Verschlüsselung und BYOK¶

Alle Kundendaten sind jederzeit verschlüsselt, sowohl bei der Übertragung als auch im Ruhezustand. Für die gesamte Steuerungskommunikation einschließlich der Datenübertragung zwischen Afi-Komponenten verwenden wir ein aktuelles TLS-1.x-Protokoll, damit der gesamte Datenverkehr verschlüsselt ist. Ruhende Daten werden mit AES-256 verschlüsselt, einem der sichersten Verschlüsselungsverfahren.

Weitere Informationen zu Sicherheit und Datenschutz finden Sie unter https://afi.ai/compliance.

Neben der von Afi verwalteten Datenverschlüsselung können Kunden eigene Verschlüsselungsschlüssel (BYOK) für ruhende Daten verwenden. Afi unterstützt alle wichtigen Anbieter von Schlüsselverwaltungssystemen (KMS), darunter Google Cloud KMS, AWS KMS und Azure Key Vault.

Bring Your Own Key (BYOK) gilt als bewährtes Verfahren zur Stärkung der Sicherheit von Cloud-Sicherungen durch kundenseitig verwaltete Verschlüsselungsschlüssel. Die Cloud Security Alliance (CSA) und das NIST empfehlen BYOK, um die Datensicherheit zu erhöhen und Risiken bei der Zusammenarbeit mit Cloudanbietern zu reduzieren.

Warum Ihre Organisation eine Bring-Your-Own-Key-Sicherung benötigt¶

Die BYOK-Funktionen von Afi Backup unterstützen Sie bei folgenden Anforderungen:

Regulatorische oder vertragliche Anforderungen und interne Sicherheitsrichtlinien einhalten. Die eigenständige Verwaltung von Verschlüsselungsschlüsseln kann aufgrund regulatorischer oder vertraglicher Vorgaben erforderlich oder empfohlen sein. Mit BYOK erfüllen Sie diese Anforderungen mit minimalem Konfigurationsaufwand.
Kontrolle über Ihre Daten erhöhen und Risiken mindern. Mit BYOK können Kunden den Zugriff der Afi-Anwendung auf Sicherungsdaten jederzeit aussetzen oder widerrufen. Dies bietet eine zusätzliche Kontrollebene und reduziert Sicherheitsrisiken. Außerdem dient BYOK als kryptografischer Mechanismus zur Datenentfernung, falls Sie Ihr Konto aus beliebigem Grund kündigen.

Funktionsweise der Bring-Your-Own-Key-Verschlüsselung mit Afi¶

Afi Backup ermöglicht die kundenseitige Verwaltung eines Verschlüsselungsschlüssels über Google Cloud Key Management Service (Google Cloud KMS), Azure Key Vault oder AWS Key Management Service (AWS KMS). Bei konfigurierter BYOK-Funktion verschlüsselt das Afi-Backup-System die Sicherungsdaten mit dem Schlüssel des Benutzers. Dieser behält die vollständige Kontrolle über den Schlüssel und kann den Zugriff auf die Sicherungsdaten jederzeit widerrufen.

Die Afi-Verschlüsselungsschlüsselkette funktioniert wie folgt: Ein von Afi oder vom Kunden verwalteter KMS-Schlüssel verschlüsselt einen Mandantenverschlüsselungsschlüssel. Dieser wird als Secret bezeichnet und im Afi-Portal auf der Registerkarte Service → Settings → Secrets verwaltet. Der Mandantenverschlüsselungsschlüssel (Secret) verschlüsselt wiederum Schlüssel pro Sicherung, die untergeordnete Datenverschlüsselungsschlüssel einer bestimmten Sicherung verschlüsseln. Dieses Verfahren erleichtert den Wechsel von einem von Afi verwalteten zu einem kundenseitig verwalteten KMS-Schlüssel, zwischen verschiedenen kundenseitig verwalteten Schlüsseln und die regelmäßige Rotation eines KMS-Hauptschlüssels. Wird ein Hauptschlüssel ersetzt oder rotiert, entschlüsselt der Afi-Dienst den Mandantenverschlüsselungsschlüssel mit dem vorherigen Hauptschlüssel beziehungsweise einer älteren Version des rotierten Schlüssels und verschlüsselt ihn erneut mit dem neuen Hauptschlüssel.

