Daten in Gefahr. Ausgabe März Das monatliche Praxismagazin für CIOs und IT-Manager

Transkript

1 Ausgabe März 2009 Das monatliche Praxismagazin für CIOs und IT-Manager Daten in Gefahr Die Security-Industriefeiert DataLoss Prevention als Wunderwaffegegen den Informationsabfluss. Das ist übertrieben, aber der Ansatz ist der richtige. Denn eine aktuelle Studie zur mobilen Sicherheit bestätigt: Die größte Gefahr geht vom Anwender selbst aus. Mehr auf Seite 12 und 30 ISSN Euro 6,00 informationweek.de CMP-WEKA-Verlag GmbH & Co. KG

2 SEIN JOB MACHT IHREN PRODUKTIVER. IBM System x3650 Express MIT EINEM SERvER, DER SICH NAHEzU von SELBST verwaltet , ,00 (inkl. MwSt.)* Monatliche IBM Leasingrate: 48,42 (inkl.mwst.) 1 Stellen Sie sich vor, Sie könnten zeitaufwendige Routineaufgaben mitgutem Gewissen abgeben.zum Beispiel an den IBM System x3650 Express: Da er Ihre Infrastruktur von einem zentralen Punkt aus überwacht und steuert, kann er Probleme im Ansatz erkennen und Ihnen dabei helfen, schnell die richtige Antwort zufinden. Überlassen Sie die Routine den System xservern von IBM und übernehmen Sie stattdessen anspruchsvolle Aufgaben. Innovation leicht gemacht: von IBM und Business Partnern. Best.-Nr.7979KPG Enthält bis zu 2leistungsstarke Intel Xeon Quadcore Prozessoren E5405 (2.00GHz) Bis zu 48 GB Hochleistungsspeicher der neuen Generation mit 667MHz und 12 DIMM-Slots Bis zu sechs 3,5"-SAS- oder SATA-Festplatten oder bis zu acht 2,5"-SAS-Festplatten und interne Bandsicherungsoption für den Schutz Ihrer Daten 1Jahr Gewährleistung, 3Jahre freiwilliger Herstellerservice 2 Electronic ServicePac für Gewährleistungsupgrade 3 Jahre Vor-Ort-Instandsetzung, 7Tage/24 Stunden, 24 Stunden vereinbarte Wiederherstellung, Best.-Nr. 41W9370, 429,59 (inkl. MwSt.)* IBM BLADECENTER SCHASSIS EXPRESS 8.651,00 (inkl.mwst.)* Monatliche IBM Leasingrate: 247,42 (inkl.mwst.) 1 Best.-Nr.8886 K1G Integration von Servern, Speicher,Netzwerkfunktionen, I/O (Input/Output) und Anwendungen in einem einzigen Gehäuse 1Jahr Gewährleistung, 3Jahre freiwilliger Herstellerservice 2 Electronic ServicePac für Gewährleistungsupgrade 3Jahre Vor-Ort-Instandsetzung, 7Tage/24 Stunden, 4 Stunden angestrebte Antrittszeit, Best.-Nr. 46D4062, 1.749,30 (inkl. MwSt.)* IBM BLADECENTER HS21 EXPRESS 1.285,00 (inkl.mwst.)* Monatliche IBM Leasingrate: 36,75 (inkl. MwSt.) 1,Best.-Nr K2G IBM SySTEM STORAgE DS3200 EXPRESS 5.224,00 (inkl. MwSt.)* Monatliche IBM Leasingrate: 149,41 (inkl.mwst.) 1 Best.-Nr X Drei Gigabit prosekunde (Gbit/s) Serial Attached SCSI-(SAS-)Host-Schnittstellentechnologie Skalierbar auf 3,6Terabyte (TB) Speicherkapazität mit 300 GB Hot-Swap-fähigen SAS-Platten oder 9,0TB mit SATA-Festplatten im ersten Gehäuse 1Jahr Gewährleistung, 3Jahre freiwilliger Herstellerservice 2 Electronic ServicePac für Gewährleistungsupgrade 3 Jahre Vor-Ort-Instandsetzung, 7 Tage/24 Stunden, 24 Stunden vereinbarte Wiederherstellung, Best.-Nr.51J8654, 1.112,65 (inkl. MwSt.)* SIEWOLLEN MEHR ÜBER DIE IBM EXPRESS PRODUKTE ERFAHREN? Oder gleich direkt mit einem IBM Business Partner in Ihrer Nähe sprechen? Mehr Informationen hierzu finden Sie auf unserer Webseite. ibm.com/systems/de/express1 *Alle Preise sind Einzelhandelsverkaufspreise von IBM, gültig ab Die Preise können je nach Konfiguration schwanken. Die Einzelhändler legen ihre eigenen Preise fest, daher können die Wiederverkaufspreise an die Endverbraucher schwanken. Produkte unterliegen der Verfügbarkeit. Dieses Dokument wurde für Angebote in den Vereinigten Staaten entwickelt. Es kann sein, dass IBM die in diesem Dokument erwähnten Produkte, Elemente oder Dienstleistungen in anderen Ländern nicht anbieten kann. Die Preise können ohne vorherige Mitteilung geändert werden. Es kann sein, dass im Einstiegspreis Festplatte, Betriebssystem oder andere Elemente nicht enthalten sind. Wenn Sie am aktuellsten Preis in Ihrem geographischen Gebiet interessiert sind, setzen Sie sich bitte mit Ihrem IBM Ansprechpartner oder Ihrem IBM Business Partner in Verbindung. 1 Monatliche IBM Leasingrate,Laufzeit 36 Monate.Die Finanzierungsangebote sind freibleibend, vorbehaltlich einer positiven Bonitätsprüfung durch IBM, und richten sich ausschließlich an Geschäftskunden. Die Vermittlung erfolgt über den Business Partner auf Basis der IBM Rapid Financing Ratecard, Stand: Januar 2009.Eskönnen weitere Einschränkungen anfallen. Raten und Angebote können ohne weitere Mitteilung geändert, verlängert oder aufgehoben werden. 2 Freiwilliger Herstellerservice: Service von 8.00 bis 17.00Uhr am nächsten Arbeitstag ohne Zusatzkosten. Vor-Ort-Service für bestimmte Komponenten, Kunden-Selbstreparaturservice (Customer Replaceable Units CRUs) für alle anderen Einheiten (je nach Land verschieden). Die Bedingungen dieses freiwilligen Herstellerservice liegen der Lieferung bei bzw.sind unter ibm.com/servers/support/machine_warranties abrufbar.die Gewährleistung gemäß den Geschäftsbedingungen der IBM bleibt davon unberührt. Insbesondere bleibt die in den Geschäftsbedingungen der IBM grundsätzlich geregelte Gewährleistungsfrist von zwölf Monaten unberührt. Für ausgewählte Produkte sind zusätzlich Erweiterte Wartungsservices erhältlich, die über den freiwilligen Herstellerservice hinausgehen. IBM, das IBM Logo,IBM Express Advantage,System x, System Storage und Predictive Failure Analysis sind Marken oder eingetragene Marken der International Business Machines Corporation in den Vereinigten Staaten von Amerika und/oder anderen Ländern. Für eine komplette Liste der IBM Marken: Intel, das Intel Logo,Intel Core,CoreInside,Intel Inside,das Intel Inside Logo,Xeon und Xeon Inside sind Marken oder eingetragene Marken der Intel Corporation oder ihrer Tochtergesellschaften in den Vereinigten Staaten und/oder anderen Ländern. Andere Namen von Firmen, Produkten und Dienstleistungen können Marken oder eingetragene Marken ihrer jeweiligen Inhaber sein IBM Corporation. Alle Rechte vorbehalten. O&M IBM ES 05/09a

