So#ware Asset- und Lizenzmanagement Zunahme der Hersteller- Lizenzaudits und wie man darauf reagiert

Transkript

1 So#ware Asset- und Lizenzmanagement Zunahme der Hersteller- Lizenzaudits und wie man darauf reagiert Volker Dohr, CIA, Jurist & Betriebswirt Anlässlich des A#er Hour Seminars ISACA Switzerland Chapter 27. August 2013 in KooperaPon mit So#wareONE Stand:

2 Lizenzausgaben & Überlizenzierung IT- Budget 30% SW- Lizenzen & Wartung SW- Lizenzen ca. 300 Mrd. USD Überlizenzierung % $ 90 Mrd. 15% Prozent Einsparungen im SAM sind im ersten Jahr sehr wahrscheinlich - sowie 5-10% in den Folgejahren. Source: Gartner (Jan. 2012); Forrester Research 2011

3 Unterlizenzierung und Piraterie Pirated PC So#ware The users who say they pirate so#ware are young and male...the global piracy rate for PC so#ware hovers at 42 percent & the commercial value is $63.4 billion. BSA % 26% 42% 66% 77% Geben Sie das Geld nicht für Strafgebühren im Audit aus sondern für SAM Prozesse und die OpKmierung der tatsächliche Nutzung USA DE/CH World LATAM China Quelle: 2011 BSA Global So#ware Piracy Study (2012)

4 Häufigkeit von Lizenzaudits? % Gartner: in 2007, 35% of survey respondents said they had experienced at least one sovware vendor audit. In 2009, this figure increased to 54%; in 2010, it increased to 61%; and in 2011, it increased to 65% (see Figure 1). The survey also demonstrated that larger organizakons were experiencing higher numbers of audits. 65% Prozent der börsennokerten Unternehmen werden bereits jährlich von mindestens einem Hersteller audikert Entwicklung der Hersteller Audits von börsennoperten int. Unternehmen 2007 bis 2012 (Gartner 2012)

5 Reaktionen der Lizenznehmer Wie reagieren die Kunden wenn ein SW- Lizenzaudit angekündigt wird? 5 % Kunden kaufen spontan Lizenzen 30% Zeitaufschub; Blockade 40% alles OK 25% Wird schon gut gehen Nur 5% der Unternehmen haben einen gemanagten Compliance SAM- Prozess Source: Gartner (Jan. 2012)

6 Die Lizenzierungspraxis?

7 Optimierungsdilemma benöpgt benöpgt = lizenziert = 100% installiert < 100% = ReklamaPon installiert > 100 % = Unterlizenzierung, Gefahr von Nachzahlung, Stravarkeit, OrganisaPonsverschulden 100 _ + benöpgt = installiert = 100% lizenziert < 100% = Nachzahlung lizenziert > 100 % = Verschwendung lizenziert Abb.: Magisches Dreieck im So#ware Asset Management _ lizenziert = installiert = 100% benöpgt < 100% = Verschwendung benöpgt > 100 % = ProdukPvitätsverlust _ installiert

8 Lizenz «Die Erlaubnis, Dinge zu tun, die ohne die Lizenz verboten sind»

9 Der dynamische Lizenz-Vertrag IBM Oracle MS IBM Passport Advantage Vertrag 22 dynamisch Weblinks Oracle License and Service Agreement (OLSA) 5 dynamische Weblinks Microso# Business- und Service- Vertrag Insbesondere 2 Weblinks PUR & PL

10 Hersteller Master Lizenzvertrag Microso# hwp:// microso#- business- and- services- agreement.pdf Symantec hwp://eval.symantec.com/mktginfo/ enterprise/eulas/symantec%20ghost %20SoluPon%20Suite%202%205_GBL %20ENT%20EULA %20v1%200%20(14Apr08).pdf IBM hwp://public.dhe.ibm.com/so#ware/ passportadvantage/pa_agreements/ PA_Agreement_InternaPonal_English.pdf VM- Ware hwp:// universal_eula.html Oracle hwp:// olsa- uk- v pdf HP hwp://welcome.hp.com/country/us/en/ prodserv/so#ware/eda/pdf/ _HP_EULA_Enterprise_2013_03.p df Adobe hwp:// Gen_WWCombined- comb _1830.pdf Quelle: Links gemäss Internetrecherce vom 20.August 2013

