten Arten von Daten, wie z. B. vertraulichen Daten und Behördendaten. Mit den Vorschriften werden in der Regel Anforderungen an die Datenhoheit in Bezug auf Datenresidenz, Kontrolle über die Daten und mitunter auch operative Unabhängigkeit (als Autarkie bezeichnet) durchgesetzt.

Wenn Ihre Organisation diese Vorschriften einhalten muss, sollten Sie eine Strategie für die Erfüllung der Anforderungen an die Datenhoheit definieren. Wenn Ihre Organisation von lokalen Diensten zu Clouddiensten übergeht, müssen Sie die Strategie für die Datenhoheit entsprechend anpassen.

Modernisieren Ihrer Strategie für die Datenhoheit

Was Ihr lokales Rechenzentrum angeht, tragen Sie die Verantwortung für die meisten der im Allgemeinen mit der Datenhoheit verbundenen Aspekte wie:

• Rechenzentren, in denen Daten gespeichert und verarbeitet werden.
• Zugriff auf die Rechenzentren und die physische Infrastruktur.
• Hardware und Software, einschließlich Lieferkette für Hardware und Software.
• Sicherungsprozesse zur Validierung von Hardware und Software.
• Infrastruktur und Prozesse, die im Fall einer Katastrophe oder eines geopolitischen Ereignisses die Geschäftskontinuität wahren.
• Konfigurationen und Prozesse, die bestimmen, wer auf welche Daten und Systeme Zugriff hat.
• Tools und Prozesse, mit denen Daten und Systeme vor externen und internen Bedrohungen geschützt werden.

Wenn Sie Clouddienste einführen, wird die Verantwortung für diese Aspekte zu einer gemeinsamen Verantwortung. Ihr Complianceteam ändert die Strategie, mit der bestimmt wird, ob die Anforderungen an die Datenhoheit erfüllt sind. Das Complianceteam berücksichtigt Folgendes:

• Die Compliance der Clouddienste. Wie erfüllen die Dienste des Cloudanbieters die Anforderungen an Datenhoheit und Compliance?

• Die Compliance der Systeme und Prozesse, für die Ihre Organisation die Verantwortung trägt. Welche Tools stehen Ihnen zum Erfüllen der Anforderungen an Datenhoheit und Compliance zur Verfügung und wie verwenden Sie diese Tools?

Das Complianceteam muss gegebenenfalls mit einer Aufsichtsbehörde zusammenarbeiten, um den Einsatz alternativer Methoden zum Erreichen derselben Ziele genehmigen zu lassen. In manchen Fällen kann es notwendig sein, eine Vorschrift zu ändern und weitere Optionen aufzunehmen oder eine Anweisung anzupassen, sodass eine bestimmte Lösung verwendet werden kann, um ein gewünschtes Ergebnis zu erzielen. Das Ändern einer Vorschrift kann ein langwieriger Prozess sein. Es kann jedoch möglich sein, Ausnahmen zu erwirken, wenn Sie nachweisen können, dass die Absicht einer Vorschrift gewahrt bleibt.

Beispielsweise kann eine Vorschrift für Organisationen den Einsatz bestimmter Clouddienste beschränken, da die Isolationsanforderungen nur mittels Hardware-Isolation erfüllt werden können, die in der Cloud normalerweise nicht zur Verfügung steht. Das gewünschte Ergebnis kann aber auch mittels virtueller Isolation erreicht werden. Im Rahmen Ihrer Strategie müssen Sie die Art der Zusammenarbeit mit Aufsichtsbehörden und Auditierungsstellen für den Fall potenzieller Hindernisse bestimmen.

Weitere Informationen zum Erfüllen Ihrer Anforderungen an Compliance und Datenhoheit finden Sie unter Microsoft Cloud for Sovereignty.

Compliance von Clouddiensten

Das Complianceteam überprüft die Compliance des Clouddiensts anhand verschiedener Quellen und Methoden wie:

• Anbieterdokumentation über die Funktionsweise der Dienste und ihre Verwendung, z. B. Produktdokumentation und Systemsicherheitspläne nach dem US Federal Risk and Authorization Management Program (FedRAMP).

• Zertifizierungen unabhängiger Auditierungsstellen, die die Compliance nach globalen, regionalen und branchenspezifischen Compliance-Frameworks bescheinigen. Weitere Informationen finden Sie unter Complianceangebote für Microsoft 365 Azure und andere Microsoft-Dienste.

• Prüfberichte, die von unabhängigen Auditierungsstellen erstellt werden und Erkenntnisse darüber vermitteln, wie die Anforderungen globaler, regionaler und branchenspezifischer Compliance-Frameworks erfüllt werden. Einige Prüfberichte stehen im Service Trust Portal zur Verfügung.

• Audits, die vom Complianceteam oder in seinem Auftrag über Angebote für Anbieter-Audits durchgeführt werden, z. B. über das Government Security Program (nur für ausgewählte Kunden verfügbar).

• Transparenzprotokolle, die Angaben darüber enthalten, wann Microsoft-Techniker auf Ihre Ressourcen zugreifen.

Die von Ihrem Complianceteam verwendete Kombination aus Quellen und Methoden richtet sich nach dem benötigten Erkenntnisstand, nach Ihrem Vertrauen in die verschiedenen Optionen sowie nach Ihren Ressourcen und Ihrem Budget. Eine Zertifizierung einer externen Auditierungsstelle erspart Ihrem Team die Durchführung eines Audits und kostet weniger, erfordert aber Vertrauen in die Auditierungsstelle und den Auditprozess.