3 EDITORIAL 3 Die Firewall-Illusion Die meisten Unternehmen gehen bei ihrer Sicherheitsphilosophieimmer noch von der Prämisse aus,dass sie sozusagen eine feste Burgdarstellen. Das ist schon heute kaum noch wahr und morgen noch viel weniger.die Unternehmensgrenzen verschwimmen nicht nur IT-technisch durch die zunehmende Mobilisierung der Mitarbeiter, sondern vor allem auch organisatorisch durch unzählige externe Berater und sonstige freie Mitarbeiter, unternehmensübergreifende Kunden-Lieferanten- Verzahnung, Joint-Ventures und staatliche Regulierungs- und Rettungsmaßnahmen mit entsprechenden Kontrollgremien. Viele Unternehmen haben überhaupt noch nichtbegriffen, wie sehr diese Entwicklungihre Sicherheitsphilosophie verändern muss. Denn die wichtigsten Geschäftsprozesse mit ihren brisanten Daten und Dokumenten gehen mittlerweile über die gute alte Firewall hinweg. Diese Firewall schützt sozusagen nur noch die weniger wichtigen Daten einer vermeintlich festen Burg, bei der schon längst alle Zugbrücken herunter gelassen sind. Der Schutzfaktor Firewall ist längst zur Illusion geworden, weil die Unternehmen immermehrzuunternehmungen werden. Sicherheitsmaßnahmen dürfendeshalb nicht in erster Linie an dem sich ständig verändernden Gebilde Unternehmen festgemacht werden, sondernandendatenunddokumenten selbst.wie man das genau tut, ist eine Geschmacks- und nicht zuletzt eine Budgetfrage. Eine große Lösung,die aber entsprechend kostet, ist ein digitaler Datenraum, bei dem ein Nicht- IT-Administrator Dokumente und Daten mit genau definierten Rechten, die überdiesnurfüreinengenau definierten Zeitraumgelten, freigibt.in besonders heiklen Fällen muss natürlich dabei ein Mehraugen-Prinzip gelten. Einfachere Lösungen sind Frameworks zur Daten-Kategorisierung und Datenkontrolle, die seit etwa zwei Jahren unter dem Marketing-Schlagwort»Data Leakage Prevention«(DLP) auf den Markt drängen. Dahinter verbergen sich teilweise völlig unterschiedliche Ansätze(siehe auch den Artikel auf Seite 12ff). Alle diese Systeme sind noch weniger als bisherige Sicherheitsangebote als Rundum-Sorglos-Pakete zu gebrauchen. Sie weisen lediglich in die Richtung,in die (IT-) Sicherheit für die Unternehmungen der Zukunft entwickelt werden muss. JürgenHöfling juergen.hoefling@informationweek.de Zertifizierung von IT-Prozessen nach Unternehmensgrößen Frage: Haben Sie bereits Zertifizierungen Ihrer IT-Prozesse vorgenommen? Gesamt 19,6 80,4 Bis 49 Mitarbeiter 50 bis 199 Mitarbeiter 200 bis 499 Mitarbeiter 500 bis 1999 Mitarbeiter 6,2 14,0 19,1 22,0 93,8 86,0 80,9 78, Mitarbeiter und mehr 53,8 46,2 Ja Nein Basis: 286 Antworten, alle Angaben in Prozent Quelle: InformationWeek, IT-Budget 2009

4 4 INHALT 12 Die Security-Industrie feiert Data Loss Prevention als Wunderwaffegegen den Informationsabfluss.Das ist übertrieben, aber der Ansatz ist der richtige. Denn eine aktuelle Studie zur mobilen Sicherheit bestätigt: Die größte Gefahr geht vom Anwender selbst aus. 20 Mit mobilen Videokonferenz-Systemen halten kreativeteams auch visuellen Kontakt unabhängig vomstandort. KURZ NOTIERT 6 Aktuelle Meldungen SERVICES &LÖSUNGEN 10 Problemlöser Virtualisierung 12 Titel: Prävention gegen Datenlecks 16»Biometrie bleibt in der Nische«17 Verwirrende Modell-Vielfalt TRENDS &TECHNOLOGIEN 20 Auge in Auge mit dem Geschäftspartner 22 Data Mining wird anwenderfreundlicher 24 Kostendruck beeinflusst Speichertechnik 26 Prozesse bedarfsgerecht erstellen 27 Nehalem ante portas 28 Zutritt mit Körpereinsatz MÄRKTE &UNTERNEHMEN 30 Krasse Sicherheitslücken bei Handhelds SCHWERPUNKTHEALTHCARE 32 Telecare immittelpunkt 34 Sichere ITinder Kardiologischen Praxis 36 Krankenhaus-Holding setzt Kosten unter Druck 38»Arztgeführt und patientenbestimmt«recht&management 42 Büffeln nach Feierabend MEINUNG 44 Unified Communications: nicht nur für die Großen LETZTESEITEN 49 Hey Joe/Branchengeflüster 50 Fragen an..., Thomas Denecke, Leiter IT/IS bei Toyota Material Handlung Deutschland GmbH RUBRIKEN 3 Editorial 45 Solution Market 48 Anzeigenindex/ Herstellerindex 48 Impressum 28 IT-Systeme mit einem Universalpasswort (Single-Sign-On) verwenden immer öfter biometrische Merkmale wie den Fingerabdruck als zweites (oder drittes)authentisierungsmerkmal. 32 In der Arztpraxis der Zukunft spielen Informationstechnik und besonders das Kartenlesegerät eine große Rolle.

5

6 6 KURZ NOTIERT 8-Gigabit-RAID-Speichersystem Transtec bringt mit dem Provigo630 FC/SAS Performance RAID erstmals ein externes RAID-System mit 8-Gigabit-Technologie auf den Markt. Das Speichersystem ist für den Midrange- Bereich konzipiert, unterstützt bis zu 112 SAS-/SATA-Festplatten und ist besonders energieeffizient. Basis ist die neueste ASIC667-Generation des Infotrend G6 RAID-Controllers, der gegenüber dem Vorgänger bis zu 50 Prozent mehr Leistung bringt.mit einer sequenziellen Leserate von bis zu 2800 Megabyte und einer Schreibgeschwindigkeit von bis zu 870 Megabyte pro Sekunde gehört das Transtec Provigo 630 Performance RAID zu den schnellsten seiner Klasse.Das System verfügt über vier 8-Gigabit-Fibre Channel Hostanschlüsse. Es ist individuell konfigurierbar und ab 8990 Euro plus Mehrwertsteuer erhältlich. StorageimWürfel Unter dem Label Silent Cubes bietet Fast LTA hochsichere Festplatten-Speichersysteme für Permanentdaten an. Ein System besteht aus einem NAS-Head, an das bis zu 128 würfelförmige, geschlossene Speichereinheiten mit je zwölf Festplatten angeschlossen werden können. Gespeichert wird änderungssicher mit WORM (Write once, read many)-technologie. Gegen Datenverluste schützt ein RAID-6-ähnliches proprietäres Format, bei dem Files jeweils über alle zwölf Platten eines Cubes verteilt werden. Die Platten selbst stammen in jedem Cube von drei verschiedenen Herstellern. Die Kapazität von vier der zwölf Festplatten wird deswegen für Redundanzzwecke verbraucht. Die geschriebenen Daten werden vom System selbsttätig überprüft. Die Cubes verbrauchen bei acht TByte Nettokapazität nur zwei Watt, da die Festplatten nur laufen, wenn Daten auf sie geschrieben oder von ihnen abgefragt werden. Eine Konfiguration mit 4TByte Nettokapazität (ein Cube) und NAS- Head kostet knapp 6500 Euro, die Kosten pro Terabyte sinken aber, je größer ein System wird. Webkonferenzen trotz verschiedener Betriebssysteme Netviewer, ein führender europäischer Hersteller von Lösungen für Web-Collaboration, ermöglichtwebkonferenzen auf verschiedenen Betriebssystemen. Mit der ab sofort erhältlichen Programmversion 5.1 für SaaS-Kunden können Nutzer von Macintosh, Linux und Unix an Web- Meetings und Online-Kundengesprächen teilnehmen. Zahlreiche Neuerungen wie eine verbesserte VoiP-Qualität und die Einbindung in bestehende Infrastrukturen erleichtern die Bedienung und machen Web- Meetings zur komfortablen Alternative zu Präsenzveranstaltungen. IT-Budgets für Release-Wechsel Deutsche Unternehmen geben regelmäßig einen großen Teil ihrer IT- Budgets für Release-Wechsel bei ihren Softwaresystemen aus. Vor allem bei den Kernanwendungen folgen sie zur Hälfte ihren Software- Lieferanten und führen die empfohlenen Migrationen durch. Laut einer Studie des internationalen SystemhausesC&P,nimmt jedes achte Unternehmenüber 50 Millionen Euro Umsatz bei allen Softwaresystemen die von den Softwarehäusern vorgesehenen Release-Wechsel vor. Allerdings gibt es nach Erkenntnissen der Studie zumindest in einem Teil der Unternehmen Überlegungen, beim ständigen Wechsel auf neuere Softwareversionen künftig einen Gang zurückzuschalten, weil die Budget-Möglichkeiten für solche Investitionen weniger Spielraum als in der Vergangenheit bieten. Anzeige Umweltfreundliche Desktop- Kommunikation Polycomstellt mit dem Business Media Phone VVX1500eine Kommunikationslösung vor, die aus einem persönlichen Videokonferenzsystem und einem voll ausgestattetem VoIP-Telefon besteht. VVX 1500 verfügt über eine offene Anwender-Programmierschnittstelle sowie einen Microbrowser,der die Echtzeitbereitstellung personalisierter Webinhalte und Integration wichtiger Geschäftsapplikationen ermöglicht. Neben den von Natur aus umweltfreundlichen Eigenschaften von Videokonferenztechnologien, zeichnet sich das VVX 1500 auch durch eine Reduzierung des Stromverbrauchs aus. Durch die Nutzung des PoE-Verfahrens (Power over Ethernet) benötigt das Gerät weniger als die Hälfte des Stroms vergleichbarer Produkte. Das Polycom VVX 1500 wird zum Listenpreis von 849 Euro (plus Mehrwertsteuer) erhältlich sein. Kluft zwischen Interesse und Berufsplanung in der IT Viele Jugendliche und jungeerwachsene haben großes Interesse an IT und an IT-Berufen, setzen dieses aber noch zu selten in ein technisches Studium oder eine Ausbildung um. Das hat eine repräsentative Umfrage des Marktforschungsinstituts Forsa im Auftragdes Hightech-Verbands BITKOM ergeben. Jugendliche, so die Umfrage, zeigen ein höheres Interesse an IT-Berufen, wenn sie in der Schule am Informatikunterricht teilgenommen haben.»die Einführung eines Pflichtfaches Informatik ist dringend erforderlich, um mehr jungemenschen für technische Studiengänge und Ausbildungwege zubegeistern«, so BITKOM-Präsident Professor August-Wilhelm Scheer. Das Image der IT-Branche ist bei Jugendlichen generell gut.»und nur, wenn es gelingt, die Kluft zwischen grundsätzlichem Interesse und konkreter Berufsplanung zu überbrücken, kann dem Fachkräftemangel dauerhaft begegnet werden«, so Scheer. Fotos:Polycom, Fast LTA,Transtec

