Whitepaper. Cloud Computing und SaaS. Hype oder echter Paradigmenwechsel in der IT?

Transkript

1 Whitepaper Cloud Computing und SaaS Hype oder echter Paradigmenwechsel in der IT? T e c h n o l o g i e n L ö s u n g e n T r e n d s E r f a h r u n g

2 Inhalt 1 CLOUD COMPUTING SAAS (SOFTWARE-AS-A-SERVICE) SECURITY UND CLOUD - EIN WIDERSPRUCH IN SICH? SECURITY BUSINESS INTELLIGENCE BY ISM BI-CUBE IDENTITY MANAGEMENT - AS - A - SERVICE info@secu-sys.de Web: Seite 2 von 9

3 1 Cloud Computing Cloud Computing gilt derzeit als einer der wichtigsten Trends in der IKT (Informations- und Kommunikationstechnologie), wird von vielen IT - Entscheidern als Schlüsseltechnologie angesehen und war auf der diesjährigen CeBIT demzufolge Gesprächsthema Nr. 1. Aus der Krise heraus wächst der Zwang zur Neuorientierung der Unternehmen und IT-Verantwortliche suchen - in Zeiten knapper Budgets - nach Wegen zur zukunftsfähigen Ausrichtung der IT bei gleichzeitiger Kosteneinsparung. Cloud Computing ist der evolutionäre Schritt der IT weg von einschränkenden IT-Infrastrukturen, hin zur dynamischen, flexiblen und nahezu unbegrenzten Nutzung von IT- Ressourcen und IT-Dienstleistungen aus der Wolke und damit auch hin zur IT - Industrialisierung mit den dafür typischen Effekten der Standardisierung, Automatisierung und Modularisierung. Cloud Computing bietet die Möglichkeit, über das Internet kundenspezifisch Speicherkapazitäten, Rechenleistung und Anwendungen flexibel und skalierbar als Dienst zu beziehen: IaaS (Infrastructure-as-a-Service) => Zugriff auf z.b. Speicher, Server, Netzwerkkomponenten PaaS (Platform-as-a-Service => Zugriff auf technische Frameworks wie Betriebssysteme, Datenbanken, Middleware SaaS (Software-as-a-Service) => Nutzung von SW-Anwendungen direkt über das Internet - ohne Installation beim Anwender. Unter Betriebs-, Eigentums- und Organisationsaspekten wird zwischen Private Cloud * (für eine geschlossene Nutzergruppe) Public Cloud (für eine große Anzahl verschiedener Nutzer) und Hybrid Cloud (als Kombination aus Private & Public Cloud und traditioneller IT-Umgebung) differenziert. Mag sich der Begriff auch wieder ändern, so sind sich die Experten aus Wirtschaft, Wissenschaft und Politik inzwischen einig: das Konzept des Cloud Computing hat Zukunft und ein großes Entwicklungspotential. Der breite Einsatz von Cloud Computing wird letztlich die Wettbewerbsfähigkeit der deutschen Unternehmen insbesondere des Mittelstands und damit den Wirtschaftsstandort Deutschland stärken. Davon ist das BMWi überzeugt und unterstützt im Rahmen seines Aktionsprogramms Cloud Computing und des Wettbewerbs Trusted Cloud FuE-Aktivitäten zur Entwicklung, Verbreitung und Nutzung von Cloud Computing und Erarbeitung von Lösungsansätzen zur Beseitigung technischer, struktureller, organisatorischer und rechtlicher Hemmnisse, die einem breiten Einsatz von Cloud Computing im Mittelstand und im öffentlichen Sektor derzeit noch entgegenstehen. Die Basistechnologien für Cloud Computing (Virtualisierung, service-orientierte, verteilte SW- Systeme, ) stehen bereit und werden sukzessive weiter ausgebaut. Nun ist das Zusammenspiel verschiedener Disziplinen wie Informatik, Sicherheitstechnik und Rechtswissenschaften gefragt, um auf Anwenderseite auch eine hohe Akzeptanz für die zukunftweisende Technologie zu schaffen und das Vertrauen in sie zu stärken. info@secu-sys.de Web: Seite 3 von 9

