Google Cloud Platform jetzt mit ISO-Sicherheitszertifizierungen

Google hat zwei ISO-Zertifizierungen für Apps for Work und die Cloud Platform erworben. Damit ist es ihm möglich, mehr Compliance-Erfordernissen von Kunden zu entsprechen. Konkret sind es die Zertifikate ISO 27017 für Cloud-Sicherheit und ISO 27018 für Privatsphäre.

Gleichzeitig informiert Google in seinem Cloud-Blog, dass es seine Zertifizierung nach ISO 27001 das vierte Jahr in Folge erneuert hat. Und waren die Zertifizierungen bisher auf Compute Engine, App Engine, Cloud SQL, Cloud Storage, Cloud Datastore, BigQuery und Genomics limitiert, decken sie nun auch Cloud Dataflow, Cloud Bigtable, Container Engine, Cloud Dataproc und Container Registry ab.

Die Zertifikate stellen sicher, dass Google angemessene Richtlinien, Maßnahmen und Werkzeuge zum Schutz der Kundendaten hat. ISO 27018 sorgt dafür, dass Google Kundendaten nicht für Werbung nutzt und nötige Werkzeuge sowie Transparenz gegeben sind.

Kunden in regulierten Branchen sind oft auf die Nutzung von Dienstleistern mit bestimmten Zertifikaten beschränkt. Selbst wenn keine solchen Auflagen gegeben sind, sind diese doch eine Möglichkeit, die Eignung für anspruchsvolle Aufgaben zu dokumentieren.

Google erfüllt mit den Zertifizierungen also letztlich Pflichtaufgaben, um weitere Unternehmenskunden zu gewinnen. Amazon Web Services verfügt über alle genannten ISO-Zertifikate. Microsoft Azure und IBM Cloud sind unter anderem nach ISO 27018 und ISO 27001 zertifiziert.

ISO 27017 und 27018 wurden 2014/2015 als Cloud-Sicherheitsstandards eingeführt, um das Vertrauen der Kunden in die junge Branche zu erhöhen. Der erstgenannte Standard befasst sich mit der Anwendung des allgemeineren Zertifikats ISO 27002 auf Clouddienste und deren Bereitstellung. Er schlägt auch zusätzliche Sicherheitsvorkehrungen vor. ISO 27018 hingegen befasst sich mit Personally Identifiable Information (PII) und deren Speicherung in einer Public Cloud. Nach der Einführung reichten die Branchenkommentare von „sehr nützlich“ bis „nicht brillant, aber ein guter Ausgangspunkt„.

Ein anderes Kaliber ist die 2005 erstmals veröffentlichte Norm ISO 27001, die auch als DIN-Norm auf Deutsch vorliegt. Sie enthält Anforderungen für Herstellung, Einführung, Betrieb, Überwachung, Wartung und Verbesserung eines IT-Security-Managementsystems. Somit definiert sie, was ein IT-Sicherheitssystem eigentlich leisten muss, welche Prozesse und Rollen damit verbunden sind und wie neue hinzugefügt werden sollten – einschließlich Prüfvorschriften.

[mit Material von Larry Dignan, ZDNet.com]