Revision in virtuellen Umgebungen. Rainer Kessler, März 2012

Transkript

1 Revision in virtuellen Umgebungen Rainer Kessler, März 2012

2 Deutschland erwartet eine Umsatzsteigerung im Cloud-Computing von weit über 400% bis zum Jahr Mehr als 60 Prozent aller Unternehmen planen, Cloud-basierende Angebote zu prüfen und Pilotprojekte zu starten. Quelle:

3 Inhaltsübersicht 1) Entwicklung der Komplexität in der Revisionstätigkeit 2) Entwicklung der Virtualisierung 3) Anforderungen an den Umgang mit Informationen 4) Anforderungsgerechter Umgang mit Informationen in virtuellen Umgebungen 5) Ein Revisionsansatz für virtuelle Umgebungen 6) Ausblick und Schlussbemerkungen 7) Fragen und Antworten

4 1) Entwicklung der Komplexität in der Revisionstätigkeit (1 von 3) GENERELL Wachsende Anforderungen an die Rechnungslegung Wachsende rechtliche und regulatorische Anforderungen in diversen Unternehmensbereichen Allgemeines Wachstum der Komplexität (quantitativ und qualitativ sowie hinsichtlich Chancen und Risiken)

5 1) Entwicklung der Komplexität in der Revisionstätigkeit (2 von 3) IT Der Schritt vom Papier zum (stand-alone) Computer Mehrplatz- und Multiusercomputer Zusammenschluss mehrerer Computer zu Netzwerken Multi-Tier-Architekturen (z.b. 3-Tier-Architektur)

6 1) Entwicklung der Komplexität in der Revisionstätigkeit (3 von 3) IT Automatisierte Programmierung und Datenmodellierung Objektorientiertheit und Servicearchitekturen Wachsende Relevanz von Middleware Virtualisierung und weitere Entwicklungsschritte

7 2) Entwicklung der Virtualisierung (1 von 2) Emulation oder Simulation systemfremder Betriebsumgebungen Multicodecompiler und toolgestützte Entwicklung Die SAP-isierung : ERP und andere Metaentwicklungen Sandboxes mit hardund softwarebasiertem Hypervisor Grid-Computing

8 2) Entwicklung der Virtualisierung (2 von 2) Cloud-Computing Lauffähige Konzepte Sich selber (weiter-)entwickelnde Konzepte (neue Generationen von AI/KI) Direkte Mensch/ Maschinen-Interaktion Bionik und neue Rechnertechnologien ( )

9 2) Entkopplung von Benutzer, Verarbeitungslogik und Daten (1 von 2) Telematik (1) Telematik (2) Beispiele möglicher Clouds: 1, 2, 3, 4,

10 2) Entkopplung von Benutzer, Verarbeitungslogik und Daten (2 von 2) Quelle:

11 2) Alles als einen Service (XaaS oder EaaS 1 von 2) Everything HPCaaS: Hochperformantes Computing als einen Service DICaaS: Datenintensives Computing als einen Service SaaS (1): Speicher (Storage) als einen Service SaaS (2): Software als einen Service SaaS (3): Sicherheit (Security) als einen Service

12 2) Alles als einen Service (XaaS oder EaaS 2 von 2) Everything PaaS: Plattform als einen Service NaaS: Netzwerk als einen Service CaaS: Kommunikation (Communication) als einen Service IaaS: Infrastruktur als einen Service MaaS: Monitoring als einen Service ( )

13 2) Wann ist eine Umgebung virtuell? (1 von 2) ODER-Verknüpfung der Punkte (Aufzählung nicht abschliessend) In den meisten Fällen, wenn XaaS von einem externen Provider bezogen wird Beispiel für SaaS: Wenn der physische Standort des den Objektcode ausführenden Systems nicht vor der Verarbeitung eindeutig feststeht (auch innerhalb eines Rechenzentrums und bei selber erbrachten IT- Leistungen)

14 2) Wann ist eine Umgebung virtuell? (2 von 2) ODER-Verknüpfung der Punkte (Aufzählung nicht abschliessend) Generelles Beispiel für XaaS: Wenn die physischen Standorte derjenigen Informatikkomponenten, welche den betreffenden Service erbringen, nicht vor der Erbringung eindeutig feststehen (Ausnahme: Routers in einem selber betriebenen Netzwerk) In der Regel, wenn eine Umgebung als Cloud bezeichnet wird (Kontrolle der richtigen Benennung ist ratsam)

15 3) Need-to- -do-prinzip Anforderungen an den Umgang mit Informationen Grundanforderungen Integrität Wahrheit Richtigkeit Legalität Verfügbarkeit Produktionsphase Archivierungsphase Vertraulichkeit Beispiel für einen übergreifenden Zusammenhang Need-to-know-Prinzip Need-to-have-Prinzip Allowed-to-see-Prinzip Erweiterte Anforderungen Konsistenz (semantische Integrität) Bsp.: Verhinderung des Bezugs sich ausschlies- sender Produkte Vorschrifteneinhaltung (über die reine Legalität hinaus) Bsp.: Weisungen, Verhaltensregeln und regulatorische Anforderungen

