Infrastrukturcheck. Methode zur Analyse und Beurteilung der Leistungs- und Zukunftsfähigkeit der Unternehmens-IT. September 2013.

Transkript

1 Infrastrukturcheck Methode zur Analyse und Beurteilung der Leistungs- und Zukunftsfähigkeit der Unternehmens-IT September 2013 Tim Kohnen

2 Agenda 1. Gegenstand des Infrastrukturchecks 2. Ziele des Infrastrukturchecks 3. Festlegung des unternehmensspezifischen Bewertungsmaßstabs (Soll-Maßstab) 4. Festlegung der einzubeziehenden Verfahren und Systeme 5. Durchführung der Ist-Aufnahme 6. Beispiele für Feststellungen einer Ist-Aufnahme 7. Risikoklassifizierung 8. Maßnahmenempfehlungen 9. Diskussion und Fragen 2

4 1. Gegenstand des Infrastrukturchecks Der Infrastrukturcheck ist, ganz im Sinne der "Due Diligence", eine Untersuchung der wesentlichen Systeme und Verfahren mit gebotener Sorgfalt. Im Regelfall erfolgt daher eine Beschränkung auf das Vorhandensein oder die Abwesenheit wesentlicher Risiken. Die Definition dazu, was im Rahmen des Infrastrukturchecks als "wesentliches Risiko" gelten soll, wird durch den Anlass, aus dem die Due Diligence durchgeführt wird, vorgegeben. 4

6 2. Ziele des Infrastrukturchecks Untersuchung der IT-Infrastruktur auf Schwachstellen in den Betriebsprozessen zur Identifikation und Priorisierung eventuellen Handlungsbedarfs Einschätzung des erreichten organisatorischen und technischen Standes der IT-Systeme Identifikation von Möglichkeiten zur Kompensation von Risiken Identifikation von Möglichkeiten zur Weiterentwicklung und Optimierung der IT- Systeme Identifikation von Möglichkeiten zur Re-Zentralisierung der IT an einem Standort 6

8 3. Festlegung des unternehmensspezifischen Bewertungsmaßstabs Der anzuwendende, unternehmensspezifische Bewertungsmaßstab ist idealerweise der IT-Strategie des Unternehmens zu entnehmen. Die IT-Strategie sollte auf die Unternehmensstrategie abgestimmt sein und entsprechend von der Unternehmensleitung beschlossen sein. In vielen Fällen liegt eine geeignete, aktuelle und hinreichend ausgeprägte IT- Strategie nicht (in schriftlicher Form) vor. Daher wird häufig der unternehmensspezifische Bewertungsmaßstab hilfsweise im Rahmen der Infrastrukturanalyse gemeinsam mit der Unternehmensleitung festgelegt. Hierbei wird zwischen quantitativen und qualitativen Bewertungskriterien unterschieden. 8

9 3. Festlegung des unternehmensspezifischen Bewertungsmaßstabs Beispiele für quantitative Bewertungskriterien: Zu welchen Zeiten müssen Verfahren verfügbar sein Wie lange dürfen Verfahren bei einer Störung ausfallen Wie kritisch/schützenswert sind die Verfahren und die darin gehaltenen Daten Welches Wachstum müssen Systeme und Verfahren abbilden und wie dynamisch wird dieses (voraussichtlich) eintreten Beispiele für qualitative Bewertungskriterien: Template System Requirements Wie kritisch sind die durch IT-Verfahren unterstützten Geschäftsprozesse Ist eine Verlagerung/Auslagerung der Systeme und/oder Verfahren möglich Ist eine Teilung von Systemen und/oder Verfahren möglich Werden Kopfmonopole wirksam vermieden Ist das Wiederanlaufkonzept geeignet, die Unternehmensanforderungen zu erfüllen Können die Wachstumspläne des Unternehmens abgebildet werden 9

10 3. Festlegung des unternehmensspezifischen Bewertungsmaßstabs Beispiel: Ergebnis der Erhebung von Verfügbarkeitsanforderungen Needed Availability System Name 24/7 Exchange Telephone System GFIFAX Mo-Sa 7-20h SAP Corporate Planner MultiCash LMS D3 Cubeware S+P Sharepoint ProjectDB Allowed time-to-repair System Name 1 hour Exchange Telephone System 2 hours LMS 4 hours SAP 1 day Corporate Planner MultiCash D3 S+P GFIFAX Sharepoint 1 month Cubeware ProjectDB 10