7 KURZ NOTIERT 7 Mobiler Datentresor RFID-Security-Festplatten von Digittrade bieten umfassenden Schutz. Zwei im Lieferumfang enthaltene RFID-Schlüssel, sogenannte Transponder,sperren oder entsperren die Festplatte durch simples Führen über ein im Gehäuse integriertes RFID-Lesegerät. Bei Trennung des mobilen Datentresors vom Computer erfolgt sofort eine automatische Sperrung.Zusätzlich ist der RFID- Zugriff durch einen 128-Bit-Schlüssel nach Advanced Encryption Standard(AES) geschützt.um eine Entschlüsselung der Daten zu verhindern, fügte Digittrade der Security-Festplatte ein zusätzliches Sicherheitsmerkmal hinzu. Dabei nutzt das Gehäuse die S.M.A.R.T-Funktion der Festplatte und vergibt selbstständig ein ATA- Passwort. Dieser ATA-Kennwortschutz wird automatisch aktiv,sobald die Festplatte aus dem Gehäuse entfernt, ausgeschaltet oder mittels RFID-Schlüssel gesperrt wurde. Die Deaktivierung des Passwortschutzes erfolgt gleichzeitig mit der Entsperrung der Festplatte durch den RFID-Schlüssel. Somit wird ein Auslesen der Festplatte außerhalb des Gehäuses verhindert. Urteil des Monats Schadensersatz bei Datenverlust Dass die versehentliche Vernichtung von fremden Daten zu erheblichen Schäden führen kann, musste der Mitarbeiter eines Unternehmens schmerzvoll erfahren. Als der Sohn des Beklagten aus Versehen die Daten auf der Festplatte des betrieblichen PCs seines Vaters gelöscht hatte, forderte der Arbeitgeber die Kosten von 1,2 Millionen DM Dr.Antje Zimmerlich Rechtsanwältin von DLA Piper (erste Verhandlung vor Euro-Einführung) für die Wiederherstellung des Datenbestandes. Der Bundesgerichtshof (Az. VI ZR 173/07) hat der Klage des Arbeitgebers in weiten Teilen stattgegeben und den Beklagten zur Zahlung von 70Prozent des geforderten Betrages und nicht lediglich den Anschaffungskosten für eine neue Festplatte verurteilt.30prozent der Kosten muss der Arbeitgeber selbst tragen, da er es unterlassen hatte, Sicherungskopien zu erstellen und ihn so ein Mitverschulden hinsichtlich der Schadenshöhe trifft.danicht nur durch die Wiederherstellung der Daten erhebliche Kosten verursacht werden können, sondern die fehlenden Daten hier Planungsdaten eines Ingenieurbüros zustörungen im Betriebsablauf führen können, ist eine regelmäßige Datensicherung dringend zu empfehlen. Tritt dennoch ein Datenverlust auf,bleibt für den Schadensverursacher nur zur hoffen, dass er eine wirksame vertragliche Haftungsbegrenzung vereinbart hat. Null-Prozent-Leasing HP bietet kleinen und mittleren Unternehmen ab sofort ein Null-Prozent-Leasing für alle seine Server- und Speicherlösungen an. Mit dem Angebot hilft HP seinen Mittelstandskunden, wichtigeprojekte auch bei Budgetproblemen zu realisieren. Die zinsfreien Raten verteilen sich quartalsweise über einen Zeitraum von insgesamt 30Monaten. Am Ende der Laufzeit können die Kunden sich entscheiden, ob sie das Produkt zurückgeben, es mit neuen Technologien modernisieren, oder den Restbetrag mit einer Einmalzahlung begleichen wollen. Die Aktion läuft zunächst bis 30. Mai Ein ähnliches Angebot macht Dell für ausgewählte Server- und Storage-Systeme. Das Finanzierungsangebot gilt für alle Bestellungen mit einem Bestellwert von mindestens Euro bei gleichzeitigem Abschluss eines 3-jährigen ProSupport-Servicevertrags. Am Ende der Vertragslaufzeit gehen die Produkte mit Zahlung der letzten Mietkaufrate in das Eigentum der Kunden über.das Angebot ist bis zum 30.April 2009 gültig. Auch der amerikanische Netzwerkausrüster Extreme Networks hat ein Null-Prozent-Leasingangebot für Deutschland, Österreich und die Schweiz auf den Markt gebracht. Anzeige Radiologische Befundung in Farbe Für die Wiedergabe medizinischer Diagnosebilder in Farbe bringt NECDisplay Solutions den NEC MD21M auf den Markt. Der neue 2-Megapixel Bildschirm verfügt über ein SA-SFT (IPS)- Panel. Er wurde speziell für die Befundung im Bereich der Computertomographie, Magnetresonanztomographie und Kardiologie entwickelt. Der MD21M erfüllt alle verbindlichen Standards wie CE-MDD und DINV ,Kategorie B. Er bietet eine native Auflösung von 1600 x 1200 Bildpunkten sowie einen Kontrastwert von 500:1. Das Panel unterstützt zudem auch die Wiedergabe von Graustufenbildern aus der Röntgendiagnostik. Der Bildschirm ist ab sofortüber NECDisplaySolutions sowie über den zertifizierten medizinischen Fachhandel verfügbar. Fotos:Palm, DLR Piper Palm Prelässt hoffen Von seinem neuen Smartphone Palm Pre, dem ersten mobilen Gerät auf der webos-plattform, erhofft der Hersteller einen durchschlagenden Erfolg.Nicht ganz zu Unrecht, denn der Neuentwicklung wird in Fachkreisen durchaus das Potenzial zugetraut, iphone und Blackberry einen Teil des Wassers abzugraben. Tatsächlich benötigt das Unternehmen nach langer Durststrecke dringend wieder einen Erfolg.Palm hat im dritten Quartal des Fiskaljahres 2009 einen Umsatz von lediglich 90,6 Millionen Dollar erzielt (Vorjahr: 312,1 Millionen Dollar). Der Nettoverlust übertrifft den Umsatz und liegt bei 98 Millionen Dollar (Vorjahr minus 54,6 Millionen Dollar). Anwender mit Business IntelligenceTools unzufrieden BI Survey8, eine Umfrageunter 2622 Anwendern, Beratern und Anbietern, hat gezeigt,dass es offenbar enorme Wahrnehmungsunterschiede innerhalb der BI-Community gibt. So beklagen Anwender vor allem die Abfrage-Performanz und die Support-Qualität. Anbieter selbst sehen sich deutlich positiver und beklagen dagegen die Unternehmenspolitik und die schlechte Datenqualität in den Anwenderunternehmen. Sie glauben auch, dass in Projekten viel mehr Anwender mit BI-Software arbeiten, als dies real der Fall ist. Soll BI zum Erfolg geführt werden, müssen diese Kommunikationslücken geschlossen werden.

