Cloud Computing SCHWERPUNKT TECHNOLOGIE STÄDTETIPP HORIZONT ÜBER SICHERHEITSMECHANISMEN UND IHREN REIFEGRAD LEBEN IN DEN WOLKEN LA PAZ LHASA

Transkript

1 FRÜHLING 2010 onl i f e I n I n f o r m a t i o n TECHNOLOGIE ÜBER SICHERHEITSMECHANISMEN UND IHREN REIFEGRAD STÄDTETIPP LEBEN IN DEN WOLKEN LA PAZ LHASA HORIZONT DIE DIGITALE SELBSTFINDUNG SCHWERPUNKT Cloud Computing ON Frühling

2 Inhalt Ein Blitz aus den Wolken brachte den Ursprung allen zivilisatorischen Fortschritts. Gute Gründe für Cloud Computing Mehr Spielraum für wettbewerbsrelevante Innovationen 4 Den richtigen Raum schaffen Cloud Computing in der Praxis 9 Die richtige Cloud kann auch Compliance 12 SCHWERPUNKT Den Wolken ein Stück näher Kommentar von Michael Hammerstein, EMC Deutschland GmbH 14 Über Sicherheitsmechanismen und ihren Reifegrad Security als Erfolgsfaktor für Cloud Computing 16 TECHNOLOGIE Schutzschilde jetzt aktivieren! Markus Bereszewski, Chefredakteur InformationWeek 18 STÄDTETIPP Städtetipp: Leben in den Wolken La Paz, Lhasa und die Höhenrekorde 19 Eine Reise durch eine Welt im Umbruch Interview mit Professor Dr. Peter Scholl-Latour 24 Die digitale Selbstfindung 26 MTI: Cloud Computing zum Anfassen 29 Analoge Inseln im digitalen Meer 30 HORIZONT KOLUMNE AppSolut grenzenlos 32 Wolkenfaszination 34 Herausgeber: EMC Deutschland GmbH, Hauptverwaltung und Sitz: Am Kronberger Hang 2a, Schwalbach/Ts., Deutschland, Amtsgericht Königstein/Ts., HRB 2486, Geschäftsführer: Michael Hammerstein, Paul Thomas Dacier, William Joseph Teuber Gesamtverantwortung Redaktion: Frank Gülpen, V.i.S.d.P. Tel.: / , guelpen_frank@emc.com. Namentlich gekennzeichnete Artikel werden vom Autor verantwortet. Gesamtrealisation: Fink & Fuchs Public Relations AG, Berliner Straße 164, Wiesbaden, Bild Titelseite: Fotolia, Bild Umschlag innen: Fotolia ON Frühling

3 Gute Gründe für Cloud Computing Mehr Spielraum für wettbewerbsrelevante Innovationen IT in ihrer herkömmlichen Form stößt mehr und mehr an Grenzen. Allein das Management der Infrastruktur bindet in vielen Rechenzentren den Hauptteil aller personellen und finanziellen Ressourcen Ressourcen, die für die Fortentwicklung der IT nicht mehr zur Verfügung stehen. Bild: Fotolia 4 ON Frühling 2010 ON Frühling

4 Ohne tiefgreifende strukturelle Umgestaltung jedoch werden Rechenzentren den permanent wachsenden Herausforderungen in Zukunft nicht gerecht. Existierende Architekturen haben jetzt schon Mühe, die unaufhaltsam steigende Datenflut mit jährlichen Steigerungsraten von immerhin 60 Prozent zu bewältigen. Zudem fehlt es an der Fähigkeit, flexibel genug auf dynamische Prozessveränderungen zu reagieren. Bleibt die IT, wie sie ist, können viele Unternehmen auf Dauer nicht Schritt halten mit dem rasanten Tempo der globalisierten Märkte. Ein Paradigmenwechsel ist daher unumgänglich. Vertraulichkeit, Integrität und Verfügbarkeit schutzwürdiger Informationen müssen schließlich auch jenseits der eigenen Infrastruktur gewährleistet sein. Die weltweiten Infrastruktur- und Service-Ausgaben von Rechenzentren haben 2009 die Marke von 350 Milliarden Dollar überschritten. Analysten von McKinsey zufolge entfallen mehr als 70 Prozent davon auf das Management existierender IT- Umgebungen. Weniger als 30 Prozent bleiben demnach für andere Aufgaben übrig zum Beispiel für notwendige Kapazitätserweiterungen aufgrund des stetig steigenden Bedarfs an Speicherplatz und Rechenleistung oder für die Modernisierung der IT-Landschaft, um Geschäftsprozesse flexibler an veränderte Marktanforderungen anzupassen und damit die Wettbewerbsposition auszubauen. 