Sicherheit sensibler Informationssysteme: Die Empfehlungen der ANSSI

Die Sicherheit von Informationssystemen (IS) ist für den Schutz sensibler Daten von entscheidender Bedeutung, unabhängig davon, ob es sich um öffentliche oder private Daten handelt. Die Nationale Agentur für die Sicherheit von Informationssystemen (ANSSI) hat spezifische Empfehlungen für das Hosting von Informationssystemen in der Cloud herausgegeben, die sich nach deren Sensibilität und der Art der Bedrohungen richten, denen sie ausgesetzt sind. Dieser Artikel stellt diese Empfehlungen sowie die Kriterien vor, die zur Gewährleistung einer optimalen Sicherheit zu berücksichtigen sind.

Die für die Umsetzung der Empfehlungen erforderlichen Instrumente

Die Empfehlungen der ANSSI stützen sich auf drei wesentliche Elemente:

1. Die Typologie der Cloud-Angebote
2. Die Typologie der Bedrohungen
3. Die Beschaffenheit von Informationssystemen

1. Die Typologie der Cloud-Angebote laut ANSSI

Die Typologie der Cloud-Angebote ist entscheidend für die Bestimmung des erforderlichen Sicherheitsniveaus. Die Angebote können kommerziell (öffentlich, privat, gemeinschaftlich) oder nicht kommerziell (intern, gemeinschaftlich) sein.

Kommerzielle Cloud-Angebote

1. Öffentlich : Dieses Angebot wird für alle Kunden des Angebots gemeinsam genutzt. Es ermöglicht ein hohes Maß an Flexibilität und Skalierbarkeit, kann jedoch aufgrund der gemeinsamen Nutzung der Ressourcen Risiken hinsichtlich der Datensicherheit und des Datenschutzes mit sich bringen.
2. Privat : Das Private-Cloud-Angebot ist für eine einzige Organisation bestimmt und stellt Ressourcen (Prozessor, Speicherplatz) bereit, die physisch ausschließlich dieser Organisation zugewiesen sind. Dies ermöglicht eine bessere Kontrolle über die Sicherheit und die Verwaltung der Daten, kann jedoch kostspieliger sein als gemeinsam genutzte Lösungen.
3. Gemeinschaftlich : Diese Art von Cloud-Angebot wird bereitgestellt, um den Anforderungen einer Gruppe von Einrichtungen gerecht zu werden, die gemeinsame Interessen verfolgen, unabhängig davon, ob es sich um staatliche oder private Einrichtungen handelt. Die Ressourcen werden unter den Mitgliedern der Gemeinschaft gemeinsam genutzt, wodurch eine Kostenteilung ermöglicht und die Auslastung der Infrastrukturen optimiert wird.

Nicht-kommerzielle Cloud-Angebote

1. Intern : Diese Art von Angebot wird intern in der Infrastruktur der nutzenden Einheit bereitgestellt. Der Betrieb und die Überwachung der Infrastrukturen können entweder von der Organisation selbst oder von einem Auftragnehmer übernommen werden. Dieser Ansatz ermöglicht es der Organisation, die Vorteile der Cloud wie Flexibilität und Skalierbarkeit zu nutzen und gleichzeitig die strenge Kontrolle über die Sicherheit und die Datenverwaltung zu behalten.
2. Gemeinschaftlich : In bestimmten Fällen können Unternehmen derselben Branche ihren Bedarf bündeln, um eine gemeinschaftliche Cloud-Infrastruktur aufzubauen. Dies ermöglicht die gemeinsame Nutzung von Kosten und Ressourcen bei gleichzeitiger Wahrung eines gewissen Maßes an Kontrolle und Sicherheit. Beispiele für solche Angebote sind Initiativen wie Pi und Nubo.

2. Die Typologie der Bedrohungen

Informationssysteme können verschiedenen Arten von Bedrohungen ausgesetzt sein. Die ANSSI unterscheidet drei große Kategorien von Bedrohungen: strategische Bedrohungen, systemische Bedrohungen sowie hacktivistische oder vereinzelte Bedrohungen.

Strategische Bedrohung

Strategische Bedrohungen äußern sich in hartnäckigen und gezielten Computerangriffen, die häufig von Staaten finanziert werden. Diese Angriffe nutzen erhebliche technische und organisatorische Mittel und werden mit großer Geheimhaltung durchgeführt. Diese Bedrohungen zielen häufig darauf ab, Institutionen zu destabilisieren oder die nationale Sicherheit zu gefährden, und richten sich gegen kritische Infrastrukturen oder strategische Sektoren.

