CloudCycle

Sichere und rechtskonforme Cloud-Lösungen für Schulverwaltungen und Bürgerportale

Cloud-Dienste bieten kleinen und mittleren Unternehmen sowie der öffentlichen Verwaltung zahlreiche Chancen. Sie ermöglichen die vernetzte und flexible Zusammenarbeit, selbst unter Kollegen an verschiedenen Standorten. Allerdings verhindern rechtliche Unsicherheit und Sicherheitsbedenken den Schritt gerade von Schulen, Behörden und Verwaltungen in die Cloud. CloudCycle will dieser Zurückhaltung begegnen und sichere sowie kostengünstige Cloud-Dienste für diese Zielgruppen ermöglichen. Beispielhaft geschieht dies anhand einer Bildungscloud, die innerhalb des Projekts erstmalig definiert wird. Sie stellt eine auf die Bedürfnisse von Schulen zugeschnittene Auswahl an Cloud-Diensten zur Verfügung. Dabei werden die für Schulen und den öffentlichen Bereich besonderen Rechts- und Sicherheitsanforderungen berücksichtigt.

Im Bildungssektor müssen bislang Daten der Schulverwaltung und Daten aus dem pädagogischen Bereich physisch getrennt gespeichert und bearbeitet werden, was sehr aufwändig und ineffizient sein kann. Durch die Technologie von CloudCycle könnten zukünftig das Schulverwaltungsnetz und das pädagogische Netz lediglich virtuell getrennt in einer Bildungscloud genutzt werden, was zu einer deutlichen Vereinfachung führen würde.

CloudCycle-Ökosystem als gemeinsame, standardisierte Basis für Cloud-Dienste

Dazu schafft CloudCycle ein Cloud-Ökosystem, das eine gemeinsame, standardisierte Basis für den gesamten Lebenszyklus eines Cloud-Dienstes bietet. Sämtliche Komponenten, die für das Angebot eines Cloud-Dienstes nötig sind, sollen zueinander kompatibel werden. Die Anbieter einer Cloud-Plattform können so problemlos zu einem anderen Rechenzentrum umziehen, so lange die Infrastruktur CloudCycle nutzt. Die Anbieter eines Cloud-Dienstes wiederum können ihr Angebot auf eine andere Cloud-Plattform umziehen. Die Kunden eines Cloud-Dienstes schließlich können ihre Daten nahtlos zwischen Cloud-Diensten auf der Basis von CloudCycle migrieren.

Ziel ist es, das Format von Cloud-Diensten im Zusammenspiel der unterschiedlichen Akteure zu standardisieren und damit einen einfachen Wechsel zwischen verschiedenen Anbietern zu ermöglichen. Die Standardisierung betrifft den gesamten Lebenszyklus eines Cloud-Dienstes: von der Cloud-Plattform, die der Dienst als technische Basis nutzt, über die Erstellung kompatibler Anwendungen bis hin zur Nutzung durch den Anwender und darüber hinaus die Migration zu einer anderen Plattform oder das Löschen einer Anwendung am Ende ihres Lebenszyklus. Der Nutzer soll die Wahl zwischen verschiedenen Softwareherstellern und Cloud-Betreibern haben und bei einem Wechsel seine Daten nahtlos weiter verwenden können. Der gemeinsame Standard stellt dabei ebenfalls sicher, dass auch bei dem neuen Anbieter dasselbe Maß an it-Sicherheit und Rechtskonformität gewährleistet ist wie vor dem Wechsel.

Interoperabilität zwischen den Anbietern von Cloud-Plattformen und -Lösungen

Um das zu erreichen, verwendet CloudCycle den bei dem Standardisierungsgremium oasis spezifizierten Standard tosca (Topology and Orchestration Specification for Cloud Applications). tosca ermöglicht die formale Beschreibung der Topologie und Lebenszyklus-Operationen von Cloud-Anwendungen. Damit ist es möglich, den Aufbau der Anwendung zu beschreiben und in einem Plan einheitlich eine Abfolge von Operationen zu definieren, durch die eine Cloud-Anwendung installiert, verwaltet und überwacht werden kann. Dabei können die Dienstanbieter definieren, welche Anforderungen etwa an Sicherheit oder Rechtskonformität ihre Anwendung erfüllen soll. Innerhalb des von CloudCycle entwickelten erweiterten Standards kann jeder Cloud-Betreiber diesen Anforderungen schnell, kostengünstig und verbindlich entsprechen.

Automatisierte Audits zur Kontrolle von Sicherheit und Datenschutz

Die gemeinsame technische Basis ermöglicht zudem Mehrwertdienste, die alle Cloud-Dienste auf der Basis von CloudCycle nutzen können. Ein Beispiel dafür sind automatisierte Auditing- und Monitoring-Lösungen. Unternehmen und die öffentliche Verwaltung haben eine Reihe von Sicherheitsanforderungen und rechtlichen Anforderungen zu erfüllen. Dabei wird die Einhaltung der Vorgaben meist von unabhängigen Dritten überprüft. Diese Kontrollen können im CloudCycle-Ökosystem zu einem großen Teil automatisiert geschehen. Dazu definiert der Kunde seine spezifischen Prüfkriterien in einer so genannten Policy. Danach ist es möglich, den Cloud-Dienst anhand der Kriterien automatisch zu prüfen und festzustellen, ob er den darin festgeschriebenen Sicherheitsanforderungen des Kunden genügt. Die Automatisierung der Prüfungen erlaubt regelmäßige Audits in kurzen Abständen und somit eine kontinuierliche, kostengünstige und effiziente Kontrolle der Anforderungen während des gesamten Lebenszyklus eines Cloud-Dienstes.

Ausgangssituation

• Gemeinsame technische Basis für den vollständigen Lebenszyklus eines Cloud-Dienstes nicht vorhanden
• Keine einheitliche Lösung für Fragen der Interoperabilität, Sicherheit und Rechtskonformität zwischen Plattformen
• Migration von Daten zwischen öffentlich-rechtlichen und privatwirtschaftlichen Cloud-Anbietern schwierig

Zielsetzung

• Entwicklung einer Dienstebeschreibungssprache zur vollständigen Abbildung eines Cloud-Dienst-Lebenszyklus
• Flexible Nutzung von Cloud-Anwendungen auf unterschiedlichen Plattformen bei garantierter Sicherheit und Rechtskonformität
• Vereinfachung der Interoperabilität und Migration durch standardisierte Schnittstellen

Konsortialpartner

Fraunhofer-Institut für Sichere Informationstechnologie (SIT)

IBM Deutschland Research and Development

Kommunale Informationsverarbeitung Baden-Franken

Universität Stuttgart, Institut für Architektur von Anwendungssystemen

Universität Stuttgart, Institut für Parallele und Verteilte Systeme