70 Prozent Routine gegenüber 30 Prozent zukunftsorientierter Entwicklung das ist ein krasses Missverhältnis und aus dem Blickwinkel der Nachhaltigkeit betrachtet ein unhaltbarer Zustand. Schuld daran sind im Wesentlichen überholte Silostrukturen, weil sie die Komplexität und folglich auch die Kosten stetig in die Höhe treiben. Abhilfe ist hier nur zu erwarten, wenn es gelingt, isolierte Ressourcen-Silos aufzubrechen, Routineprozesse im Rechenzentrum durchgängig zu automatisieren und die Architektur als Ganzes flexibler zu gestalten. Dabei kommt es vor allem darauf an, das Management über die Server-, Storage- und Netzwerkebene hinweg zu vereinheitlichen. Außerdem aber muss der Auslastungsgrad von Prozessoren und Speichermedien signifikant gesteigert werden, um bislang brachliegende IT-Ressourcen optimal zu nutzen. So paradox es klingen mag: Die notwendigen Mittel für wettbewerbsrelevante IT-Innovationen lassen sich nur durch höhere Effizienz der IT selbst freisetzen. Virtualisierung als Türöffner für Cloud Computing Cloud Computing gilt zu Recht als aussichtsreichstes evolutionäres Architekturkonzept, um dieses Ziel umzusetzen. Analysten von McKinsey, Forrester und Gartner diskutieren Cloud- Konzepte und passende Migrationsstrategien zwar durchaus kontrovers. Doch in einem sind sich die Marktforscher einig: Am Modell einer virtualisierten IT-Wolke, die Dienstleistungen unterschiedlichster Art quasi on demand bereitstellt, führt über kurz oder lang kein Weg vorbei. Dieser Übergang vom bisherigen Konzept der IT zeichnet sich schon jetzt ab. Den ersten Schritt in diese Richtung haben viele Rechenzentren bereits hinter sich, nämlich mit der fortschreitenden Virtualisierung ihrer Server-, Speicherund Netzwerklandschaft. Virtualisierung ist eines der Kernelemente von Cloud Computing. Das wird häufig übersehen, weil der Cloud-Begriff oftmals mit öffentlichen Cloud- Offerten von Service Providern gleichgesetzt wird. Cloud Computing beschränkt sich jedoch nicht darauf, diesen oder jenen Service an externe Provider auszulagern, alles andere aber mehr oder weniger beim Alten zu belassen. Die Cloud-Architektur liefert vielmehr auch einen Fahrplan zur Transformation der internen IT, die perspektivisch in einer privaten, abgeschlossenen Unternehmens-Cloud mündet. Ob privat oder öffentlich Clouds verändern die Art und Weise, wie IT-Dienstleistungen in Zukunft bereitgestellt, genutzt und abgerechnet werden. Am besten veranschaulichen lässt sich dies mit einer Container-Analogie: Man packt einen IT-Service, also Software plus Infrastruktur, sozusagen in einen virtuellen Container nicht anders, als es mit Waren in Bild: istockphoto der realen Welt geschieht, die irgendwohin verschickt werden sollen. Kaum jemand fragt danach, ob der Container per Lastwagen, Zug oder Schiff sein Ziel erreicht. Hauptsache, er kommt pünktlich und unversehrt an. Unter dieser Prämisse ist es letztlich auch irrelevant, ob ein gegebener IT-Service unternehmensintern oder -extern erbracht wird. Was zählt ist einzig, dass alle Anforderungen von Fachabteilungen und Kunden flexibel und kosteneffizient erfüllt werden. So gesehen schaffen Clouds die Voraussetzung dafür, dass IT-Abteilungen selbst als Service Provider agieren und nicht nur als IT-Verwalter oder Betreiber eines Rechenzentrums. Dynamisierte Basisprozesse Virtualisierung im Rechenzentrum legt zwar den Grundstein für private Cloud-Architekturen, reicht allein aber noch nicht aus. Denn Cloud Computing verlangt auch eine engere Verzahnung und gemeinsame Steuerung von Server-, Storage-, Netzwerk- und Endgeräte-Layern. Nur so lässt sich die Komplexität im Rechenzentrum zurückdrängen und das Management der gesamten Infrastruktur vereinheitlichen. Und nur so entsteht eine Plattform, auf der sich virtuelle IT-Container nahezu beliebig hin und her verschieben lassen. Mit bisher verfügbaren Storage-Systemen, Blade Servern und Netzwerkbauteilen dürfte die angesprochene Verzahnung über unterschiedliche Infrastrukturebenen hinweg allerdings ein