Information

Wenn Sie einen KMS-Schlüssel bei Google oder ein Secret in Afi löschen, bevor Sie Ihre Sicherungen mit einem neuen Secret erneut verschlüsselt haben, verlieren Sie den Zugriff auf die Sicherungsdaten. Eine Wiederherstellung ist dann nicht möglich.

Gehen Sie zum Ersetzen eines KMS-Schlüssels wie folgt vor:

Erstellen Sie im Afi-Portal auf der Registerkarte Service → Settings → Secrets mit Ihrem neuen KMS-Schlüssel ein neues Secret.
Ersetzen Sie auf der Registerkarte Service → Settings → SLA in Ihren Sicherungs-SLA-Richtlinien das alte Secret durch das neu erstellte.
Stellen Sie sicher, dass alle Ressourcen mit einer Sicherung in Ihrem Mandanten, einschließlich archivierter Ressourcen, durch Sicherungs-SLA-Richtlinien mit dem neuen Secret geschützt sind. Ressourcen, die derzeit nicht geschützt sind, aber eine Sicherung haben, müssen ebenfalls durch eine Sicherungs-SLA-Richtlinie geschützt werden.
Lösen Sie eine Sicherung für alle Ressourcen des Mandanten aus und warten Sie, bis sie abgeschlossen ist. Der Afi-Dienst startet Sicherungsaufträge für aktive und archivierte geschützte Ressourcen und verschlüsselt deren Schlüssel erneut.

Nach Abschluss der Sicherungen sind ihre Schlüsselketten vollständig mit dem neuen Secret erneut verschlüsselt, und das alte Secret sowie der alte KMS-Schlüssel werden nicht mehr benötigt. Aufgrund der Sensibilität dieses Verfahrens empfehlen wir, beide vor dem Löschen mehrere Monate aufzubewahren, damit Sie den Zugriff auf Ihre Sicherungsdaten nicht versehentlich verlieren. Beim Wechsel von einem Afi-verwalteten zu einem kundenseitig verwalteten Verschlüsselungsschlüssel bewahrt der Dienst das standardmäßige Afi-verwaltete Secret unbegrenzt auf.

Information

Wenden Sie sich an den Afi-Support, wenn Sie versehentlich ein Secret in Afi gelöscht haben und es wiederherstellen möchten.

Sie können jederzeit alle Schlüsselversionen deaktivieren oder den Zugriff des Afi-Dienstkontos auf einen Schlüssel widerrufen. Dadurch kann die Afi-Anwendung nicht mehr auf Ihre Sicherungsdaten zugreifen. Das Deaktivieren eines Schlüssels unterbricht jedoch keine Sicherungs- und Wiederherstellungsvorgänge, die vor dem Widerruf gestartet wurden.

Alle Secrets und Schlüssel einer Verschlüsselungsschlüsselkette werden in Afi verschlüsselt gespeichert und benötigen für die erneute Verschlüsselung einen entsprechenden von Afi oder vom Kunden verwalteten KMS-Hauptschlüssel. Aus Leistungsgründen wird ein einem Secret zugeordneter Verschlüsselungsschlüssel nach seiner Entschlüsselung für einen Sicherungsauftrag oder beim Benutzerzugriff auf eine Sicherung mehrere Stunden im Dienstspeicher zwischengespeichert. Wenn Sie den Widerruf eines KMS-Schlüssels testen möchten, warten Sie daher einige Stunden, bis der Zugriff auf die Sicherungen vollständig entzogen ist. Nach Ablauf des zwischengespeicherten Schlüssels kann der Afi-Dienst ihn nicht erneut mit dem widerrufenen KMS-Schlüssel entschlüsseln. Der Sicherungszugriff bleibt vollständig deaktiviert, bis der KMS-Schlüssel wieder aktiviert wird.