11 3. Festlegung des unternehmensspezifischen Bewertungsmaßstabs Beispiel: Verfügbarkeitsmatrix Business criticality classification: top, very high, high, medium, low 24/7 GFIFAX Exchange Telephone System Needed availability Cubeware ProjectDB Corporate Planner MultiCash D3 S+P Sharepoint SAP LMS Mo-Sa 7-20h 1m 1d 4h 2h Allowed time-to-repair 1h 11

13 4. Festlegung der einzubeziehenden Verfahren und Systeme Anhand der Verfügbarkeitsmatrix können die zu betrachtenden Systeme und Verfahren risikoorientiert identifiziert werden. Die Detailtiefe, in der die Analyse einzelner Systeme und Verfahren durchgeführt wird, sollte angemessen sein und an Gegenstand und Zielsetzung des Infrastrukturchecks ausgerichtet werden. Hierbei sind systembedingte Abhängigkeiten der Verfahren zu beachten. Es ist sicherzustellen, dass alle für den Betrieb eines zu betrachtenden Systems relevanten technischen Systeme einbezogen werden. 13

14 4. Festlegung der einzubeziehenden Verfahren und Systeme Beispiel: Die Betrachtung wurde in dem diesen Beispiel zugrunde liegenden Unternehmen auf folgende Systeme mit der geschäftskritischen Einordung "Top" und "Very high" eingegrenzt: Microsoft Exchange (Top) SAP (Top) LMS (Top) Telephone System (Top) Corporate Planner (Very high) MultiCash (Very high) D3 (Very high) Die verbleibenden 36 Systeme mit den Einordnungen in die Stufen "High", "Medium" und "Low" wurden bei der Betrachtung wunschgemäß nicht berücksichtigt. 14

15 4. Festlegung der einzubeziehenden Verfahren und Systeme Beispiel: Aufgrund der technischen Abhängigkeiten sind zusätzlich folgende technische Systeme zu betrachten: Storage System VMWare Serversysteme VMWare Virtualisierung Domaincontroller Internetanbindung Firewallsysteme SPAM-Filter EDI-Gateway 15

17 5. Durchführung der Ist-Aufnahme Für die Aufnahme der Ist-Situation werden die bestehenden IT-Komponenten hinsichtlich Nutzungsumfang und Ausgestaltung grob ausgewertet. Die Aufnahme erfolgt durch persönliche Gespräche mit den EDV-Verantwortlichen die Besichtigung des Serverraums oder der Rechenzentren Template System Inventory die Auswertung von Unterlagen, wie beispielweise EDV-Handbuch und -Dokumentationen die Auswertung von Vertragskopien Falls erforderlich, werden weitere Informationen von externen EDV- Dienstleistern und/oder durch Systemabfragen aufgenommen. 17

18 5. Durchführung der Ist-Aufnahme Die Ist-Aufnahme wird typischerweise in folgende Bereiche unterteilt: Physische Infrastruktur (Rechenzentrum/Serverräume) Systeme und Dienste (ggf. inkl. Hochverfügbarkeitsmechanismen) Datensicherung und Wiederherstellung Arbeitsplätze (stationär und mobil) Netzwerk und Telefonie Wartungsverträge, Service Level Agreements Organisation Die im Rahmen der Ist-Aufnahme aufgedeckten Abweichungen vom definierten Sollmaßstab werden in Form von Feststellungen und den daraus resultierenden Risiken dokumentiert. 18

20 6. Beispiele für Feststellungen einer Ist-Aufnahme Serverräume FIAG verfügt über nur einen Serverraum, ein Ausweichserverraum ist nicht vorhanden. Es besteht das Risiko, dass bei Ausfall des Serverraums, bspw. durch ein Feuer, die gesamte IT für einen längeren Zeitraum (mehrere Tage bis Wochen) nicht zur Verfügung steht. Systeme und Dienste Das hochverfügbar zu haltende Microsoft Exchange ist auf physischen Systemen ohne Hochverfügbarkeitsmechanismen installiert. Bei Ausfall eines physischen Mailservers besteht das Risiko des Datenverlustes der nach der letzten Sicherung erzeugten Daten (bspw. im Laufe des Tages eingegangene Mails). Weiterhin besteht das Risiko, dass die dann benötigte Wiederherstellungszeit die von FIAG definierte, maximal zulässige Ausfallzeit deutlich überschreitet. 20

