Im Bezug auf die transkontinentale Übermittlung personenbezogener Daten, die die HASPA gegenüber Spiegel Online zugibt, wird auf das Datenschutzabkommen “Safe Harbor” zwischen der EU und den USA verwiesen. Das von der HASPA beauftragte US-Unternehmen ist innerhalb dieses Abkommens zertifiziert und grundsätzlich legalisiert, derlei Vorgänge durchzuführen. Dennoch sind nun Zweifel an der Legalität dieses Vorgangs laut geworden.

Worauf begründen die Zweifel?

Bei “Safe Harbor” handelt es sich um ein Abkommen, dass allen EU-Unternehmen ermöglicht, legal Daten in die USA zu übermitteln und dort zu verwalten. US-Unternehmen, die für dieses Abkommen zertifiziert sind, bieten aus Sicht der EU ausreichenden Schutz der Daten und gelten somit als adäquater Partner für den Datenverkehr zwischen der EU und der USA (Mehr zu “Safe Harbor” bei Wikipedia). Die Zertifizierung läuft jedoch recht willkürlich ab. Ein US-Unternehmen meldet sich schriftlich bei der zuständigen Behörde in den USA, erklärt sich mit den Regularien einverstanden, bestätigt die Konformität zu den vorgegebenen Richtlinien und verweist auf eine angemessene Datenschutzrichtlinie. Es handelt sich also mehr oder weniger um eine eine Art Selbstzertifizierung. Eine flächendeckende Kontrolle durch die zuständigen Behörden in Europa und in den USA ist bei solch einem Prozess nur schwer möglich. Der Spiegel verweist daher vollkommen zurecht auf eine Empfehlung der deutschen Datenschutz-Aufsichtsbehörden. Zusätzlich zu “Safe Harbor” sei es ratsam eine Verpflichtung vom US-amerikanischen Handelspartner einzuholen, in denen dieser sich zum Schutz der Daten nach dem Bundesdatenschutzgesetz verpflichtet.

Zusätzliche Absicherung notwendig

Eine Empfehlung, die Scott Sanchez, unser VP für Cloud Solutions, uneingeschränkt teilt. In seinem vor einem Monat bei uns im Blog erschienenen Beitrag “Location, location, location – Storing EU Data with Safe Harbor” schreibt er: “Wer sich lediglich auf “Safe Harbor” verlässt, geht ein hohes Risiko.” Er fügt hinzu: “Ich kenne keinen CIO, der meint, dieses Risiko zu akzeptieren sei eine gute Idee”. Jegliches Speichern von Daten in der Wolke, ob national oder bei einem internationalen Partner, sollte durch entsprechende Verträge ausreichend abgesichert sein. Cloud Computing ist eben immer auch eine Sicherheitsfrage.

Die Verantwortlichen bei der HASPA sahen das offensichtlich ganz genauso. Sie haben sich über “Safe Harbor” hinaus eine solche Zusatz-Verpflichtung des US-Anbieters eingeholt. Das ist clever und sehr löblich. Warum dann aber die nun aufkommende Kritik an das Vorgehen der HASPA? Zum Einen gibt es in diesem speziellen Fall wohl über die “einfache” Auslagerung von Daten in die ausländische Wolke noch weitergehende Aspekte im Bereich der Datenweiterverarbeitung. Zum Anderen scheint es ganz grundsätzlich eine gewisse Empörung darüber zu geben, dass hier eine deutsche Bank ein amerikanisches Unternehmen als Vertragspartner gewählt hat.

Warum Transparenz?

