Lizenzmanagement als Erfolgsfaktor bei der FIDUCIA IT AG

Transkript

1 Lizenzmanagement als Erfolgsfaktor bei der FIDUCIA IT AG Peter Stanjeck, USU AG Abstract: Die Verwaltung eines zentralisierten Lizenzmanagementsystems der FIDUCIA IT AG unterlegt den Bestimmungen von Euro SOX, einem Gesetz, das auf dem US-amerikanischen Sarbanes-Oxley Act (SOX) basiert. Die Bestimmungen sind streng und selbst versehentliche Compliance-Verstöße können Gefängnisstrafen nach sich ziehen. Datenschutzgesetze machen die Sache noch komplizierter, da sie die Überwachung und das Software-Metering der meisten Installationen einschränken. Tool-Anbieter und deren Kunden sind dadurch gezwungen, zusammen neue Möglichkeiten für einen strikteren Umgang mit Lizenzierungssystemen zu finden, die alles andere als optimal sind. Außerdem müssen Unternehmen mit dezentralisiertem Management sicherstellen, dass das Personal vor Ort auf zentrale Compliance-Richtlinien eingeschworen ist. 1 Das Unternehmen Die FIDUCIA IT AG ist als einer der führenden IT-Anbieter in Deutschland vorwiegend auf den Finanzsektor ausgerichtet. Zu ihren über 800 Kunden zählen fast 65 % der genossenschaftlichen Banken in Deutschland. Das Kerngeschäft der fünf Tochter(- und zwei Beteiligungs)gesellschaften ist die Bereitstellung von kundenspezifischen Full-Service-IT-Lösungen, einschließlich Beschaffung, Drucken, Verteilung, Prozessmodellierung, Web-Design, Sicherheit, Telefondienstleistungen, Schulung, Support, Lizenz-Compliance und Business Intelligence. Das Rechenzentrum der FIDUCIA in der Karlsruher Geschäftszentrale ist eines der modernsten seiner Art in Europa. Dort werden die vertraulichen Daten von 52 Mio. Bankkonten verwaltet. Wie viele IT- Dienstleister vermietet FIDUCIA Hardware- und Software-Assets an seine Bankkunden.

2 2 Herausforderung Konzernlizenzmanagement Unternehmen mit dezentralisiertem Management müssen sicherstellen, dass das Personal vor Ort auf zentrale Compliance-Richtlinien eingeschworen ist. Die Kosten der FIDUCIA für die Verwaltung von Software-Assets waren in den vergangenen 5 Jahren drastisch angestiegen. Diese Herausforderungen haben bei der FIDUCIA zu einer neuen Stellenanforderung geführt. Die neue Stelle eines Konzernlizenzmanagers wurde für einen Kandidaten mit technischem Hintergrund ausgeschrieben, obwohl es sich um eine Controlling, also eher kaufmännische Stelle, handelt. Ich bin ein technischer Kaufmann mit profundem juristischem Wissen, meint Salehmohamed, Konzernlizenzmanager seit Direkt nach seiner Ernennung forderte er die Einführung eines Tools für integriertes Asset-, Vertrags- und Lizenzmanagement. Die von ihm bei der FIDUCIA eingeführten Veränderungen tragen den speziellen branchen- und landesspezifischen Anforderungen Rechnung. Sie sind aber auch anwendbar auf Unternehmen anderer Branchen und an anderen Standorten. Viel wichtiger ist jedoch, dass Sorgen im Hinblick auf Compliance und Sicherheit inzwischen der Vergangenheit angehören. Ich kann mit Sicherheit behaupten, dass wir die Compliance immer im Fokus haben, bestätigt Salehmohamed. Wir sind weder überlizenziert noch unterlizenziert, sondern wir sind genau da, wo wir sein müssen. 3 Drei für eins Bislang führte das Lizenzmanagement jedes Jahr interne Audits an Abenden und Wochenenden im Oktober, November und Dezember durch. Datensätze von über 800 Banken wurden in 20 bis 30 Excel-Arbeitsblättern zusammengefasst, auf eine CD geschrieben und vor der Weihnachtspause an die Revison und den Wirtschaftsprüfer übergeben. Der Prozess des internen Audits war mühselig und unübersichtlich. Bei einem Unternehmen, das Lizenzen besitzt und lediglich die Nutzungsrechte an seine Kunden, inkl. der Tochtergesellschaften, weitervermietet, ist mangelnde Automatisierung zwar nicht besonders problematisch für die Lizenzgeber, sie ist jedoch aus Sicht der Wirtschaftsprüfer kritisch. Aus diesem Grund und zur Reduktion des manuellen Aufwands wurde der Einsatz eines Lizenzmanagement-Tools in Betracht gezogen.