Compliance Ihrer Systeme und Prozesse

Den für die Compliance relevanten Prozessen und Systemen in Ihrer Organisation können die zusätzlichen Funktionen von Clouddiensten zugute kommen. Mit diesen Funktionen können Sie:

• Technische Richtlinien durchsetzen oder bekanntgeben. Sie können z. B. die Bereitstellung von Diensten oder Konfigurationen blockieren oder Verstöße melden, wenn die technischen Anforderungen an Datenhoheit und Compliance nicht erfüllt werden.

• Vorgefertigte Richtliniendefinitionen verwenden, die auf bestimmte Compliance-Frameworks ausgerichtet sind.

• Audits protokollieren und überwachen.

• Sicherheitstools verwenden. Weitere Informationen finden Sie unter Definieren einer Sicherheitsstrategie.

• Technische Sicherungs- und Überwachungsfunktionen ausführen, wie z. B. Confidential Computing in Azure.

Wägen Sie diese Funktionen für die Umgebung und die individuellen Workloads Ihrer Organisation sorgfältig ab. Bedenken Sie für jede Funktion den erforderlichen Aufwand, die Anwendbarkeit und die Funktionsweise. Die Durchsetzung von Richtlinien ist beispielsweise eine relativ einfache Methode, die die Compliance fördert, kann aber die nutzbaren Dienste und die Art ihrer Nutzung einschränken. Im Vergleich dazu ist die technische Sicherung mit einem erheblichen Aufwand verbunden und ist restriktiver, weil sie nur für einige Dienste verfügbar ist. Sie erfordert zudem umfangreiche Kenntnisse.

Einführen der gemeinsamen Verantwortung

Wenn Sie Clouddienste einführen, führen Sie auch ein Modell für die gemeinsame Verantwortung ein. Legen Sie fest, welche Verantwortlichkeiten an den Cloudanbieter übergehen und welche bei Ihnen verbleiben. Machen Sie sich bewusst, wie sich diese Änderungen auf die Anforderungen an die Datenhoheit für Vorschriften auswirken. Weitere Informationen finden Sie in den Ressourcen unter Compliance von Clouddiensten. Ziehen Sie die folgenden Ressourcen heran, um einen umfassenden Überblick zu erhalten:

• Sicherheit der Azure-Infrastruktur beschreibt, wie Microsoft für den Schutz der physischen Infrastruktur sorgt.

• Azure-Plattformintegrität und -sicherheit beschreibt, wie Microsoft die Plattform und die technischen Sicherungsprozesse vor Bedrohungen schützt.

• Datenresidenz in Azure beschreibt die Features für die Datenresidenz. Kunden in der Europäischen Union (EU) werden auf Microsoft EU-Datengrenze verwiesen.

Der Cloudanbieter sorgt über die Resilienz der Plattform teilweise für Geschäftskontinuität, indem die Kontinuität kritischer Systeme für den Betrieb der Cloud gewährleistet wird. Die von einer Workload genutzten Dienste verfügen über Kontinuitätsoptionen, die Sie zum Erstellen Ihrer Workloads verwenden können. Sie können auch andere Dienste nutzen, wie z. B. Azure Backup oder Azure Site Recovery. Weitere Informationen finden Sie in der Dokumentation zur Zuverlässigkeit von Azure.

Der Cloudanbieter ist verantwortlich für den Schutz des Zugriff auf die Cloudplattform sowohl vor internen als auch externen Bedrohungen. Kunden sind dafür verantwortlich, ihre Systeme so zu konfigurieren, dass ihre Daten durch Identitäts- und Zugriffsverwaltung, Verschlüsselung und andere Sicherheitsmaßnahmen geschützt sind. Weitere Informationen finden Sie unter Definieren einer Sicherheitsstrategie.

Verwenden von Klassifizierungen zum Unterscheiden von Daten

Für unterschiedliche Arten von Daten und Workloads können unterschiedliche Anforderungen an die Datenhoheit gelten. Das ist abhängig von Faktoren wie der Vertraulichkeit der Daten und davon, ob sie vertrauliche Daten enthalten. Es ist wichtig zu verstehen, welche Datenklassifizierungen für Ihre Organisation gelten und welche Daten und Systeme welchen Klassifizierungen unterliegen. Manche Daten und Anwendungen unterliegen mehreren Vorschriften, was eine Kombination aus Anforderungen erforderlich macht. Beispielsweise kann es eine Vorschrift in Bezug auf die Vertraulichkeit von Daten und die Kritikalität eines Systems geben. Die resultierenden Klassifizierungen können hohe Vertraulichkeit und geringe Kritikalität oder mittlere Vertraulichkeit und hohe Kritikalität sein.

Wenn Sie die Anforderungen an die Datenhoheit erfüllen, kann sich das auf andere Faktoren auswirken, wie z. B. Kosten, Resilienz, Skalierbarkeit, Sicherheit und Reichhaltigkeit der Dienste. Für Ihre Strategie für die Datenhoheit ist es wichtig, die richtigen Kontrollen für eine Datenklassifizierung anzuwenden. Ein Universalkonzept führt zu einer Umgebung, die die höchsten Complianceanforderungen favorisiert, was vermutlich am kostspieligsten und unvorteilhaftesten ist.

Nächste Schritte

• Cloud for Sovereignty bietet Einblicke in Datenhoheitsfunktionen auf der Azure-Plattform und beschreibt die Herangehensweise an Anforderungen an die Datenhoheit.

• Sicherheit und Datenhoheit sind nicht das Gleiche, aber Datenhoheit ist ohne Sicherheit nicht möglich. Sie müssen daher eine Sicherheitsstrategie definieren, die sich in Ihre Strategie für die Datenhoheit einfügt.