In einer globalisierten Wirtschaftswelt erscheint das ein wenig merkwürdig, um es vorsichtig zu umschreiben. Freier, grenzüberschreitender Transfer von Dingen jeglicher Art sollte doch längst Normalität sein. Warum dann nicht auch bei Daten? Hier ist sicherlich vor allem der Begriff der Transparenz anzuführen. Um welche Daten geht es? Wohin werden sie ausgelagert? Zu welchem Zweck? An wen?
Eine Reihe von Fragen knüpft sich an, die im Interesse der Personen und Unternehmen, um deren Daten es dort geht, zu beantworten sind. Je größer die Transparenz, desto besser. Oder anders beschrieben: Je größer die Transparenz, umso geringer die Empörung.

Genau hier ist die Empörung über den Geschäftsvorgang der HASPA nachvollziehbar. Transparenz ist bei dem Vorgang allem Anschein nach zu keinem Zeitpunkt vorhanden gewesen. Erst recht nicht auf Seiten der Endkunden, um deren Daten es hier ja schließlich geht. Wie aber können Lösungen aussehen?

Mögliche Lösungsansätze

Durch eine klare Kennzeichnung auf dem Kundenportal kann grundsätzlich mehr Transparenz in den Prozess hineingebracht werden. Das schafft Vertrauen. Darüber hinaus kann ein flexibles Managementsystem helfen, ggfs. zusammen mit dem Kunden zu bestimmen, welche Daten an welchem Ort gelagert werden.

Die einfachste Lösung im Kontext des Falles “HASPA” ist aber, die Daten erst gar nicht in ein anderes Land auszulagern. Oder wie Scott Sanchez es ausdrückt: “Meine Empfehlung für Unternehmen, die mit Datenschutz innerhalb der EU zu tun haben, lautet, einen Anbieter innerhalb dieser geographischen Grenzen zu wählen, damit sie und ihre Kunden nachts ruhiger schlafen können.”

The “Safe Harbor” program for data management gains popularity

One of the developments in inter-continental data management that is not new but is gaining popularity with the rise of cloud computing is “Safe Harbor”, a program developed by the US State Department in cooperation with the European Union. Essentially once a US company is certified in Safe Harbor, they are deemed “adequate” by the EU and member nations with regards to storing and processing EU private data.

How does a US company get certified? Well, they just write a letter to the State Dept saying they are compliant, have an adequate privacy policy, and meet the program rules. The State Dept then publishes their name on the web… and viola- certified.

In some countries “Safe Harbor” is not enough

The problem is that countries like Germany have privacy laws like BDSG that are more restrictive/prescriptive than the umbrella EU laws. There are published legal opinions that Safe Harbor does not adequately meet BDSG and that additional steps must be taken to meet the required levels of data protection- but there is no German equivalent of Safe Harbor to give companies assurance of compliance. Hence, it is a huge risk to store data on German citizens outside of the borders of Germany.

Furthermore, the US and US-companies are not known for being champions of data privacy. For a US company looking to do business in the EU, Safe Harbor sounds like a dream come true… just find a “certified” provider here in the US and start your engines and ignore the fine print (and conflicting legal opinions). For the more risk-inclined, this may be acceptable. I haven’t spoken to a single smart CIO who thought accepting this risk was a good idea, and I agree 100%.

How SaaS companies can succeed

Companies building or using Software as a Service offerings will have to address these same concerns and issues around European and country-specific data protection laws. Consider hosting your
application or storing sensitive data in a country like Germany where the data protection laws are some of the strongest in the world. This will be a differentiation point for your solution and more customers will be able to use your application for more scenarios. Another option you should consider is to build flexibility in to your data storage and processing sub-systems to allow the customer to host those components in the location of their choice. Make this easier for your customers by partnering with preferred vendors in frequently requested geographies to make deployment and management easier.

Bottom line- Safe Harbor is a nice concept with an implementation that only half addresses the EU problem, and doesn’t even touch the more restrictive laws in countries like Germany. My recommendation is for companies and ISV’s with EU or localized privacy issues to select a provider inside the borders of the EU or the particular member nation so they and their customers can sleep easier at night.

I’m wondering when researchers at MIT are going to turn their attentions to the security problems inherent in the size and structure of buildings and cities?