3 Kein Lizenzmanagement-Tool kann ohne Asset-Management-Funktionen auskommen, führt der Konzernlizenzmanager aus. Ich muss sehen können, ob ein Asset aktiv, das heißt ob es online ist. Ich muss in Rechner hineinsehen können, um virtuelle Geräte zu finden. Letztendlich muss ich verwaltete Assets sehen können. Ein Vorstandsauftrag gab den initialen Startschuss für die Suche nach einem Tool, welches die Belange von IT Assetmanagement, Procurement, Vertragsmanagement, Planing und Calculation sowie Lizenzmanagement erfüllt. Das Produkt sollte grundsolide im Lizenzmanagement sein, der Bereich, den die Prüfer besonders kritisiert hatten. Da die Compliance-Überwachung von vertraglichen Daten und Discovery-Daten für den Abgleich abhängt, waren sich alle darin einig, dass es ein einzelnes Tool sein musste. Die FIDUCIA suchte eine gemeinsame Datenbank und Benutzerschnittstelle in einem einzigen Tool, um die erwähnten zentralen Aufgabenbereiche zu unterstützen. Nach Ansicht der Manager mache dieser Ansatz es leichter, das neue Tool in die vorhandene Landschaft zu integrieren. Programme für Workstation und Server Auto-Discovery (intern entwickelt), Mainframe Discovery (IBM), Remote Support und Patch Management (intern entwickelt) und Helpdesk-Ticketing (HP ServiceCenter) waren bereits vorhanden. Zu den Plattformen im Rechenzentrum zählen Windows Server, Linux, Solaris, IBM und AIX. Vertragsmanagement ist für das Lizenzmanagement ebenso wichtig, da es Angaben zum Ursprungsland und zu Vertragsbestimmungen benötigt, um zu wissen, wie Lizenzen richtig abzugleichen sind. Damit ist die Grenze zwischen Lizenz- und Vertragsmanagement nicht so eindeutig wie die zwischen Lizenzund Asset-Management, denn Softwarelizenzen sind Verträge. Das Lizenzmanagement ist dabei, wenn Vertrags- und Beschaffungsmanager und Mitglieder des juristischen Teams bei der FIDUCIA Verhandlungen mit Anbietern führen. Bei Abschluss, Änderungen und Erneuerungen von Verträgen meldet es sich zu Wort, wenn die Spezifikationen inkorrekt sind oder wenn die erörterten Vertragsbedingungen unpraktisch für eine Umsetzung erscheinen. Danach verwendet das Lizenzmanagement die endgültigen Verträge als Grundlage, um Modelle für die Verwaltung von Nutzungsrechten zu entwickeln. Die endgültige