langwieriges Geschäft werden wenn nicht gar unmöglich sein. Cloud Computing erfordert deshalb Integrationslösungen, bei denen die Hersteller auf neue Art, nämlich als Eco- System, zusammenarbeiten. Ein Beispiel dafür liefert die Virtual Computing Environment Coalition (VCE), zu der sich die führenden Player im Technologiemarkt EMC, Cisco und VMware zusammengeschlossen haben (siehe Kasten). Cloud Computing erfordert eine nahtlose Integration unterschiedlicher Technologien aus verschiedenen Bereichen wie Storage- und Server-Virtualisierung, Netzwerk und Security. Gefragt sind daher Lösungen, die weitgehend ohne Schnittstellen auskommen, etwa zwischen Speichernetz-Switches und virtualisierter Speicherfarm. Möglich wird dies beispielsweise dadurch, dass Speicherdaten schon auf Protokollebene eingekapselt werden, um sie gemeinsam mit Serverdaten über Ethernet-Leitungen zu transportieren. Die Einsparung der ansonsten notwendigen Adapter und Interfaces ist ein wesentlicher Hebel zur Eindämmung der Komplexität im Rechenzentrum und zur Vereinheitlichung von Steuerung und Management. Gleichzeitig verringert sich die Gesamtzahl der Geräte, sodass neben dem unmittelbaren Energieverbrauch auch der Platz- und Klimatisierungsbedarf sinkt. Ein anderes Cloud-spezifisches Beispiel liefert die Integration von Server- und Netzwerk-Virtualisierung. So sind schon heute vollständig virtualisierte Switches verfügbar, die als reine Software-Implementierung direkt in die Virtualisierungsschicht der Server integriert sind. Der Effekt: Virtuelle Server können samt ihrer logischen Netzwerkanbindung flexibel auf der physischen Infrastruktur hin und her bewegt werden. Mit derartigen Cloud-Technologien lassen sich Basisprozesse im Rechenzentrum dynamisieren und automatisieren ohne Änderungen an bestehenden Anwendungen vornehmen zu müssen. Sicherheit für öffentliche Clouds In Zukunft sollen IT-Container gegebenenfalls aus privaten in öffentliche Clouds verschoben werden zum Beispiel, um auf diese Weise Lastspitzen abzufangen, für die unternehmensintern dann keine Überhangkapazitäten mehr erforderlich wären. Dafür muss in öffentlichen Clouds die IT-Sicherheit allerdings in gleicher Weise garantiert sein wie in abgeschlossenen Unternehmens-Clouds. Öffentliche Clouds bringen eine ganz neue Variable in die bisher gültige Security-Gleichung: nämlich externe Service-Anbieter und Infrastruktur-Provider. Im Public- Cloud-Szenario geraten sensible Unternehmensdaten erstmals im großen Stil gewissermaßen auf ein Gebiet, das den jeweils geltenden Landesgesetzen nicht mehr unterworfen ist. Sie werden außerhalb der eigenen Einflusssphäre verarbeitet, zwischengespeichert und archiviert. Security-Verantwortliche müssen folglich Beziehungen zu allen Cloud-Partnern aufbauen und eine Art Cloud-weite Trust Community etablieren. Vertraulichkeit, Integrität und Verfügbarkeit schutzwürdiger Informationen müssen schließlich auch jenseits der eigenen Infrastruktur gewährleistet sein. Ähnliches gilt für die wachsende Zahl rechtlicher Vorschriften, die den Umgang mit bestimmten Informationstypen regeln Stichwort Compliance. Blindes Vertrauen in schwer überprüfbare Zusagen externer Cloud-Anbieter kann sicherlich nicht die Lösung sein. Ein Weg, effiziente Kontrollmechanismen über die gesamte Cloud 6 ON Frühling 2010 ON Frühling