8 Storage Competence Partner schützenihre Storage Investitionen! NUTZEN SIE EIN KOSTENLOSES BERATUNGSGESPRÄCH!

9 Storage Competence Partner Storage Competence Partner ist eine Kooperation des VAD TIM AG mit führenden Storage Herstellern und Systemhäusern indeutschland. Sie zeichnen sich aus durch: herstellerübergreifende Lösungskompetenz hochqualifizierten Support und Professional Service methodische, technologische und kaufmännische Storage Beratungskompetenz DRESDEN BERLIN HAMBURG BREMEN HANNOVER MÖNCHENGLADBACH KÖLN KÖLN GUMMERSBACH BONN BAD HOMBURG DREIEICH BENSHEIM WIESBADEN STUTTGART EMPFINGEN ELLWANGEN NECKARSULM PUCHHEIM STRAUBING KONTAKTIEREN SIE UNS: oder unter TIM AG Schoßbergstraße Wiesbaden

10 10 Problemlöser Virtualisierung In der Krise wirdgern an IT-Kosten gespart. Virtualisierung kann helfen, die technischen und wirtschaftlichen Ziele des DV-Bereichs unter einen Hut zu bringen. vonmanfred gnirss,jürgensimon* Die derzeitige Wirtschaftskrise lässt viele Unternehmen ihre ITkritisch prüfen. Denn hier rechnet das Controlling bei der Umsetzung üblicher Sparprogramme mit schnellen Resultaten. Doch eine Anpassung der IT-Architektur- und Betriebsmodelle liefert oft bessere und nachhaltigere Ergebnisse. Eine sehr wirksame Methode ist hier die Virtualisierung. Sie ist mittlerweile ein etabliertes Konzept und kann auf unterschiedliche Systemkomponenten (Server, Netzwerke, Speichersysteme) angewandt werden. Populär ist derzeit vorallem die Servervirtualisierung: Eine Virtualisierungsschicht stellt mehreren Konsumenten von Systemleistungen dieselbe Ressource (also einen oder mehrere Server) losgelöst von der physischen Basis als einheitliche logische Ressource zur Verfügung. Das bedeutet unter anderem, dass die Programme nicht explizit auf vorhandene Systemressourcen abgestimmt werden müssen. Folglich muss man Serverhardware nicht mehr Programmen und Betriebssystemen fest zuweisen. In der Praxis sind unterschiedliche Virtualisierungstechniken bekannt: Virtualisierung innerhalb der Hardware, reine Softwarelösungen oder auch kombinierte Lösungen aus Soft- und Hardware. Alle Ansätze lasten bei professioneller Anwendung Ressourcendeutlichbesseraus. So eignetsicheinevirtuelle Plattform, die viele Systeme logisch zur Verfügung stellt, hervorragend für die Konsolidierung individueller, schlecht ausgelasteter Systeme. Verringerter Hardwarebedarf senkt die Betriebskosten Hieraus ergeben sich diverse Vorteile, die direkt oder indirekt die IT-Betriebskosten dauerhaft senken. So verringert zum Beispiel eine auf virtuellen Servern konsolidierte Rechnerumgebung in der Regel den Investitionsbedarf: Man braucht weniger physische Server sowie Netzwerkkomponenten wie Verkabelungssysteme, Switcheoder Netzwerkkarten. DienötigeRZ- Fläche wird kleiner, die Infrastruktur schlanker, meist sinkt der Energieverbrauch. Typischerweise verringert sich auch die installierte Gesamtprozessorkapazität bei Die IT entwickelt sich hin zu gemeinsam genutzten, konsolidierten, virtualisierten und automatisierten Infrastrukturen. Quelle: IBM

11 SERVICES &LÖSUNGEN 11 Funktionsweise von Cloud Computing im Überblick Fürden Anwender kommt der Serviceeinfach»aus der Cloud«. Dort verbergen sich komplett virtualisierte, skalierbare, automatisierte Ressourcenund Datenzentren. Quelle: IBM gleichemleistungsbedarf. Daraus ergebensichwiederum Einsparungen bei Software-Lizenzkosten, sofern diese sich, wie das oft der Fall ist, an der Zahl der verwendeten CPUs orientieren. Eine auf wenigehardwarekomponenten konsolidierte Umgebung erlaubt ein zentrales und effektives Systemmanagement. In Verbindung mit entsprechenden Werkzeugen vereinfacht sich die Administration der Umgebung. Zentrale Monitoring-Funktionen stellen umfangreiche Systeminformationen zur Verfügung, die als Basis für die Automation der gesamten virtuellen Serverlandschaft genutzt werden können. Außerdem wird die gesamte Umgebung in der Regel flexibler. Maßgeschneiderte Services und virtuelle Server lassen sich bei Bedarf schnell zur Verfügung stellen. Verändert sich der Leistungsbedarf, kann man die Kapazitäten eines vorhandenen Servers wie CPU-Leistung, Arbeits- oder Festplattenspeicher schnell der neuen Situation anpassen und damit den aktuellen Geschäftsanforderungen unmittelbar und automatisiert entsprechen. In einer nicht virtualisierten Umgebung stellt je ein Server proanwendung die erforderlichen Kapazitäten für die Nutzer bereit. DieserServerist die Basis für die Abrechnung der verbrauchten Leistung, sei er nun ausgelastet oder nicht. Abrechnung nach Gebrauch VirtualisierteServerumgebungen stellenjedem einzelnen virtuellen Server die benötigten Kapazitäten unabhängig von den Anforderungen der anderen Serverinstanzen zur Verfügung. Ausgewogene Virtualisierungslösungen erlauben es, für alle Server garantierte Mindest- und/oder Maximal-Kapazitäten zu bestimmen. Dabei erfolgt die Steuerung und Festlegung der Kapazitätsgrenzen typischerweise abhängig von den Berechnungsmodellen für die Kostenweiterbelastung. Die gewünschte Dienstgüte der Services wird dabei berücksichtigt. In einer virtualisierten Welt kann man also von einer Server-basierten Abrechnung zu einem rein verbrauchsorientiertenabrechnungsmodell übergehen. Hier zählen nur die tatsächlich verbrauchten Ressourcen. Häufig taucht die Frage nach Zusatzrisiken in virtualisierten Umgebungen auf. Bei vielen Diskussionen steht im Mittelpunkt, ob es gelingt, die virtuellen Server wirksam gegeneinander und vom Trägersystem abzuschotten. Tatsächlich erfüllen nicht alle Virtualisierungslösungen gleich hohe Sicherheitsstandards. Betreiber mit hohem Sicherheitsbedarf sollten daher auf herstellerunabhängige Zertifizierungen für die ausgewählten Software- und Hardwarelösungen achten, zum Beispiel die des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Virtualisierung ebnet Wegzum Cloud Computing In letzter Konsequenz legtvirtualisierung die Basis für Cloud Computing.Dieses technologische Konzept erlaubt es, für neue Geschäftsanforderungen in kürzester Zeit die dazu passenden IT-Services zur Verfügung zu stellen. Ein IT-Service kann dabei unterschiedliche Ressourcen von der Hardware bis zur Applikation umfassen. Sie werden, basierend auf den jeweiligen SLAs (Service LevelAgreements), automatisch ausgewählt, zugewiesen und initialisiert. Hierdurch ergibt sich für Unternehmen idealerweise neben einem komplett auf Nutzung basierenden Bezahlmodell maximale Flexibilität. Siekönnendeutlichschneller am Markt agieren. Allerdings stehen Cloud-Modelle für die Unternehmens-DVnoch amanfang esgibt zwar erste Projekte, doch verbindliche Standards sind noch in Arbeit. *Manfred Gnirss ist Experte für die Entwicklung von Systemsoftware, JürgenSimon ExecutiveIT-Architect für Financial Services bei IBMDeutschland.