16 4) Anforderungsgerechter Umgang mit Informationen in virtuellen Umgebungen Zwingende Anforderungen werden durch eine virtuelle Installation nicht verändert WEISUNGSWESEN Bereitschaft, nicht zwingende Anforderungen ( Nice-tohave ) infrage zu stellen wächst in virtuellen Umgebungen Revision und Sicherheit müssen (a) Zugeständnisse machen und/oder (b) nicht zwingende Anforderungen klar begründen: diese werden von den Entscheidträgern gegen die Vorzüge der Virtualisierung abgewogen Sorgfältige Vorbereitung der Argumentation

17 4) Anforderungsarchitektur Anforderungen(?) A und E Eigenschaften(?) Dieser Raum muss im Detail definiert und ins WEISUNGSWESEN aufgenommen werden; genügt er den Revisions- oder Sicherheitsanforderungen nicht, so ist die betroffene Umgebung nicht für die Virtualisierung geeignet.

18 4) Beeinflussung der Anforderungserfüllung Gewisse Konzepte funktionieren in virtuellen Umgebungen anders (Beispiele:) Verantwortung von System-Owners gegenüber den Daten- Owners Analog der Middleware braucht es einen Transmitter in Form des Service-Owners (= Support- Applikations-Owner und/oder Business-Applikations-Owner) Temporaler Nachweis der Gesamtsystemintegrität muss vom System selber erbracht werden, da gewisse Veränderungen inhärent sind, jedoch die Integrität nicht beeinflussen dürfen; d.h. es gibt zwei grundsätzliche Arten von Veränderungen in virtuellen Systemen Virtuelle Optimierung Funktionale Mutation (Gilt sinngemäss auch für Vertraulichkeit und Verfügbarkeit)

19 5) Ein Revisionsansatz für virtuelle Umgebungen (1 von 3) 1. Festlegung Prüfungsfokus betr. Objekte, Themas und Ziele 2. Abgrenzung virtueller und nicht virtueller Umgebungen (siehe Seite Wann ist eine Umgebung virtuell? ) 3. Allfällige Anpassung Prüfungsfokus aufgrund neuer Erkenntnisse aus Schritt 2 4. Erhebung aller relevanten Weisungen sowie anderen zwingenden Anforderungen (z.b. FINMA-Rundschreiben 08/7 betr. Outsourcing bei Banken) für alle Umgebungen gemäss Prüfungsfokus (virtuelle und nicht virtuelle)

20 5) Ein Revisionsansatz für virtuelle Umgebungen (2 von 3) 5. Detaillierte Abgrenzung selbst bereitgestellter Umgebungen gegenüber von extern bezogenen Leistungen (XaaS) 6. Erhebung vertraglicher Grundlagen und Service-Level Agreements (SLA) für extern bezogene Leistungen (wenn vorhanden, auch SLA für interne Leistungen) 7. Risikoanalyse aller Umgebungen im Prüfungsfokus, d.h. Anforderungen (siehe 4.) an den Umgang mit den betroffenen Informationen den entsprechenden Whatcould-go-wrong -Szenarien gegenüberstellen (z.b. grenzüberschreitende Zugriffe in datenschutzsensitiven Umgebungen oder Nachvollziehbarkeit von Mutationen)

21 5) Ein Revisionsansatz für virtuelle Umgebungen (3 von 3) 8. Abgleich Weisungen mit Risikoszenarien hinsichtlich Abdeckung 9. Abgleich Weisungen und Risikoszenarien mit SLA und Verträgen hinsichtlich Abdeckung 10. Erhebung vertraglicher Rechte im Kontext der SLA (z.b. Prüfungsrecht und Möglichkeiten der SLA-Durchsetzung bei Drittparteien sowie allfällige Berichte anderer Prüfer) 11. Erhebung der Schlüsselkontrollen betreffend Risikoanalyseergebnisse (insbesondere Blackboxing ) 12. Erhebung und Dokumentation der Kontrolleffektivität gemäss Prüfungsfokus (z.b. Kontrolldesign und Kontrollausführung) sowie Berichterstattung, etc.

22 5) Übersicht einer möglichen Prüfungsdokumentation Prüfungsfokus (Objekte, Themas, Ziele) Systemdarstellung der Prüfungsobjekte Inventar relevanter Weisungen und anderer Anforderungen Inventar der internen und externen Servicebereitsteller mit geltenden Verträgen und SLA Risikoanalyse gemäss Prüfungsfokus, insb. hinsichtlich Ziele Inventar der Schlüsselkontrollen Ergebnisdokumentation der Erhebung der Kontrolleffektivität Revisionsbericht Notizen und andere Informationen

23 6) Ausblick und Schlussbemerkungen Virtualisierung als unumkehrbare Tatsache Grenzen der Flexibilität von Revision und Sicherheit Neues Recht vs. neue Interpretation des Rechts und vor allem dessen Durchsetzung

24 7) Fragen und Antworten