Optimaler Aufbau einer PKI: Inhouse versus Outsourcing

Transkript

1 Optimaler Aufbau einer PKI: Inhouse versus Outsourcing

2 Inhaltsverzeichnis 1 PKI als Schlüsselthema 2 2 Inhouse-PKI versus PKI-Outsourcing 2 3 Bewertung der wesentlichen Faktoren beim Aufbau einer PKI 3 4 Vorteile des PKI-Outsourcing 5 5 Kontakt 6 1

3 1 PKI als Schlüsselthema 92% aller europäischen Unternehmen sehen den Aufbau einer Public Key Infrastructure (PKI) als strategische Notwendigkeit. Dies belegt eine aktuelle Studie der European Electronic Messaging Association (EEMA). 1 64% aller Betriebe setzen demnach bereits heute ein asymmetrisches Verschlüsselungsverfahren zur Absicherung ihrer elektronischen Nachrichten ein. Wer in seinem Unternehmen eine Public Key Infrastructure (PKI) einführen möchte, steht zuerst vor einer grundsätzlichen Entscheidung: Eignet sich für seine Zwecke eine Outsourcing- oder eine Inhouse-Lösung besser? 2 Inhouse-PKI versus PKI-Outsourcing Inhouse-Lösung Beim Aufbau einer eigenen PKI innerhalb des Unternehmens kauft dieses die für die Ausgabe von Zertifikaten benötigte Hard- und Software selbst. Besonders geschulte Mitarbeiter sind für die Gestaltung der unternehmenseigenen Zertifizierungsrichtlinien sowie der Richtlinien zur Ausgabe von Zertifikaten durch das Unternehmen verantwortlich. Dieser Ansatz bietet den Unternehmen i.d.r. eine höchstmögliche Flexibilität, da alle Produktionsmittel ihnen selbst gehören. Diese Vorgehensweise erfordert jedoch einen erheblichen Vorlauf an Zeit sowie einen hohen Einsatz von Personal und Geld für die nötigen Investitionen. Outsourcing-Lösung Bei diesem Ansatz liegt die Zuständigkeit für die Infrastruktur bei einem externen Anbieter, der als Zertifizierungsstelle oder Trustcenter bezeichnet wird und das Hosting der PKI für das Unternehmen übernimmt. Die Zertifizierungsstelle ist für die Festlegung der Richtlinien, das Betreiben der Informationstechnologie (IT) und die Haftung zuständig. Doch dies ist noch nicht alles: Die Wartung, eine eventuelle Erweiterung der PKI und die Zertifizierungsrichtlinienverwaltung liegt ebenfalls beim Trustcenter. Die Kontrolle über die Ausstellung und Verwaltung seiner Zertifikate liegt jedoch in der Hand des Kunden. Beide Varianten bieten Unternehmen spezifische Vorteile. Eine langfristige Betrachtung beider Lösungen zeigt jedoch, dass Outsourcing-Lösungen, auf mehrere Jahre gesehen, deutliche Vorteile im Gegensatz zu Inhouse-Lösungen bieten. Diese Vorteile schlagen sich letztendlich vor allem in drei Faktoren nieder Kosten, Zeit und Qualität. Die einzelnen Ecken dieses magischen Dreiecks können durch Outsourcing verbessert werden. Gerade diesem Punkt muss eine erhöhte Aufmerksamkeit zugesprochen werden: Unternehmen sind in Anbetracht der derzeitigen wirtschaftlichen Situation gezwungen, Geld und Ressourcen effizienter einzusetzen und gleichzeitig die Qualität der Leistungen zu erhöhen. Dadurch hat sich die Grundlage für ein mögliches Outsourcing von einer vormals 1 Studie PKI Usage within User Organisations, April 2004, 2

