Cloud-Computing: Fluch oder Segen?

Transkript

1 European Research Center for Information Systems Management Brief 08/2011 Cloud-Computing: Fluch oder Segen?

2 Cloud Computing: Fluch oder Segen? Autor dieser Ausgabe: Prof. Dr. Gottfried Vossen Institut für Wirtschaftsinformatik Universität Münster Leonardo-Campus Münster Management Brief Nr. 08/2011 des ERCIS Cloud Computing Competence Center (C4) Münster August

3 Einführung Cloud-Computing ist in letzter Zeit ein vielfach gehörtes Schlagwort. Anwendungen, Dienste, Daten, ganze IT-Infrastrukturen werden dabei an weitgehend unbekannte Orte im Internet verlagert. Die Analogie zum Strom aus der Steckdose drängt sich auf; funktionale oder Daten-Dienste werden nach Bedarf über das Internet bezogen und abgerechnet. Diese Entwicklung ist aus technischer Sicht naheliegend und aus wirtschaftlicher Sicht in verschiedener Hinsicht attraktiv, aber auch nicht frei von Problemen und zu klärenden Fragen. Dieses Briefing widmet sich insbesondere den folgenden Aspekten bzw. Fragen zum Thema: Worum es beim Cloud-Computing geht, was bei der Anbieterwahl zu beachten ist und wie mit dem Thema Sicherheit in der Cloud umgegangen werden kann. Es versucht damit, ein wenig Licht ins Dunkel zu bringen und Anwender sowie Entscheider auf die zentralen Aspekte hinzuweisen sowie aufzuzeigen, wie und woran man sich orientieren kann. Dieses kurze Papier kann offensichtlich eine weitergehende Auseinandersetzung mit dem Thema nicht ersetzen und ist nicht als umfassende Einführung zu verstehen. Es ist ferner angelehnt an die Studie von Haselmann und Vossen (2010), in der zahlreiche weiterführende Informationen zu den hier behandelten Themen zu finden sind. 1

4 Worum es beim Cloud-Computing geht Cloud-Computing ist de facto keine technische Revolution, sondern eine Kombination aus Bekanntem und Neuem. Es nutzt aus technischer Sicht die Tatsache, dass sich IT-Anwendungen bereits seit geraumer Zeit virtualisieren lassen, d. h. in einer Rechnerumgebung ausführen lassen, bei welcher für den Endanwender transparent (im Sinne von unsichtbar) bleibt, auf genau welchem Rechner oder unter welchem Betriebssystem die Ausführung gerade stattfindet. Dieses Konzept stammt tatsächlich aus den 1960er Jahren und wurde ursprünglich von IBM im Zusammenhang mit dem Betriebssystem des Systems /360 entwickelt. Bei einer Virtualisierung werden also die Details der Hardware von der Software, die sie benutzt, isoliert. In großen Rechner-Clustern, wie sie in den letzten Jahren in großem Maße durch Unternehmen wie Akamai, Google, Yahoo! oder Facebook entstanden sind, ist Virtualisierung quasi das Gebot der Stunde, um optimale Auslastung, aber auch Ausfallsicherheit und schnelle Reaktion auf sich verändernde Lastanforderungen gewährleisten zu können. Spielt die genaue Lokalisierung einer virtualisierten Umgebung keine Rolle, sondern wird der (virtualisierte) Dienst über ein Intranet oder das Internet bezogen, spricht man von einem Dienstbezug aus der Cloud. Zutreffender als Cloud-Computing ist die Bezeichnung Cloud- Services, wobei strenggenommen sogar zu unterscheiden ist zwischen Cloud Computing Services (Bezug von Rechenleistung), Cloud Data Services (Erzeugung, Bezug, Lieferung oder Bearbeitung von Daten), Cloud Storage Services (Nutzung von Speicherplatz) usw., was jedoch vereinfacht unter dem Begriff Cloud-Computing subsummiert wird. 2