21 6. Beispiele für Feststellungen einer Ist-Aufnahme Arbeitsplätze Microsoft Updates werden auskunftsgemäß mit dem Microsoft WSUS verteilt. Updates für nicht Microsoft Produkte werden bei Bedarf manuell durch die FIAG IT installiert. Es besteht das Risiko, dass Sicherheitsupdates für nicht Microsoft Produkte nicht oder nicht zeitnah installiert werden und somit Angriffspunkte für Schadsoftware nicht beseitigt werden. Netzwerk und Telefonie Die Internetanbindung der FIAG erfolgt durch eine 10 Mbit Company Connect Verbindung der XXXkom und eine 2 Mbit Verbindung der XXXnet. Der Aufbau ist für ein Unternehmen der Größenordnung der FIAG grundsätzlich angemessen. Es ist zu hinterfragen, ob bei Ausfall der primären Anbindung die Bandbreite der Backup-Leitung für einen Notbetrieb ausreichend ist und ob ein automatisches Fail-over wirksam implementiert ist. 21

22 6. Beispiele für Feststellungen einer Ist-Aufnahme Beispiel: Übersicht Alter der Serversysteme Serverkäufe pro Jahr Anschaffungsjahr FIAGNORDBW2KFAX FIAGNORDWOM FIAGNORDARC FIAGNORDVM FIAGNORDD3 FIAGNORDCP FIAGNORDWSUS FIAGNORDSAP FIAGNORDPBX FIAGNORDISA4 FIAGNORDEDI FIAGNORDMAN FIAGNORDSUP FIAGNORDSAP2 FIAGNORDLMS FIAGNORDESX2 FIAGNORDMACA FIAGNORDBAK FIAGNORDXFS FIAGNORDESX3 FIAGNORDLMS FIAGNORDSQL FIAGNORDWEB FIAGNORDTRM1 FIAGNORDTRM2 FIAGNORDSQL1 FIAGNORDCOM FIAGNORDESX1 22

23 6. Beispiele für Feststellungen einer Ist-Aufnahme Beispiel: Übersicht über vorhandene reale Systeme Betriebssyste RAM Modell Kaufdatum Ersatzgerät Wartung Name Funktionen Buisiness critically m [GB] HP ProLiant DL380 G Ja FIAGNORDTRM1 2008R2 32 Terminalserver 1 für SAP (Top) HP ProLiant DL380 G Ja FIAGNORDTRM2 2008R2 32 Terminalserver 2 für SAP (Top) HP ProLiant DL380 G Ja FIAGNORDCOM 2008R2 32 Exchange 2010 Top HP ProLiant DL380 G Ja FIAGNORDESX1 2003R2 3,5 ESX Host 1 (Top) HP ProLiant DL380 G Ja Ja (24*7 4h) FIAGNORDARC 2003R2 3,25 Archivserver Very high HP ProLiant DL180 G HP ProLiant DL580 G Ja (24*7 4h) FIAGNORDISA ISA Server (Top) HP ProLiant DL380 G Ja HP ProLiant DL380 G Ja HP ProLiant DL380 G Ja FIAGNORDESX ESX Host 2 (Top) HP ProLiant DL380 G Ja HP ProLiant DL380 G Ja FIAGNORDVM Vsphere (Top) HP ProLiant DL380 G Ja FIAGNORDEDI EDI Gateway (Top) HP ProLiant DL380 G Ja FIAGNORDLMS 2008R2 64 LMS Server Top HP ProLiant DL380 G Ja HP ProLiant DL360 G4P 2006 HP ProLiant DL360 G No Name - HP ProLiant DL360 G4P 2006 Dell PowerEdge R310 - Dell PowerEdge R310 - HP ProLiant DL380 G Ja FIAGNORDD3 45 DMS Server Very high HP ProLiant DL380 G Ja FIAGNORDMAN 45 Manual Server (Very high) HP ProLiant DL380 G Ja FIAGNORDBAK 52 Backup System (Very high) HP ProLiant DL380 G Ja HP ProLiant DL380 G Ja HP ProLiant DL320 G5P 2008 No Name - HP ProLiant DL380 G Ja FIAGNORDCP 2003R2 1 Corporate Planner Very high No Name - Ja (2h) FIAGNORDSUP Windows XP 2 Multicash Very high No Name - Ja (2h) FIAGNORDWSUS Windows XP 2 WSUS Server (Top) 23

