Sichere Nutzung der Cloud: Wann dürfen vertrauliche Daten in externe Cloud-Dienste?

In Forschung, Lehre und Verwaltung der ETH ist virtuelles, vernetztes Arbeiten un?um?g?ng?lich. Daf¨¹r scheinen Cloud-Dienste eine sehr zug?ngliche L?sung zu bieten.

Allerdings: Wenn diese Cloud-Dienste von externen Anbietern angeboten werden (sogenannte externe IT-Services), ist nicht gesichert, in welchem Land die Daten der ETH liegen, welche Gesetze greifen (z.B. beim Datenschutz), und wie gut die Daten vom Anbieter gesch¨¹tzt werden.

Deshalb d¨¹rfen als ?intern? und als ?vertraulich? klassifizierte Daten nicht unbesehen in externe Cloud-Dienste geladen werden ¨C und als ?streng vertraulich? eingestufte Daten d¨¹rfen ¨¹berhaupt nicht in der Cloud gespeichert oder bearbeitet werden (vgl. Art. 22 bzw. Art. 22^bis der Weisung ?Informationssicherheit an der ETH Z¨¹rich?).

Im Folgenden finden Sie Antworten auf einige der h?ufigsten Fragen rund um die Cloud-Nutzung.

Darf ich generell Cloud-Dienste an der ETH f¨¹r interne und vertrauliche Daten verwenden?

Ja, aber nur unter bestimmten Voraussetzungen. Die ETH stellt selbst eigene Cloud-Dienste zur Verf¨¹gung. Sie sind daher unbedenklich und k?nnen auch f¨¹r Daten genutzt werden, die als ?intern? und ?vertraulich? eingestuft sind.

Diese internen Cloud-Dienste stehen zur Verf¨¹gung:

• Polybox: Speicherplatz, der allen ETH-Angeh?rigen zur Verf¨¹gung steht. Die Polybox erm?glicht zudem das gemeinsame Arbeiten an Dokumenten. Vertrauliche Daten d¨¹rfen in der Polybox gespeichert werden.
• Wenn ein besonders hoher Schutz f¨¹r Forschungsdaten gew?hrleistet sein muss, bieten die Scientific IT Services passende Plattformen an, wie z.B. Leonhard Med.  

Wie k?nnen externe Cloud-Dienste an der ETH genutzt werden?

In diesem Fall muss aufgrund vorgegebener Kriterien eingesch?tzt werden, ob ein externer Cloud-Dienst f¨¹r ?interne? oder ?vertrauliche? Daten sicher genug ist.

Um externe Cloud-Dienste an der ETH einheitlich nutzen zu k?nnen und um einen ausreichenden Schutz der auszulagernden Daten anzustreben, sind zwei Rollen definiert wor?den: Service-Vermittelnde und Infor?ma?tions?eig?nerinnen und -eigner.

Service-Vermittelnde

Rolle: ?Service-Vermittelnde? beziehen externe IT-Dienstleistungen wie Cloud-Dienste und verantworten im Wesentlichen das Vertragsmanagement mit dem Cloud-Anbieter. Typischerweise sind Service-Vermittelnde die zentralen In?for?ma?tik?dienste, die Informatik-Support-Gruppen, aber auch Professorinnen und Professoren, die f¨¹r die Mit?glie?der ihrer Gruppe oder f¨¹r das benachbarte Institut einen spezifischen Cloud-Dienst zur Ver?f¨¹?gung stel?len m?chten, oder aber auch Departementsvorsteherinnen und -vorsteher bzw. -koordinatoren sowie Ab?tei?lungs- oder Stabsleitende etc.

Aufgaben: Der/die Service-Vermittelnde ¨¹berpr¨¹ft im Zuge des Vertragsmanagements den vom externen Cloud-Dienst gebotenen Schutz f¨¹r die auszulagernden Daten der ETH. Aufgrund dieser Pr¨¹fung gibt er/sie den externen Cloud-Dienst f¨¹r den vorgesehenen Einsatzzweck f¨¹r ETH-Angeh?rige frei.

Ob als ?intern? oder als ?vertraulich? klassifizierte Daten in einen externen Cloud-Dienst ausgelagert werden d¨¹rfen, ist abh?ngig davon, wie hoch der Schutz f¨¹r diese Daten sein muss. Beispiele f¨¹r zu ¨¹berpr¨¹fende Kriterien sind: Multi-Faktor-Authentifizierung, Datenschutz-Vor?ga?ben, Server-Standort (sollte in der Schweiz oder der EU sein), Gerichtsstand etc. Die vollst?ndige Liste finden Sie in den ?IT-Richtlinien und IT-Grundschutzvorgaben der ETH Z¨¹rich? (vgl. Art. 6, Art. 10 und Art. 11).

