Oracle Cloud Service aus Vertragssicht

Transkript

1

2 Oracle Cloud Service aus Vertragssicht Der andere Blick in die Wolke Matthias Weiss Direktor Mittelstand Technologie Oracle Deutschland B.V. & Co.KG Copyright 2016 Oracle and/or its affiliates. All rights reserved.

3 Agenda Allgemeine Basisinformationen Security Compliance Safe Harbour Die aktuelle Situation ISO, SLA und mehr Exit Strategien Oracle Cloud Spezifika OCM bis Exit

4 Wo stehen wir auf dem Weg in die Cloud? Nutzung von Clouds in deutschen Unternehmen (2014) 44% aller Unternehmen (2011: 28%) 68% der Groß-, 55% der mittelständischen und 41% der kleinen Unternehmen Nach Branchen ITK 71%, Automobilbau 66%, Handel sowie Maschinen-und Anlagenbau je 45% 39% Private Clouds, 16% Public Clouds Private Cloud-Nutzung: SaaS 46%, IaaS 34%, PaaS 29% Public Cloud-Nutzung: SaaS 52%, IaaS 53%, PaaS 28% Nach NSA 83% der Kunden bevorzugen Cloud-Anbieter mit Rechenzentrum in BRD (2012: ~35%) (Quelle: KPMG, Cloud-Monitor 2012 u. 2015)

5 Oracle Platform-as-a-Service Strategie Eine kompatible Hybrid Cloud (Gartner: Bimodale IT) On Premises Gleiche Architektur Gleiche Software Gleiche Skills Oracle Cloud

6 Oracle Platform-as-a-Service Strategie Eine kompatible Hybrid Cloud (Gartner: Bimodale IT)

7 Security Vom Kunden bis zur Cloud -Disk Verschlüsselung Netzwerk Speicherung Isolierung Virtualisierung Dedicated OCM (Oracle Cloud Machine) Zugriff Software VPN Hardware VPN Direct Connect Network Bonding

8 Compliance Viele Aspekte IT-Sicherheitsgesetz Kritische Infrastrukturen und Meldepflicht BDSG (Bundes Datenschutz Gesetz) Richtlinie 95/46/EG (EU Datenschutzrichtlinie) Compliance (Vorteilsbeschaffung, Bestechung, Industrieregularien, etc.) Neu: Technische Compliance (Konsequenz aus VW)

9 Beispiel Compliance Für Betreiber von Webangeboten wie zum Beispiel Online-Shops gelten erhöhte Anforderungen an die technischen und organisatorischen Maßnahmen zum Schutz ihrer Kundendaten und der von ihnen genutzten IT-Systeme. (Quelle: Mit Inkrafttreten des IT-Sicherheitsgesetzes müssen Webseiten-Betreiber technische und organisatorische Maßnahmen nach dem Stand der Technik ergreifen, um sowohl unerlaubte Zugriffe auf ihre technischen Einrichtungen und Daten als auch Störungen zu verhindern. Das BSI stellt oftmals fest, dass auf Webservern veraltete und angreifbare Softwareversionen laufen. Eine grundlegende und wirksame Maßnahme ist daher das regelmäßige und rasche Einspielen von Software- Updates und Sicherheitspatches, die jeder Anbieter eines Telemediendienstes beachten sollte.

10 Kein deutsches Rechenzentrum? Na und! Rechenzentren in anderen EU-Ländern sind Rechenzentren in Deutschland datenschutzrechtlich gleichgestellt Datenschutzrechtlich ist es also unerheblich, wo sich ein Rechenzentrum in der EU befindet Dies folgt aus der Waren- und Dienstleistungsfreiheit in der Europäischen Union Die Dienstleistungsfreiheit ist eine der vier Grundfreiheiten des Europäischen Binnenmarktes Ein Rechenzentrum in Deutschland ist datenschutzrechtlich nicht anders zu behandeln als ein Rechenzentrum in einem anderen Mitgliedsstaat der EU

11 Safe Harbour Die aktuelle Situation

12 Datenschutz & Cloud Was gibt es Neues? EU Datenschutz-Grundverordnung nunmehr beschlossen kommt voraussichtlich 2018 Zertifizierung von Cloud-Diensten (in Vorbereitung) Evtl. schon in 2016 am Markt ( Vorbereitung auf Inkrafttreten der DS-GVO (Art. 39f. DS-GVO)

13 Vertragliche Kernfragen aus Kundensicht Service Levels Regelungen aus Kundensicht hinterfragt SLA überhaupt fix vereinbart? ("es gilt das jeweils aktuelle SLA für das jeweilige Produkt ") Verfügbarkeit des Service ("99,1 Prozent im Quartalsdurchschnitt") Zeitlicher Bezugspunkt akzeptabel (Jahr/ Quartal/ Monat )? Tolerierte Ausfallzeiten konkret berechnen Weihnachtsgeschäft? Sonstige Nutzungsspitzen (Wochenende?)