4 Sind die derzeit noch existenten Eintrittsbarrieren beseitigt, z.b.: Gewährleistung von Rechtskonformität Gewährleistung von Informationssicherheit (ISMS) = Schutz sensibler Daten vor potenziellen Bedrohungen und realen Gefahren (BSI IT-Grundschutz-Kataloge u.a.) Gewährleistung von Datensicherheit (Migration, Transfer, Vertraulichkeit auch im Multi- Mandanten-Betrieb) Erfüllung der Unternehmens Sicherheitsrichtlinien und gesetzlichen Vorschriften (Compliance) Vermeidung von Kontrollverlust und Abhängigkeiten Erfüllung der Datenschutzanforderungen Integrationsfähigkeit, Kompatibilität, Interoperabilität, Transformation Verfügbarkeit, Performanz und Zuverlässigkeit Vertragssicherheit (Governance-Aspekte, Serviceverfügbarkeit, Kündigung, Unterauftragnehmer ) so können die Nutzer von vielseitigen positiven Cloud - Effekten profitieren: Effizienterer Umgang mit IT Ressourcen und Optimierung der IT-Umgebung Skalierbarkeit bei geänderten Anforderungen: stets ausreichende, passgerechte, also atmende IT-Kapazitäten. Unternehmenswachstum ist möglich ohne Zusatz-Kosten für technologische oder personelle Ressourcen Bedarfsgerechte und flexible Nutzung mit nutzungs- bzw. verbrauchsabhängiger Pay-per-Use Abrechnung, z.b. nach Funktionsumfang, Nutzungsdauer, Anzahl Transaktionen, Anzahl Nutzer Service statt Eigentum Variable Betriebskosten statt fixer Investition und Kapitalbindung Nutzung stets aktueller Anwendungen und Technik Professioneller IT-Betrieb durch Spezialisten keine Bindung eigener personeller Ressourcen Erhöhung der Leistungsfähigkeit, Flexibilität und Qualität der IT-, Geschäfts- und Verwaltungsprozesse Cloud Computing als Katalysator für Unternehmensinnovation, Flexibilität und Agilität Stärkung der Handlungs-, Reaktions- und Innovationsfähigkeit durch beschleunigte Umsetzung von Geschäftsideen, Konzentration auf die Unternehmens - Kernprozesse und -kompetenzen sowie Eröffnung neuer Geschäftsmodelle Wirtschaftliches Potential: attraktive Kostenstrukturen / Kostensenkung Erhöhung der Transparenz der IT-Kosten (prozessbezogene Zuordnung und Bewertung) Höherer Sicherheitsstandard, wenn dieser von geeigneten Anbietern gewährleistet wird Verbesserte Energie- und Umwelteffizienz von IKT - Infrastrukturen und Diensten info@secu-sys.de Web: Seite 4 von 9