5 Definierende Eigenschaften Cloud-Computing kombiniert also (hohe) Rechen- und Speicherkapazitäten, wie sie heute oft verfügbar sind, mit Virtualisierung und einem Betrieb unter Verwendung des Internet, wobei offensichtlich davon ausgegangen wird, dass hinreichend Bandbreite zur Verfügung steht. Der Anwender greift auf Applikationen und Daten über das Internet zu; Rechner und Speicher sind virtualisiert, aber jeweils in hinreichendem Maße verfügbar. Damit definiert sich Cloud-Computing über die fünf nachfolgend beschriebenen Eigenschaften (vgl. Abbildung 1): 1. Gemeinsame Nutzung physischer Ressourcen wie Rechenleistung, Speicherplatz oder (Software-) Applikationen. 2. Unverzügliche Anpassbarkeit der Infrastruktur an den Ressourcenbedarf. 3. Selbstbedienung nach Bedarf. 4. Umfassender Netzwerkzugriff. Resource Pooling Rapid Elasticity 5. Messung der Service-Nutzung und nutzungsbezogene Abrechnung. Cloud Services On-demand Measured Self-service Service Für den Privatanwender sind einige Broad Network dieser Aspekte heute oft schon eine Access Selbstverständlichkeit: Wer sein E- Mail-Konto bei Google hat, seine Reisepläne bei TriptIt oder WorldMate, Abbildung 1: Eigenschaften von Cloud-Services seine Fotos bei Flickr und seine Dateien bei Dropbox, nutzt die Cloud bereits in vielfältiger Weise. In allen diesen Fällen ist für den Endanwender nicht ersichtlich, wo genau seine Daten abgelegt sind und auf welchem Rechner die entsprechende Software ausgeführt wird. Offensichtlich werden die jeweiligen Anwendungen und deren Infrastruktur von vielen Anwendern gleichzeitig genutzt, man kann üblicherweise etwa den Speicherplatzbedarf vom Übergang von Free auf Premium an gewachsenen Bedarf anpassen, und sämtlicher Verkehr erfolgt über das Internet. 3

6 Es fehlen für den Privatanwender lediglich die Eigenschaften Rapid Elasticity und Measured Service. Die fünf Eigenschaften des Cloud-Computing insgesamt machen diese Form des IT-Betriebs nicht nur für Privatanwender interessant, sondern mittlerweile auch für Unternehmen. Insbesondere das Einsparungspotenzial bzgl. Software-Lizenzen, Hardware-Ausstattung und Personal, die organisatorische Vereinfachung durch entfallende Software- und Hardware-Wartung und eine potenzielle Kostenreduktion durch Ressourcen- Abrechnung nach Verbrauch machen Cloud-Computing gerade für solche kleine und mittlere Unternehmen (KMU) interessant, deren Kernkompetenz eben nicht im Betrieb von IT-Infrastruktur, sondern auf anderen Gebieten liegt. In der Tat entfällt durch eine Verlagerung von Anwendungen in die Cloud eine (i. Allg. teure) Lizensierung von Software, d. h. das Bezahlen einer Gebühr unabhängig davon, ob die betreffende Software überhaupt und, wenn ja, wie viel genutzt wird. Stattdessen fallen wie bei elektrischem Strom nur dann Kosten wenn, wenn die betreffenden Applikationen tatsächlich genutzt werden. Es sei angemerkt, dass die Abrechnung nach Verbrauch für Software-Hersteller, speziell für die Hersteller von Standard-Software, ein neues, noch ungewohntes Geschäftsmodell darstellt, denn man kann sich jetzt nicht mehr auf den ständigen Eingang von Lizenzgebühren verlassen. Für den Anwender ergeben sich dagegen neue Möglichkeiten der Nutzung einer Cloud-Lizenz dadurch, dass diese jetzt nicht mehr an einen bestimmten Nutzer oder Rechner gebunden ist. Cloud-Betriebsarten Das besondere Interesse von KMU im Unterschied zu größeren Unternehmen liegt auch in der Tatsache begründet, dass letzte häufig in der Lage sind, ihre IT-Infrastruktur in einer privaten Cloud zu betreiben, die also nur dem Unternehmen selbst zur Verfügung steht, dennoch aber für den einzelnen Mitarbeiter transparent ist. 4

7 Im Vergleich dazu sind KMU nicht selten auf eine öffentliche Cloud angewiesen, die von unterschiedlichsten Anwendern gemeinsam genutzt wird; alternativ können sie gelegentlich auf eine Community-Cloud zugreifen, die einer bestimmten Gemeinschaft von Unternehmen (häufig, aber nicht notwendig derselben Branche) zur Verfügung steht. Daneben sind Mischformen, also auch hybride Clouds möglich, was Abbildung 2 veranschaulicht. Unternehmen 1 Unternehmen 2 Nichtöffentliche Cloud Unternehmen 3 Unternehmen 4 Öffentliche Cloud Internet Öffentliche Cloud Nichtöffentliche Cloud Hybride Cloud Community Cloud Unternehmen 5 Unternehmen 6 Abbildung 2: Verschiedene Cloud-Betriebsarten Hieraus ergeben sich gerade für KMU spezifische Anforderungen an einen Cloud-Betrieb, auf die im Folgenden eingegangen wird. Neben grundsätzlichen Überlegungen, ob oder ob nicht in die Cloud, sind die Aspekte Anbieterauswahl und Sicherheitsfragen von zentraler Bedeutung. 5