14 Vertragliche Kernfragen aus Kundensicht Service Levels Rechtsfolgen bei Verletzung der SLAs Sind überhaupt welche geregelt? Vertragsstrafen / Service Credits Zahnloser Tiger bei Verschuldensabhängigkeit Verhältnis zu weitergehendem Schadenersatz? Verhältnis zur Minderung? Kündigungsrecht bei Service-Level-Unterschreitung, etwa: "Verfügbarkeit x-mal um mindestens y % unterschritten in Zeitraum z"

15 Vertragliche Kernfragen aus Kundensicht Service Levels Measuring und Reporting Wer misst die Einhaltung der Service Levels? Mit welchem System? In welchen Intervallen? Sonstige mögliche Service Levels (neben Verfügbarkeit) Leistungsparameter der eigentlichen Software z.b. Rechenzeiten für bestimmte Vorgänge Support Response Times / RepairTimes Datensicherung Back-up Zyklen Security Levels Korrelation zu 9 BDSG

16 Vertragliche Kernfragen Exitmanagement Ziel: Vermeidung eines "Vendor Lock-in" Rückkehr zu Installation auf eigener (physischer/virtueller) Infrastruktur Migration zu anderem Cloud-Anbieter Portabilität & (ausreichend bemessene) Transitionphase: Datenherausgabe in brauchbarem technischem Format entscheidend! Zurückbehaltungsrecht an Daten ausschließen Endgültige Datenlöschung Regelungen in vielen Anbieter-Standardverträgen (noch immer) eher rudimentär

17 Cloud Computing 4 Komponenten zum Erfolg Rechtliche Zulässigkeit (Datenschutz und andere Gesetze) Geprüfte Datensicherheit (ISO / 13) Zugesicherte Verfügbarkeit (Hochverfügbarkeit von 99,xx %) Finanzielle Attraktivität (Gesamtkostenbetrachtung, Migration und Betrieb)

18 Oracle Cloud Spezifika

19 Oracle Cloud Machine Wahlmöglichkeit für die Oracle inhouse Public Cloud (IaaS & PaaS) Oracle Data Center Oracle Cloud Management Identity Content & Process IaaS Data Management PaaS Application Development Integration Business Analytics Ihr Rechenzentrum Oracle Cloud Machine Network Storage Compute Gleiche PaaS und IaaS Software, gleiche Updates wie die Oracle Cloud Oracle Cloud betreibt und liefert as a Service hinter Ihrer Firewall Gleiche kosteneffektive Subscription Preise wie in der Oracle Cloud Entspricht Regularien, Compliance, Rechtsanforderungen und Geschäftsbedürfnissen

20 Die Cloud in Kundenhand Die ideale Lösung OCM (Oracle Cloud Machine) Sicherheitsaspekten Betriebskosten und Know How Flexibilität Schnelligkeit Erweiterbarkeit Neu

21 Oracle Hosting und Delivery Policies (alle Sprachen!!) Oracle Cloud Security Policy Oracle Cloud System Resiliency Policy Oracle Cloud Service Level Objective Policy Oracle Cloud Change Management Policy Oracle Cloud Support Policy Oracle Cloud Suspension and Termination Policy

22 Cloud Einsatzgebiete Eine persönliche Einschätzung Alle Kunden PaaS und ggf. IaaS Development und Test Neue Projekte / Test Projekte mit zeitlicher Begrenzung (z.b. für 7 Monate) Mittelständler SaaS CX Portfolio Sales, Marketing, HCM, Service,...

23 Oracle Cloud Informationen Fazit & Zusammenfassung Services und Datenschutzbestimmungen Deutsche Datenschutzbestimmungen werden eingehalten SaaS in Deutschland incl. Backup (Frankfurt, München) PaaS in der EU incl. Backup (Amsterdam, London) Verschlüsselung immer und überall SLA gemessen pro Monat ab Aktivierung 99,9 % bzw. 99,5% angestrebtes Systemverfügbarkeitsniveau (Abhängigkeit vom Service) ISO Alle Oracle Rechenzentren entsprechen ISO / 13 (keine Zertifizierung) Safe Harbour Seit 12.Juli 2016 in Kraft Beendigung des Cloud Services Daten stehen mindestens 60 Tage zur Verfügung (Abhängigkeit vom Service; bis max. 121 Tage)

24

25