5 Die 2 wichtigsten Zielgruppen für Cloud Computing könnten sein der: Mittelstand Besonders kleinen und mittleren Unternehmen eröffnen sich ganz neue Chancen und Perspektiven. Über Cloud Computing können sie nun Dienste in einer Quantität, Qualität und Aktualität nutzen, wie dies bislang nur großen Unternehmen möglich war. Ohne oder nur mit kleiner IT-Abteilung ausgestattet, ist es für sie von großem Vorteil, sich um Betrieb und Wartung der Software nicht kümmern zu müssen. Sie können sich den Aufwand für Ausbildung und Systembetreuung sparen. Öffentlicher Sektor Die Potentiale für den öffentlichen Bereich (insbesondere auf kommunaler und Landes-Ebene) liegen vor allem im Bereich: Schaffung einer homogenen, modularen IKT-Infrastruktur zur Verbesserung der Verwaltungsprozesse innerhalb und zwischen staatlichen, kommunalen und sonstigen behördlichen Institutionen. Erleichterung der Bündelung und Wiederverwendbarkeit IT-gestützter administrativer Verfahren an verschiedenen Stellen Verbesserung der Effizienz in Verwaltungsbereichen, in denen große Datenmengen verarbeitet oder Transaktions-Prozesse mit einer Vielzahl von Nutzern verwaltet werden müssen Verbesserung der Service-Orientierung und Innovationsfähigkeit * Private Cloud Die Private Cloud ist mit dem unternehmensinternen Intranet vergleichbar. Bei ihr ist der Zugriff beschränkt auf Mitarbeiter des Unternehmens sowie z.b. autorisierte Partner, Kunden und Lieferanten. Dies ermöglicht eine effiziente, standardisierte und sichere IT-Betriebsumgebung, die eine individuelle, auf die Geschäftsprozesse des Unternehmens zugeschnittene Anpassung erlaubt. In der Private Cloud bleibt die Kontrolle über die Daten beim Nutzer bzw. innerhalb der betreibenden Organisation. Sie bietet optimalen Schutz für sensible Daten und vereinfacht die Einhaltung regulatorischer Maßnahmen (z.b. bei personenbezogener Daten). ism bietet Sicherheitslösungen wie bi-cube IPM und bi-cube SSO aus der Private Cloud als bi-cube anywhere info@secu-sys.de Web: Seite 5 von 9

6 2 SaaS (Software-as-a-Service) SaaS (Software as a Service) ist ein Teilbereich des Cloud Computings. Das SaaS-Modell basiert auf dem Grundsatz, dass die Software und die IT-Infrastruktur bei einem externen IT - Dienstleister betrieben und vom Kunden als Service genutzt werden. Für die Nutzung wird ausschließlich ein internetfähiger PC sowie die Internetanbindung an den externen IT - Dienstleister benötigt. Der Zugriff auf die Software wird über einen Web-Browser realisiert. Für die Nutzung und den Betrieb zahlt der Servicenehmer eine nutzungsabhängige (meist pro Benutzer und pro Monat) Gebühr. Durch das SaaS-Modell werden dem Servicenehmer die Anschaffungs- und Betriebskosten teilweise erspart. Die Grundidee von SaaS ähnelt sehr stark einem Energieversorgungsunternehmen. Der Kunde bezieht seinen Strom nach Bedarf über die Steckdose. Dabei verwaltet der Kunde keine eigenen Stromaggregate im Hinterhof, sondern der Energielieferant übernimmt die notwendige Arbeit für die Stromerzeugung. Der Kunde nutzt ausschließlich den Strom und bezahlt hierfür eine nutzungsabhängige Gebühr. Übertragen auf das SaaS-Modell heißt dies: Der Servicegeber stellt die betriebswirtschaftliche Software (z.b. ein ERP-System) in einem Rechenzentrum bereit, betreibt dieses und leistet technische Unterstützung. Er übernimmt alle notwendigen Komponenten eines Rechenzentrums: Netzwerke, Speicher, Datenbanken, Anwendungsserver, Webserver sowie Desaster-Recovery- und Backup-Services. Außerdem werden weitere operative Dienstleistungen wie Authentifizierung, Verfügbarkeit, Identitätsmanagement, Fertigungssteuerung, Patchverwaltung, Aktivitätsüberwachung, Softwareupgrades und Anpassungen durchgeführt. Zu diesem Zweck wird die gesamte IT-Infrastruktur, einschließlich aller administrativen Aufgaben, ausgelagert, und der Servicenehmer kann sich auf sein Kerngeschäft konzentrieren. Beim traditionellen Lizenzmodell hingegen kauft der Kunde die Software und erhält somit die Lizenz sowie das Recht zur Nutzung der Software. Der Anbieter stellt dem Kunden ein Installationspaket zur Verfügung. Für die Installation wird eine komplette IT-Infrastruktur (Hardware, Betriebssystem, Datenbank etc.) benötigt. Nach erfolgreicher Installation wird die Software entsprechend der Geschäftsanforderungen konfiguriert. Mit dem Abschluss der Softwareeinführung übernimmt das Unternehmen den kompletten Betrieb der IT-Infrastruktur und den dazugehörigen IT-Aufgaben. Der Lizenzkauf ist meist auch mit einem Wartungsvertrag verbunden, der die Installation neuer Releases und die Behebung von Software-Fehlern beinhaltet. Quelle: Wikipedia info@secu-sys.de Web: Seite 6 von 9