8 Cloud-Servicemodelle Die genannten Cloud-Betriebsarten lassen sich mit unterschiedlichen Servicemodellen kombinieren, von denen drei besondere Popularität erlangt haben (Abbildung 3). Benutzerschicht Software-as-a-Service Platform-as-a-Service Infrastructure-as-a-Service Virtualisierungsschicht Hardware-Infrastruktur Wird transparent durch den Cloud-Anbieter verwaltet Abbildung 3: Die drei Cloud-Servicemodelle Man spricht von Infrastructure-as-a-Service (IaaS), falls in der Cloud lediglich Infrastrukturdienste (wie Rechenleistung oder Speicherplatz) in Anspruch genommen wird; Beispiele für IaaS- Dienste sind Amazon S3 oder EC2 (Simple Storage Service bzw. Elastic Compute Cloud). Bei Platform-as-a-Service (PaaS) wird eine Plattform für die Entwicklung eigener Applikationen bereitgestellt; die Applikationen können i. Allg. über dieselbe Plattform unmittelbar zur Verfügung gestellt werden; ein Beispiel ist force.com. Bei Software-as-a-Service (SaaS) werden lediglich Software-Dienste über das Internet genutzt; ein Beispiel ist das CRM-System von Salesforce. Diese letztgenannte Form ist die bei Weitem häufigste Verwendungsform und für KMU auch die attraktivste. Bedenken entstehen zumeist um die Frage, wie der Cloud-Provider, also der Dienstanbieter, mit den Daten umgeht, die an ihn übergeben werden müssen bzw. auf die seinem Dienst Zugriff gewährt werden muss. Sicherheit von Daten, aber auch von Anwendungen ist daher für zahlreiche Nutzer ein besonders wichtiges Thema. Daneben ist auch z. B. die Frage der Verfügbarkeit der gebuchten Dienste relevant. 6

9 Grundsatzüberlegungen zur Cloud Wer speziell als KMU vor der Frage steht, in die Cloud zu gehen oder nicht, kann und sollte sich zunächst die folgenden grundsätzlichen Fragen stellen: Gibt es grundsätzliche Vorbehalte, das vorhandene IT-System auszulagern, die also das Auslagern verbieten? Was genau soll ausgelagert werden und durch welche Art von Cloud-Ressourcen soll die Auslagerung realisiert werden? Soll ein bestehendes System ausgelagert und durch einen Cloud-Dienst ersetzt werden oder soll neue Funktionalität durch die Cloud bereitgestellt werden? Handelt es sich bei der auszulagernden Funktionalität um eine, die das Kerngeschäft des Unternehmens direkt betrifft, oder ist es lediglich eine unterstützende Funktionalität? Welche speziellen rechtlichen Rahmenbedingungen, etwa hinsichtlich einer Berichtspflicht gegenüber den Finanzbehörden, müssen beim Auslagern des Systems eingehalten werden? Benötigt die Anwendung einen intensiven Datenaustausch zwischen Cloud und Unternehmen oder funktioniert sie eher isoliert? Wie ist die Last des Systems zu charakterisieren? Gibt es nennenswerte regelmäßige oder unvorhersehbare Schwankungen? Profitiert die Anwendung von Elastizität, d. h. ist sie (bevorzugt horizontal) skalierbar? Hat das System eine beschränkte Lebensdauer, z. B. durch ein klar definiertes Projektende? Gibt es bereits Präzedenzfälle am Markt, in denen Unternehmen in vergleichbarer Situation ähnliche Lösungen realisiert haben? Wie verhalten sich die Konkurrenten gegenüber der Cloud? Eine Beantwortung dieser Fragen hilft einem Unternehmen dabei, seine spezielle Cloud-Strategie zu entwickeln. Bei allen Vorbehalten, die es derzeit noch geben mag, ist zu berücksichtigen, dass nach Meinung des Autors ein Trend der Verlagerung von IT in die Cloud grundsätzlich weder aufzuhalten noch rückgängig zu machen ist, so dass man sich als IT-Anwender früher oder später damit wird befassen müssen. 7