5 In welchem Maßstab der Betrieb einer eigenen Infrastruktur weiterhin notwendig und sinnvoll ist, hängt unter anderem stark vom jeweiligen Wirtschaftszweig ab. Den richtigen Raum schaffen: Cloud Computing hinweg zu implementieren, wäre ein übergeordnetes Authentifizierungssystem. Hier bieten sich zum Beispiel die sogenannten föderierten Identitäten an. Ein anderer Ansatz ist vom Cloud-Konzept selbst inspiriert: Wenn, wie oben beschrieben, IT-Dienste in virtuelle Container verpackt und auf der Cloud- Infrastruktur hin und her verschoben werden was liegt dann näher, als diesen Gedanken auch auf Security-Dienste anzuwenden und diese ebenfalls in einen Container einzupacken? Auf ihrer Reise durch die Cloud hätten Informationen dann ihre jeweils spezifischen Sicherheitsfunktionen quasi immer mit dabei. Noch viel dringlicher als traditionelle Rechenzentren benötigen Clouds einen informationszentrierten Security-Ansatz. Denn physische Schutzmaßnahmen an der äußeren Grenze der Infrastruktur, die selbst im konventionellen Data Center kaum noch ausreichen, greifen in einer Cloud überhaupt nicht mehr. Ein informationszentriertes Sicherheitskonzept schließt unter anderem ein, dass Informationen je nach ihrem individuellen Schutzbedürfnis klassifiziert sein müssen. Personenbezogene Kundendaten sind sensibler als etwa eine Telefonrechnung; eine digitale Konstruktionszeichnung aus der Entwicklungsabteilung verlangt einen anderen Vertraulichkeitsstatus als s. Je genauer die Klassifikation ausfällt, desto passender können entsprechende Sicherheitsinstrumente zugeordnet werden. Generell gilt: Die wohl beste Vorbereitung auf die Nutzung öffentlicher Cloud Services ist die frühzeitige Umsetzung einer informationszentrierten Security-Architektur bereits in der privaten Cloud. Zukunft in den Wolken Auch in fernerer Zukunft werden gewiss nicht alle Rechenzentren sämtliche IT-Services in eine Cloud verlagern. In welchem Maßstab der Betrieb einer eigenen Infrastruktur weiterhin notwendig und sinnvoll ist, hängt unter anderem stark vom jeweiligen Wirtschaftszweig ab. In der Finanz- und Pharma-Branche etwa hat Compliance einen ganz anderen Stellenwert als im Maschinenbau. Dergleichen schlägt sich selbstverständlich nieder bei der Akzeptanz öffentlicher Cloud-Angebote. Egal jedoch, ob und wann Private oder Public Clouds genutzt werden sollen die Cloud-Architektur als solche gibt schon heute Antworten auf künftige Herausforderungen, die prinzipiell für alle Rechenzentren gelten. Zuallererst geht es dabei natürlich um nachhaltige Kostenbegrenzung durch höhere Betriebseffizienz und intensivierte Kapazitätsausnutzung. Im nächsten Schritt aber und hier liegt das eigentliche Potenzial von Clouds verborgen verändert sich die Rolle der IT im Unternehmen: Die Infrastruktur tritt in den Hintergrund, der Service beherrscht die Bühne. Spätestens dann stellt sich die Frage nach dem Geschäftsbeitrag der IT ganz anders als heute. Und das ist eigentlich für jedes Unternehmen interessant. in der Praxis Koalition der Marktführer In Bankschließfächern werden Vermögenswerte seit Jahrhunderten von Privat- und Geschäftsleuten deponiert und ein EMC, Cisco und VMware haben sich im Herbst 2009 zur Virtual Computing Environment Coalition (VCE) zusammengeschlossen. Die Initiative bündelt technologische Spezialkompetenzen der drei Unternehmen geht jedoch über bisherige Data-Center-Kooperationen weit hinaus: Zum einen liefert VCE unmittelbar einsatzfähige Integrationslösungen für virtualisierte IT-Umgebungen und private Unternehmens-Clouds. Zum anderen haben die VCE-Gründer auch die entsprechenden Pre-Sales- und Support-Kapazitäten zusammengelegt. Bei Planung, Design, Implementierung und Betrieb haben Rechenzentren somit eine zentrale Anlaufstelle. Auf diese Weise werden Reibungsverluste vermieden und Einführungszeiten verkürzt. Die Paketlösungen von VCE kombinieren unterschiedliche Verfahren und Produkte aus den Bereichen Virtualisierung, Speichersysteme, Netzwerktechnologie, Unified Computing und Daten-Security. Dennoch sind VCE-Angebote mehr als nur die Summe dieser Teile. Denn anders als bei separater Beschaffung der Einzelbausteine sind die Infrastruktur-Pakete von VCE, der Vblock, umfassend auf Interoperabilität getestet und ermöglichen zudem ein