Das Audit von CloudFit beruht methodisch auf den ISO-Normen der 27000er-Reihe. Dazu werden beispielsweise die relevanten Bereiche des bestehenden IT-Sicherheitsmanagements samt seiner Organisation ebenso untersucht wie die datenschutzrelevanten und vertraglichen Aspekte der betreffenden Cloud-Lösungen untersucht. Ein gleichermaßen großes Augenmerk gilt aber auch dem Sicherheitsprofil und den Service Levels des Cloud-Providers, seinen spezifischen Verfügbarkeitsbedingungen und den Compliance-Anforderungen des Anwenderunternehmens.
„Die Bewertung der Informationssicherheit beim Einsatz von Cloud-Services darf sich nicht auf den Dienst selbst reduzieren, sondern muss die gesamten jeweiligen Bedingungen auf der Anwender- und Providerseite über den gesamten Lifecycle der Nutzung abbilden“, beschreibt Robert Hellwig die Anforderung. Der IT-Security-Analyst der mikado ag warnt deshalb vor dem Cloud-Einsatz ohne vorherige genaue Betrachtung der möglichen Sicherheitsrisiken. „Eine Entscheidung ist recht einfach getroffen, aber die negativen Konsequenzen können sehr weitreichend sein.“
Hellwig weist in diesem Zusammenhang zudem darauf hin, dass Fachabteilungen in den Unternehmen zunehmend selbstständig Cloud-Dienste ordern, aber meist nicht über die notwendige Expertise verfügen, um die Sicherheitskonsequenzen ausreichend einschätzen zu können. „Insbesondere wenn es noch keine unternehmensweit gültige Cloud-Policy als differenzierten Planungs- und Entscheidungsrahmen gibt, lassen sich die möglichen Entscheidungsrisiken mit CloudFit relativ einfach in den Griff bekommen.“
Für diese hochstandardisierten Audits setzt mikado nicht nur praxisbewährte Checklisten ein, sondern ebenso ihre Best Practice Guideline „miLEAN“. Sie zielt darauf ab, die Analyse schlank und kostenschonend durchführen zu können.
