Cloud ante portas! Die unterschätzten Herausforderung

Transkript

1 Cloud ante portas! Die unterschätzten Herausforderung IKT beiratssitzung 20 März Wien

2 Wachstum von IT Outsourcing 28. Februar Networld: Gartner: Public cloud market to grow 18.5% this year Infrastructure as a Service (IaaS) is fastest growing segment of the cloud market, growing at 42% annually

3 Bandbreitenausbau Quelle: Europäische Investitionsbank 2011

4 Dr. Tobias Höllwarth - Vorstellung Position - Geschäftsführer Höllwarth Consulting - Gründungsmitglied EuroCloud Austria - Delegationsleiter ISO SC38 WG3 - Gründungsmitglied der Vienna Cloud Consulting Group - Gründungsmitglied des ICTAN GmbH Vienna Cloud Consulting Group VCCG, - auf Cloud Beratung spezialisierter Zusammenschluss von Experten. - Beratungsleistungen für Cloud-Service Nutzer und Cloud-Service Anbieter spezialisiert und begleitet Unternehmen auf ihrem Weg in die Cloud. Publikationen - Herausgeber Buch Cloud Migration Der Weg in die Cloud

5 Begriffe Cloud Computing Cloud Computing ist ein Modell, das on-demand und online den Zugriff auf einen gemeinsamen Pool konfigurierbarer Computing- Ressourcen wie Netzwerke, Server, Speichersysteme, Anwendungen und Dienste ermöglicht. Diese können passgenau, schnell, kostengünstig und mit minimalem Verwaltungsaufwand bereitgestellt und abgerufen werden. (Definition: NIST; National Institute of Standards and Technology, USA)

6 Wesentliche Konzepte virtuelle Ressourcen Mandantenfähigkeit verbrauchsabhängige Bezahlung nutzergesteuerte Bereitstellung Elastizität

7 Begriffe - Cloud Betriebsmodelle Private Cloud Cloud Dienste werden aus dem eigenen RZ bezogen; Zugriff über Intranet/VPN Public Cloud Cloud Dienste werden über einen Cloud Anbieter bezogen; Zugriff über Internet Hybrid Cloud Mischform aus Private und Public Cloud

8 Begriffe Serviceebenen Software (SaaS) z.b. Google Mail, facebook, Dropbox, Twitter, itunes Cloud Plattform (PaaS) Entwicklerplattformen von Google, Amazon, Microsoft Infrastruktur (IaaS) z.b. Rechenzentren von Speicherkapazitäten von Amazon, Apple, interxion, IBM

9 Der Weg in die Cloud

10 Status Quo und Beobachtungen Technische Voraussetzungen Breites Angebot an Cloud Anwendungen Cloud Strategie im Unternehmen unklar Zu technische Betrachtung des Themas Organisatorische Vorbereitung im Unternehmen sind ungenügend

11 CLOUD Computing & IT Outsourcing 30 Jahre Erfahrung im IT-Outsourcing Public Cloud Services sind eine Variante des IT Outsourcing Warum nicht einfach vorgehen wie bisher und bisherige Verträge und SLA verwenden? A Service Level Agreement (SLA) is a documented agreement between the service provider and customer that identifies services and service targets. [ISO/IEC :2011].

12 Cloud Verträge versus traditionellen Verträgen Vertrag Service Anbieter Komplexität Recht Traditionel: große B2B Verträge mit QoS, KPI, Compensation, Monitoring and Auditing Cloud: Standard Verträge für Standard Services Traditional: Individuell, spezifisch langfristig über mehrere Jahre kalkuliert Cloud: Standard, industrialisiert, shared services, große Volumina, große Investments, kurze Verträge Traditional: Ein voll verantwortlicher Anbieter mit bekannten Subauftragnehmern Cloud: Provider Kette, grenzübergreifend, Netzwerkbandbreite als zusätzliches Risiko Lizenzen Identity management Erwirkung von SLA's Use cases Gleiches Cloud Service Unterschiedliche Usecase Unterschiedliche Anforderungen an den SLA

13 Standardization versus individual usecase KOMPLEXITÄT NIEDRIG HOCH UC SAAS z.b. Type 3 UC IAAS Type von belegen 2 Reisekostenabrechnung UC IAAS Type 1 z.b. Webimages UC z.b Type 4 SAAS Finanzreporting Patientendaten Buchhaltungs- z.b Archivierung NIEDRIG HOCH BEDEUTUNG Relevanz des Services und Sensitivität der Daten Page 13

14 Der Weg in die Cloud

15 Vorbereitung Klarheit schaffen! Fokus auf der Verkleinerung der Klarheitslücke Klarheit (gefühlt) Klarheit (real) Widerstand Vorbereitung Erhebung des Bedarfs Auswahl des Anbieters Umstieg Betrieb

16 Strategische Ziele und Erwartungen Ökonomische Ziele Innovationsziele Effizienzziele Bedarfs- und nachfragegetriebenen Ziele Marktziele Personelle Ziele Standortziele (Konsolidierung) Organisatorische Ziele Ökologische Ziele

17 Strategischer Rahmen Potentiale und Nutzen Ziele der Nutzung von Public Cloud Services Quelle: KPMG 2012

18 Strategischer Rahmen Potentiale und Nutzen Auswirkungen des Einsatzes von Public Cloud Quelle: KPMG 2012

19 Strategischer Rahmen Vorteile und Nachteile Analyse Potentiale Entlastung der IT Ressourcen, verringerter IT Aufwand Kosteneinsparungen, Senkung der IT Ausgaben, Weniger eigene IT Fachkräfte Förderung der Standardisierung Erhöhte organisatorische Flexibilität Erhöhte Flexibilität, schnellerer Implementierung neuer Anwendungen und Lösungen Schnellere Skalierbarkeit der IT Leistungen Verbesserte eigene Innovationsfähigkeit Gesteigerte Mobile Verfügbarkeit, mobiler geografisch verteilter Zugriff auf IT Ressourcen Höhere Verfügbarkeitsgarantien und Performance von IT Services Erhöhte Sicherheit im RZ, Erhöhte Datensicherheit Keine langfristigen Bindungen