10 Anbieterauswahl Die nachfolgende Abbildung 4 zeigt die vier relevanten Dimensionen zur Anbieterauswahl: Abbildung 4: Die Dimensionen der Anbieterauswahl Bei der Auswahl eines Cloud-Providers hilft eine Beantwortung der folgenden Fragen: Die wirtschaftliche Dimension betrachtet folgende Aspekte: Wie etabliert, groß und zuverlässig ist der Cloud-Anbieter nach eigener Meinung und nach Meinung seiner (un-)zufriedenen Kunden? Kann der Cloud-Anbieter dies durch relevante Zertifizierungen z. B. nach SAS 70 oder ISO/IEC belegen? Wie ist es um die Reputation des Anbieters bestellt? Welche Preismodelle werden angeboten? Wie kann mit zu erwartenden Lock-in-Effekten umgegangen werden? Die technische Dimension beschäftigt sich mit Fragen folgender Art: Wo und in welchen Rechenzentren werden die Daten durch den Anbieter verarbeitet? Wie umfangreich ist die implementierte Backupstrategie zur Datensicherung und wie flexibel können Daten wiederhergestellt werden? Wie steht es mit der Leistungsfähigkeit der angebotenen Cloud-Dienste? Wie lässt sich eine nahtlose Integration in bestehende Anwendungen bewerkstelligen? 8

11 Die rechtliche Dimension hat Fragen wie diese zu beantworten: Ist und bleibt das Anwenderunternehmen alleiniger Eigentümer seiner Daten? Erfüllt der Cloud-Service alle notwendigen gesetzlichen Vorschriften und Regularien? Wird insbesondere das Bundesdatenschutzgesetz (BDSG) vollständig umgesetzt? Wie umfangreich, flexibel und praxistauglich sind die Möglichkeiten, individuelle Service-Level-Agreements (SLA) zu vereinbaren? Was sind mögliche Ausstiegsszenarien? Wie kann der Kunde auf Preisänderungen reagieren? In der organisatorischen Dimension geht es schließlich um Aspekte wie: Wie viel Kontrolle kann das Unternehmen über den Cloud-Anbieter ausüben? Wie können die tatsächliche Umsetzung der versprochenen Maßnahmen und Leistungen vor Ort überprüft werden? In welchem Ausmaß muss das Anwenderunternehmen seine Prozesse und Systeme anpassen, um sinnvoll mit dem Anbieter zusammenarbeiten zu können? Sind die Support-Leistungen des Anbieters für die Bedürfnisse des Cloud-Nutzers angemessen? Wie kann der Kunde mit dem Anbieter kommunizieren, im normalen Betriebsfall sowie im Fall unerwarteter Ereignisse? Wie überprüft der Anbieter seine Mitarbeiter bzw. Dienstleister vor der Einstellung bzw. Auftragsvergabe? 9

12 Sicherheit in der Cloud Wie erwähnt sind Sicherheitsfragen gerade für KMU von besonderer Bedeutung, wenn die Einrichtung einer privaten Cloud oder die Partizipation an einer Community-Cloud keine Option darstellen, sondern man auf öffentliche Cloud angewiesen ist. Sie sind sogar einer der Hauptgründe für eine (bisherige) Zurückhaltung von vielen KMU gegenüber der Cloud, vgl. Haselmann und Vossen (2011). Im Einzelnen geht es um Sicherheit, also die Frage, wie ich meine Daten gegen Verlust schützen kann, aber auch um Schutz, also die Frage, wie ich meine Daten gegen unberechtigten Zugriff schützen kann. Aus sicherheitstechnischer Sicht spricht für eine Cloud, dass Applikationen und Daten nicht im eigenen Haus liegen und daher gegen Einbrüche, Unfälle und Katastrophen geschützt sind. Der Provider muss jetzt Sicherheitsvorkehrungen treffen und ggfs. vertraglich zusichern, dass er diese einhalten kann und wird. Aus der Sicht des Datenschutzes spricht eher gegen eine Cloud, dass der Provider eine weitgehende Kontrolle über die Applikationen und Daten besitzt; dies betrifft neben Schutz gegen unbefugten Zugriff auch Aspekte wie vorsätzliche oder fahrlässige Weitergabe der Kontrolle über Anwendungen und Daten an Dritte oder Verfügbarkeit. Zur Frage der Sicherheit von Anwendungen oder Daten in der Cloud, die für Anwender oft im Vordergrund der Betrachtungen steht, zitieren wir den von Haselmann und Vossen (2010) erstellten Fragenkatalog: 10

