Microsoft hat den ersten internationalen Standard für Datenschutz in der Cloud umgesetzt. Der ISO/IEC-27018-Standard, eine Erweiterung der Norm ISO/IEC 27001, wurde von der International Organization for Standardization (ISO) mit dem Ziel entwickelt, ein einheitliches und international gültiges Konzept zu schaffen, um in der Cloud gelagerte personenbezogene Daten zu schützen.
Zusätzlich zu Microsoft Azure sollen auch Office 365 und Dynamics CRM Online den Verhaltensvorschriften (“Codes of Practice”) des Standards zum Schutz personenbezogener Daten in Public Clouds entsprechen. Gleiches gilt für Microsoft Intune, wie Brad Smith, Executive Vice President und Chefjustiziar von Microsoft, in einem Blogbeitrag betont. Das sei durch unabhängige Tests des British Standards Institute und Bureau Veritas belegt.
Konkret sollen Unternehmenskunden durch Einführung des neuen Standards die vollständige Kontrolle über ihre Daten behalten. Sie werden darüber informiert, was mit ihren in der Cloud gespeicherten Informationen geschieht. Das schließt etwa die Rückgabe, Übermittlung und Vernichtung personenbezogener Daten ein. Microsoft teilt nicht nur mit, wo genau sich die Daten befinden, sondern auch, mit welchen Firmen es gegebenenfalls zusammenarbeitet, falls diese Zugriff auf die Daten benötigen. Außerdem werden Kunden informiert, falls es zu unerlaubten Zugriffen auf personenbezogene Daten oder auf die Verarbeitungseinheit respektive die Anlagen kommt, die zu Verlust, Offenlegung oder Änderung dieser Daten führen.
Zugleich verspricht Microsoft einen wirksamen Schutz der Daten. Beispielsweise legt der ISO/IEC-27018-Standard fest, dass sämtliche Personen, die mit der Verarbeitung personenbezogener Daten betraut werden, einer Geheimhaltungsverpflichtung unterliegen. Microsoft garantiert ebenfalls, die Daten nicht zu Werbezwecken zu nutzen.
Darüber hinaus schreibt der internationale Cloud-Datenschutz-Standard vor, dass Unternehmenskunden darüber informiert werden müssen, falls Ermittlungsbehörden die Herausgabe personenbezogener Daten fordern – es sei denn, diese Information ist rechtlich untersagt. Laut Smith folgt Microsoft diesem Ansatz bereits seit langem, bestätige seine diesbezügliche Verpflichtung durch die Übernahme des Standards aber nochmals.
“Alle diese Verpflichtungen sind vor dem Hintergrund des aktuellen rechtlichen Umfelds, in dem Unternehmenskunden zunehmend eigene Datenschutzverpflichtungen einhalten müssen, von noch größerer Bedeutung”, so Smith. “Wir sind optimistisch, dass ISO 27018 als gute Vorlage sowohl für Regulierungsbehörden als auch für Kunden dienen kann, wenn es um die Gewährleistung eines wirksamen Datenschutzes über Ländergrenzen und vertikale Branchensektoren hinweg geht.”
Quelle: zdnet.de