4 politischen bzw. taktischen Entscheidung hin zu einer strategischen bzw. wirtschaftlichen Überlegung entwickelt. 3 Bewertung der wesentlichen Faktoren beim Aufbau einer PKI Beim Aufbau einer PKI spielen die drei Faktoren Zeit, Kosten und Qualität eine wesentliche Rolle: Zeit Aus der obigen Beschreibung wird deutlich, dass die aufgewendete Zeit für die Planung, den Aufbau und den Betrieb einer Inhouse-PKI eine enorme Bindung der Kapazitäten des eigenen Personals darstellt. Ein Großteil der Zeit wird für administrative Aufgaben wie Personalbereitstellung, Soft- und Hardwareinstallation und -betrieb, Kommunikation, Betriebsausstattungen und andere Dienstleistungen in Verbindung mit der Instandhaltung der Inhouse-PKI benötigt. Auch das höhere Management angefangen von der Personalabteilung über Controlling bis hin zum IT-Management ist stark in den Aufbau eingebunden. Gerade diese Hierarchieebenen sind in wirtschaftlich schwierigen Zeiten mit unternehmenskritischen Aufgaben beschäftigt. Der Großteil dieser Zeit- und Kapitalaufwendungen wird durch eine gezielte Auslagerung des Hostings und Verwaltung der PKI an ein qualifiziertes Trustcenter eingespart. Kosten Die durchschnittlichen jährlichen Kosten für eine interne PKI erscheinen für sich selbst betrachtet meist relativ günstig. Dabei gilt es jedoch zu berücksichtigen, dass die Prozesse und Sicherheitsinfrastrukturen eines spezialisierten, externen Trustcenters meist deutlich höheren Standards entsprechen. Die nachfolgende Aufstellung vermittelt eine Vorstellung davon, welche Voraussetzungen und Bestandteile notwendig sind, um eine PKI zu implementieren, die der eines externen Trustcenters wie beispielsweise strust entspricht. Diese Bestandteile verursachen in verschiedener Hinsicht hohe Kosten: Personalaufwand Ein enormer Personalaufwand fällt schon bei Projektbeginn für die Planung und den Aufbau der PKI-Lösung an. Später folgt dann der Personalbedarf der Registration Authority (RA) und der Certification Authority (CA). Abbildung 1: Bestandteile und Kosten einer Inhouse-PKI Servicekosten Vor und bei dem Aufbau einer PKI besteht ein hoher Beratungsbedarf, der i.d.r. von teueren externen Consultants gedeckt wird. Diese werden 3

5 auch später für Upgrades und Trainings benötigt. Je nach Sicherheitsgrad der Lösung kann zudem ein Sicherheits-Audit von einer unabhängigen Institution notwendig sein. Auch dieser Aufwand ist mit nicht unerheblichen Kosten verbunden. Infrastrukturkosten Hinter den Infrastrukturkosten verbergen sich nicht nur alle Aufwendungen, die für Software (z.b. Cryptographic Service Provider) und für Hardware (z.b. Signing- Server) anfallen, sondern auch die Kosten für die regelmäßig notwendigen Anpassungen oder Upgrades des Systems. Zusätzlich müssen die Raumkosten berücksichtigt werden. Abhängig von den Geschäftsprozessen, die später mit den Zertifikaten abgewickelt werden sollen, ist eine Hochsicherheitsumgebung für die Zertifikatsproduktion notwendig. Technische Schlüsselkomponenten einer CA-Infrastruktur - Netzwerkbetrieb-Kontrollzentrum - Zugangskontrolle (z.b. Fingerabdruck-Scanner) - Security-Monitoring (z.b. Kameras) - Backup-Einrichtungen - Vorkehrungen gegen Feuer - Anlagen für ein konstantes Raumklima (Heizung, Ventilation, Klimaanlage) - Sicherheitspersonal - Telekommunikations- & IT-Einrichtungen (z.b. Telefone, Netzwerk) - Jährliches Audit Aufwendungen für juristische Themen Die Aufwendungen für die Erstellung juristischer Dokumente richtet sich nach der Art der Geschäftsprozesse, für die die Zertifikate verwendet werden sollen. In diesen Papieren werden Policies festgelegt, angefangen bei dem ordnungsgemäßen Umgang mit den Zertifikaten bis hin zu Haftungsregelungen. Diese Haftungsregelungen müssen wohl durchdacht sein, insbesondere wenn die Zertifikate auch in der externen Kommunikation eingesetzt werden sollen. Gesamtbetrachtung Berücksichtigt man zusätzlich die Instandhaltungskosten, die Kosten für die ungenutzte IT-Infrastruktur aufgrund von Ausfallzeiten bzw. fehlenden Back-up- Möglichkeiten, dem Imageverlust bei einer Kompromittierung der PKI sowie weiteren, durch eine Inhouse-Lösung bedingten Kosten, nehmen die finanziellen Risiken beim Aufbau der PKI enorme Dimensionen an. Fazit: Die Kostenstruktur einer Inhouse-Lösung ist mit einem Eisberg vergleichbar, ein Großteil der Aufwendungen ist auf den ersten Blick nicht sichtbar. Die verborgenen Kosten für den internen Betrieb der PKI liegen vor allem im Abbildung 2: Versteckte Kosten einer Inhouse-Lösung 4

