HSI

Cloud Compliance in einer multi-provider Cloud

Dieses Projekt entwickelt ein Konzept, das Compliance‑Vorgaben in einer hybriden Multi‑Cloud‑Umgebung des Bundes automatisiert prüft und durchsetzt. Basis bildet der offene NIST‑Standard OSCAL, mit dem Sicherheitskontrollen plattformunabhängig definiert und verwaltet werden können.

Überblick des Swiss Government Cloud Vorhabens
Abbildung: Überblick des SGC‑Vorhabens

Ausgangslage

Fachanwendungen der Bundesverwaltung unterliegen strengen Sicherheits‑ und Compliancevorgaben. Aktuell werden diese Anforderungen manuell und je nach Cloud‑Plattform unterschiedlich umgesetzt, was zu Interpretationsspielraum, Sicherheitslücken und hohem Wartungsaufwand führt. Mit dem Vorhaben Swiss Government Cloud (SGC) möchte das Bundesamt für Informatik und Telekommunikation (BIT) eine hybride Multi‑Cloud‑Infrastruktur aufbauen. Dadurch erhöht sich die Anzahl genutzter Cloud‑Plattformen und die Komplexität der Governance. Ohne Automatisierung droht ein Flickenteppich aus Regeln und Prozessen. Multi‑Cloud‑Umgebungen erfordern eine sorgfältige Koordination von Tools, Richtlinien und Teams, damit Sicherheitsvorgaben konsistent eingehalten werden.

Zielsetzung

Ziel der Arbeit ist es, eine technische Lösung zu entwickeln, mit der Compliance‑Regeln über mehrere Cloud‑Provider hinweg einheitlich modelliert, durchgesetzt und überwacht werden können. Dazu wird der vom National Institute of Standards and Technology (NIST) entwickelte Standard OSCAL eingesetzt. OSCAL stellt Sicherheits‑ und Complianceinformationen in maschinenlesbaren Formaten wie XML oder JSON bereit. Dank dieser offenen Datenformate lassen sich Kontrollkataloge zentral verwalten, System‑Security‑Pläne erstellen und der Erfüllungsgrad automatisiert auswerten. Ein Proof‑of‑Concept (PoC) demonstriert das Konzept anhand eines Test‑Workloads auf Azure.

Lösungskonzept

Funktionsweise des Lösungskonzepts

Das Lösungskonzept sieht ein zentrales Compliance Administration Center (CAC)‑Instanz vor, die den Governance‑Prozess über mehrere Plattformen orchestriert. Sie interagiert mittels Deployment‑ und Auditing‑APIs mit Cloud‑Providern, scannt Ressourcen und legt Policies plattformübergreifend fest. Beispielhaft wird eine Nginx‑Anwendung auf Kubernetes (AKS) in Azure bereitgestellt und über CAC überwacht.

OSCAL‑Schichten

OSCAL Layers und Modelle

OSCAL gliedert sich in drei Schichten: In der Controls‑Schicht werden Kataloge und Profile von Sicherheitskontrollen definiert. Die Implementation‑Schicht dokumentiert System‑Security‑Pläne und Komponentenmodelle der konkreten Umgebungen. In der Assessment‑Schicht werden Pläne und Resultate von Prüfungen sowie Pläne zur Behebung von Abweichungen ausgetauscht.

PoC Komponenten

PoC Komponenten‑Diagramm

Das PoC‑Klassendiagramm verknüpft OSCAL‑Artefakte (System Security Plan, Component Definition, Control Catalog) mit der CAC‑Domäne. Es modelliert Projektkontexte, Pfade zu Cloud‑Plattformen und Richtliniendefinitionen für Azure, sodass aus Kontrollvorgaben automatisiert Policy‑Zuweisungen generiert werden können.

Ergebnisse

Im Laufe des Projekts wurde ein generisches Architektur‑ und Lösungskonzept für die plattformübergreifende Cloud‑Compliance erarbeitet und mit einem funktionsfähigen Prototyp umgesetzt. Der Prototyp verwaltet Ressourceninformationen, generiert aus OSCAL‑Kontrollen konkrete Richtlinien für Azure und ordnet diese automatisch zu. Er liest den Compliance‑Status aus und stellt Resultate als Assessment‑Reports bereit.

  • Plattformunabhängiges Konzept für Cloud‑Compliance auf Basis des offenen OSCAL‑Standards.
  • Entwicklung einer CAC‑Komponente, die Ressourcen inventarisiert, Richtlinien generiert und Deployments überwacht.
  • Implementierung eines Proof‑of‑Concept mit Azure Kubernetes Service und automatischer Erstellung von Azure Policy Initiativen für ausgewählte Kontrollen.
  • Automatisierte Compliance‑Checks und Auswertung des Erfüllungsgrads über OSCAL‑Assessment‑Modelle.

Die Evaluation zeigt, dass das Konzept die Anforderungen der Bundesverwaltung erfüllt, sich auf weitere Provider ausweiten lässt und den manuellen Aufwand erheblich reduziert. Durch die Nutzung offener Formate lassen sich die Komponenten leicht erweitern und in bestehende Systeme integrieren.

Als Ausblick wird eine Integration zusätzlicher Cloud‑Plattformen sowie die Weiterentwicklung zur produktiven Lösung empfohlen.

Technische Schlüsselbegriffe

  • OSCALOffene Sprache des NIST zur Beschreibung von Sicherheitskontrollen in maschinenlesbaren Formaten.
  • Multi‑Cloud ComplianceÜbergreifende Einhaltung von Richtlinien und Standards in verschiedenen Public‑ und Private‑Cloud‑Umgebungen.
  • Compliance as CodeImplementierung von Sicherheitskontrollen als automatisierbare, versionsverwaltete Konfiguration.
  • CACCompliance Administration Center – die im Projekt implementierte Komponente zur Verwaltung von Ressourcen und Policies.

Kund:in

Logos

Bundesamt für Informatik und Telekommunikation BIT
Campus Meielen
Eichenweg 3
CH-3003 Bern
www.bit.admin.ch

Team

Benjamin Dätwyler
Frithjof Hoppe

Betreuer
Sebastian Graf