Definition: Cloud HSM ist ein in der Cloud gehostetes Hardware-Sicherheitsmodul (HSM), das es dem Benutzer ermöglicht, Verschlüsselungsschlüssel zu hosten und kryptografische Operationen mit den Vorteilen einer Cloud-Service-Bereitstellung durchzuführen. Dazu nutzt es die Vorteile der Cloud-Service-Bereitstellung, und die Notwendigkeit, lokale Anwendungen zu hosten und zu warten, entfällt.
Cloud HSM erklärt
Cloud-Hardware-Sicherheitsmodule (HSMs) können aus der Cloud gehostet oder als Service bereitgestellt werden:
- Hosted HSMs sind physisch unabhängige HSMs, die sich im Besitz eines Kunden befinden und von einem Cloud-Diensteanbieter wie Utimaco betrieben werden. Diese Lösung bietet ein hohes Maß an physischem Schutz vor unberechtigtem physischen Zugriff und ist ideal kompatibel mit FIPS 140-2, Level 3. Die Skalierbarkeit ist jedoch auf die Kapazität des gehosteten HSM beschränkt. Um die Skalierung zu erhöhen, müssen mehr physische Geräte bereitgestellt werden.
- As-a-Service-Lösung, die vollständig oder teilweise verwaltete gemeinsame HSMs bereitstellt. Managementfunktionen wie das Schlüsselmanagement können Teil der Servicelösung sein oder vom Kunden vor Ort oder in einer anderen Cloud durchgeführt werden.
- As-a-Service-Lösung, die Mandanten im containerisierten HSM, FIPS 140-2 Level 3 geschützt pro Mandant bietet. Solche Container bieten individuelle Richtlinien und Firmware pro Mandant und bieten die Skalierbarkeitsvorteile der Cloud. Sie befinden sich außerhalb der Infrastruktur des Cloud-Diensteanbieters (CSP) und erhalten dem Kunden die volle Kontrolle über dessen Verschlüsselungsanforderungen.
Die Dienste können entweder als Multi-Cloud- oder als Hybrid-Cloud-Strategien bereitgestellt werden. Das Cloud-HSM kann sich entweder innerhalb der Infrastruktur der geschützten Cloud-Dienste oder an einem externen Standort befinden. Letzteres bringt den Vorteil mit sich, dass der HSM-Dienst in der gesamten Hybrid-Cloud, einschließlich zahlreicher Clouds von Drittanbietern, sowie in den lokalen Rechenzentren der Kunden verwendet werden kann.
Mit Cloud-HSM können Unternehmen:
- Krypto-Sicherheitsanforderungen in Übereinstimmung mit den Cloud-Anforderungen und der Strategie eines Unternehmens integrieren,
- Eine kosteneffiziente und vereinfachte Lösung für geschäftskritische Sicherheitsanforderungen ermöglichen,
- Umstellen von einem CapEx auf ein OpEx-Finanzmodell,
- FIPS 140-2, PCI und Common Criteria EAL4+ Mandate mit hoher Sicherheit und Compliance erfüllen,
- Qualifizierten Mitarbeitern ermöglichen, sich auf andere wichtige Bereiche zu konzentrieren.
Ein Übergang in die Cloud muss im Rahmen branchenspezifischer Anforderungen und Regelungen erfolgen und auch sicherstellen, dass das HSM wichtige Vorschriften in sicherheitsrelevanten Branchen einhält. Die Anpassung an eine Cloud-Service-Umgebung bietet zahlreiche Vorteile, die von der gemeinsamen Nutzung von Ressourcen bis hin zur Bereitstellung von Daten und der einfachen Orchestrierung von Diensten reichen.
Wichtiger Hinweis
Neben dem lokal bereitgestellten (On-Premise) HSM-Ansatz bieten zahlreiche Cloud-Service-Anbieter und HSM-Gerätehersteller Hardware Security Module "as a Service" oder Managed Services an.
Es ist jedoch wichtig zu beachten, dass die Verwendung dieser verwalteten oder Cloud-Dienste universelle HSM-Vorrichtungen bereitstellt, die für die Integration in PCI-DSS-Umgebungen vorteilhaft sein können, aber nicht für die Verwendung in PCI-PIN-, PCI P2PE- oder PCI 3DS-Umgebungen geeignet sind.
Das MYHSM von Utimaco bietet vollständig verwaltete Cloud-basierte HSM (HSM-as-a-Service) in einer PCI-PIN-konformen Umgebung, die den Anforderungen des Banksektors entspricht.
