Azure Confidential Computing: Daten während der Verarbeitung in der Cloud verschlüsseln

In Zusammenarbeit mit Intel stehen die Dienste auch außerhalb von Azure-basierten Systemen zur Verfügung

Mit Azure Confidential Computing ermöglicht Microsoft als erster Anbieter die Verarbeitung von verschlüsselten Daten in Public-Cloud-Diensten. Vorteile ergeben sich dadurch zum Beispiel für die Zusammenarbeit von Organisationen im Gesundheitswesen: Sensible Patientendaten können für Machine-Learning-Analysen verwendet werden, ohne diese vorher explizit ver- und nachher entschlüsseln zu müssen. Das macht die Bearbeitung sicherer und reduziert Risiken von Datendiebstahl oder Hackerangriffen weiter. Wer die neuen Dienste testen möchte, kann sich ab sofort für das Early-Access-Programm registrieren.
Für eine effiziente Datenverarbeitung werden in der Regel unverschlüsselte Daten verwendet. Diese Daten werden mit den neuen Azure Confidential Computing Services innerhalb eines Trusted Execution Environments (TEE) geschützt. TEE verhindert, dass Dritte Einblick in diese Daten erhalten, selbst wenn sie über Administratorrechte verfügen, direkt auf die Hardware zugreifen oder über Hackerangriffe und Malware Sicherheitslücken in Betriebssystemen und Anwendungen ausnutzen.
„Die zunehmende Kreativität von Bedrohungen und die wachsende Komplexität von Cloud-Anwendungen stellen höchste Anforderungen an die Absicherung der Prozesse und Daten in der Cloud“, kommentiert Oliver Gürtler, Senior Director Cloud & Enterprise Business Group bei Microsoft Deutschland. „Microsoft investiert Jahr für Jahr rund eine Milliarde US-Dollar in Cyber-Security. Die neuen Services für den Schutz verschlüsselter und unverschlüsselter Daten sind ein enorm wichtiger Schritt auf diesem Weg.“
Start mit software- und hardware-basiertem Datenschutz
Zum Start von Azure Confidential Computing unterstützt Microsoft zwei TEEs: Virtual Secure Mode und Intel Software Guard Extensions SGX. Virtual Secure Mode ist ein software-basiertes TEE, das über Hyper-V in Windows 10 und Windows Server 2016 implementiert ist. Intel SGX ist hardware-basiert und läuft auf den ersten SGX-fähigen Servern in der Public Cloud. So stehen diese Dienste auch außerhalb von Azure-basierten Systemen zur Verfügung. Microsoft arbeitet mit Intel und weiteren Partnern daran, dieses Modell auf zusätzliche Hardware zu übertragen.
Anwendungsszenarien für TEE: Blockchain, Big Data, Internet der Dinge
Bereits für den Schutz von Finanztransaktionen in der Blockchain, für die Datenspeicherung in SQL Server und innerhalb der Azure-Infrastruktur setzt Microsoft auf Trusted Execution Environments. Die gleiche Technologie, die Microsoft zur Verschlüsselung von Blockchain-Transaktionen über das Coco Framework bereitgestellt hat, wird nun auch für Azure-SQL-Datenbanken und SQL Server eingesetzt.
Azure Confidential Computing ist für Unternehmen aller Größen und Branchen relevant: Im Finanzbereich wären beispielsweise personenbezogene Portfoliodaten außerhalb eines TEEs nicht mehr sichtbar. Organisationen im Gesundheitswesen können besonders geschützte Patientendaten oder umfangreiche Datensätze, zum Beispiel aus Genom-Analysen, gemeinsam nutzen, ohne dass diese Daten an andere Organisationen weitergegeben werden. In Öl- und Gas- sowie IoT-Szenarien können Unternehmen sensible Daten, die zu ihrem geistigen Eigentum gehören, künftig gefahrlos zur Verarbeitung in die Cloud transferieren.