Bestimmte Staaten können sich auf extraterritoriale Gesetze oder spezifische Rechtsvorschriften stützen, um auf in der Cloud gespeicherte Daten zuzugreifen, ohne einen Cyberangriff durchzuführen. Hosting-Anbieter, die diesen Gesetzen unterliegen, sind verpflichtet, die Daten ihrer Kunden an die Behörden weiterzugeben, oft ohne Möglichkeit eines Rechtsbehelfs oder einer vorherigen Benachrichtigung der betroffenen Kunden.

Systemische Bedrohung

Systemische Bedrohungen können eine große Anzahl von Einrichtungen betreffen und umfassen in erster Linie die Bedrohung durch Cyberkriminalität, die durch opportunistische und oft lukrative Cyberangriffe wie Ransomware und Betrugsdelikte gekennzeichnet ist.

Diese Bedrohungen werden zudem durch die zunehmende Verfügbarkeit von Angriffstools und -diensten verstärkt, die von privaten Unternehmen vermarktet werden. Diese Dienste können für Wirtschaftsspionage und Industriespionage genutzt werden oder es bestimmten Staaten mit begrenzten Ressourcen ermöglichen, offensive Fähigkeiten zu erwerben.

Hacktivistische oder isolierte Bedrohung

Hacktivistische oder vereinzelte Bedrohungen sind häufig durch politische oder soziale Ideologien motiviert. Hacktivisten versuchen, eine Sache zu fördern oder gegen bestimmte Handlungen zu protestieren, indem sie die Informationssysteme ihrer Ziele stören. Zu den Angriffen können die Verunstaltung von Websites, verteilte Denial-of-Service-Angriffe (DDoS) oder Datenlecks gehören. Einzelgängerische Bedrohungen gehen hingegen häufig von Einzelpersonen oder kleinen Gruppen aus, die keiner größeren Organisation angehören.

Fokus auf das SecNumCloud-Referenzsystem und die Qualifikation

• Die SecNumCloud-Referenzsystem Die ANSSI legt Sicherheitsvorschriften und bewährte Verfahren fest, die ein hohes Sicherheitsniveau gewährleisten. Die SecNumCloud-Zertifizierung stellt sicher, dass Cloud-Angebote diese Anforderungen sowohl in technischer als auch in betrieblicher Hinsicht erfüllen.

 

• Die SecNumCloud-Qualifikation, die auf diesem Referenzrahmen basiert, wird von der ANSSI an Cloud-Angebote in den Bereichen PaaS, IaaS oder SaaS vergeben und gewährleistet das Vertrauen in die Cloud-Angebote und die Betriebsabläufe der qualifizierten Betreiber. Diese Qualifikation garantiert jedoch nicht die Sicherheit der digitalen Dienste der Kunden, die diese Angebote nutzen.

 

• Das « Sicherheitszertifikat » SecNumCloud ermöglicht es den Nutzern, Cloud-Angebote zu identifizieren, die darauf abzielen, sensible Daten und Verarbeitungsprozesse vor Cyberbedrohungen und extraterritorialen Gesetzen zu schützen. Diese Qualifizierung erleichtert zudem die Zulassungsverfahren für die digitalen Dienste der Kunden, indem sie ihnen ein gewisses Maß an Sicherheit hinsichtlich der zugrunde liegenden Infrastrukturen bietet.

3. Die Art der Informationssysteme

Der dritte zentrale Punkt der Empfehlungen der ANSSI bezieht sich auf die Art der betroffenen Informationssysteme:

1. Informationssysteme mit eingeschränkter Verbreitung (DR) Diese Systeme verarbeiten Daten, die als eingeschränkte Verbreitung eingestuft sind und besondere Schutzmaßnahmen erfordern, um eine unbefugte Offenlegung zu verhindern.
2. Sensible Informationssysteme im Rahmen der Cloud-Strategie der staatlichen Zentralverwaltung Diese Systeme, außerhalb von SIIV, verarbeiten sensible Daten gemäß dem Cloud-Rundschreiben im Zentrum und erfordern besondere Aufmerksamkeit, um ihre Sicherheit zu gewährleisten.
3. Sensible Informationssysteme von Betreibern von wichtigen Einrichtungen (OIV) und Betreibern wesentlicher Einrichtungen (OSE) : Obwohl diese Systeme nicht wie SIIV reguliert sind, gelten sie aufgrund der Art der von ihnen verarbeiteten Daten als sensibel, was verstärkte Schutzmaßnahmen erforderlich macht.
4. Lebenswichtige Informationssysteme (SIIV) Diese Systeme sind für die nationale und wirtschaftliche Sicherheit sowie die Überlebensfähigkeit der Nation von entscheidender Bedeutung. Eine Beeinträchtigung ihrer Sicherheit oder ihres Betriebs könnte diese Aspekte ernsthaft gefährden und damit eine erhebliche Gefahr für die Bevölkerung darstellen.