4 Festlegung der Preise für Software ist zwar Sache der Beschaffungs- und Vertragsmanager, aber die Beteiligung des Lizenzmanagements hilft dem Einkauf, Verhandlungsziele zu entwickeln, indem die Ausgaben auf die tatsächliche Nutzung abgestimmt werden. Das geeignete Tool musste auch in der Lage sein, eine beachtliche Menge an Inventory-Scan-Daten zu verarbeiten, die aus verschiedenen Quellen Rohdaten importieren. Das Discovery System der FIDUCIA fragt täglich rund Parameter auf Rechnern in Banken ab, die über ganz Deutschland verteilt sind. Zusätzlich zu den Workstations, Servern und anderen IT-Assets verwaltet die FIDUCIA Geldautomaten, Kontoauszugsdrucker, Router, Switches, Datenleitungen und 150 Firewalls. Von den 25 Anbietern von Lizenzmanagement-Tools, mit denen die FIDUCIA anfänglich Kontakt aufgenommen hatte, konnten nur acht diese Datenmenge bewältigen. Nach weiteren Rückfragen schrumpfte die Liste auf vier Anbieter. Obwohl die meisten auf der Liste der Aufgabe gewachsen gewesen wären, entschied sich das Unternehmen für die in Deutschland ansässige USU und ihre Valuemation-Suite für IT-Service- und Asset-Management. Neben den Sicherheitsfunktionen und der Fähigkeit, große Datenmengen zu bewältigen, überzeugte die IT-Manager der FIDUCIA vor allem auch die modulare Struktur des Produkts. Dadurch lässt es sich kostengünstig in ein schon laufendes System einbinden. Die erst kürzliche Markteinführung von Valuemation ermöglichte es der FIDUCIA als einem großen Kunden, stärkeren Einfluss auf die Gestaltung und Programmierung zu nehmen, als es ihr bei den anderen Anbietern möglich gewesen wäre. 4 Einbindung von Asset und Change Management Nachdem nun die Entscheidung für ein Tool gefallen war, begannen die Führungskräfte der FIDUCIA neue Verfahrensrichtlinien aufzustellen. Eine große Veränderung betraf die Einbindung von Software Asset Management (SAM) und CMDB-Administration in das Change Management. Solch ein asset- und

5 konfigurationszentrierter Ansatz eignet sich für dieses Unternehmen, das die Sicherheit von Assets und Service Management groß schreibt. Vertrags-, Lizenzund Asset-Management sind Teil des Lebenszyklus von Assets und sollten logischerweise durch Change Management gesteuert werden. Die Manager der FIDUCIA wollten auch Software-Assets als Config Items (CI) in der CMDB behandeln. Mit der Gleichstellung von SAM und CMDB-Administration mit dem Change Management konnten Änderungen in der zentralen CMDB veranlasst, genehmigt, abgeschlossen und aktualisiert werden. Da die Wechselwirkung zwischen Asset- und Konfigurationsmanagement deutlich war, wollten sich die Leiter der einzelnen Aufgabenbereiche abstimmen, falls ihre jeweiligen Aktivitäten Auswirkungen auf den Bereich des anderen hätten. Wenn der Asset Manager zum Beispiel eine Änderung eines Assets veranlassen wollte, sollte der Change Manager die möglichen Auswirkungen prüfen, bevor er grünes Licht gibt. Wenn der Change Manager einen Asset ändern wollte, müsste er dies über das Tool des Asset Managers genehmigen lassen. Bei Genehmigung der Änderung würde der Asset Manager den Status des Assets gemäß der Anforderung aktualisieren (z. B. deinstalliert, an neuen Standort gewechselt, ausgeschieden) und dann einen Auftrag an den Change Manager senden. Dieser würde die Änderung vornehmen und dies dem Asset Manager berichten. Dieser Closed-Loop-Prozess und die Einbindung der CMDB hat das Änderungsverfahren tatsächlich beschleunigt und gleichzeitig Konflikten mit anderen Assets, wie z. B. wichtigen Servern, vorgebeugt. Ein weiterer großer Vorteil der CMDB-Implementierung ist die Anonymität der Nutzerdaten. Die deutsche Regierung schreibt vor, dass Mitarbeiterdaten vor jeglichem Zugriff mit Ausnahme des Zugriffs durch die Personalabteilung zu schützen sind. Dies sind Einschränkungen, die zwar den Arbeitnehmerrechten dienlich sind, aber einer Reduzierung der Asset-Ausgaben im Wege stehen können. So bietet Microsoft zum Beispiel für seine Office-Suite Lizenzen ein Zweitinstallationsrecht an. Damit kann die Suite mit einer Lizenz auf zwei Rechnern (einem Desktop-PC und einem Laptop, wenn beide Geräte einem Hauptbenutzer gehören) installiert werden. Wenn aber im Lizenzmanagement der FIDUICA den Nutzern keine Assets zugeordnet werden können, kann dieses