Bitte beachten Sie dabei auch: Als ?streng vertraulich? klassifizierte Daten d¨¹rfen nie in externe Cloud-Dienste ausgelagert werden. Somit d¨¹rfen Service-Vermittelnde keine externen Cloud-Dienste f¨¹r die Auslagerung von ?streng vertraulichen? Daten innerhalb der ETH zur Verf¨¹gung stellen.

Informationseigner/-innen

Rolle: Die zweite wichtige Rolle ist jene der ?Informationseignerinnen und -eigner?. Sie sind verantwortlich f¨¹r die Daten, welche in ihrem Namen erhoben und bearbeitet werden und entscheiden im Wesentlichen, ob sie ihre Daten in externe Cloud-Dienste auslagern wollen oder nicht (Nota bene: Der Entscheid zur Auslagerung von Daten der ETH Z¨¹rich obliegt nicht den Service-Vermittelnden. Diese stellen lediglich einen externen Cloud-Dienst zur Verf¨¹gung und geben diesen Cloud-Dienst f¨¹r einen spezifischen Ein?satz?zweck frei.)

Aufgaben: Informationseignerinnen und -eigner m¨¹ssen vor allem in der Lage sein, einzusch?tzen, ob ein inner?halb der ETH freigegebener Cloud-Dienst den Schutzanforderungen ihrer Daten gerecht wird. Sie sol?len also das Risiko einsch?tzen, welches sie durch die Auslagerung ihrer Daten in den vorgesehenen Cloud-Dienst eingehen. Abh?ngig von den auszulagernden Daten pr¨¹fen sie in diesem Zuge auch, ob ihre Daten eventuell der Exportkontrolle unter?ste?hen oder aber ob eine Datenschutz-Folgeabsch?tzung notwendig wird, bevor die Daten in den externen Cloud-Dienst ausgelagert werden.

Es ist m?glich, dass eine Person beide Rollen wahrnimmt ¨C jene des Service-Vermittelnden und jene des Informationseigners. Dies ist z.B. der Fall, wenn eine Professorin einen externen Cloud-Dienst f¨¹r ihre eigene Forschung sowie f¨¹r die Mitarbeitenden ihres Instituts beziehen will. Sie muss dann die Kriterien entsprechend ihrer beider Rollen ¨¹berpr¨¹fen.

Unterst¨¹tzung durch Fragenkatalog

F¨¹r beide Rollen werden rechtzeitig vor In-Kraft-Treten der Weisungen entsprechende Fragenkataloge bzw. Assessments zur Verf¨¹gung gestellt, welche Service-Vermittelnde und Informationseigner durchf¨¹hren und dokumentieren, um ihre Daten sicher in Cloud-Services nutzen zu d¨¹rfen. Diese Assessments werden mit Hilfe der zentralen Informatikdienste (ID) im Auftrag des Chief Information Security Officers (CISO) der ETH gesammelt, um in Zukunft eine Liste gepr¨¹fter Cloud-Dienste und anderer extern an der ETH genutzter IT-Dienstleistungen f¨¹r die ETH anbieten zu k?nnen.

?bergangsbestimmungen: Was ?ndert sich wann?

Die Regelungen zur Cloud Nutzung, wie sie in den ?IT-Richtlinien und IT-Grundschutzvorgaben der ETH Z¨¹rich? stehen, sollen bis M?rz 2023 umgesetzt werden (Art. 16).

F¨¹r Service-Vermittelnde ist es deshalb schon heute von Vorteil, die durch sie zur Verf¨¹gung gestellten externen Cloud-Dienste zu ¨¹berpr¨¹fen, ob und inwiefern diese die Vorgaben der ?IT-Richtlinien und IT-Grundschutzvorgaben der ETH Z¨¹rich? erf¨¹llen.

M?chte indes ein Informationseiger bzw. eine Informationseignerin vertrauliche Daten schon heute in einen bestehenden externen Cloud-Dienst auslagern, so ist es notwendig, mit dem Service-Ver?mit?telnden Kontakt aufzunehmen und abzukl?ren, ob dies m?glich ist bzw. ob der externe Cloud-Dienst schon heute die Anforderungen der ?IT-Richtlinien und IT-Grundschutzvorgaben der ETH Z¨¹rich? erf¨¹llt. Eine Auslagerung ist dann nur nach Durchf¨¹hrung der oben erw?hnten Einsch?tzung seitens Infor?ma?tions?eignerin bzw. Informations?eigner m?glich.

F¨¹r neue externe Cloud-Dienste gelten die Regelungen der ?IT-Richtlinien und IT-Grundschutzvorgaben der ETH Z¨¹rich? ab sofort.

Zur Unterst¨¹tzung der Service-Vermittelnden bzw. dem/der Informationseigner/in bei ihren Aufgaben werden in K¨¹rze Formulare (Assessments) zur Verf¨¹gung gestellt.