13 1. Wird die Sicherheit der Cloud-Computing-Lösung in einem ganzheitlichen Sicherheitskonzept beurteilt? 2. Hat der Provider eine ausführliche Analyse der Sicherheitsaspekte des Cloud-Dienstes durchgeführt? 3. Wodurch kann der Cloud-Anbieter den sicheren Betrieb seiner Services nachweisen und wie kann das Anwenderunternehmen dies überprüfen? 4. Wie wird die korrekte Funktion aller Sicherheitsmechanismen gewährleistet und wie wird im Fehlerfall vorgegangen? 5. Sind auch die sicherheitsrelevanten Aspekte der Servicenutzung durch ein SLA abgedeckt? 6. Wurde die gesamte Wertschöpfungskette inklusive der Dienstleister des Cloud-Anbieters analysiert? 7. Wie werden die Kommunikationskanäle zur Cloud im Sicherheitskonzept berücksichtigt und geschützt? 8. Bieten alle Rechenzentren dasselbe Sicherheitsniveau, auch z. B. im Hinblick auf die politische Lage und rechtliche Situation im jeweiligen Land? 9. Ist klar definiert, wer bestimmte sensible Daten einsehen darf und welche Zugriffskontrollen sind installiert? 10. Wie erkennt der Cloud-Anbieter, dass ein Dienst angegriffen wird? 11

14 Zusammenfassung Cloud-Computing ist nicht nur ein Phänomen der Zeit, sondern wie erwähnt de facto nicht mehr rückgängig zu machen. Für Privatpersonen, die mit einem Smartphone oder einem vergleichbaren Endgerät unterwegs sind, ist der Zugriff auf die Cloud bereits selbstverständlich. Für Unternehmen ist dies je nach Größe auch bereits der Fall oder für die Zukunft kaum zu vermeiden. Als vertiefende Lektüre sei auf die Bücher von Baun et al. (2011), Meir-Huber (2010) sowie Metzger und Reitz (2011) verwiesen. Aktuelle Informationen finden sich im Web z. B. in den Blogs Wie dieses Papier gezeigt hat, gibt es Vor- und Nachteile für einen Cloud-Betriebs, ferner eine Reihe rechtlicher Unsicherheiten. Ein zentrales Thema speziell für KMU ist die Frage, ob und wann man einem Cloud-Provider Vertrauen entgegenbringen kann. Forschungsbedarf besteht u. a. an dieser Stelle; Arbeiten wie die von Haselmann et al. (2011) können hier weiterhelfen. 12

15 Literaturhinweise Ch. Baun, M. Kunze, J. Nimis, St. Tai: Cloud Computing: Webbasierte dynamische IT-Services; Springer-Verlag 2011 T. Haselmann, G. Vossen: Database-as-a-Service für kleine und Mittlere Unternehmen; Working Paper No. 3, Förderkreis der Angewandten Informatik an der WWU, November T. Haselmann, G. Vossen: Software-as-a-Service in Small and Medium Enterprises: An Empirical Attitude Assessment; in Proc. 12th International Conference on Web Information System Engineering (WISE) 2011, Sydney, Australia. T. Haselmann, G. Vossen, St. Lipsky, Th. Theurl: A Cooperative Community Cloud for Small and Medium Enterprises; in Proc. 1st International Conference on Cloud Computing and Service Science (CLOSER) 2011, Noordwijkerhout, The Netherlands. M. Meir-Huber: Cloud Computing: Praxisratgeber und Einstiegsstrategien; Entwickler.Press Ch. Metzger, Th. Reitz: Cloud Computing: Chancen und Risiken aus technischer und unternehmerischer Sicht; Hanser-Verlag

16 ERCIS Cloud Computing Competence Center c/o DBIS Group Leonardo-Campus Münster Germany Tel: +49 (0) Fax: +49 (0) c4@ercis.uni-muenster.de ERCIS European Research Center for Information Systems Westfälische Wilhelms-Universität Münster Leonardo-Campus Münster Germany Tel: +49 (0) Fax: +49 (0) info@ercis.org