Protected B (Kanada)

Einführung

Die Regierung von Kanada (GoC) klassifiziert Daten anhand verschiedener Sicherheitskategorisierungsebenen, z. B. Protected A, Protected B, Confidential, Secret und Top Secret, je nach der Vertraulichkeit der Informationen und dem potenziellen Schaden, der entstehen würde, wenn die Vertraulichkeit, Integrität und/oder Verfügbarkeit der Informationen beeinträchtigt würde. Cloud-Dienste können zwar von Behörden und Einrichtungen der kanadischen Regierung genutzt werden, diese müssen jedoch Informationen zuerst identifizieren und kategorisieren, um die anzuwendenden Sicherheitskontrollen zu verstehen.

Was ist „Protected B“?

„Geschützte“ Informationen können in die Kategorien „Geschützt A“, „Geschützt B“ oder „Geschützt C“ eingeteilt werden. Die Einteilung gilt für personenbezogene Daten, geschäftliche Vertraulichkeiten oder andere Informationen oder Vermögenswerte, die bei einem Verstoß zu einer Verletzung eines nicht-nationalen Interesses führen könnten. Genauer gesagt können sensible personenbezogene Daten wie Krankenakten, Leistungsbewertungsberichte, detaillierte Finanzinformationen usw. als „Protected B“ eingestuft werden. Die unbefugte Offenlegung dieser Art von Informationen könnte einer Person oder Organisation ernsthaften Schaden zufügen, z. B. in Form von Leid, finanziellen Verlusten oder Reputationsschäden.

Die britische Regierung hat Richtlinien veröffentlicht, in denen die Anforderungen an die physische, personelle und IT-Sicherheit sowie die Kontrollen beschrieben werden, die Abteilungen, Behörden und Organisationen des privaten Sektors zum Schutz vertraulicher Behördeninformationen berücksichtigen sollten. Dazu gehören die Richtlinien für die Sicherheit der Regierung, die Richtlinie, die Verordnung, die Richtlinie für Dienstleistungen und digitale Dienste, das Sicherheitshandbuch für Verträge und die Richtlinie für den sicheren Einsatz kommerzieller Cloud-Dienste: Sicherheitsrichtlinien-Umsetzungsmitteilung (SPIN).

Welche Anforderungen an Sicherheitskontrollen in der Cloud gelten für Protected B?

Für die Cloud sind die Anforderungen an Sicherheitskontrollen in Anhang 3 des Leitfadens für die Sicherheit von Informationstechnologie (ITSG-33) – IT Security Risk Management: A Lifecycle Approach beschrieben. Das Medium Cloud Security Control Profile des Cyber Center dient als Grundlage für die IT-Sicherheitsanforderungen. Außerdem hat GC ein Cloud-Sicherheitskontrollprofil für geschützte B-Arbeitslasten mit hohem Wert (PBHVA) entwickelt. Es definiert zusätzliche Integritäts- und Verfügbarkeitskontrollen, die als Erweiterung zur Unterstützung von Arbeitslasten mit geschütztem B-Level angewendet werden können, welche als Systeme mit hohem Wert identifiziert wurden.

Public Services and Procurement Canada (PSPC) Contract Security Program (CSP)

Der PSPC CSP prüft die personelle und physische Sicherheit für Cloud-Serviceverträge. Dazu gehört die Registrierung von Google Cloud bei PSPC und die erforderliche Sicherheitsfreigabe für das Unternehmen. Außerdem benötigen Mitarbeiter, die geschäftlich auf geschützte Informationen oder Betriebsbereiche zugreifen müssen, entsprechende Sicherheitsfreigaben. PSPC führt außerdem physische Sicherheitsinspektionen in den kanadischen Rechenzentren von Google Cloud durch, um zu bestätigen, dass sichere Betriebszonen, angemessene Datensicherungsmaßnahmen, kontrollierter Zugriff und vertragliche Sicherheitsanforderungen erfüllt werden.

Canadian Centre for Cyber Security (CCCS) Supply Chain Integrity (SCI)

Das Cyber Center SCI-Team bewertet unternehmensbezogene Risikofaktoren wie Eigentümer, Standort und Geschäftspraktiken sowie technische Risiken des Produkts oder der Dienstleistung selbst. Das SCI-Team nutzt verschiedene Quellen, um eine Risikobewertung zu erstellen, die zur endgültigen Bewertung der Cloud-Sicherheit beiträgt. Weitere Informationen zum SCI-Prozess finden Sie in ITSAP.10.070, Cyber supply chain: An approach to assessing risk.

Canadian Centre for Cyber Security (CCCS) CSP IT Security Assessment Process

Der Prozess zur Bewertung der IT-Sicherheit von Cloud-Dienstanbietern (ITSM.50.100) umfasst eine detaillierte Bewertung der Cloud-Lösung anhand von Sicherheitskontrollen wie dem Medium Cloud Profile und/oder dem Protected B High Value Asset Overlay Profile. Google Cloud ist dafür verantwortlich, Nachweise zu erbringen, die die Einhaltung der einzelnen Sicherheitskontrollen im relevanten Kontrollprofil belegen. Anschließend erstellt das CCCS einen Bericht zur Sicherheitsbewertung, in dem die Ergebnisse zusammengefasst werden.