12 12 SERVICES & LÖSUNGEN Prävention gegen Datenlecks Mit Data Loss Prevention (DLP) hat die Security-Industrie nach eigener Aussage das Wundermittel gegen den Informationsabfluss entwickelt.wer es einsetzen möchte, wird unter anderem Interessenskonflikte zwischen dem IT-Team und den Mitarbeitern lösen müssen. von stefan bächer* Vielen Dank, Deutsche Telekom, Dank auch an die Landesbank Berlin für ihre gelungene Aufklärungskampagne. Diese Organisationen haben ihren Ruf auf Spiel gesetzt, um allen anderen die Gefahren eines Datenschutzskandals vor Augen zu führen. Dabei gehören die in Deutschland formulierten Regeln für Datenschutz nach allgemeiner Auffassung zu den strengsten weltweit. Zwischen Gesetzestext und Umsetzung klafft allerdings eine Lücke, durch die Millionen von Kunden-, Konten- und Adressdaten fließen. Wie hoch der Schaden eines solchen Unfalls tatsächlich ist, lässt sich seriös kaum beziffern. In Großbritannien, wo die britische Steuerbehörde rund 25 Millionen Bürgerdaten verlor, kommt die Opposition in ihrer durchaus politisch motivierten Rechnung auf ein Volumen von knapp 2,1 Milliarden Euro, die Folgen für das Image außen vorgelassen. Nun heißt es, aus dem Schaden anderer klug zu werden. Die Security-Industrie hat diese Vorfälle natürlich reflexartig aufgegriffen und ihr Gegenmittel»Data Loss Prevention«, kurz DLP, präsentiert. Wer die jeweiligen Füllungen des Begriffs untersucht, wird je nach Hersteller andere Ausprägungen vorfinden. Ein DLP-Produkt existiert als solches nicht, denn bei DLP handelt es sich um ein Framework. Eine Architektur, in die sich unterschiedliche Produktkategorien eingliedern. Das beginnt bei der Festplattenverschlüsselung und -Encryption-Systemen und endet bei Appliances und Fileserver- und Datenbank-Tools, die Daten im Archiv oder auf ihrem Weg durch das Netz automatisch klassifizieren. Wer das Schlagwort inhaltlich fassen möchte, sollte es daher über seine konzeptionelle Rolle versuchen. Das Systemhaus Integralis hat hierfür eine kluge Definition gefunden:»dlp ist eine Technologie, die vertrauliche Daten erkennt und den autorisierten Benutzer an deren unzulässiger Nutzung und Weiterverbreitung hindert. Die Betonung liegt auf autorisierter Benutzer.«Wer Frameworks konzipiert, muss sie erklären, deuten, entwickeln und füllen. Die Unternehmen müssen ein eigenes Konzept für ihre Welt entwickeln. Keine geringe Hürde für DLP, denn es müssen zahlreiche organisatorische Fragen beantwortet sein, insbesondere auch auf Prozessebene. DLP ist schließlich kein Boxprodukt nachdem Motto»installieren und vergessen«. Ziele kantig formulieren Bei einem DLP-Projekt ergibt sich eine Vielzahl von allgemeingültigen Fragen. Wer bestimmt und klassifiziert die Daten in der Hinsicht, was sensible Inhalte sind? Wie wird verhindert, dass die Mitarbeiter, die ja mit den Daten arbeiten müssen, diese nicht aus dem Unternehmen tragen? Die internen User dürfen dabei nicht unter Generalverdacht stehen. Oft handeln sie falsch, weil sie die Gefahren unterschätzen oder schlicht nicht kennen. Oft wird ihnen das Ausmaß erst bewusst, wenn sie den USB-Stick oder das Notebook im Taxi liegen ließen. Dies geschieht dutzendfach jeden Tag, wie die Statistiken des Fundbüros der Londoner Verkehrsbetriebe protokollieren.so wurden im vergangenen Jahr Gegenstände vergessen, darunter Foto: InformationWeek USA Ausgabe März 2009 informationweek.de

13 Kaspersky Open Space Security Optimaler Schutz für dynamische Unternehmens-Netzwerke Kaspersky Open Space Security schützt Firmen- Netzwerke jeder Größe inklusive externer Mitarbeiter und mobiler User zuverlässig und wächst mit allen zukünftigen Anforderungen an die Unternehmens-IT. Überzeugen Sie sich von der optimalen Skalierbarkeit und dem flexiblen Lizenzmodell unserer Produkte. Ihre Vorteile: Optimaler Schutz vor Viren, Spyware und Hackern auf allen Netzwerk-Ebenen Proaktiver Schutz der Workstations vor bisher unbekannten Viren Kaspersky Open Space Security hat als erste Antiviren-Software weltweit das Zertifikat Citrix Ready erhalten. Echtzeit-Scan von Mails und Internet-Traffic Automatische Isolierung infizierter Rechner Zentrale Administration mit umfangreichem Berichts-System w w w. k a s p e r s k y. d e

14 14 SERVICES & LÖSUNGEN Risiko vergessliche User:2008 haben Passagiere in den Londoner U-Bahnen, Zügen und Bussen insgesamt Gegenstände vergessen, darunter eine große Menge von Handies und Laptops. eine»große Menge von Handies und Laptops«. Das Unternehmen muss daher auch verhindern, dass Daten aus Unwissenheit fälschlich behandelt oder unerlaubterweise kopiert werden. Und wenn es doch passiert, müssen die IT-Verantwortlichen nachvollziehen können, wer zuletzt mit den Daten gearbeitet hat. Daraus ergeben sich einige Pflichten: Dokumentation über Datenbewegungen Sammeln der Anwenderinformation, wer zuletzt die Daten bearbeitet hat Sensibilisierung des Anwenders im Umgang mit vertraulichen Daten, beispielsweise mit Hilfe von Pop-ups Bestätigung des Anwenders; also die Prüfung,ob er berechtigt ist, mit einem Datensatz zu hantieren Blockieren von Datenbewegungen, welche eine unautorisierte Aktion verhindert und eine Alarmierung bei Verstößen, möglichst in Echtzeit. Eine genaue Analyse der bestehenden Workflows und Prozesse ist hierfür unabdingbar. Ohne diese unternehmensspezifische Auswertung begibt man sich unter Umständen auf gefährliches Terrain, weil das Projekt in unüberschaubaren Aktionismus ausartet. Das gilt es zu verhindern. Grundlegende Interessenkonflikte lösen Die IT-Abteilungen müssen der Wirtschaftsspionage und dem Verlust von Daten vorbeugen. Dazu wollen sie die Daten schützen, vor allem vor dem unwissenden internen User. Auf der anderen Seite darf der User natürlich darauf pochen, dass seine Persönlichkeitsrechte und seine Privatsphäre bewahrt bleiben. Daraus entsteht ein Interessenskonflikt, den es zu moderieren gilt. In jedem Fall müssen gesetzliche und unternehmensrechtliche Richtlinien eingehalten werden. Dazu sollten folgende Maßnahmen umgesetzt werden: eine Aufklärung der Mitarbeiter, beispielsweise durch eine Informationskampagne, die Einwilligung der Mitarbeiter, beispielsweise über Betriebsvereinbarungen, die Einbeziehung des Betriebsrats, beispielsweise durch die Beteiligung bei der Aufklärung eines Vorkommnisses. Eine technische DLP-Lösung muss einen weiteren Konflikt umgehen. Einerseits wollen die Mitarbeiter mit Unternehmenslaptops von Zeit zu Zeit oder über längere Zeit von ihrem Homeoffice oder von unterwegs aus arbeiten. Dieser Benutzerkreis muss bei der Betrachtung in das Gefährdungspotenzial mit aufgenommen werden. Simpler Einstieg Ein DLP-Framework hat verschiedene Mittel vorgesehen, um den Datenklau zu unterbinden. Das beginnt bei der Verschlüsselung sensibler Daten, sei es auf der lokalen Festplatte, auf den Servern selbst oder externen Datenträgern wie USB-Sticks. Die Industrie hat inzwischen sämtliche Medien und Plattformen im Visier, inklusive Sharepoint-Servern. Einige Hersteller wie EMC/RSA oder Symantec haben bereits Netzwerk-Appliances konzipiert, die die Daten auf ihrem Weg durch das interne Netz oder in den Datenarchiven selbstständig untersuchen und autonom klassifizieren. Die Grenze ist der Himmel und das Budget. Die einfachste und praktikabelste Art ist der Schutz der Daten in einem gesicherten Bereich, in dem das Kopieren generell verhindert wird.es wäre beispielsweise denkbar,eine Gruppenrichtlinie zu definieren, die den Teamleiter darüber informiert,bevor Informationen nach außen gehen. Der Gruppenleiter sorgt dafür, dass sensible Daten wie etwa Geschäftsberichte, entsprechend klassifiziert werden. Mails, welche nach außen gehen und sensible Inhalte beinhalten, werden vom Teamleiter freigegeben. Für die Umsetzung sind zwei Ansätze denkbar. Einmal die Definition von Gruppenrichtlinien auf Desktopebene oder die Umsetzung der Policy auf Serverebene. Grenzen erkennen Ein DLP-Projekt wird den Mitarbeiter vor seinen eigenen Fehlern schützen. Nicht mehr, aber auch nicht weniger. Datendiebstahl generell verhindern wird es aber nicht. Dazu müsste jemand den Mitarbeiter permanent beobachten, um zu verhindern, dass er den Bildschirm abfilmt und fotografiert. Demnach muss die IT-Abteilung klar kommunizieren, welche Ziele überhaupt mit vertretbarem Aufwand zu erreichen sind. Hierzu eine Empfehlung für eine methodische Herangehensweise. Zuerst müssen alle Unternehmenszugänge auf den Prüfstand. Im zweiten Schritt ist zu empfehlen, Datensicherheitsmaßnahmen nur dann einzufordern und durchzusetzen,wenn es sich wirklich um ein vertrauliches Dokument handelt. Die IT-Verantwortlichen müssen dabei der Mobilität und Flexibilität der Mitarbeiter und Arbeitsplätze Rechnung tragen. Sinnvollerweise sollte über die Schutzlösung noch eine Alarmierung gelegt werden, welche eine schnelle Reaktion der Verantwortlichen sicherstellt. Die Erfahrung gezeigt, dass sich mit der vorgeschlagenen Vorgehensweise ein Projekt zügig umsetzen lässt. Ohne dass sich die Verantwortlichen in Details verlieren, beispielsweise in Diskussionen darüber, welche Fingerprinting-Methode für die automatische Klassifizierung zum Einsatz kommen soll. Wichtig ist, dass die Lösung auch in ökonomischer Hinsicht realisierbar ist und im Sinne der Administration praktikabel handhabbar bleibt. * Stefan Bächer, Security Consultant bei Defense Foto: Transport for London 2005 Ausgabe März 2009 informationweek.de