11 Bsp.: MS - Vertrag und PUR SQL Server 2005 virtualisiert und SQL 2012 mit aktueller Software Assurance lizensiert à Darf SQL 2005 unter der Annahmen von License Mobility die es 2005 nicht gab heute betrieben werden? à Wie kann die Metrik berechnet werden? Quelle: licensing/product- licensing.aspx

12 MS Product Use Rights - April 2013 à 125 Seiten - alle 3 Monate ein Update! à LizenzbesPmmungen für MS à Kennen Sie die PURs? Sie sollten! Quelle: licensing/product- licensing.aspx

13 MS Produktliste - Juni 2013 à Jeden Monat z.zt. 220 Seiten à Produktzusammensetzung für MS à Punkte- SA- MigraPonspfade- Auslaufen Quelle: licensing/product- licensing.aspx

14 Licensing Guide Online (Beispiel So#wareONE) à Online à Printversion à IBM, Oracle, Adobe, Citrix, McAfee,... à IBM, Oracle, Adobe, Citrix, McAfee,... à immer aktuell à Inkl. SAM Quelle: hwp:// ch/licensing/licenseguide/seiten/default.aspx

15 Sie sind nicht allein SoVware vendors' sales representakves somekmes don't themselves understand the usage rights of the sovware they are selling or they may mislead customers on usage rights; vendors may provide insufficient informakon, with usage rights being vague or unclear Gartner (2012):

16 Wer ist verantwortlich? Sie sind verantwortlich!

17 Anforderungen und Verantwortlichkeit Bsp.: IBM Passport Advantage Vertrag Customer is responsible for 1. ensuring that it does not exceed authorized use 2. remaining in compliance with IBM passport advantage terms Quelle: IBM Passport Adv. Vertrag Pos ; ersichtlich ist hierbei der Unterschied in den Übersetzungen

18 Wie prü# man das So#ware- Lizenzmanagement? Welche Hilfestellung gibt COBIT?

19 SAM - COBIT 5 Kontrollziel: Managen der So#warelizenzen, um sicherzustellen, dass (..) die oppmale Anzahl an Lizenzen bescha{, erhalten und bereitgestellt ist. Kontrollziel: Sicherstellung, dass die installierte So#ware den BesPmmungen der Lizenzvereinbarungen entspricht. SAM Controls à Die Lizenzen sind konform und am geschä#lichen Bedarf ausgerichtet. à Die Betriebsmiwel werden auf einem oppmalen Niveau gehalten Metrik à Anteil der genutzten Lizenzen im Verhältnis zu den bezahlten Lizenzen à Benchmark- Kosten COBIT adressiert Kontrollen für das So#ware- Assetmanagement nicht genügend! (siehe auch : APO09; BAI10; DSS01)

20 MS - SOM based on ISO Cluster mit 10 Kern- Kompetenzen mit Reifegradanalyse VerPefung ISO (2012) ImplemenPerungshilfe: ITIL V3 Guide zu SAM ISO bietet einen Prüfungskatalog, der die groben COBIT Kontrollen sehr gut abdeckt. Quelle: ISO19770; MS SAM Guide SOM=SAM OpPmicaPon Model

21 SAM - ITILV3 Guide - SAM AbgesPmmt auf ITIL V3 & ISO/IEC Mit Beispielen, Templates und DokumentaPon An essenkal guide for any IT or Procurement prackkoner responsible for the management of sovware assets and senior management with corporate governance responsibilikes. Steven Heal, KPMG LLP Quelle: hwp:// management- pracpce.com

22 Hersteller und ihre Auditoren IBM Adobe MS ORA SAP* Top Hersteller- Audits gemäss (Gartner 2012), mehrfache Nennung möglich. Entwicklung Hersteller Audits von börsennoperten int. Unternehmen 2007 bis 2012 (Gartner 2012)

23 Varianten - Lizenzplausibilisierung Selbstauskun# Review mit Partner Audit mit Wirtscha#sprüfer à Excel à Online à Aufforderung zum Assessment mit einem zerpfizierten Partner à SWO liefert Kommentare ORACLE Adobe IBM à ZeiPntensiv à Personalaufwendig à HerstellerorienPert