6 kosteneinsparende Angebot nicht wahrgenommen werden. In dem neuen System können Assets und Lizenzen mit einer Einzelperson anonym in Verbindung gebracht werden. Damit kann das Lizenzmanagement Compliance vorweisen und es wird verhindert, dass Asset- und Konfigurationsmanager verschlüsselte Daten von Nutzerprofilen in der CMDB knacken. Die Privatsphäre der Mitarbeiter bleibt geschützt. 5 Projekt Lizenzmanagement Für das Lizenzmanagement war klar, dass die FIDUCIA über eine leistungsfähige CMDB verfügte, aber ihre Lizenzmanagementfähigkeiten verbessern musste. Hersteller lizenzieren ihre Produkte auf unterschiedliche Arten und ein umfassendes Tool deckt viele der gängigen Berechtigungsarten ab. Heutzutage ist es unvermeidlich, dass Lizenzmanager in großen Konzernen wie der FIDUCIA zahlreiche Berechtigungsarten und Lizenzmetriken unter einen Hut bringen müssen. So kann beispielsweise Microsoft Office auf fünf oder sechs unterschiedliche Arten lizenziert werden. Konventionelle SAM-Tools decken vielleicht ein oder zwei dieser Lizenzmodelle ab. Tools mit erweiterten Berechtigungsmanagementfähigkeiten können so konfiguriert werden, dass ein oder zwei Modelle unterstützt werden, ein oder zwei weitere bleiben jedoch unberücksichtigt.

7 Das Problem besteht darin, dass den meisten auf dem Markt angebotenen SAM- Tools ein rechnerzentriertes Lizenzmanagement zugrunde liegt. Bei diesem Ansatz werden die Geräte und die Anzahl der Lizenzen gezählt und miteinander abgeglichen. Was heute gebraucht wird, ist ein berechtigungszentrierter Ansatz, der Rechner, Nutzer, Standort, Upgrades, Downgrades und gemessene Nutzung berücksichtigt. Berechtigungszentriertes Lizenzmanagement ist flexibler, wenn es um die Verwaltungsmöglichkeit mehrerer Berechtigungsmodelle geht, die Nutzern von Business-Software angeboten werden. Der Hauptgrund des Unternehmens, an der Entwicklung eines ausgereiften SAM-Programms zu arbeiten, sind die gesetzlichen Anforderungen von Euro- SOX und der Auflagen im Urhebergesetz. Bis zum April 2006, als die Europäische Kommission die Schaffung eines rechtsverbindlichen Euro-SOX-Programms bestätigte, beschränkte sich die Compliance-Verpflichtung auf internationale Unternehmen, die an der New Yorker Börse notiert waren. Viele Länder sind noch dabei, sich auf das neue Gesetz einzustellen. Deutschland ist allen anderen einen Schritt voraus: Das Land hat bereits weit reichende Bestimmungen zum Schutz von Anlegern und eine strikte Lizenzüberwachung eingeführt. Ist ein Unternehmen gegenüber einem bestimmten Lizenzgeber nicht compliant, wird der deutsche Staat aktiv, auch wenn der Lizenzgeber selbst ein Auge zudrücken würde. Compliance- Sündern droht eine Gefängnisstrafe von bis zu 5 Jahren, wenn sie wegen selbst unbeabsichtigter Compliance-Verletzungen verurteilt werden - und das zusätzlich zum Imageschaden und den vom Lizenzgeber verhängten Geldstrafen. Eine Unternehmenskultur zu schaffen, in der Compliance ein vorrangiges Anliegen ist, ist für das Lizenzmanagement und die Unternehmensleitung ein wichtiges Anliegen. Diese Botschaft in fünf Tochter(- und zwei Beteiligungs)gesellschaften mit ihren jeweils eigenen Managementstrukturen konsequent zu verbreiten, ist keine leichte Aufgabe gewesen. In einem ersten Schritt zum Aufbau einer einheitlichen IT-Servicemanagement-Kultur sind bei der FIDUCIA mehrere Mitarbeiter dafür zuständig, für Konformität mit den ITIL- Richtlinien zu sorgen und sicherzustellen, dass Verfahren des Ereignis-,

