Sicherheit sensibler Informationssysteme: Die Empfehlungen des ANSSI

Die Sicherheit von Informationssystemen (IS) ist entscheidend für den Schutz sensibler Daten, unabhängig davon, ob es sich um öffentliche oder private Daten handelt. Die Nationale Agentur für die Sicherheit von Informationssystemen (ANSSI) hat spezielle Empfehlungen für das Hosting von IS in der Cloud erstellt, die sich nach der Sensibilität der IS und der Art der Bedrohungen richten, denen sie ausgesetzt sind. Dieser Artikel erläutert diese Empfehlungen und die Kriterien, die für eine optimale Sicherheit berücksichtigt werden müssen.

Die für die Umsetzung der Empfehlungen notwendigen Werkzeuge

Die Empfehlungen des ANSSI basieren auf drei Schlüsselelementen:

1. Die Typologie der Cloud-Angebote
2. Die Typologie der Bedrohungen
3. Die Art der Informationssysteme

1. Die Typologie der Cloud-Angebote laut ANSSI

Die Typologie der Cloud-Angebote ist entscheidend für die Bestimmung des erforderlichen Sicherheitsniveaus. Die Angebote können kommerziell (öffentlich, privat, gemeinschaftlich) oder nicht kommerziell (intern, gemeinschaftlich) sein.

Kommerzielle Cloud-Angebote

1. Öffentlich : Dieses Angebot wird für alle Kunden des Angebots gepoolt. Es ermöglicht eine hohe Flexibilität und Skalierbarkeit, kann aber aufgrund der gemeinsamen Nutzung von Ressourcen Risiken in Bezug auf die Sicherheit und Vertraulichkeit der Daten bergen.
2. Privat : Das private Cloud-Angebot ist einer einzelnen Einheit gewidmet und bietet Ressourcen (Prozessor, Speicherplatz), die physisch der betreffenden Einheit gewidmet sind. Dies ermöglicht eine größere Kontrolle über die Sicherheit und Verwaltung der Daten, kann aber teurer sein als gepoolte Lösungen.
3. Gemeinschaftlich Cloud-Angebote werden eingesetzt, um die Bedürfnisse einer Gruppe von Einrichtungen mit gemeinsamen Interessen zu erfüllen, unabhängig davon, ob es sich um staatliche oder private Einrichtungen handelt. Die Ressourcen werden von den Mitgliedern der Gemeinschaft gemeinsam genutzt, wodurch die Kosten geteilt und die Nutzung der Infrastruktur optimiert werden können.

Nicht-kommerzielle Cloud-Angebote

1. Intern Diese Art von Angebot wird intern in der Infrastruktur der nutzenden Einheit bereitgestellt. Der Betrieb und die Überwachung der Infrastruktur können von der Einheit oder einem Subunternehmer übernommen werden. Bei diesem Ansatz kann die Einheit die Vorteile der Cloud wie Flexibilität und Skalierbarkeit nutzen und gleichzeitig eine strenge Kontrolle über die Sicherheit und das Datenmanagement behalten.
2. Gemeinschaftlich In einigen besonderen Fällen können Unternehmen der gleichen Branche ihre Bedürfnisse bündeln und eine gemeinschaftliche Cloud-Infrastruktur aufbauen. Auf diese Weise können Kosten und Ressourcen geteilt werden, während ein gewisses Maß an Kontrolle und Sicherheit erhalten bleibt. Beispiele für diese Art von Angeboten sind Initiativen wie Pi und Nubo.

2. Die Typologie der Bedrohungen

Informationssysteme können verschiedenen Bedrohungstypologien ausgesetzt sein. Die ANSSI unterscheidet drei Hauptkategorien von Bedrohungen: strategische Bedrohungen, systemische Bedrohungen und hacktivistische oder isolierte Bedrohungen.

Strategische Bedrohung

Strategische Bedrohungen äußern sich in hartnäckigen und gezielten Computerangriffen, die häufig von Staaten finanziert werden. Diese Angriffe nutzen erhebliche technische und organisatorische Mittel und werden mit großer Geheimhaltung durchgeführt. Diese Bedrohungen zielen häufig darauf ab, Institutionen zu destabilisieren oder die nationale Sicherheit zu gefährden, und richten sich gegen kritische Infrastrukturen oder strategische Sektoren.