Weiterführende Links

Blogpost „Introducing Azure confidential computing“ von Mark Russinovich CTO, Microsoft Azure
Microsoft Story „Securing the Cloud“
Microsoft-Kampagne „Mehr als nur IT!“ im Rahmen des European Cyber Security Month (ECSM)
Übersicht über die Microsoft-Sicherheitslösungen
Microsoft Security Intelligence Report (SIR), Ausgabe 22, Germany: Hintergrundinformationen und Auswertungen zu aktuellen Cyberbedrohungen in Deutschland
Microsoft-Konferenz zur EU-Datenschutz-Grundverordnung (DSGVO) am 4. Oktober 2017 in Berlin
Blogpost „EU-Datenschutz-Grundverordnung tritt 2018 in Kraft: Was heißt das für Unternehmen und Behörden?“ von Michael Kranawetter, National Security Officer, und Milad Aslaner, Senior Product Manager für Cyber-Security bei Microsoft Deutschland

Patchday: Windows-Suche als Einfallstor für wurmartige Attacken  – heise online

Die Ausgangssituation und Anforderung

Ingenico Payment Services mit Sitz in Ratingen ist der einzige Anbieter in Europa, der alle Verkaufskanäle für bargeldloses Bezahlen aus einer Hand bedient. 1992 als easycash gegründet, ist das Unternehmen heute Teil der französischen Ingenico-Group, einem weltweit tätigen Anbieter von Multi-Channel-Zahlungslösungen. Dadurch fällt das Unternehmen unter das Zahlungsdienstaufsichtsgesetz (ZAG) und gilt als E-Geld-Institut mit der „Erlaubnis zur Erbringung von E-Geld-Dienstleistungen“ der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Die verwalteten Daten sind unmittelbar mit dem Zahlungsverkehr und den teilnehmenden Kreditinstituten verbunden und daher extrem sensibel. Für die Auftraggeber ist man strikt an die im PCI-DSS-Standard genannten Anforderungen für Strukturen gebunden.

Im Zuge der Fusion mit dem französischen Ingenico-Konzern wächst der Mitarbeiterstamm an den fünf Standorten. Das führt zu neuen IT-Herausforderungen: Vervielfachung von Berechtigungsanfragen, hoher Arbeitsaufwand und aufwändige Rechteadministration. Hinzu kommen deutlich striktere rechtliche und gesetzliche Vorgaben für den Umgang mit sensiblen Daten, die nach verschiedenen Schutzlevels klassifiziert sind und für die spezifische Zugriffsklassen gelten. Gesucht wird ein revisionssicheres Werkzeug, das die Rechtelage übersichtlich darstellt und prozessorientiert bei der Analyse der Zugriffsrechte hilft. Zudem soll die Kontrolle und Verwaltung der Berechtigungen der jeweiligen Personalverantwortung an den verschiedenen Standorten zugeordnet sein. Der erhöhte Schutz von Daten, ein entscheidendes Sicherheitsmerkmal für das Unternehmen, spielt zusätzlich eine wichtige Rolle bei der Suche nach einer sicheren Lösung.

Die Lösung: Berechtigungen sicher verwalten und kontrollieren

Nach einer Filemigration mit klaren Berechtigungsstrukturen haben sich die Prozesse für die IT-Verantwortlichen mit der zentralen Access Rights Management Lösung innerhalb der IT-Infrastruktur vereinfacht. Sie können jederzeit die IT-grundschutzkonforme Rechteverwaltung dokumentieren, schnell Berechtigungsanfragen beantworten und detaillierte Reporte zur Prüfung zur Verfügung stellen. Kurz: Sie verfügen über die notwendige Transparenz der Rechtesituation samt Nachweiskontrolle zum Schutz vor möglichen Sicherheitslücken und einen hohen Sicherheitsstandard, der den Anforderungen an Datenschutz im Zahlungsverkehr Rechnung trägt.

Hauptvorteile für Ingenico Payment Services

• Risikofreie Bewältigung von Berechtigungsaufgaben
• Benutzerrechtevergabe durch Fachbereich-Data-Owner
• Rezertifizierungs- und Revalidierungsfunktionen
• Effizienz und Zeitersparnis von bis zu 80 Prozent
• Erfüllung gesetzlicher Vorgaben für hohen Sicherheitsstandard

So lautet das Kundenfeedback

Dazu Herr Jörn Walter, Senior System Specialist bei Ingenico Payment Services: „Die Möglichkeiten mit 8MAN sind immens, es ist
sehr effizient und spart uns wertvolle Zeit. Ein hervorragendes und wirkungsvolles Werkzeug für das Access Rights Management.“

Sie möchten mehr darüber erfahren? Die vollständige Case Study finden Sie zum Download unter http://www.8man.com/de/download

heise online –  Windows 10: „Current Branch for Business“ wird abgeschafft

Probleme mit Updates KB4025252 und KB4025336 – Link

IE11-Druckprobleme in Windows behoben – Link

Zentrales Management von Sicherheitslösungen über Microsoft Cloud erleichtert Einhaltung der europäischen Datenschutz-Grundverordnung