vereinheitlichtes Management. Unternehmen, die ihre IT in Richtung Private Cloud entwickeln wollen, umgehen damit das Risiko unvorhergesehener Komplexität und damit einen der folgenschwersten Fallstricke vieler Virtualisierungs-Projekte. Schlüssel garantiert den alleinigen Zugang. Wenn aber hochsensible Unternehmensinformationen in die Cloud wandern und nicht mehr im eigenen Rechenzentrum verwaltet werden, ist Vertrauen zwar gut, doch Vorsorge unerlässlich. Soweit sind IT-Verantwortliche sich hierzulande weitgehend einig: Cloud Computing und die Frage nach der Sicherheit scheinen ein untrennbares Begriffspaar zu sein. Weniger Einigkeit hingegen herrscht bei Anwendern wie Anbietern in Bezug darauf, was Cloud-Computing-Dienste tatsächlich sind und inwiefern sie sich von bereits bestehenden Angeboten unterscheiden. 8 ON Frühling 2010 ON Frühling

6 Welche Möglichkeiten und Mehrwerte Cloud Services aktuell tatsächlich bieten, was sich in der Praxis bereits durchgesetzt hat und wo Anwendern noch der Schuh drückt das erklären Peter Knapp, Geschäftsführer von Interxion Deutschland, und Jürgen Stauber, Geschäftsführer IT Solutions & Outsourcing bei Computacenter. Cloud Computing wird momentan als Sammelbegriff für praktisch alles genutzt, was heute modern sein will in der IT. Was verstehen Sie darunter und wie setzen Sie Cloud Computing ein respektive um? Peter Knapp: Kurz gefasst: Unter Cloud Computing versteht Interxion eine dezentrale On-Demand-Nutzung von IT-Infrastruktur, im Speziellen Rechnerleistung, die durch einen Pool von Systemen erbracht wird, der über digitale Netze wie dem Internet miteinander verbunden ist. Jürgen Stauber: Computacenter versteht unter Cloud Computing End-to-End-Services, die verbrauchsabhängig bezahlt werden und sich bezüglich der erforderlichen Volumen dynamisch den Business-Anforderungen anpassen. Abhängig von dem Standardisierungs- und Sharing-Grad werden die Services in Private Cloud Services, Virtual Private Clouds sowie die Public Clouds, wie beispielsweise Amazon und Google, eingeteilt. Letztere haben in der Regel geringere Service-Güte-Merkmale als Private Cloud Services mit hohen Individualitätsmöglichkeiten und kommen daher für den professionellen Einsatz vielfach noch nicht in Betracht. Bei zu treffenden Entscheidungen dürfen hier nicht Äpfel mit Birnen verglichen werden. Wir sehen die Cloud Services grundsätzlich als Weg der kommenden Jahre, auf den sich Computacenter bereits eingestellt hat. Inwieweit stellen Sie bereits Cloud-Computing-Services für Ihre Kunden zur Verfügung? Welche sind das? Und welche Vorteile ergeben sich hierdurch für den Kunden? Knapp: Interxion übernimmt für seine Kunden den Rechenzentrumsbetrieb und bietet Managed Services. Unsere Carrierneutralen Rechenzentrumsdienstleistungen (Colocation) werden in hohem Maß von Service Providern genutzt. Diese stellen basierend auf dieser leistungsfähigen, ausfallsicheren und skalierbaren Infrastruktur ihren Kunden Cloud Services zur Verfügung. Stauber: Computacenter hat bereits seit 2006 Kunden erfolgreich auf die Private-Cloud-Plattform überführt. Unter Outsourcing 2.0 übernehmen wir heute bereits für unsere Kunden IaaS-End-to-End-Services (Infrastructure as a Service). Diese ermöglichen dem Kunden die angestrebten Service Level Agreements (SLAs), flexibilisieren Kosten, garantieren Skalierbarkeit bei der Inanspruchnahme (Pay as you use) der Services, verleihen Flexibilität in der Bereitstellung der Services und erlauben natürlich Kostentransparenz sowie deutliche Kostenreduktionen. Wir verstehen uns zudem als Service-Integrator, der wo es sinnvoll ist Public-Cloud-Angebote integriert, um den Kunden Best-of-Breed bieten zu können. Inwieweit hat Cloud Computing den Betrieb von Rechenzentren jetzt schon verändert? Wohin geht Ihrer Meinung nach der