Die Umsetzung der Empfehlungen der ANSSI

Die ANSSI definiert für die vier oben dargestellten Informationssysteme je nach Sensibilität der Verarbeitung und der Daten sowie der damit verbundenen Bedrohungsstufe die folgenden Empfehlungen:

Sensitive SI auf DR-Ebene

• Die ANSSI empfiehlt die Nutzung von nichtkommerziellen, SecNumCloud-zertifizierten Cloud-Angeboten (interne und gemeinschaftliche) sowie von privaten kommerziellen Angeboten. Diese Optionen ermöglichen den Einsatz einer dedizierten Infrastruktur, wodurch das Risiko einer Ausbreitung eines Angriffs von einem Kunden auf einen anderen verringert wird.
• Kommerzielle, SecNumCloud-zertifizierte Cloud-Angebote – sei es in Form von Community- oder öffentlichen Clouds – kommen ebenfalls in Betracht. Diese beinhalten jedoch eine gemeinsame Nutzung der IT-Ressourcen durch mehrere Kunden (beispielsweise die Speicherung von Daten auf derselben physischen Ressource oder das Hosting von Websites auf denselben physischen Servern).

Auslagerung des Hosting-Betriebs

Die Entscheidung, das Hosting auf ein kommerzielles Cloud-Angebot mit SecNumCloud-Zertifizierung auszulagern, muss von der betreffenden Stelle getroffen werden, und zwar auf der Grundlage einer Risikoanalyse, die belegt, dass die Lösung ein angemessenes Schutzniveau bietet.
Es ist von entscheidender Bedeutung, den Standort des Hostings und die Staatsangehörigkeit der Administratoren zu berücksichtigen, wenn der Zugriff auf bestimmte Informationen durch die Staatsangehörigkeit eingeschränkt ist (beispielsweise Informationen mit der Kennzeichnung „Eingeschränkte Verbreitung – speziell für Frankreich“). In diesem Fall könnte ein nichtkommerzielles Cloud-Angebot besser geeignet sein, um die Anforderungen der IGI 1300 zu erfüllen.

Sensible IT-Systeme im Rahmen der Cloud-Strategie im staatlichen Kernbereich

• Gemäß der «Cloud-im-Zentrum»-Doktrin des Staates müssen diese Systeme ausschließlich in SecNumCloud-zertifizierten Cloud-Angeboten (internen, privaten, gemeinschaftlichen oder öffentlichen) gehostet werden.

Sensible IS eines Betreibers von lebenswichtigen Diensten und sensible IS eines Betreibers von wesentlichen Diensten (einschließlich wesentlicher Informationssysteme)

• Die ANSSI empfiehlt für diese Systeme die Nutzung eines als „SecNumCloud“ zertifizierten Angebots.

Lebenswichtiges IS (VIS)

• Aufgrund der Sensibilität der Verarbeitungsvorgänge und der dabei verarbeiteten Daten erfordern SIIV einen begründeten Beschluss des Verantwortlichen der betreffenden Einrichtung.
• Für Cloud-kompatible SIIV empfiehlt die ANSSI die SecNumCloud-zertifizierten Cloud-Angebote – sowohl nichtkommerzielle (interne und gemeinschaftliche) als auch private kommerzielle –, die den Einsatz einer dedizierten Infrastruktur ermöglichen und das Risiko einer Ausbreitung eines Angriffs von einem Kunden auf einen anderen minimieren.

Bedingungen für andere Arten kommerzieller Cloud-Angebote

Die ANSSI schließt die Nutzung anderer Arten kommerzieller Cloud-Angebote nicht aus, sofern:

• sie SecNumCloud-qualifiziert sind
• Der Leiter der Einheit stützt seine Entscheidung auf eine fundierte Risikoanalyse hinsichtlich der Auslagerung des Hostings des SIIV und stellt sicher, dass alle für das SIIV geltenden regulatorischen Verpflichtungen eingehalten werden.