7 3 Security und Cloud - ein Widerspruch in sich? Die Chancen des Cloud Modells sind offenkundig. Halten sich Unternehmen gegenwärtig mit dem Einsatz von Cloud Computing und Software als Service noch zurück, so liegt der Grund dafür in erster Linie in ihrer Sorge um die Sicherheit ihrer Daten. Natürlich ist ein geschlossenes, abgeschottetes Firmen-Netzwerk in punkto Sicherheit kaum zu übertreffen. Wer aber entsprechende Schutzmaßnahmen ergreift, die auf die speziellen Risiken in Cloud-Umgebungen zugeschnitten sind und seine Cloud Services von Anbietern bezieht, die sich auf Sicherheitsthemen spezialisiert und ein adäquates Sicherheitsmanagement installiert haben, kann einen Sicherheits - Level erreichen, den die meisten Unternehmen eigenständig so nicht erzielen und dauerhaft aufrecht erhalten können. Die grundsätzlichen Anforderungen an Compliance, Informationssicherheit und Datenschutz haben sich durch Cloud Computing ja nicht verändert, müssen aber in Cloud-Infrastrukturen anders gemanagt werden. Es geht also darum, die Unterschiede zur Inhouse - IT und die neuen Risiken im Cloud - Umfeld zu identifizieren, analysieren und dann zu reduzieren bzw. eliminieren, d.h.: Es ist eine SaaS - spezifische, konsistente Sicherheitsarchitektur zu schaffen. Dadurch kann sich Security vom Cloud - Bremser sogar zum Cloud - Enabler entwickeln Abgesehen davon, dass die Unternehmen natürlich primär ein großes Eigeninteresse daran haben, ihre sensiblen Unternehmensdaten in der Cloud vor unberechtigtem Zugriff zu schützen, so bleiben sie bei der Auslagerung, Verarbeitung und Speicherung ihrer Daten durch Dritte außerhalb des Firmen-Netzwerks auch weiterhin für die Corporate Governance (=> Überwachung der ordnungsgemäßen Unternehmensführung), Compliance (=> Regelkonformität) als auch die Einhaltung der Datenschutzbestimmungen ( 11 BDSG Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag) verantwortlich. Ein wesentlicher Baustein und Garant für die Durchsetzung und Einhaltung von Gesetzen, Richtlinien und unternehmensspezifischen Sicherheitsvorschriften, egal ob nun im Firmen-Netz oder in der Cloud, ist der Einsatz einer leistungsfähigen Security Softwarelösung für das Identity, Authorization und Access Management, Provisioning, starke Authentifizierung, Passwortmanagement und Single Sign-On. Mit diesem Werkzeug weiß der Anwender jederzeit, wer, wann, warum, welchen Zugang zu welchen Anwendungen besitzt und wer ihm dies genehmigt hat. Ein doppelt positiver Effekt wird erzielt, wenn auch diese wichtigen IdM - Funktionen in Form von Cloud-Services einfach integriert, eingesetzt und verwaltet, also on demand genutzt werden können! Fazit: Werden die nötigen Voraussetzungen geschaffen (SaaS-spezifische Schutzmaßnahmen, SaaSspezifisches Sicherheitskonzept, Sicherheitsmanagement und gesicherte Umgebung beim Service Provider und Einsatz eines leistungsfähigen Identity Management Tools mit intelligentem Business Layer (Organisations-, Rollen- und Prozess Management), dann können Kleine und mittlere Firmen ihre IT-Sicherheit mit SaaS sogar verbessern! info@secu-sys.de Web: Seite 7 von 9