Trend? Knapp: Durch die Nutzung von Cloud Services sollen vorhandene Ressourcen optimal oder besser gesagt maximal effizient ausgelastet werden. Dies fängt bei der Rechenkapazität an und reicht bis zur optimalen Ausnutzung von Stellflächen in Rechenzentren. Es wird also versucht, das Optimum aus der vorhandenen Infrastruktur herauszuholen. Die Infrastruktur muss in diesem Zusammenhang sowohl extrem leistungsfähig als auch skalierbar sein, um für den Betrieb von Cloud Services notwendige High-Density-Installationen realisieren zu können. Dazu bedarf es zusätzlich zu einer redundanten Stromversorgung sowie ausfallsicherer Klimatisierung auch ausreichender Stromkapazität. Darüber hinaus gewinnt die Netzwerkanbindung durch dezentrale Rechenleistungen zunehmend an Bedeutung. Auch hier sind redundante und skalierbare Anbindungen notwendig, damit sich trotz aller gebotenen Effizienz der Datentransport nicht zum Flaschenhals entwickelt. Welchen Mehrwert können Sie durch den Einsatz von Cloud Computing für Ihre Kunden erbringen? Bild: Fotolia Stauber: Zentrale Voraussetzung für die effiziente Bereitstellung von Cloud Services sind eine präzise Kenntnis der genauen Service- und SLA-Anforderungen des Kunden sowie etablierte Entscheidungsstrukturen, die eine konsequente Umsetzung in der eigenen Organisation erlauben. Erst dann können die angestrebten Vorteile wie Kostenreduktion und -transparenz, anforderungsgerechte End-to-End-Service-Verfügbarkeit, Flexibilisierung in der Bereitstellung der Services und des Service- Volumens sowie kontinuierliche Teilnahme an Innovationen sinnvoll zum Einsatz kommen. Lassen Sie mich das an einem Beispiel erläutern: Innerhalb der Kundenorganisationen gibt es sehr unterschiedliche Anforderungen im Hinblick auf die erforderlichen Services, SLAs und System-Performances. Einen Kunden mit einem Client-Modell zu bedienen würde dieser Heterogenität nicht gerecht werden. Erst die detaillierte Kenntnis der Anwenderanforderungen, der eingesetzten Applikationen sowie der erforderlichen SLAs erlaubt ein kundenspezifisches End-to-End-Service-Modell mit gegebenenfalls hohen Virtualisierungsanteilen. Ein Versicherungskonzern beispielsweise kann durch die Bereitstellung des adäquaten, anwenderspezifischen Endgerätes, wie Fat Clients oder Thin Clients, sowie der erforderlichen Applikationen über traditionelle Software-Verteilung auf dem Fat Client oder durch Application Streaming auf dem Thin Client deutliche Kosteneinsparungen realisieren. Ergänzend wird für Spezial-Arbeitsplätze der virtuelle Client, der im zentralen Rechenzentrum läuft, genutzt. Computacenter unterstützt Kunden während der Evaluierungsphase methodisch, um das für sie geeignete (Misch-)Modell in einem wirtschaftlichen und erfolgreichen Business Case zu finden. Im Rechenzentrumsbereich geht der Weg ebenfalls weiter: Bereits heute bieten wir unseren Kunden hochstandardisierte physische oder virtuelle Storage- und Serverleistungen bedarfsorientiert pay-as-you-use an. Diese Form des Utility oder Cloud Computings in der Form des IaaS ist also nichts Neues. Gemeinsam mit führenden Herstellern wie EMC integrieren wir ständig neue Technologien, um das Angebot noch dynamischer und bedarfsorientierter gestalten zu können. Wenn man von Cloud Computing spricht, geht es automatisch auch immer um die Fragen nach Compliance und Sicherheit. Wie gewährleisten Sie, dass Prozesse und Daten bei Ihnen sicher und gesetzeskonform in der Cloud funktionieren? Knapp: Das Thema Sicherheit und Compliance ist in aller Munde und steht bei den Entscheidern sehr weit oben auf der Agenda. Die Evolution ist an dieser Stelle auch noch nicht abgeschlossen. Es muss aber jeweils individuell entschieden werden, welche Daten in einer Cloud vorgehalten werden und welche nicht. Darüber hinaus hat die