Shared Responsibility Volumes

1. Einleitung

Das Shared Responsibility Model (SRM) beschreibt die Aufteilung der Verantwortlichkeiten zwischen der centron GmbH, Heganger 29, 96103 Hallstadt („Anbieter“) und dem Kunden bei der Nutzung von Block Storage (Volumes).

Eine sichere Nutzung von Block Storage setzt voraus, dass sowohl Anbieter als auch Kunde ihre jeweiligen Verantwortlichkeiten verstehen und erfüllen. Der Anbieter stellt die zugrunde liegende Speicherinfrastruktur bereit und sichert diese, während der Kunde für die Nutzung, Konfiguration und Absicherung der darauf gespeicherten Daten verantwortlich ist.

Wie bei Infrastructure-as-a-Service-Angeboten üblich, liegt die Verantwortung für die gespeicherten Daten und deren Schutz weitgehend beim Kunden.

2. Grundprinzip

Der Anbieter ist verantwortlich für die Sicherheit der zugrunde liegenden Infrastruktur, insbesondere:

• physische Rechenzentren
• Hardware und Speichersysteme
• Netzwerk-Infrastruktur
• Betrieb der Storage-Plattform

Der Kunde ist verantwortlich für die Sicherheit der auf den Block Storage Volumes gespeicherten Daten und deren Nutzung, insbesondere:

• Dateisysteme
• Daten und Inhalte
• Zugriffskontrollen
• Integration in Compute-Instanzen

Dieses Modell folgt dem allgemeinen Prinzip, dass der Anbieter die Infrastruktur schützt, während der Kunde die Nutzung und Absicherung seiner Daten verantwortet.

3. Datensicherheit

Daten auf Block Storage Volumes werden durch den Anbieter auf Infrastrukturebene verschlüsselt gespeichert („Encryption at Rest“), wodurch das Risiko eines unbefugten Zugriffs auf physischer Ebene reduziert wird.

Der Kunde bleibt dennoch verantwortlich für den Schutz seiner Daten, insbesondere im laufenden Betrieb innerhalb der angebundenen Systeme.

Es wird empfohlen:

• Zugangsdaten zum centron Account zu schützen
• Benutzerkonten getrennt zu verwalten
• Multi-Faktor-Authentifizierung zu nutzen
• Daten angemessen zu verschlüsseln

Für erhöhte Sicherheitsanforderungen kann der Kunde zusätzliche Verschlüsselung auf Dateisystemebene implementieren.

4. Betriebssystem- und Dateisystemverantwortung

Der Kunde ist vollständig verantwortlich für:

• Erstellung und Verwaltung von Dateisystemen auf dem Volume
• Mounten und Konfigurieren der Volumes
• Zugriffskontrollen innerhalb des Betriebssystems
• Pflege und Aktualisierung der angebundenen Systeme

Volumes werden dem Kunden als Block Storage bereitgestellt und müssen durch das Betriebssystem der jeweiligen Compute-Instanz verwaltet werden.

5. Zugriffssicherheit

Der Anbieter stellt die technische Möglichkeit zur Nutzung von Volumes bereit, übernimmt jedoch keine Verantwortung für die Zugriffskontrolle innerhalb der angebundenen Systeme.

Der Kunde ist verantwortlich für:

• Kontrolle von Benutzerzugriffen
• Verwaltung von Systemberechtigungen
• Absicherung von Anwendungen, die auf die Volumes zugreifen

Unzureichende Zugriffskontrollen können zu unbefugtem Zugriff auf gespeicherte Daten führen und liegen im Verantwortungsbereich des Kunden.

6. Verschlüsselung

Der Anbieter stellt folgende Sicherheitsmechanismen bereit:

• Verschlüsselung der Daten auf Speicherebene („Encryption at Rest“)
• abgesicherte Infrastruktur zur Datenhaltung

Der Kunde ist zusätzlich verantwortlich für:

• optionale clientseitige Verschlüsselung
• Verschlüsselung innerhalb des Betriebssystems
• sichere Schlüsselverwaltung

Die zusätzliche Verschlüsselung innerhalb des Dateisystems kann erforderlich sein, um erhöhte Sicherheits- oder Compliance-Anforderungen zu erfüllen.

7. Logging und Monitoring

Der Anbieter stellt die Infrastruktur bereit, übernimmt jedoch keine vollständige Verantwortung für Logging und Monitoring auf Volume-Ebene.

Der Kunde ist verantwortlich für:

• Überwachung der Nutzung von Volumes
• Analyse von Zugriffen
• Einrichtung von Logging innerhalb der angebundenen Systeme
• Erkennung von Anomalien oder Sicherheitsvorfällen

Der Anbieter stellt in der Regel keine umfassenden Logging- oder Monitoring-Funktionen speziell für Volumes bereit.

8. Compliance und Zertifizierungen

Der Anbieter betreibt die zugrunde liegende Infrastruktur unter Berücksichtigung gängiger Sicherheits- und Compliance-Standards und kann entsprechenden Auditierungen unterliegen.

Volumes können Teil von Auditierungen sein, beispielsweise im Rahmen von ISO/IEC 27001 auf Basis von IT-Grundschutz sowie C5:2026 Prüfungen.

Der Kunde ist jedoch verantwortlich für:

• Einhaltung gesetzlicher und regulatorischer Anforderungen
• Schutz sensibler Daten
• Umsetzung notwendiger Sicherheitsmaßnahmen

Die Nutzung einer zertifizierten Infrastruktur ersetzt nicht die eigenen Compliance-Verpflichtungen des Kunden.

9. Verfügbarkeit und Datensicherung

Der Anbieter stellt die Verfügbarkeit und Haltbarkeit der Storage-Infrastruktur sicher.

Der Kunde ist verantwortlich für:

• Erstellung und Verwaltung von Backups
• Snapshot-Strategien
• Datenreplikation (falls erforderlich)
• Wiederherstellungsprozesse

Der Anbieter stellt die Plattform bereit, übernimmt jedoch keine Verantwortung für Datenverlust infolge fehlender Sicherungsmaßnahmen durch den Kunden.

10. Zusammenfassung der Verantwortlichkeiten

Der Anbieter stellt eine sichere und zuverlässige Block-Storage-Infrastruktur bereit und schützt die zugrunde liegenden Systeme sowie die physische Speicherung der Daten.

Der Kunde ist verantwortlich für die sichere Nutzung dieser Infrastruktur, insbesondere für:

• Daten und deren Schutz
• Zugriffskontrollen
• Dateisysteme und Konfiguration
• Backup- und Wiederherstellungsstrategien

Die Sicherheit in der Cloud ist somit eine gemeinsame Verantwortung, bei der beide Parteien klar definierte Aufgaben erfüllen müssen.