Maier Claudio
Gesicherte Cloudlösung: POC von ownCloud als Alternative zu bonsai.tg.ch
Durchführung: 18.04.2016 bis 20.05.2016
Umfeld und Ziel
In der Kantonalen Verwaltung wird für den Datenaustausch ämterübergreifen und mit externen Arbeitern Bonsai verwendet. Dieses Produkt wird jedoch nur rege genutzt, da es für die Benutzer nicht leicht zu handhaben ist. Eine mögliche Alternative wäre das Produkt ownCloud. OwnCloud ist ein Cloud so wie Dopbox oder Google Drive, jedoch kann man dieses Produkt auf seinen eigenen Servern installieren. Dadurch kann man sich seine eigene Cloud aufbauen und konfigurieren und die Daten werden auf den eigenen Servern gespeichert. Damit eine Datenaustauschplattform in der Kantonalen Verwaltung eingesetzt werden darf, muss sie den 16 Securityanforderungen entsprechen. Ziel dieser IPA ist es, ownCloud zu konfigurieren, auf die Securityanforderungen zu testen und am Ende mit Bonsai zu vergleichen.
Umsetzung
Die Securityanforderungen wurden in einem Fachgespräch mit der Abteilung Security verifiziert. OwnCloud wurde daraufhin auf die 16 Securityanforderungen getestet. Die Konfiguration wurde anhand der Anforderungen umgesetzt. Bei nicht erfüllten Anforderungen wurden mögliche Lösungswege ermittelt. Soweit wie im Rahmen der IPA möglich wurden die Lösungen angewandt. Es wurden auch 7 verschiedene Use-Cases (mögliche Anwendungsfälle) getestet und dokumentiert. In einer Nutzwerttabelle wurde ownCloud mit Bonsai verglichen. Die Arbeit wurde als Projekt mit den Vorlagen der Projektmanagementmethode Hermes dokumentiert.
Ergebnis
OwnCloud konnte 7 der Securityanforderungen nicht erfüllen. Für die meisten konnten alternative Lösungen gefunden werden. Meistens würde das Installieren und Konfigurieren einer Erweiterung die Anforderung erfüllen, jedoch wäre der Aufwand recht gross. Das grösste Problem macht jedoch die Zweifaktorenauthentisierung mit dem mTAN-Verfahren (Code per SMS). Dafür müssten zusätzliche Systeme eingerichtet werden, damit dies möglich ist. Die Use-Cases sind grösstenteils positiv ausgefallen. Daraus schliesst sich, dass ownCloud an sich gut funktioniert, jedoch kann es die hohen Securityanforderungen nicht erfüllen. Im Vergleich mit Bonsai stellt man fest, dass Bonsai allen Anforderungen gerecht wird, jedoch ist es nicht so leicht zu bedienen wie ownCloud. Auf Grund des grossen Aufwandes um ownCloud so anzupassen, dass es den Securityanforderungen entspricht um es produktiv einsetzten zu können wird empfohlen Bonsai weiterhin als Datenaustauschplattform einzusetzen.