Fragestellung, welche einzelnen Modelle, wie etwa Private, Public oder Community Cloud, für das Unternehmen in Frage kommen, höchste Relevanz. Stauber: Die Frage impliziert geradezu hohe Anforderungen an die Compliance von IT-Services. Umso mehr gilt dies für Cloud Services. Computacenter setzt im Rahmen seiner Outsourcing 2.0 sowie Outsourcing 2.0 flex+ Services ausnahmslos nach ISO zertifizierte Erbringungseinheiten ein. Darüber hinaus werden Service-Prozesse wie auch Tools und Infrastrukturen mandantenfähig bereitgestellt, so dass diese Regularien-konform voneinander abgegrenzt sind. Durch die Abbildung bei Computacenter in Private Clouds sind die Datenhaltung sowie die Möglichkeiten des Datenzugriffs für die Kunden transparent und technisch wie auch prozessual abgesichert. Ist Cloud Computing ein Fluch oder ein Segen für die Outsourcing-Branche? Stauber: Cloud Computing ist der konsequente Schritt zu mehr Standardisierung und Transparenz in der IT. Anwender können damit Kosten flexibilisieren und senken sowie kurzfristig auf Geschäftsanforderungen reagieren. Im Dienstleistungsbereich werden sich neue Partnerkonstellationen und neue Private- wie auch Public-Angebote bilden. Diese Entwicklung zu negieren hilft nicht: Dienstleister müssen die Leistungsangebote in Best-of-Breed-Lösungen für ihre Kunden integrieren. 10 ON Frühling 2010 ON Frühling

7 Cloud Computing gehört derzeit zu den wichtigsten strategischen Überlegungen bei den IT- und Finanzchefs. Oft ist es kompliziert genug, die jeweiligen branchenspezifischen Compliance-Auflagen hausintern umzusetzen. Folglich wird einer externen Lösung eine ausreichende IT-Compliance a priori abgesprochen. Dabei sind Cloud-Anwendungen mit sensitiven Daten und Prozessen überhaupt nicht neu. Lohnund Gehaltsabrechnungen wurden schon vor Jahrzehnten ausgelagert, ohne dass es dabei zu relevanten Compliance-Problemen gekommen ist. Doch die neuen Cloud-Lösungen verarbeiten proprietäre Produktinformationen, sensitive Finanzdaten oder Nachweise von bestimmten Produktionsauflagen. Hierzu lauten die Fragen der Geschäftsleitung an die Cloud-willigen IT-Chefs dann: Lassen sich Compliance-relevante Prozesse und Daten überhaupt in die Cloud verlagern? Gibt es ausreichende Standards und Absicherungen, die die erforderlichen Compliance-Auflagen gewährleisten? Und sind diese Daten und Programme auch ausreichend revisionsfähig? Kein größeres Compliance-Risiko Alle Antworten darauf beginnen wie so häufig mit der Einschränkung: Das kommt darauf an, denn genauso wie bei allen Technologieanwendungen müssen auch beim Cloud Computing vorher die jeweiligen Risiken und potenziellen Gefahren geklärt sein. Danach gilt der bekannte Satz: Gefahr erkannt Gefahr gebannt. Denn das Compliance-Risiko von Cloud-Anwendungen ist nicht größer oder kleiner als bei der internen IT-Nutzung es ist nur anders. Die erforderliche Risikoanalyse für das Auslagern der IT- Dienste beginnt mit einer genaueren Betrachtung der jeweiligen Cloud-Art. Man muss unterscheiden, ob es sich dabei um einen Infrastruktur-, Plattform- oder Software-Service handelt. nicht grenzenlos. Cloud Provider, die bereits entsprechende Anwendungen betreiben, sollten den Kontakt zu ihren Kunden herstellen. Cloud-Interessierte erhalten so Informationen zur Einhaltung der jeweiligen Compliance-Auflagen. Bei diesen Gesprächen ist zu klären, welche Geschäftsprozesse und Daten diese Unternehmen in die Cloud verlagert haben und welche Art von externen Cloud Services sie nutzen. Das allein ist aber noch keine Garantie dafür, dass auch alle Auflagen erfüllt wurden. Im Zweifelsfall empfiehlt es sich, einen juristischen oder externen Sicherheits-Experten mit einzubinden. Schriftliche Absicherung beim Provider Am Ende dieser Compliance-Überprüfung muss dann sichergestellt sein, dass