8 Problem-, Änderungs-, Freigabe- und Konfigurationsmanagements eingehalten werden. Die zentrale Verwaltung von Software-Verträgen und Nutzungsrechten basierend auf einem Portfolio-Ansatz macht es dem Lizenzmanagement leichter, Compliance vorzuweisen und die Softwareausgaben zu senken. Braucht eine Tochtergesellschaft eine Lizenz nicht, kann sie anderweitig zugewiesen werden. Wenn alle Tochtergesellschaften durch Konzernabkommen abgedeckt sind, können auch Redundanzen bei der Beschaffung ausgemerzt werden. Der Standardisierungsansatz spart Zeit, die sonst für die Aushandlung mehrerer Verträge aufgewendet würde, und konsolidiert die Kaufkraft bei einem einzelnen Anbieter. Die Fähigkeit, die Softwarenutzung zu verfolgen, könnte dazu beitragen, Lizenzzuordnungen durch Angabe von Einzelheiten über die tatsächliche Verwendung der Software zu optimieren. Aber diesen Bereich haben die deutschen Gewerkschaften und Gesetzgeber eingeschränkt, um die Privatsphäre von Mitarbeitern zu schützen. Die Technologie, mit der Nutzungsdaten anonym verfolgt werden können, ist vorhanden. Dabei erhalten Endnutzer automatisch generierte s, wenn ein Programm in einem bestimmten Zeitraum nicht verwendet wurde, und ihnen bleibt die Entscheidung überlassen, ob sie es deinstallieren oder nicht. 7 RESÜMEE Lizenzmanagement ist keine untergeordnete Funktion, erläutert der Konzernlizenzmanager Salehmohamed, der eine Umgebung verwaltet, die Sicherheitsauflagen, Kontrolle durch Regulierungsbehörden und Datenschutzgesetzen unterworfen ist. Trotz dieser Herausforderungen sind Einsparungen möglich. Noch wichtiger ist es allerdings, erfolgreich die Gefahr durch mangelnde Compliance im Softwarebereich einzudämmen.

9 Die wichtigste Lektion, die sich aus dem Fallbeispiel ableiten lässt ist, dass Lizenzmanagement als Vollzeitaufgabe angegangen werden muss. In Konzernen umfasst das Lizenzmanagement unzählige Aufgaben, von der Teilnahme an Verhandlungen über die Erstellung von Ablaufplänen für komplexe Lizenzierungsmodelle bis hin zur Förderung einer Compliance-Kultur über Dutzende von Geschäftseinheiten und geografische Bereiche hinweg. Wichtig ist darüber hinaus der regelmäßige Austausch mit den Asset- und Vertragsmanagern der Tochtergesellschaften. Das Vertragsmanagement liefert die Bedingungen für einen Abgleich der Installationsdaten, die vom Asset- Management bereitgestellt werden. Bei FIDUCIA weiß man um die Überschneidung von Funktionen und hat daher sichergestellt, dass ihr Tool-Set die Prozesse unterstützt und eine gemeinsame Schnittstelle bietet. Im Unternehmen wurden auch die Schreibtische der Asset- und Lizenzmanager direkt gegenüber voneinander aufgestellt. Darin spiegelt sich ihre technische Vernetzung wider und es stärkt die Notwendigkeit der Zusammenarbeit. FIDUCIA hat sich für ein einziges Tool für Asset-, Vertrags- und Lizenzmanagement entschieden. Das Ziel war es, ein Tool zu haben, das diese Kernfunktionen erfasst und nicht sämtliche IT-Funktionen. Für den Konzernlizenzmanager, seine Kollegen und Vorgesetzten war es am wichtigsten, eine gemeinsame Schnittstelle für die Aufgabenbereiche mit den größten Überschneidungen zu haben. Help Desk, Auto-Discovery und andere Funktionen werden von anderen Tools gehandhabt. Es ist nicht schlecht, eine Tool-Suite zu haben, stellt Salehmohamed fest, warnt aber auch, dass dies eine Belastung sein kann, denn wenn sich Änderungen im Unternehmen ergeben, kann das ganze System einstürzen. Er rät auch von der Entwicklung eines hauseigenen Lizenzmanagement-Tools ab. Lizenzmanagement ist nicht etwas, das man in Ordnung bringt und dann läuft es. erklärt Salehmohamed. Es ist ein Tool, das häufig aktualisiert werden muss. Man bekommt neue Lizenzinformationen, neue Anbieter, neue Artikel, Produkte, Freigaben und Vorgaben das ist einfach zu viel. Deswegen haben wir selbst beschlossen, damit nach außen zu gehen.

10 Das Lizenzmanagement braucht für seine Arbeit die Rückendeckung der Geschäftsführung.