24 Vertragserfüllung «Auditklausel» Rechte & Pflichten à Aufzeichnungspflicht à Audit durch Wirtscha#sprüfer à BeeinträchPgung à Unverzüglich: sämtliche InformaPonen à Zugriff auf Systeme gewähren à Nachkauf in 30 Tagen à Kosten für Audit ab 5% Unterlizenzierung à Strafgebühr = 125% Preisliste/Level à erneutes Audit bei Unterlizenzierung Quelle: Art. 7 Business- und Servicevertrags (MS)

25 Haftungsrisiko SAM à Mitverantwortung für die Compliance à Ha#ung als Arbeitnehmer à Ha#ung als Organ à Delegieren, aber richpg! à Das können Sie nicht delegieren: IT- Governance IT- Governance Policies und Weisungen OperaPve Umsetzung Kontrolle und DokumentaPon Regelmässige Anpassung an das geänderte Umfeld Quelle: Computerworld 11/ S. 18ff

26 Anforderung und Rechtsfolgen Anforderungen: Vertragsverletzung OrganisaPonsverschulden bei fehlendem IKS od. Risiko- management (SOX, Basel II, UCA US) Untreue wegen Schädigung übertragener Vermögens- betreuung Betrug zum Nachteil der Lizenzgeber Urheberrechtsverletzung Rechtsfolgen Nachlizenzierung mit schlechteren KondiPonen Regress wenn keine ExkulpaPon möglich ist Strafrechtliche Ha#ung Strafrechtliche Ha#ung Strafrecht Art.67 URG (CH) CH: Art. 67 Urheberrechtsverletzung - URG - StravesPmmungen Auf Antrag der in ihren Rechten verletzten Person wird mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bestrav, wer vorsätzlich und unrechtmässig: e.) auf irgendeine Weise Werkexemplare herstellt; f.) Werkexemplare anbietet, veräussert oder sonst wie verbreitet g.) ein Werk...ein Computerprogramm vermietet. Wer eine Tat nach Absatz 1 gewerbsmässig begangen hat, wird von Amtes wegen verfolgt. Die Strafe ist Freiheitsstrafe bis zu fünf Jahre.

27 Lizenzierungsfehler Top5 Hersteller Client Access License (CAL) IBM MS ORA Adobe Test- / Schulung- / Entwicklungs- umgebungen IBM MS ORA Adobe EdiPonen IBM MS ORA Adobe SAP SAP SAP Virtualisierung im Clusterverbund à Jeder technisch mögliche Zugriff muss lizenziert sein à SQL CAL: alle indirekten und direkten (MulPplexing) à External Conector à Müssen nach Testphase lizenziert werden à Schulungsumgebungen à Entwicklung sep. Lizenzmodelle à Die lizenzierte EdiPon muss auch eingesetzt werden à Upgrade mit Wartung à beschränkte Downgrades je à nach Fehlende OEM/FPP/VL Wartung bei ApplikaPonsservern IBM MS ORA Adobe IBM MS ORA Adobe IBM MS ORA Adobe IBM MS ORA Adobe SAP IBM MS ORA Adobe SAP SAP SAP SAP à Wartung muss vorhanden sein (z.b. Office) à Begrenzte Anzahl von Schulungsumgebunen (EA,SA) à OEM à Win Enterprise nur mit SA und je nach Produkt à Dublewen u. Nutzungsverhalten vor der Vermessung prüfen

28 Vorgehen der Hersteller im Audit à Analyse der Kunden aufgrund von öffentlichen InformaPonen à Analyse Lizenzvertrag & True- Up versus Geschä#sbericht und InformaPonen à Sind Sie zu klein kommt vermutlich kein Big4 vorbei (AlternaPve: Selbstauskun# oder Partnerreview) InformaPon BesPmmen sie akpv die passende Auditstrategie Audit Kick- Off; Scope; Datensammlung; Interviews, Auswertung... Schauen Sie hin! Einigung Lizenznehmer und Auditor sind sich einig Nachzahlung Strafgebühr und Lizenz

29 Zum Schluss Jörg Beyer (DHL)... Die haben sicherlich erwartet, dass wir unterlizenziert sind... Lassen Sie sich nicht in die Überlizenzierung treiben! hwp://

30 Herzlichen Dank Ihre Fragen