Atlassian-Cloud-Daten compliant halten: Eure Verantwortlichkeiten und Maßnahmen

Werdet ihr zu Vorreitern der Cloud-Transformation oder zieht ihr die Notbremse und schränkt die Nutzung öffentlicher Clouds komplett ein? Klar, wir verstehen, dass es nicht so einfach ist, sich für eine dieser beiden Optionen zu entscheiden.

In diesem Blogbeitrag konzentrieren wir uns auf Atlassian Cloud und zeigen euch:

1. Die Sicherheitsaspekte, die ihr kennen müsst

2. Für welche Compliance-Themen ihr als Atlassian-Cloud-Kunde verantwortlich seid

3. Welche Maßnahmen ihr sofort ergreifen könnt, um Compliance sicherzustellen

Gartner geht davon aus, dass bis 2025 90 % der Unternehmen sensible Daten versehentlich weitergeben werden, wenn sie keine Strategie für die Verwaltung öffentlicher Clouds haben. Und 99 % der sicherheitsrelevanten Vorfälle werden auf Fehler der Kunden zurückzuführen sein. Also, legen wir los:

Sind eure Daten in Atlassian Cloud DSGVO-konform?

Die DSGVO ist ein entscheidender Faktor, wenn es um Cloud-Instanzen geht. Manche bezweifeln, ob Atlassian Cloud in Bezug auf die DSGVO überhaupt eine gute Wahl ist. Schauen wir uns das an.

Die Frage lautet meist: Wo werden die Informationen gespeichert, und kann Atlassian wirklich garantieren, dass sie dort bleiben, wo ihr sie haben möchtet?

Die Antwort auf diese Frage ist etwas komplex. Bei SaaS-Services sprechen wir über Daten in zwei Phasen:

• Ruhende Daten

• Daten während der Übertragung

Ruhende Daten beziehen sich auf den Speicherort der Daten, wenn sie nicht verwendet werden. In diesem Fall kann Atlassian mit „Data Residency“ festlegen, wo sich eure Daten befinden. Wenn Daten nicht verwendet werden, werden sie auf dem Datenträger mit AES-256 verschlüsselt.

Kompliziert wird es, wenn Daten übertragen werden, also „in transit“ sind.

Daten müssen zur Verarbeitung verschoben werden – so funktionieren SaaS-Produkte. Wenn ein Benutzer Informationen anfordert oder eine Aktion ausführt, werden die Informationen in einem Aufruf an eine zentrale Funktion gesendet, die anschließend eine Antwort zurückgibt. Das bedeutet, dass Atlassian nicht garantieren kann, dass eure Daten in einer einzigen Region bleiben, da die Umgebung auf vielen weltweit verteilten Funktionen basiert.

Bei eurem Aufruf kann ein Service beteiligt sein, der von einem Atlassian-Rechenzentrum in den USA betrieben wird. Auch wenn Atlassian nicht garantieren kann, dass sich eure Daten immer am selben Standort befinden, wird durch TLS 1.2 und PFS (Perfect Forward Secrecy) sichergestellt, dass die Informationen während der Übertragung geschützt sind.

Ist euer Atlassian-Produkt also DSGVO-konform? Ja.

Atlassian hat viele Funktionen integriert, mit denen ihr als Administrator die volle Kontrolle habt, um Benutzerdaten auf Anfrage zu löschen. Beachtet jedoch, dass dies nur Benutzerdaten betrifft. Wenn ihr beispielsweise einen Service Desk habt, in dem sensible Daten in Vorgängen verarbeitet werden, müssen diese Informationen manuell gelöscht werden. Das bedeutet: Ihr seid für die Art der Informationen verantwortlich, die in eurer Jira-Instanz verwaltet werden.

Sehen wir uns diese Verantwortlichkeiten genauer an:

Wofür ihr verantwortlich seid, damit eure Atlassian-Produkte DSGVO-konform bleiben

Atlassian spricht von geteilten Verantwortlichkeiten, denn ihr als Kunde seid dafür verantwortlich, wie ihr die Plattform nutzt. Es ist wichtig, die Verantwortung jeder Partei zu verstehen.

Atlassian übernimmt Verantwortung für die Sicherheit, Verfügbarkeit und Performance seiner Anwendungen, Systeme und der Umgebungen, in denen sie betrieben werden. In der Praxis bedeutet das, dass ihr als Kunde die eigentliche Administration der Anwendungen übernehmt.

Eure Verantwortlichkeiten als Kunde lassen sich in vier Bereiche unterteilen: Benutzer, Richtlinien und Compliance, Drittanbieter-Apps sowie Informations- und Datenmanagement. Schauen wir uns jeden Bereich an.

Benutzer

Im Kern geht es hier um die Benutzerverwaltung. Da sie auf viele verschiedene Arten umgesetzt werden kann, sind damit zahlreiche Sicherheitsrisiken verbunden.