24 6. Beispiele für Feststellungen einer Ist-Aufnahme Beispiel: Übersicht Handlungsbedarf reale Systeme Modell Kaufdatum Ersatzgerät Wartung Name Betriebssystem RAM [GB] Funktionen Buisiness critically HP ProLiant DL380 G Ja FIAGNORDTRM1 2008R2 32 Terminalserver 1 für SAP (Top) HP ProLiant DL380 G Ja FIAGNORDTRM2 2008R2 32 Terminalserver 2 für SAP (Top) HP ProLiant DL380 G Ja FIAGNORDCOM 2008R2 32 Exchange 2010 Top HP ProLiant DL380 G Ja FIAGNORDESX1 2003R2 3,5 ESX Host 1 (Top) HP ProLiant DL380 G Ja Ja (24*7 4h) FIAGNORDARC 2003R2 3,25 Archivserver Very high HP ProLiant DL180 G HP ProLiant DL580 G Ja (24*7 4h) FIAGNORDISA ISA Server (Top) HP ProLiant DL380 G Ja HP ProLiant DL380 G Ja HP ProLiant DL380 G Ja FIAGNORDESX ESX Host 2 (Top) HP ProLiant DL380 G Ja HP ProLiant DL380 G Ja FIAGNORDVM Vsphere (Top) HP ProLiant DL380 G Ja FIAGNORDEDI EDI Gateway (Top) HP ProLiant DL380 G Ja FIAGNORDLMS 2008R2 64 LMS Server Top HP ProLiant DL380 G Ja HP ProLiant DL360 G4P 2006 HP ProLiant DL360 G No Name - HP ProLiant DL360 G4P 2006 Dell PowerEdge R310 - Dell PowerEdge R310 - HP ProLiant DL380 G Ja FIAGNORDD3 45 DMS Server Very high HP ProLiant DL380 G Ja FIAGNORDMAN 45 Manual Server (Very high) HP ProLiant DL380 G Ja FIAGNORDBAK 52 Backup System (Very high) HP ProLiant DL380 G Ja HP ProLiant DL380 G Ja HP ProLiant DL320 G5P 2008 No Name - HP ProLiant DL380 G Ja FIAGNORDCP 2003R2 1 Corporate Planner Very high No Name - Ja (2h) FIAGNORDSUP Windows XP 2 Multicash Very high No Name - Ja (2h) FIAGNORDWSUS Windows XP 2 WSUS Server (Top) Austausch oder Upgrade erforderlich oder dringend empfohlen Austausch oder Upgrade mittelfristig empfohlen 24

25 6. Beispiele für Feststellungen einer Ist-Aufnahme Beispiel: 25

26 6. Beispiele für Feststellungen einer Ist-Aufnahme Beispiel: 26

28 7. Risikoklassifizierung Im Rahmen der Ist-Aufnahme ist die vorhandene IT-Infrastruktur mit ihren wesentlichen Charakteristiken aufgenommen worden. Es folgt eine Einschätzung der Eintrittswahrscheinlichkeit von Risiken und der mit dem Eintritt dieser Risiken verbundenen Auswirkungen. Die Einschätzung von Eintrittswahrscheinlichkeit und Auswirkung erfolgt auf Basis des unternehmensspezifischen Bewertungsmaßstabes. Für die Bewertung der Eintrittswahrscheinlichkeit und der Auswirkung von Risiken werden Kategorien verwendet (beispielweise kritisch/sehr hoch, hoch, mittel, gering). Auf dieser Basis wird eine Risk-Impact-Matrix erstellt. Diese kann als Einstieg für die prioritätengesteuerte Abstellung von Risiken bzw. zur Umsetzung von Optimierungspotentialen verwendet werden. In einem Folgeschritt kann der mit der Abstellung von Risiken bzw. zur Umsetzung von Optimierungspotentialen erforderliche Aufwand ermittelt werden. 28

29 7. Risikoklassifizierung Beispiel: sehr hoch Eintrittswahrscheinlichkeit gering Keine Sicherung der PC-Arbeitsplätze Keine Softwareverteilung Kein autom. Failover Proxy gering Kein Monitoring Keine (Anwender-) IT-Richtlinien Kein Betriebshandbuch/Notfallkonzept, keine Notfalltests Serverhardware älter als 2008 Kein Patchmanagement Keine Verwaltungssoftware für mobile Endgeräte Keine Festplattenverschlüsselung Keine Kopplung Lösch-/Klimaanlage Auswirkung des Risikos Keine Redundanz der Linux Firewall und DMZ Switch Keine Redundanz für kritische Systeme Keine Systemsicherungen Keine/nicht adäquate Wartungsverträge Kein Ausweich- Serverraum kritisch