8 4 Security Business Intelligence by ism Security Business Intelligence ist seit vielen Jahren zentrale Aufgabe des ism Das anerkannt hohe Sicherheitsniveau der bi-cube On-Premise-Lösungen muß nun gleichermaßen für die Cloud Welt gelten. Daraus ergeben sich neue Herausforderungen: das bestehende ausgereifte Sicherheitskonzept muss an die veränderten Umweltbedingungen angepasst werden. Was bedeutet für uns Sicherheit und wie werden Sicherheitsrisiken in bi-cube verhindert? Ein mehrdimensionalen Sicherheitskonzept umfasst viele verschiedene technische und organisatorische Komponenten wie das RisCon Prinzip, die Eigensicherheit des Systems, die Sicherheitsarchitektur bei Web Services, das Verfahren des gesicherten Betriebskonzepts, gesicherte Authentifizierung, Separation of Duties, ein ausgereiftes (Fach-) Rollen- und Prozessmodell, umfassendes Compliance Monitoring und Reporting, SoD (Separation of Duties) und ein IKS (Internes Kontroll-System), ein durchgängiges Datenschutzkonzept anhand der Security Classification, Schutz vor Datendiebstahl (Datenverschlüsselung und -segmentierung, Zugriffschutz), sichere Kommunikationskanäle (auch bidirektional), gesicherter Filetransfer und andere. Lesen Sie hier mehr Konzept.pdf 5 bi-cube Identity Management - as - a - Service Was wir anbieten Im Ergebnis unseres FuE Projekts IdM als SaaS Lösung aus der Cloud sind unsere Security Softwarelösungen bi-cube IPM und bi-cube SSO sowie zahlreiche Zusatzfunktionen künftig neben den bewährten On-Premise-Varianten auch als Services on demand aus der Private Cloud (bi-cube anywhere) verfügbar. Als Service-Provider fungieren dabei das ism und zertifizierte Partner des ism. Interessiert Sie der fachliche Lösungsansatz? Die spezifische Systemarchitektur mit dem für IdM charakteristischen geteilten Betrieb? Die besonderee Sicherheitsarchitektur? Oder das mögliche Leistungsspektrum und Abrechnungsmodell? Dann erhalten Sie hier mehr Informationen: info@secu-sys.de Web: Seite 8 von 9

9 Was Sie bekommen Starke IdM Funktionalitäten ohne Bindung von Kapital und personellen Ressourcen Einsparung von Lizenzkosten durch nutzungsbasierte Abrechnung Dynamische Erweiterung des Produkt- und Serviceangebots Geringerer Support- und Administrationsaufwand Implementierung, Integration, fachliche Begleitung und Betreuung durch IdM Experten Langjährige Erfahrung im Bereich Security, Software-Entwicklung, Projektmanagement Nachvollziehbarkeit, Transparenz und Verlässlichkeit Sichere Verarbeitung und Speicherung Ihrer Daten in geschützter Umgebung Suche nach Pilotkunden Theorie ist gut Praxis ist besser. Für die Erprobung und Weiterentwicklung der neuen Technologie, Services und des neuen Geschäftsmodells soll nun unter Einbeziehung von Anwendern ein ganzheitliches Lösungskonzept für Identity & Access Management als Saas-Anwendung erarbeitet werden. Für Referenz - Implementationen und Best-Practice-Beispiele sucht das ism Pilotkunden in Wirtschaft und öffentlichem Sektor. Die Kooperationsbereitschaft wird vom ism mit einem attraktiven Einführungsbonus belohnt. Bitte nehmen Sie bei Interesse Kontakt mit uns auf. Wir freuen uns auf Ihren Anruf! info@secu-sys.de Web: Seite 9 von 9