Microsoft hat die Verwaltungskonsolen von Enterprise Mobility + Security (EMS) in das Management-Portal von Microsofts Cloud-Plattform Azure integriert. Geschäftskunden können die EMS-Dienste Azure Active Directory (Azure AD), Intune, Conditional Access und Azure Information Protection ab sofort über ein Portal mit einheitlicher Benutzeroberfläche verwenden. Damit konsolidiert das Unternehmen alle Lösungen für den Schutz personenbezogener Daten in Azure. Die Integration ermöglicht es Unternehmen, ihre Sicherheitslösungen zentral zu verwalten. Das garantiert einen schnellen Überblick, spart Zeit bei der Verwaltung der Einstellungen und erleichtert die Einhaltung der Bestimmungen der europäischen Datenschutz-Grundverordnung (DSGVO). Ab 25. Mai 2018 regelt die DSGVO EU-weit einheitlich die Verarbeitung von personenbezogenen Daten durch private Unternehmen und öffentliche Stellen.

„Im Hinblick auf die Datenschutz-Grundverordnung ist die Sicherheit von personenbezogenen Daten der Dreh- und Angelpunkt“, so Dana Behncke, Product Marketing Manager Enterprise Mobility + Security bei Microsoft Deutschland. „Mit EMS schützen wir sowohl personenbezogene als auch nicht-personenbezogene Daten – On-Premises und in der Cloud. Dabei ist völlig egal, wo sich die Daten gerade befinden. Dieser Schutz gilt im Übrigen auch für Nicht-Microsoft-Umgebungen.“
EMS vereinfacht das Rechte-Management im Unternehmen
Die Integration von EMS in das Management-Portal von Azure erlaubt nun auch die Definition komplexer Richtlinien (Policies) für den Zugang zu Geräten, Plattformen und Applikationen über Microsoft Azure AD und Intune. Damit können firmenweit und verbindlich unter anderem die Rechte einzelner Benutzer, die Sicherheitsfunktionen oder Zugriffsrechte für mobile Geräte und einzelne Dateien festgelegt werden. Früher waren die Funktionen über das Intune Portal verfügbar; die tiefe Integration von Azure AD vereinfacht somit deutlich das Rechte-Management im Unternehmen.
Microsoft Intune ermöglicht die Verwaltung mobiler Geräte und Anwendungen sowie PCs in der Cloud. Mit Azure Information Protection können Unternehmen E-Mails, Dokumente und vertrauliche Daten verwalten und schützen. Für Unternehmen, die bereits Azure-AD- und Conditional-Access-Policies für den Schutz ihrer Office-Anwendungen aufgesetzt haben, wird es nun deutlich einfacher, Intune mit den Richtlinien zum Schutz von Geräten und Anwendungen zu integrieren. Es ist mit einem Klick möglich, Azure Information Protection aufzurufen, um Policies für die Verschlüsselung von Daten auszurollen, die unabhängig davon gelten, wo und wie die Daten versendet werden.

Wer sich im Unternehmen schon bisher um Datenschutz gemäß dem deutschen Bundesdatenschutzgesetz (BDSG) gekümmert hat, sollte auch künftig trotz höherer Sanktionen nicht viel befürchten. Mit der Neuregelung soll das europäische Datenschutzrecht vereinheitlicht werden. Die DSGVO ist auch eine Initiative zur Modernisierung. Damit regelt die Europäische Kommission die Verarbeitung personenbezogener Daten und verfolgt Verstöße gegen die Regulierung. Allerdings ist die Regelung eher ein Rechtskonstrukt zwischen Richtlinie und Verordnung. Der neue Datenschutz wird deutlich strenger als das bisherige deutsche Recht. Wenn die DSGVO ab 25.05.2018 unmittelbar gilt, wird sie das Bundesdatenschutzgesetz (BDSG) nicht ersetzen. Sie sieht aber vor, dass für eine Reihe von Themen Abweichungen zur Harmonisierung der Regelungen mit nationalem Recht möglich sind.