15 6. Mai 2009 München 9.00 bis Uhr Sofitel Munich Bayerpost Bayerstraße München Fachveranstaltung Senken Sie IhreIT-Kosten mit IT-Life-Cycle-Management Auszug der Themen und Referenten Frühbucherrabatt bis ,- Euro netto danach 249,- Euronetto Peter Bauer PC-Garant GmbH Volle Garantie für Datenund Rechenzentren Hochverfügbarkeit aus einer Hand garantieren und gleichzeitig Kosten senken geht das? Gerade jetzt denken viele Unternehmen darüber nach, wie sie die Nutzungsdauer hochwertiger Systeme verlängern können. Anhand vonanwenderbeispielen aus über 15 Jahren Praxis zeigt der Workshop Lösungswege. Michael C. Reiserer, Geschäftsführer Prometheus GmbH IT Outsourcing der Schlüssel zur Reduzierung der TCO Als Betreiber vonüber Geräten im Outsourcing stellt Michael C. Reiserer anhand von Praxisbeispielen Fallstrickeund Erfolgsrezepte dar: SLAsrichtig verhandeln und messen wie wirkt sich Hardwarebeschaffung auf Outtasking aus? Anwenderzufriedenheit (gefühlte Qualität) versus technische Qualität unterstützt von: JörgBerberich Senior Manager AdvisoryServices Ernst &Young AG Rechtliche und kaufmännische Grundlagen für das IT-Assetund Lizenzmanagement Lizenzen aus juristischer Sicht: allgemeine Voraussetzungen nach dem Urheberrecht Unterschiede der Lizenzmodelle die Rechtslagezum Einsatz von Gebraucht-Software ist Lizenz-und Asset-Management rechtlich erforderlich? Softwareaudits Sascha Tobergte TC Tobergte Consulting Integrierte Rollout &Rollback Prozesse im IT-Remarketing Der Austausch von IT-Hardware ist eine wiederkehrende Herausforderung für alle Unternehmen. Optimierungsmöglichkeiten für den Hardwareaustausch Datensicherheit und Hardwareverkauf im Austauschprozess Konzepte für die Vermarktung vonalt-hardware vermeidbare»stolperfallen«: Darauf sollten Sie achten! Atania Breyton Dipl. Leasing- und Finanzfachwirt (VWA), Breyton Leasing Agentur IT Leasing,IFRS/US GAAP Konformität, IFRIC4 Viele Leasingverträge halten einer Praxisprüfung nicht stand: wie IFRS /US GAAP konforme Verträge implementiert werden wie IFRIC 4 das IT-Outtasking vonberührt wozu kaufmännisches Asset- Management erforderlich ist. Boris Vöge Dipl. Kaufmann, Vorstand preo Software AG Gebrauchte Software waskommt nach SAM Bis zu 30 Prozent des Software- Anschaffungspreises lassen sich durch den Verkauf ungenutzter Software refinanzieren. Was beim Verkauf und Kauf gebrauchter Software zu beachten ist und wie Software Lizenzen transparent übertragen werden erfahren Sie in diesem Workshop an unterschiedlichen Praxisbeispielen. Veranstalter: Online-Anmeldung unter: go.informationweek.de/155

16 16 SERVICES &LÖSUNGEN»Biometrie bleibt in der Nische«Biometrische Verfahren profitierten nur wenig vonder steigenden Nachfrage nach starker Authentifizierung in den Unternehmen, meint der Analyst Martin Kuppinger.Mehr Chancen für biometrische Verfahren sieht erimöffentlichen Bereich. vonjürgenhöfling Schutzglas Lichtquelle Die konstant hohen Sicherheitsrisiken für Unternehmen und ein insgesamt deutlich gestiegenes Bewusstsein für das Thema GRC (Governance, Risk Management, Compliance) und die daraus (unter anderem) resultierenden Anforderungen an eine zuverlässige Authentifizierung haben ebenso wie das deutliche Wachstum bei Single-Sign-On-Ansätzen (SSO) dazu geführt, dass Unternehmen auch in der aktuellen schwierigen Situation über das Thema der starken Authentifizierung nachdenken. Laut einer Marktstudie des Analystenunternehmens Kuppinger Cole zum Thema Identitätsmanagement planen immerhin rund 28 Prozent der Unternehmen im Jahr 2009 erhebliche Investitionen indie starke Linse CMOS-Chip Lichtquelle Im öffentlichen Bereich sind die Akzeptanzprobleme für biometrische Authentisierungssysteme geringer als bei Unternehmen: hier ein berührungslos arbeitender Fingerabdrucksensor. Authentifizierung. Invielen Fällen sind diese durch die aus den GRC-Anforderungen abgeleiteten internen Sicherheitsrichtlinien zwingend, um beispielsweise SSO-Konzepte umsetzen oder Systeme für neue, externe Benutzergruppen öffnen zukönnen. Von diesen Investitionsvorhaben werden laut Studie in erster Linie Smartcards und USB-Tokens für digitale Zertifikate und, zu einem kleineren Anteil, Einmal-Passwort-Lösungen profitieren. Dagegen hat das Interesse an biometrischenverfahren sogar abgenommen. Nach Kuppinger Cole haben 2006 noch rund zehn Prozent der Unternehmen Biometrie als strategisch relevant angesehen, im Vergleich dazu sind es mittlerweile nur noch gut fünf Prozent ein doch beachtlicher Rückgang. Akzeptanzprobleme Martin Kuppinger, einer der Gründer von Kuppinger Cole, sieht mehrere Ursachen für diese Entwicklung. Mit den auf digitalen Zertifikaten und Smartcards beziehungsweise USB-Tokens beruhenden Ansätzen ließe sich die Integrationvon physischem Zugang zum Unternehmen und der logischen Zugangskontrolle zu IT-Systemen besser adressieren, meint der Analyst. Das gelte vor allem für Smartcards, auf denen sich zusätzliche Funktionen wie RFID-Chips unterbringen ließen. Bei den biometrischenverfahren seien dagegen für einen Einsatz im Massenmarkt nurfingerabdruckleser relevant. Und diese litten immer noch anakzeptanz-problemen, vor allem auch wegen der immer wieder geäußerten Kritik in Bezug auf ihre Sicherheit. Darüber hinaus weist der Analyst auch auf Datenschutzbedenken hin, die sich insbesondere in Bezug auf eine allerdings nicht zwingend erforderliche zentrale Speicherung von biometrischen Merkmalen ergäben (siehe auch den Artikel»Zutritt mit Körpereinsatz«indiesem Heft, Seite 28). Kuppinger weist indes daraufhin, dass biometrische Verfahren nicht in allenbereichen der IT bedeutungslos sind. Innerhalb der Unternehmen dürfte sich aber ihr Einsatz in den meisten Fällen in den kommenden Jahren auf besonders sensible Bereiche beschränken, wo ein sehr hohes Sicherheitsniveau erforderlich sei. Fotos:TST Biometrics,Kuppinger Cole