20 Risikomanagement Hauptrisiken Hauptrisiken laut ENISA (European Network and Information Security Agency): - Unzureichende Service Level Garantien - Providerabhängigkeit (Lock-In) - Unzureichende Datenabgrenzung - Probleme bei der Einhaltung von Compliance Vorgaben - Unzureichende Absicherung der Administrationsfunktionen - Datenschutzverletzungen - Unzureichende Datenlöschung auf Kundeanforderung - Angriff von innen durch nicht vertrauenswürdige Personen

21 Cloud spezifische Risiken Datenspeicherung regional vs. global gesetzliche Bestimmungen Lock in Datenmigration Mangelhafte Interoperability Gemeinsame Umgebung Unterschiedliche Sicherheitsanforderungen und Daten-Separation Neue Bedeutung von System/Netzwerk/ Operating System Hypervisor: CPU, Netzwerk, OS

22 Auswahl des Anbieters Definition der Kriterien Eignungskriterien (Muss-Anforderungen) Auswahlkriterien Messbarkeit und Vergleichbarkeit Gewichtung der Kriterien Ausschreibung/ Einholen von Angeboten Auswahl geeigneter Anbieter (Recherche) Beschreibung der Anforderungen und Rahmenbedingungen Definition des Bewertungsschemas Prüfung der Angebote Auswahl und Auftragsvergabe Dokumentation der Ergebnisse Vertragsverhandlung Vertragsabschluss

23 Beispiele für Kriterien Eignungskriterien (Musskriterien) - Leistungsabdeckung durch Anbieter - Lokation des Anbieters - Partnermodell / Vertragsverbindung - Stabilität des Anbieters - Zertifikate - Referenzen - Anzahl Kunden (Größe, Lokation) Auswahlkriterien - Abdeckung der geforderten Funktionalitäten - Service Levels - Vertragsgestaltung - Verrechnungsmodell - Kosten

24 CLOUD Vertragselemente

25 Zertifizierungen Überblick und Geltungsbereiche Standard Geltungsbereich Kern- Prüfbereiche ISO Informations- Sicherheits-Management System Sicherheit, Compliance Cloud spezifisch? begrenzt Kommentare Sehr allgemein. Man muss genau verstehen, welche Einheit und was geprüft wurde COBIT Informations- Technologie IT Management Nein Allgemeines Qualitäts- Rahmenwerk SAS 70/SSAE16/ ESAE3402 Transaktionen und Rechnungswesen Buchhaltung Compliance begrenzt Sinvolle Erweiterung, z.b. für ERP Cloud Services EuroCloud Star Audit Cloud Service (SaaS, PaaS, IaaS) EU und nationales Recht, Sicherheit, Compliance, EU und nationaler Datenschutz, Interoperabiliät Ja Umfassender Anwendungsbereich, für KMUs einfach zu verstehen FedRamp Cloud Service Provider Sicherheit, US Compliance, ständige Überwachung Ja Enorme Bürokratie, teilweise nur Selbsteinschätzung, Kontrolle gegenüber NIST SP R3 CSA Cloud Sicherheit Sicherheit, Interoperabilität Ja Exzellente Risikobewertung PCI DSS CC Payment Services Sicherheit begrenzt Sehr begrenzter Anwendungsbereich

26 Cloud Computing Standards: Führende Organisationen CC EuroCloud Umfassende Richtlinien für Recht, Datenschutz und Compliance, EuroCloud Star Audit ( Cloud Service Gütesiegel ) Europa ITC ETSI (European Telecommunications Standard Institute) Standards, Analyse von Lücken und Prüfsystemen für die Interoperabilität, Spezifikationen, Use Cases, Koordination, Standardisierungs-Roadmap ITC ENISIA (European Network and Information Security Agency) Cloud Computing KMU Studien, Cloud Computing Information Assurance Framework, Cloud Computing Risikobewertung Source Analyse by Booz & Company und FZI (2012)

27 Ressourcen der Star Audit Kontroll-Elemente ENISA Cloud Computing Risiko Report Cloud Computing Eckpunktepapier zur Informationssicherheit Sicherheitsrichtlinien Cloud Computing IT Audit Framework ISPRAT Studie Cloud Computing Expertengruppe Recht & Compliance Cloud Service Provider Wirtschaftsprüfer Risiko Management

28 EuroCloud Europe Members External Organizations Federal Offices Associations Researchers National EuroCloud Associations EuroCloud Country Member EuroCloud Country EuroCloud Europe Full Members General Assembly Council Executive Board Supporting Members Associated Members Advisory Board Managing Director Director Contributors

29 EuroCloud Kompetenz EuroCloud Star Audit EuroCloud Benchmark EuroCloud SLA Kriterien Katalog EuroCloud Richtlinien EuroCloud CLOUD QUALITÄTS INFORMATIONS PYRAMIDE

30 EuroCloud Leitfaden Herausgeber: EuroCloud Austria Autoren: DI Ulrike Huber Michael Kramer Dr. Werner Schönfeldinger ds/media/leitfaden-nr-4auswahl-und-einfuehrung.pdf

31 CLOUD Migration Vier Sprachen 50 Spezialisten, 12 Länder Rechtsanwälte Steuerberater Techniker IT Berater Betriebswirte

32 Cloud Kongress 4. November 2013 in Wien

33 Do You Have Any Questions? We would be happy to help. Page 33