Stellt sicher, dass ihr eine gute Strategie dafür entwickelt, wie eure Nutzer Zugriff auf das System erhalten sollen: entweder automatisch per User Provisioning oder durch das manuelle Hinzufügen von Nutzern. Was für euch richtig ist, hängt davon ab, wie gut euer Verzeichnisdienst heute strukturiert ist. Wenn ihr eine AD-Anbindung hinzufügen könnt, empfehlen wir euch dringend, dies zu tun.

Richtlinien und Compliance

Es ist wichtig zu verstehen, dass verschiedene Branchen unterschiedlichen Aufsichtsbehörden unterliegen und daher unterschiedliche gesetzliche Verpflichtungen haben. Stellt sicher, dass ihr versteht, wie ihr handeln dürft und wie der Cloud-Service von Atlassian in eurer Branche eingesetzt werden kann.

Analysiert euer Risikoprofil, um die Sensibilität eurer Daten zu verstehen, und schafft in eurem Unternehmen ein besseres Bewusstsein für diese Themen.

Drittanbieter-Apps

Wenn ihr die Atlassian-Tools bereits erfahren on-premises oder selbstverwaltet nutzt, habt ihr möglicherweise schon mehrere Anwendungen im Einsatz. Diese Apps, die derzeit isoliert in einer on-premises-Installation laufen, werden künftig auf ihren eigenen Plattformen betrieben. Das bedeutet, dass die Daten, die ihr in eurer Jira-Umgebung verwaltet, zur Verarbeitung ans andere Ende der Welt gesendet werden können, bevor sie zu euch zurückkehren.

Im Atlassian Marketplace gibt es viele hervorragende Apps, die euch zahlreiche Möglichkeiten für eure Umgebung bieten. Achtet jedoch darauf, welche Apps ihr nutzt. Als Kunde seid ihr dafür verantwortlich, sicherzustellen, dass jede App eure spezifischen Anforderungen und die Anforderungen eurer Branche erfüllt.

Wir empfehlen euch, im Marketplace auf folgende Hinweise zu achten:

• Nutzerbewertungen

• Kennzeichnung „Staff Pick“

• Cloud Security Participant

• Bug-Bounty-Programm

All diese Informationen findet ihr im Marketplace. Je mehr Punkte ihr abhaken könnt, desto besser sind eure Voraussetzungen. Seid also wählerisch und entscheidet euch nur für vertrauenswürdige Anbieter.

Informations- und Datenmanagement

Ein häufiger Schwachpunkt ist der unsichere Umgang von Nutzern mit sensiblen Daten. Legt klare Richtlinien für die zur jeweiligen Lösung passende Datenklassifizierung fest und stellt sicher, dass eure Teams ein angemessenes Onboarding erhalten, bevor sie die Tools nutzen.

Genau genommen geht es hier darum, sicherzustellen, dass die richtigen Daten am richtigen Ort landen. Erstellt keine Projekte mit sensiblen Informationen, etwa einen HR-Service-Desk, wenn ihr nicht sicher seid, dass euer Unternehmen mit der Speicherung dieser Informationen dort einverstanden ist. Ist dies der Fall, sichert das Projekt mit Issue Security ab, sodass nur die erforderlichen Mitarbeiter die Informationen sehen können.

7 Maßnahmen, die euch der Compliance deutlich näherbringen

Cloud-Daten und Compliance sind verständlicherweise ein großes und komplexes Thema. Wir können nicht alle wichtigen Aspekte abdecken. Nachfolgend findet ihr jedoch sieben zentrale Punkte. Wenn ihr diese beachtet, seid ihr der Compliance bereits einen großen Schritt näher.

1. Verifiziert eure Domain und beansprucht alle Atlassian-Accounts, die zu dieser Domain gehören. So habt ihr Kontrolle über die Passwortanforderungen und Sitzungen der Nutzer.

2. Sichert zentral ab, indem ihr Atlassian Access installiert. Mit diesem Produkt könnt ihr SSO über SAML nutzen. Aktiviert User Provisioning über SCIM, um Nutzer automatisch und kontrolliert zu erstellen und zu synchronisieren.

3. Wenn ihr die Nutzer manuell verwaltet, solltet ihr dabei sorgfältig vorgehen. Prüft langfristig eine nachhaltigere Lösung.

4. Überprüft globale Berechtigungen und stellt sicher, dass Unbefugte nicht auf eure Daten zugreifen können. Prüft außerdem, ob nicht jeder auf eurer Site einen Account erstellen kann.

5. Überprüft alle Apps in eurer Umgebung und stellt Anforderungen an die App-Anbieter. Stellt sicher, dass sie euren Standards entsprechen, statt eure Standards an ihre anzupassen.

6. Beschränkt die Tools auf ein angemessenes Klassifizierungsniveau. Klärt, welche Informationen für das Tool geeignet sind, und verankert dies intern.

7. Erstellt einen Plan für die Administration und Unterstützung neuer Mitarbeiter. Stellt sicher, dass sie verstehen, wie sie das Produkt nutzen müssen und was erlaubt ist.

Damit wisst ihr jetzt etwas mehr darüber, wie Atlassian Compliance angeht, welche Verantwortung ihr als Kunden tragt und was ihr schon heute tun könnt, um Compliance sicherzustellen. Wir hoffen, das hilft euch.