der Provider alle seine Zusagen auch schriftlich bestätigt. Am sinnvollsten erfolgt dies im Rahmen der ohnehin erforderlichen Service Level Agreements (SLA). Ein wichtiger Punkt in dieser Vereinbarung ist die Revisionsfähigkeit. Ein Cloud Provider muss bereit sein, seine IT-Prozesse einer genauen Überprüfung zu unterziehen. Es ist sehr empfehlenswert, sich auch hier die Namen von Unternehmen geben zu lassen, die solche Audits bei diesem Provider bereits durchgeführt oder in Auftrag gegeben haben. Zu beachten ist weiterhin, dass sich der Cloud-Nutzer nicht von seiner unternehmerischen Verantwortung trennen kann. Er ist es, der alle erforderlichen Nachweise beibringen muss. Der Cloud Provider ist hierbei nur ein Lieferant, dem man zwar viele Vorschriften machen kann, der aber nicht die Endhaftung übernimmt. Das alles liest sich vielleicht ein wenig aufwändig und kompliziert ist aber nicht mehr als das, was auch bei jeder Anschaffung einer Anwendungssoftware oder bei der Wahl eines Zulieferers an Hausaufgaben zu erledigen ist. Die richtige Cloud kann auch Compliance Auch Gartner hat bei den aktuellen IT-Trends das Rechnen in der Wolke auf Platz eins gesetzt. Für 2012 rechnen die Marktexperten damit, dass 20 Prozent aller Unternehmen überhaupt keine eigene IT-Infrastruktur mehr besitzen werden. Diesen Trend bestätigen auch die sehr guten Geschäftsergebnisse der Cloud Provider im letzten Jahr von Wirtschaftskrise keine Spur. Doch während vor allem große Unternehmen auf breiter Front Cloud Services für sich nutzen, reagieren die mittelständischen Unternehmen meist noch zurückhaltend. Der häufigste Grund für diese Skepsis ist die fehlende Kontrolle über die Daten, sobald diese in die Wolke verschoben werden. Bild: Fotolia Erhebliche Vorteile gegenüber der Konkurrenz Generell gesagt bietet eine Infrastruktur-Cloud wesentlich bessere Kontrollmöglichkeiten über die Daten als eine Plattform-Cloud oder gar ein Software as a Service (SaaS). Hinzu kommt die Frage, ob es sich um eine interne, externe oder gemischte Cloud handelt. Eine spezielle Cloud-bezogene Compliance-Relevanz besteht jedoch nur bei externen oder gemischten Clouds. Um die Überprüfung der Compliance zu beschleunigen, sollte der gewünschte Cloud Provider nachweislich bereits Lösungen und Kunden haben, die aus der gleichen Branche stammen, denn die Auflagen sind von Branche zu Branche sehr unterschiedlich. Als Beispiele sei auf das Sarbanes-Oxley-Gesetz bei den US-Konzernen, auf die PCI-Auflagen für die Speicherung von Kreditkartendaten oder die REACH-Forderungen in der Chemie verwiesen. Ein besonderes Problem der Daten-Compliance besteht darin, dass in Europa verschiedene personenbezogene Daten nicht außerhalb des Hoheitsgebietes abgelegt werden dürfen. Das heißt, der Himmel für die Wolken ist Letztlich ist noch ein weiterer Punkt bei der Auslagerung von Daten und Prozessen an einen Cloud Provider zu berücksichtigen: Die knallharte rechtsverbindliche Formulierung von Verantwortlichkeiten mit einem Cloud Provider ist meistens wesentlich präziser und sicherer als eine vage interne Regelung, die auf Absprachen, Meeting-Protokollen oder Hausanweisungen basiert. Auch die Motivation bezüglich der Einhaltung aller SLAs und Compliance-Auflagen ist bei einem externen Service Provider generell höher anzusetzen, da dieser bei Verstößen ganz schnell sein Geschäft verliert. Unternehmen, die ihre Schritte in die Cloud sorgfältig planen und umsichtig realisieren, sind weder in puncto Sicherheit noch bei der Compliance schlechter gestellt als ihre Konkurrenten, die alles im eigenen Haus lösen doch die Cloud- Nutzer haben ihren Konkurrenten gegenüber ganz erhebliche wirtschaftliche Vorteile, sagt Gartner-Fellow Brian Gammage über die entscheidenden Business-Vorteile. 12 ON Frühling 2010 ON Frühling