It’s not widely known that, by studying architectural blueprints and familiarizing themselves with routine security processes typically followed by businesses, hackers could break into your offices and access highly sensitive data. Indeed, say researchers, it’s theoretically possible to download the entire contents of a corporate database onto a solid-state drive so small that it can be smuggled out of the building concealed in a back pocket. Yet most businesses remain blissfully unaware — some would say, wilfully negligent — of the ease with which their on-premise data can be compromised.

Meanwhile, there have been many examples of entire cities losing all access to computing functions after extended power blackouts because of a shared dependency on a single utility grid. Only a small proportion of businesses protect themselves against a total loss of computing capability by turning to cloud providers whose multi-geography infrastructures aren’t dependent on a single power supplier.

But we don’t read that. Instead, we have an article which is little more than a diatribe against the notion of relying on an expert provider to operate computing on your behalf. Except, that is, for a revealing passage halfway through, in which the author cites the case of an unnamed bank that, distrusting the cloud, has instead co-located its servers at “a nondescript data center in Somerville, MA … owned by a small company called 2N+1, which offers companies chilled floor space, security, electricity, and connectivity.” Unaware of the implicit irony, the writer concludes that the bank “chose to keep its own servers rather than hire a cloud. And for security, the bank chose the tangible kind: a steel fence.” Yes, because of course, cloud providers, as the name suggests, protect their facilities with dry ice and cotton wool, don’t they?

BRAVO!!

Posted via web from Scaleup.it – ScaleUp Technologies

Better Security Through Fixed & Defined App Communication Channels

AppLogic is oriented around “Applications” which are networks of Appliances in a private address space – essentially a virtual private data center. When we build an application environment on ScaleUp, we have to define which appliance is allowed to talk (connect via network) to other appliances and which protocols should be allowed. So even though all appliances (virtual machines) are on the same cloud/network, they cannot directly talk with each other via the internal network without us defining this (all via AppLogic).

A higher level of security is achieved when using ScaleUp, because all components of an application (webservers, database servers, etc.) do not have external network interfaces. They always have to be connected to a so called gateway appliance (IN appliance), which is basically another virtual machine running a linux based firewall. Only via the IN (or OUT/NET appliances) they are able to talk to the outside (internet).

In this multi-part ‘Security in the Cloud’ series we’ll dive deeper into a number of key security, privacy & access control topics. Our next post will analyze 2 of the most common fears – a focus on Data Control & Data Privacy.

Check out the the 1^st Article – The Cloud is NOT Less Secure.

Stay tuned, or better yet subscribe to our RSS or Email subscription & we’ll make sure continue to receive these articles.

In the view of our team here at ScaleUp, the Information Week article’s description of this as a “perceived barrier” is completely accurate. It is our responsibility to help our customers & prospects understand where the overblown hype about security stops & where real business, technology & policy decisions need to start about new cloud initiatives.

As a CEO of 10 year old internet4YOU, I have a lot of knowledge/experience about remote data center management. Comparing a traditional hosted solution (using either a shared infrastructure or a dedicated infrastructure in a remote datacenter) with a cloud hosting infrastructure hardly reveals major differences in the security that can be achieved. I would even go so far to say, that using a cloud hosting is NOT less secure.

When talking about cloud computing for enterprises, people always compare running an application on some internal server infrastructure within a company with a hosted solution in a remote infrastructure. It is always mentioned that moving your data outside of the company is a big security risk

However, I would not say that having your data within your company makes it more secure. Every company nowadays is connected to the internet. Employees use USB sticks, emails and third-party application on their workstation PCs. So why should your data be less secure when you move it into the cloud (in a professional datacenter).

In this multi-part ‘Security in the Cloud’ series we’ll dive deeper into a number of key security, privacy & access control topics. Stay tuned, or better yet subscribe to our RSS or Email subscription & we’ll make sure we keep you continue to receive these articles.