17 SERVICES &LÖSUNGEN 17 Biometrische Merkmale seien als zweiter oder, gerade in Hochsicherheitsbereichen, auch als dritter Faktor grundsätzlich interessant, weil sie trotz aller Kritik ein hohes Maß ansicherheit böten.eine flächendeckende Nutzung werde esaber eher selten geben.»biometrische Systeme werden in näherer Zukunft inden Unternehmen nur ein Nischendasein führen.«martin Kuppinger, Analyst bei Kuppinger Cole GrößereRolle im öffentlichen Bereich Eine viel größere Rolle spielen biometrische Verfahren nach Einschätzung von Kuppinger im Bereich der staatlichen Nutzung, so beim elektronischen Personalausweis (epa) oder auch bei der Flughafensicherheit. Hier gebe es deutlich mehr Potenzial für biometrische Ansätze,weil siedorteinfacher durchzusetzen seien und weil das Verhältnis von Sicherheitsanforderungen zum Investitionsaufwand häufig anders bewertet werde. Eine weiterebiometrische Nische sieht der Analystfür die Sprachidentifikation. Diese sei inzwischen durchaus etabliert,habeaber wie übrigens jedesbiometrische Verfahren damit zu kämpfen, dass es immer einen gewissen Unschärfebereich in der Erkennung gebe. Unberechtigte Ablehnungen auf der einen Seite und fehlerhafte Akzeptanzfälle auf der anderen Seite machten immer wieder Alternativprozesse für biometrische Erkennungsverfahren notwendig.dennoch sei die Identifikation aufgrund des Sprach- und Sprecherverhaltens beispielsweise für das Zurücksetzen von Kennwörtern bei vielen Unternehmen erfolgreich umgesetzt worden, inder Regel aber als Ergänzung und nicht als primäre Lösung. Die Biometrie bleibt laut Kuppinger dennoch ein interessantes Feld, weil sie spätestens beim Schrittzu einem dritten Faktor unverzichtbar werde und weil sie auch bezüglich möglicher Angriffsflächen insgesamt gutzubewerten sei. Trotz dieses insgesamt positiven Resümees sieht er in näherer Zukunft wenig flächendeckende Einsätze dieserverfahren. Verwirrende Modell-Vielfalt Prozessmodelle, mit deren HilfeIT-Organisationen ihreleistungen und Entwicklungsprozesse optimieren, gibt es viele.eine Kombination der Frameworksist angesagt, doch nicht alle machen Sinn. vonmatthias kneissl* DieAuswahl an Prozessmodellen und die Häufigkeit, in der neue Modelle entstehen, kann Anwender sowie Change- und Releasemanager schnell verunsichern. DieForderung nach Verbesserung der Prozessqualität gehtmeist einhermit technischenoder organisatorischen Änderungen. Viele IT-Organisationen setzen auf Prozessframeworks, um damit ihre IT- Abläufe abzubilden. Das Ziel ist, Kundenprojekte effizient zu managen und die eigene Abteilung professionell zu führen. Wichtig ist dabei jedoch, dass eine Einführung stetsdurch Metriken und Zielvorgaben begleitet wird. Denn nur so werden die Leistungen der IT-Organisation messbar und Veränderungen nachvollziehbar. Am Anfang steht der Prozessverantwortliche vor der Wahl, welchenaspekt innerhalb seines Entwicklungsund Service-Angebotes eroptimieren möchte. Ganz grob ist eine Klassifizierung der Angebote in Vorgehensmodelle, Reifegradmodelle, Prozessmodelle und Qualitätsmanagementmodelle möglich. Vorgehensmodelle geben die Art und Weise vor, nach der ein Projekt abzuwickeln ist. Klassische Vertreter dieser Kategorie sind das V-Modell XT oder der Rational Unified Process (RUP). Reifegradmodelle wie CMMI und SPICE bewerten die Prozessreife einer Organisation und stellen Werkzeuge für eine schrittweise Verbesserung bereit. ITIL oder ISO sind als Managementmodelle bekannt, die Vorgehensweisenfür den Betrieb einer IT-Infrastruktur darlegen. Agile Entwicklung ist keine Basisdemokratie Modelle wie Total Quality Management (TQM) oder Lean Six Sigma lassen sich indie Kategorie der Qualitätsmanagementmodelle einordnen. Diese beschreiben Maßnahmen, mit deren Hilfe Unternehmen eine konstant hohe Qualität ihrer Produkte oder Dienst- Y

18 18 SERVICES &LÖSUNGEN Kunde Kundenausrichtung Neue Anforderungen an IT-Services oder an Kunden- und Anwenderschnittstellen Organisation und Prozesse Reorganisation Prozessstandards und Veränderungen in der Organisationsstruktur der IT-Bereiche Triebkräfte für IT-Prozesse Technik Standardisierung und Technologiewechsel Technologische Veränderungen in der IT-Landschaft verbesserung der Organisation. Beispielsweise kann ein Reifegrad von der Stufe drei nur dann erreicht werden, wenn alle einzelnen Projekte diesen Reifegrad erlangen. In der Software-Entwicklung lassensichzwar einzelne Wartungsprojekte auch über CMMI abbilden, hier ist jedoch für den Aufbau und die Abbildung der einzelnen Prozesse ITIL deutlich besser geeignet. Aufgrund ihrer gegensätzlichen Struktur ergänzen sich CMMI und ITIL ideal, da sie unterschiedliche Teile des IT- Lebenszyklus abdecken. Konsolidierung und Technologiewechsel Auslagerung von IT-Leistungen an Dienstleister Quelle: Realtech leistungen erzielen. Gleichzeitig definieren diese Modelle, wie die Maßnahmen innerhalb einer Organisation einzubetten sind. Über diese formalen Prozessframeworks und Vorgehensmodelle hinaus gibt es Vorgehensweisen für die Software-Entwicklung.Die Notwendigkeit, auf Veränderungen am Markt schnell reagieren zu können, macht agile Entwicklungsmethoden wie Scrum oder Feature Driven Development für Unternehmen besonders interessant. Hier ist der Kunde bereits in frühen Phasen der Software-Entwicklung eng in den Entwicklungsprozess integriert. Programmfunktionen werden iterativ und nach Nutzen priorisiert umgesetzt. Der Vorteil liegt insbesondere darin, dass zu jedem Zeitpunkt eine lauffähige Version der Software vorliegt und eine Umpriorisierung von Features kaum Zeit- und Geldverlust bedeutet. Für eine Einführung der agilen Methodik gilt jedoch, dass agile Entwicklung nichts mit Basisdemokratie zu tun hat Entwicklungsrichtlinien sind notwendig und müssenauchverpflichtend für alle Mitarbeiter gelten. Ideale Ergänzung: CMMI und ITIL Die Entwicklungsmethodik alleine reicht jedoch nicht aus sie muss ergänzt werden durch eine Definition von verschiedenen Reifegraden und die Verbesserungen müssen messbar sein. Das bekannteste Reifegradmodell ist CMMI (CapabilityMaturityModel Integration): In Abhängigkeit des Reifegrades werden für verschiedene Prozessgebiete spezifische und generische Ziele definiert, die es innerhalb der Organisation umzusetzen gilt. Es wird beschrieben, welche Prozesse zu optimieren sind, jedoch keine Vorgaben gemacht, wie diese Anforderungen im Detail umzusetzen sind. DieCMMI-Anforderungen sind in vier Prozessgebiete aufgeteilt: Prozessmanagement, Projektmanagement, Ingenieursdisziplinen und Unterstützung (Support). Darüber hinaus definiert CMMI fünf Reifegrade:Jeder Reifegrad ist ein Entwicklungsplateau in der Prozess- Kombination mit Vorgehensmodellen Wie eine Organisation ihre Prozesse im Detail optimieren soll, wird von CMMI nicht definiert. Dies erfolgt über ein Vorgehensmodell: Das V-Modell XT sowie der Rational Unified Process ermöglichen Tailoring und dadurch die Anpassung an die Organisation. Aufgrund desaufbaus von RUP ist es für eine Entwicklungsabteilung wesentlich einfacher, die einzelnen Praktiken mit einer agilen Methodik umzusetzen. Die Überschneidung der V-Modell XT-Aktivitäten mit gängigen agilen Methoden wie etwa Scrum sind ehergering,sodass in diesem Fall eine Kombination kaum sinnvoll erscheint. WährendsichITIL in den vergangenen Jahren in den BereichenWartung und Dienstleistung durchgesetzt hat, wird bei vielen Unternehmen inder Anwendungsentwicklung noch experimentiert.besonders bei neuen Projekten ist häufig festzustellen, dass diese ohne ein umgebendes Prozessframework aufgesetzt werden. Verspätete Liefertermine und ein überzogenes Budget sind die Folgen. Hier empfiehlt es sich, CMMI einzuführen und somit zu einer höheren Prozessreife zu gelangen. Eine Voraussetzung dafür ist ein professionelles Projektmanagement. Solange dies nicht gegeben ist, macht esnoch keinen Sinn, sich umentwicklungspro- zesse zu kümmern. Gerade jetzt ist es aufgrund des Kostendrucks und der Anforderungen der Fachabteilungen an die IT wichtig, eineagile Entwicklungsmethodik zu etablieren. Diese ist mit CMMI sehr gut kombinierbar. Die Entscheidung für ein Vorgehensmodell ist nur ein Schritt auf dem Wegzueiner erfolgreichen, serviceorientiertenorganisation. Die Trends zeigen, dass ein Modell alleine meist nicht mehr ausreicht. In der Praxis sind verschiedeneframeworks zu kombinieren, um maximalen Nutzen zuerzielen und möglichst alle wesentlichen Teilgebiete abdecken zu können. Ein übergreifender Erfolgsfaktor ist die Disziplin innerhalb der Organisation: Das Management hat die Aufgabe, dafür zu sorgen, dass die Mitarbeiter die neuen Prozesse akzeptieren und aktiv umsetzen. *Matthias Kneissl ist Product Manager für ChangePilot bei Realtech