Checkliste über die essentiellen Veränderungen

• Datenschutzpraxis prüfen, anpassen und weiterentwickeln
• Je nach Geschäftsmodell und Branche, Vorschriften für Daten und Vorgänge ebenso wie für Haftungsregeln in den Vordergrund stellen
• Datenschutzmanagement bis 25. Mai 2018 anpassen So wirkt die EU-DS-GVO
• Soll das europäische Datenschutzrecht vereinheitlichen, eine Vollharmonisierung mit nationalem Recht ist nicht vorgesehen, es gibt aber „Öffnungsklauseln“
• Soll Folgendes erreichen: Schutz personenbezogener Daten, bessere Rahmenbedingungen für den digitalen europäischen Binnenmarkt, Förderung von Innovationen unter Gewährleistung eines hohen Schutzniveaus der Bürger
• Weltweite Geltung: Verarbeiten Unternehmen im Ausland Daten von Personen in der EU, müssen sie den europäischen Datenschutz anwenden
• Bußgelder können bis zu 4 Prozent des Jahresumsatzes des vorangegangenen Geschäftsjahres oder 20.000.000 Euro bei ernsthaften Verstößen betragen und bis zu 2 Prozent oder 10.000.000 Euro bei leichten Versäumnissen wie beispielsweise fehlender Dokumentation von Verarbeitungsvorgängen, Datenschutz-Folgenabschätzung und Verletzung der Meldepflicht an Aufsichtsbehörden bei einer Datenschutzverletzung
• Kontrollpflichten und persönliche Haftung von Vorständen, Geschäftsführern, Managern, Datenschutzbeauftragten, IT-Chefs bei „Nichteinhalten“ sämtlicher Regeln (= ernsthaftes Vergehen)
• Datenschutz-Folgenabschätzung für ggf. risikobehaftete Datenverarbeitungen
• Datenschutzverstöße mit 72 Stunden Meldefrist
• Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen in IT-Systemen
• Unabdinglich: betrieblicher Datenschutzbeauftragter (DSB) für die meisten Unternehmen als Anlaufstelle

So hilft 8MAN auf dem Weg zur DSGVO

8MAN unterstützt Unternehmen und Behörden dabei, die Compliance, also die ordnungsgemäße und rechtskonforme Nutzer- und Rechteverwaltung auf Knopfdruck sicherzustellen und damit den gesetzlichen Anforderungen des Datenschutzes in Deutschland an „Rechtmäßigkeit, Loyalität, Zweckbindung, Datenminimierung, Transparenz, Genauigkeit der Daten, begrenzte Aufbewahrung der Daten und Datensicherheit“ Genüge zu tun. Damit schafft 8MAN im Rahmen eines umfassenden Berechtigungskonzepts alle Voraussetzungen für die Anpassung der Daten- und Informationssicherheit. Die Lösung ist nämlich eine von Grund auf nach Sicherheitskriterien (BSI-IT Grundschutz) entwickelte Anwendung. Mit 8MAN sichern Sie Ihren „Datenschatz“, das Unternehmenswissen, wirkungsvoll ab und ebnen sich den Weg zur Umsetzung der DSGVO.

Zentrale Anforderungen aus der DSGVO

Die DSGVO ist komplex. Die Artikel 5 und 32 repräsentieren die zentralen Neuanforderungen der DSGVO im Vergleich zu vorherigen Datenschutzrichtlinien. Über seine fünf zentralen Disziplinen bietet 8MAN ein klares und schnell zu implementierendes System für Ihr DSGVO-konformes Access Rights Management:

Artikel 5: Grundsätze für die Verarbeitung personenbezogener Daten

Mit der 8MAN Disziplin Permission Analysis ist die Anforderung (1) „Datensicherheit und Integrität herstellen“ schnell umsetzbar. Die Praxis der Berechtigungsvergabe wird in der 8MAN Disziplin Documentation & Reporting in strukturierten Reporten für Sie aufbereitet, die sich automatisiert im Unternehmen versenden lassen. Die Anforderung (2) „Dokumentation von Zugriffsrechten“ ist damit automatisch erfüllt. Die wichtige Anforderung (3) „Pflege der Berechtigungssituation“ wird durch die 8MAN Disziplin User Provisioning geregelt, z.B. müssen die Zugriffsrechte auf Ressourcen und personenbezogene Daten bei Austritt eines Mitarbeiters frühzeitig entfernt werden. Die Adhoc-Pflege der Berechtigungssituation ist z.B. auch eine wichtige Anforderung der periodischen Rezertifizierung.

Artikel 32: Sicherheit der Verarbeitung

Mit der Disziplin Role & Process Optimization bietet 8MAN den Rahmen für eine prozessuale Definition der Kontrolle und Pflege von Zugriffsrechten auf personenbezogene Daten. Zentral ist dabei die Konzeption der Dateneigentümer-Rolle, damit kommen Sie der Anforderung (4) „Data Owners einführen“ nach. Mit der fünften 8MAN Disziplin Security Monitoring vertiefen Sie das Sicherheitsniveau und erfassen Aktivitäten auf Verzeichnissen mit personenbezogenen Daten und unkontrollierte Berechtigungsvergaben. Durch die Alerts Funktion werden Manipulationen gemeldet.