Einige Staaten können auf extraterritoriale Gesetze oder spezielle Gesetze zurückgreifen, um auf in der Cloud gehostete Daten zuzugreifen, ohne einen Cyberangriff durchzuführen. Hosting-Anbieter, die diesen Gesetzen unterliegen, müssen die Daten ihrer Kunden an die Behörden weiterleiten, oft ohne die Möglichkeit, Rechtsmittel einzulegen oder die betroffenen Kunden vorher zu informieren.

Systemische Bedrohung

Systemische Bedrohungen können eine Vielzahl von Einrichtungen betreffen und umfassen vor allem die Bedrohung durch Cyberkriminalität, die durch opportunistische und oft lukrative Computerangriffe wie Lösegeld und Betrug gekennzeichnet ist.

Diese Bedrohungen werden auch durch die zunehmende Verfügbarkeit von offensiven Werkzeugen und Dienstleistungen, die von Privatunternehmen vermarktet werden, verstärkt. Diese Dienste können für Wirtschaftsintelligenz und Industriespionage genutzt werden oder es bestimmten Staaten mit begrenzten Ressourcen ermöglichen, offensive Fähigkeiten zu erlangen.

Hacktivistische oder isolierte Bedrohung

Hacktivistische oder isolierte Bedrohungen sind oft durch politische oder soziale Ideologien motiviert. Hacktivisten versuchen, eine Sache zu fördern oder gegen bestimmte Aktionen zu protestieren, indem sie die Informationssysteme ihrer Ziele stören. Die Angriffe können Verunstaltungen von Webseiten, Distributed Denial of Service (DDoS) oder Datenlecks umfassen. Isolierte Bedrohungen hingegen werden oft von Einzelpersonen oder kleinen Gruppen ohne Zugehörigkeit zu größeren Organisationen verübt.

Fokus auf das SecNumCloud-Referenzsystem und die Qualifikation

• Die SecNumCloud-Referenzsystem der ANSSI schlägt Sicherheitsregeln und bewährte Verfahren vor, die ein hohes Sicherheitsniveau gewährleisten. Die SecNumCloud-Qualifizierung stellt sicher, dass die Cloud-Angebote diese Anforderungen sowohl aus technischer als auch aus operativer Sicht erfüllen.

 

• Die SecNumCloud-Qualifikationwird von der ANSSI für PaaS-, IaaS- und SaaS-Cloud-Angebote vergeben und stellt das Vertrauen in die Cloud-Angebote und Betriebspraktiken der qualifizierten Betreiber sicher. Diese Qualifikation garantiert jedoch nicht die Sicherheit der digitalen Dienste von Kunden, die diese Angebote nutzen.

 

• Das "Sicherheitsvisum" SecNumCloud ermöglicht es Nutzern, Cloud-Angebote zu identifizieren, die darauf abzielen, sensible Daten und Verarbeitungen vor Bedrohungen durch Cyberkriminalität und extraterritoriale Gesetze zu schützen. Diese Qualifikation erleichtert auch die Zulassungsprozesse für die digitalen Dienste der Kunden, da sie ihnen ein gewisses Maß an Garantie für die zugrunde liegende Infrastruktur bietet.

3. Die Art der Informationssysteme

Das dritte Schlüsselelement der ANSSI-Empfehlungen beruht auf der Art der betroffenen Informationssysteme:

1. Informationssysteme der Ebene eingeschränkte Verbreitung (DR) Diese Systeme verarbeiten Daten, die als eingeschränkte Verbreitung eingestuft sind und besondere Schutzmaßnahmen erfordern, um eine unbefugte Offenlegung zu verhindern.
2. Sensible Informationssysteme, die unter die Cloud-Doktrin im Zentrum des Staates fallen Diese Systeme, außerhalb von SIIV, verarbeiten sensible Daten gemäß dem Cloud-Rundschreiben im Zentrum und erfordern besondere Aufmerksamkeit, um ihre Sicherheit zu gewährleisten.
3. Sensible Informationssysteme von Betreibern lebenswichtiger Dienste (OIV) und Betreibern wesentlicher Dienste (OSE) : Obwohl sie nicht wie die IIVS reguliert sind, gelten diese Systeme aufgrund der Art der Daten, die sie verarbeiten, als sensibel und erfordern verstärkte Schutzmaßnahmen.
4. Lebenswichtige Informationssysteme (VIS) Diese Systeme sind für die nationale und wirtschaftliche Sicherheit sowie die Überlebensfähigkeit der Nation von entscheidender Bedeutung. Eine Beeinträchtigung ihrer Sicherheit oder ihres Betriebs könnte diese Aspekte ernsthaft gefährden und damit eine erhebliche Gefahr für die Bevölkerung darstellen.