19 24. Juni 2009 Berlin 9.30 bis Uhr Veranstaltungsort: Messe Berlin (Marschall Haus) FACHKONGRESS Virtualisierung Auf dem Weg Themen und Referenten Virtualisierung als Einstieg in Green IT Wolfgang Schwab, Experton Group Mehr Effizienz bei Hostern durch Virtualisierung Michael Emmer, Spacenet in die Cloud WieVirtualisierung effiziente IT-Infrastrukturen schafft Konzepte, Herausforderungen, Lösungsansätze bei der Virtualisierung von IT-Infrastrukturen Rolf Kaumanns, Consulting & TechnologySolutions (Desktop)-Virtualisierung und Sicherheit Stefan Gora, Secorvo Security Consulting inklusive Abendveranstaltung und Verleihung des Virtualisierungs-Awards Anmeldecoupon Fax: +49 (0) Hiermit bestelle ich ein Ticket für Kongressbesuch, Messeeintritt und Abendveranstaltung zu Euro149,00 zzgl. MwSt. ein Ticket für Kongressbesuch, Messeeintritt zu Euro99,00 zzgl. MwSt. für den Fachkongress Virtualisierung am 24.Juni 2009 in Berlin VollständigeFirmenbezeichnung Abteilung Illustration: istockphoto.com da-kuk Wiebeeinflusst die Virtualisierung Netzwerke im Datenzentrum? VonDCoEbis Cloud Computing GerhardKafka, Fachjournalist Das Virtual Private Datacenter das Rechenzentrum aus der Cloud Thomas Uhl, Topalis AG Konzepte und Varianten der Storage- und Datenvirtualisierung Dr.Wolfgang vonkönigslöw, TIMAG ManagementVirtueller Umgebungen Bertram Wöhrmann, Ligarion Ansprechpartner Straße PLZ, Ort Telefon, Fax (Ichbindamit einverstanden, von Ihnen per Informationen zu erhalten.) Homepage Abweichende Rechnungsanschrift Kontakt Simone Strohmeier Telefon Ort/Datum Organisation rechtsverbindliche Unterschrift Online-Anmeldung unter:

20 20 Auge in Auge mit dem Geschäftspartner Die veränderten Strukturen in der globalisierten Geschäftswelt wirken sich auch auf das Kommunikationsverhalten in einem Unternehmen aus. Wenn es schwierig wird, die richtigen Leute zur richtigen Zeit an einen Tisch zu bekommen, können Videokonferenzen helfen. vonpetraadamik schwieriger zuorganisieren sind, stellen Videokonferenzen eine adäquatealternative dar. Mit mobilen Videokonferenz-Systemen halten kreativeteams auch visuellen Kontakt unabhängig vomstandort. Videokonferenz-Systeme setzen sich als Kommunikationsmittel im professionellen Umfeld immer stärker durch. Sei es als Auge-in-Auge-Gespräch zwischen Partnern oder Kollegen, das über die einfache Webcam despcs oder Notebooks geführtwird. Oder über die hochprofessionelle Option mit Telepresence, der momentanen Königsklasse der Videokonferenz-Lösungen. Ein Motor für die zunehmende Verbreitung von Videokonferenz-Lösungen in Unternehmen ist der Siegeszug von Unified Communications. In diesem Kommunikationsmix, der eine bessere Erreichbarkeit über verschiedene Plattformen hinweg ermöglicht, spielen Videokonferenzen eine immer wichtigere Rolle. Der Grund dafür liegt auf der Hand: In Zeiten, wo durch verteilte Unternehmensstandorte oder eine Vielzahl von Niederlassungen spontane persönliche Treffen Hohe Qualität in Bild und Ton Schondie klassischensysteme der mittlerenpreisklasse bieten heute erstklassige Qualität in Bild und Ton. Eine Steigerung sind die sogenannten Telepresence- Systeme. Sie ermöglichen die lebensgroße Darstellung der Gesprächspartner und erzeugen eine natürliche Raumerfahrung,obwohl die Konferenzteilnehmer sich an unterschiedlichen Standorten befinden und vielleicht über Tausende von Kilometern hinweg mittels Videotechnik miteinander kommunizieren. Ein Vorreiter bei Telepresence ist Cisco mit seinen CTS-Systemen. Das Spektrum reicht hier von der Einstiegslösung mit einembildschirm, die für ein biszweipersonen geeignet ist, bis hin zur großen Raumlösung mit drei Bildschirmen, die eine lebensechte Konferenz mit mehreren Personen ermöglicht. Bei Cisco selbst sind 372 Videokonferenz-Systeme in 142 Städten im Einsatz.»Innerhalb von 24 Monaten haben wir rund Meetings weltweit auf diesem Wege abgehalten und rund Reisen vermieden«, berichtet Hans-Joachim Adolphi, bei Cisco verantwortlich für Unified Communications. Die Einsparungen bei den Reisekosten beziffert er mit etwa 285 Millionen Dollar.»Genauso wichtig wie die Kosteneinsparung ist aber die Produktivitätssteigerung, die wirdurch den Einsatz der Telepresence-Lösung erzielt haben«, bringt es Adolphi auf den Punkt. Sie liegt nach seinenangaben bei 70Prozent. Wegen der hohen Einstiegskosten sind Telepresence- Lösungen eher für größere Unternehmen mit global verteilten Niederlassungen geeignet. Diese Systeme werden nach Einschätzung descisco-spezialisten derzeit überwiegend dort eingesetzt, wo Firmen zunächst ihreinhouse-kommunikationoptimierenwollen. Dazu müssendann aber auchinterne Prozesse sowiebisherige Gepflogenheiten überdacht und möglicherweise verändert werden, damit die erhoffte Effizienzsteigerung greift. Ein schneller Return on Investment Foto: Tandberg