Der Schutz sensibler Bürgerdaten ist für Behörden eine Kernaufgabe. Dabei setzt sich eine wichtige Erkenntnis durch: Die Cloud bietet heute mehr Sicherheit als eigene Rechenzentren. Diese Einschätzung teilen inzwischen viele Organisationen - vom Militär bis zu internationalen Banken.
Für die Bewertung der Datensicherheit ziehen Organisationen typischerweise drei entscheidende Kriterien heran: Vertraulichkeit, Integrität und Verfügbarkeit. Diese 'CIA-Triade' ist der Massstab im Sicherheitsrisikomanagement. Vertraulichkeit bedeutet, dass nur Befugte Zugriff haben. Integrität stellt sicher, dass Daten nicht unerlaubt verändert werden können. Verfügbarkeit garantiert den Zugriff, wann immer er nötig ist. In allen drei Bereichen ist die Cloud der lokalen Speicherung überlegen.
Bei der Vertraulichkeit hilft eine durchdachte Datenklassifizierung. Sie zeigt, welche Daten wo liegen und wer darauf zugreifen darf. Die Cloud macht dies besonders übersichtlich und ermöglicht eine einfache Kontrolle. Spezielle Dienste protokollieren dabei alle Aktivitäten. Zwar lässt sich auch eine lokale Infrastruktur absichern, der Aufwand ist aber höher und Sicherheitslücken sind wahrscheinlicher.
Die Integrität der Daten hängt vom Schutz gegen Bedrohungen ab. Cloud-Anbieter investieren Milliarden in Sicherheit und überwachen ihre Systeme rund um die Uhr. Bei On-Premises-Rechenzentren dauert es im Schnitt neun Monate, bis ein Datenleck entdeckt und behoben wird. Cloud-Infrastrukturen erfüllen dagegen höchste Sicherheitsanforderungen - sie genügen selbst den Standards von Militär und Grossbanken. Alle Daten werden verschlüsselt, bevor sie die gesicherten Rechenzentren verlassen.
Auch bei der Verfügbarkeit punktet die Cloud. Behördendienste müssen permanent verfügbar sein. Die vermeintlich bessere Kontrolle durch lokale Speicherung ist dabei ein Trugschluss. Cloud-Anbieter speichern Daten in mehreren, voneinander unabhängigen Rechenzentren - sogenannten Verfügbarkeitszonen. Diese sind räumlich getrennt, aber über schnelle Netzwerke verbunden. Jede Zone hat eigene Stromversorgung und Kühlung. Der Datenverkehr zwischen den Zonen ist verschlüsselt.
Die hohe Sicherheit der Cloud basiert auf drei Säulen: Erstens können Updates schnell eingespielt werden, was alle Systeme aktuell hält. Zweitens lassen sich Sicherheitseinstellungen flexibel anpassen und ungewöhnliche Aktivitäten sofort erkennen. Drittens wird jede Aktion protokolliert und braucht eine Freigabe.
Dabei gilt: Auch die Nutzer der Cloud tragen Verantwortung für die Sicherheit. Während die Anbieter für sichere Hardware, Software und Speicher sorgen, verantworten Kunden die Einrichtung der Verschlüsselung sowie den Schutz ihrer Anwendungen und ihres Datenverkehrs. Dafür stehen umfangreiche Tools bereit, die sich an den jeweiligen Sicherheitsanforderungen ausrichten.
Öffentliche Einrichtungen werden weiterhin klare Sicherheitsrichtlinien und einen IT-Sicherheitsbeauftragten (CISO) brauchen. Im Idealfall sitzt auch ein Cybersicherheits-Experte im Führungsgremium. Die Cloud verbessert dabei die Qualität von Sicherheitsentscheidungen durch bessere Daten - von Bedrohungslagen bis zur Systemzuverlässigkeit.
Der Autor
Peter Ronchetti ist General Manager Switzerland/Austria Public Sector bei AWS. Mit seiner über 20-jährigen Erfahrung im Public Sector, Healthcare- und Government-Bereich unterstützt er mit seiner Organisation öffentliche Einrichtungen bei ihrer digitalen Transformation. Sein Fokus liegt dabei auf der sicheren und effizienten Nutzung von
Cloud-Technologien im Gesundheitswesen sowie der digitalen Modernisierung von Verwaltungsstrukturen.