Die Anwendung der ANSSI-Empfehlungen

Die ANSSI definiert für die vier oben dargestellten Informationssysteme je nach Sensibilität der Verarbeitung und der Daten sowie der damit verbundenen Bedrohungsstufe die folgenden Empfehlungen:

Sensitive SI auf DR-Ebene

• Die ANSSI empfiehlt die Nutzung von nicht-kommerziellen, SecNumCloud-qualifizierten Cloud-Angeboten (intern und in der Gemeinschaft) sowie von privaten kommerziellen Angeboten. Diese Optionen ermöglichen die Nutzung einer dedizierten Infrastruktur und verringern so das Risiko, dass sich ein Angriff von einem Kunden auf einen anderen ausbreitet.
• Kommerzielle SecNumCloud-qualifizierte Cloud-Angebote, seien sie gemeinschaftlich oder öffentlich, sind ebenfalls denkbar. Sie beinhalten jedoch die gemeinsame Nutzung von IT-Ressourcen durch mehrere Kunden (z. B. die Speicherung von Daten auf derselben physischen Ressource oder das Hosten von Websites auf denselben physischen Servern).

Outsourcing des Hostings

Die Entscheidung, das Hosting auf ein kommerzielles, SecNumCloud-qualifiziertes Cloud-Angebot auszulagern, muss von der betreffenden Einrichtung getroffen werden und auf einer Risikoanalyse basieren, die belegt, dass die Lösung ein angemessenes Schutzniveau bietet.
Es ist entscheidend, den Standort des Hostings und die Nationalität der Administratoren zu berücksichtigen, wenn der Zugriff auf bestimmte Informationen aufgrund der Nationalität eingeschränkt ist (z. B. Informationen Diffusion Restreinte - Special France). In diesem Fall könnte ein nicht-kommerzielles Cloud-Angebot besser geeignet sein, um die Anforderungen von IGI 1300 zu erfüllen.

Sensible IS, die unter die Cloud-Doktrin im Zentrum des Staates fallen

• Gemäß der "Cloud-im-Zentrum-Doktrin" des Staates müssen diese Systeme ausschließlich in SecNumCloud-qualifizierten Cloud-Angeboten (intern, privat, gemeinschaftlich oder öffentlich) gehostet werden.

Sensible IS eines Betreibers von lebenswichtigen Diensten und sensible IS eines Betreibers von wesentlichen Diensten (einschließlich wesentlicher Informationssysteme)

• Die ANSSI empfiehlt die Nutzung jedes qualifizierten SecNumCloud-Angebots für diese Systeme.

Lebenswichtiges IS (VIS)

• Aufgrund der Sensibilität der Verarbeitung und der Daten, die sie verwalten, erfordern VIS eine begründete Entscheidung des Leiters der betroffenen Stelle.
• Für Cloud-kompatible VIS empfiehlt die ANSSI nicht-kommerzielle (interne und gemeinschaftliche) und private kommerzielle SecNumCloud-qualifizierte Cloud-Angebote, die eine dedizierte Infrastruktur ermöglichen und das Risiko minimieren, dass sich ein Angriff von einem Kunden auf einen anderen ausbreitet.

Bedingungen für andere Arten von kommerziellen Cloud-Angeboten

ANSSI schließt die Nutzung anderer Arten von kommerziellen Cloud-Angeboten nicht aus, vorausgesetzt, dass :

• sie SecNumCloud-qualifiziert sind
• Der Leiter der Einheit stützt seine Entscheidung auf eine begründete Risikoanalyse bezüglich der Auslagerung des Hostings des IIVS und darauf, dass alle für das IIVS geltenden rechtlichen Verpflichtungen eingehalten werden.