31 8. Maßnahmenempfehlungen Nach Abschluss der Ist-Aufnahme und der Klassifikation der Risiken nach Eintrittswahrscheinlichkeit und Auswirkung werden Maßnahmen zur Kompensation von Risiken und zur Umsetzung von Optimierungspotentialen definiert. Zur Unterstützung der prioritätengesteuerten Abstellung von Risiken bzw. zur Umsetzung von Optimierungspotentialen werden diese Maßnahmen analog zur Risk-Impact-Matrix in zwei Bereiche unterteilt: 1. "Gelber Sektor": Maßnahmen zur Kompensation von Risiken mit sehr hoher Eintrittswahrscheinlichkeit und/oder sehr hoher Auswirkung bei Eintritt 2. "Weißer Sektor": Maßnahmen zur Kompensation von Risiken mit geringerer Eintrittswahrscheinlichkeit und/oder Auswirkung bei Eintritt 31

32 8. Maßnahmenempfehlungen In der Praxis hat sich gezeigt, dass nicht alle zur Risikokompensation empfohlenen Maßnahmen direkt zu Investitionstätigkeit führen müssen. In bestimmten Fällen ist es ausreichend, bereits vorhandene Komponenten in ihrer Konfiguration zu optimieren oder organisatorische Lösungen wirksam zu implementieren, so dass nahezu ausschließlich interner Aufwand anfällt. 32

33 8. Maßnahmenempfehlungen Für eine erste grobe Orientierung hinsichtlich der wirtschaftlichen Auswirkung empfohlener Maßnahmen werden diese in drei Gruppen unterteilt dargestellt: 1. "Organisation": Die Umsetzung dieser Maßnahmen erfordert hauptsächlich interne Ressourcen (beispielsweise zur Definition und Dokumentation von Prozessen, Erstellung von Verfahrensdokumentationen etc.) 2. "Konfiguration": Die Umsetzung dieser Maßnahmen beschränkt sich auf die Modifikation oder Implementierung bereits vorhandener/eingesetzter Technologien und Ressourcen 3. "Investition": Die Umsetzung dieser Maßnahmen erfordert einen Auswahl- und Investitionsprozess Aus technischen und organisatorischen Gründen kann es sinnvoll sein, auch Maßnahmen umzusetzen, die sich im weißen Sektor befinden. 33

34 8. Maßnahmenempfehlungen Beispiele: Gelber Sektor Organisation Systeme und Dienste Einführung eines Ablagesystems zur Sicherstellung, dass erforderliche Notfallinformationen (Ansprechpartner, Telefonnummern, Berechtigungscodes) auch bei Systemstörungen zur Verfügung stehen Gelber Sektor Konfiguration Netzwerk und Telefonie Migration der Webserver mit externem Zugriff aus dem internen Server- LAN in die vorhandene DMZ Systeme und Dienste Zuweisung von vorhandenem und ungenutzten physischen Speicher zu den unterausgestatteten virtuellen Servern 34

35 8. Maßnahmenempfehlungen Beispiele (Fortsetzung): Gelber Sektor Investition Systeme und Dienste Austausch veralteter Hardware und Betriebssysteme Physische Infrastruktur Integration einer Brandfrüherkennung Aufbau eines Ausweichserverraums und geeigneter Spiegelungsmechanismen für kritische Systeme 35

36 8. Maßnahmenempfehlungen Beispiele (Fortsetzung): Weißer Sektor Organisation Datensicherung und Wiederherstellung Durchführung und Auswertung von Notfallübungen, basierend auf dem vorhandenen Notfallhandbuch Arbeitsplätze Aktivierung der lokalen (Windows) Firewall auf allen Endgeräten Weißer Sektor Konfiguration Netzwerk und Telefonie Auflösung der nicht mehr genutzten, komplex vermaschten VPN-Struktur 36

37 9. Diskussion und Fragen Ihre Fragen? FIDES IT Consultants GmbH FIDES IT Consultants GmbH Tim Kohnen Niederlassung Hamburg Contrescarpe 97 Am Kaiserkai Bremen Hamburg Tel / Fax 0421 /