6 Bereich der administrativen Aufgaben: Hier werden viele Arbeitsstunden von hoch qualifiziertem Personal für Strategieentscheidungen, Budgetkalkulationen, Personalsuche und -management, die Auswahl von geeigneten Distributoren, Beschaffung und Logistik, sowie das Management aller nicht direkt IT-bezogenen Aspekte der betrieblichen Einrichtung und der PKI aufgewendet. Dies führt zu einem schnellen Anstieg der Kosten, wird jedoch zu Projektbeginn so gut wie nie in der Kalkulation berücksichtigt. Abbildung 3: Kosten und Leistungen Outsourcing-Lösung Im Gegensatz dazu verteilt sich bei einer Outsourcing-Lösung ein Großteil der Kosten auf sehr viele Nutzer der Trustcenter-Leisungen. Lediglich ein Teil der Kosten für das RA- Management sowie für die technische und organisatorische Implementierung der Lösung und das Training fallen noch an. Diese Kosten sind durch definierte Prozesse exakt kalkulierbar. Qualität Die Inkompatibilität von Systemen, die unsachgemäße Administration von Anwendungen und Systemen, personelle Unterbesetzung, unangemessenes Sicherheitsmanagement sowie zahlreiche andere Probleme können die größeren Freiheiten in der Ausgestaltung einer Inhouse-PKI schnell in einen Wettbewerbsnachteil umkehren. Beim Outsourcing der PKI an ein etabliertes Trustcenter wie bspw. strust kann man hingegen davon ausgehen, dass sich die Infrastruktur auf einem deutlich höheren Standard befindet, als bei einer Inhouse-Lösung. Dies wird durch regelmäßige Upgrades des Systems gewährleistet. 4 Vorteile des PKI-Outsourcing Unternehmen, die ihre gesamte Infrastruktur intern entwickeln, setzen sich der Gefahr des Verlustes auf den Geschäftsfokus und des Abflusses der liquiden Mittel aus. Die Einbindung eines kompetenten Trustcenters wie z.b. strust bietet in vielen Fällen zusätzliche Vorteile: v Ermöglicht die Konzentration auf das Kerngeschäft v Geringe Belastung interner Ressourcen v Schneller Aufbau und Einsatz der Lösung v Kein Zwang, Hardware und Software kaufen zu müssen 5

7 v Keine versteckten Ausgaben Kosten und Leistungen werden im Vorfeld exakt definiert v Verlagerung von Pflichten auf den Dienstleister v Volle Kontrolle über die Unternehmens-PKI v Einfache Skalierbarkeit bei Bedarf kann die PKI schnell erweitert werden v Reduzierte Kosten - Kosten für den Aufbau und den Betrieb der Infrastruktur verlagern sich auf viele Outsourcing-Nutzer v Höhere Sicherheit, sowohl technisch als auch innerhalb der Prozesse. v Transparenz Unternehmen sind in der Lage interne und externe Geschäftsbedingungen, Maßzahlen und Daten zu erkennen und daraus Aktivitäten abzuleiten. Die Zusammenhänge zwischen Outsourcing und Wettbewerbsfähigkeit sind offensichtlich, besonders wenn alle Kosten-, Personal- und Know-how-bedingten Aspekte analysiert und bewertet werden, die im Zusammenhang mit der Entwicklung, dem Aufbau sowie dem Betrieb einer internen PKI anfallen. Outsourcing bedeutet nicht, dass ein Unternehmen sich seiner Verantwortung und Aufsichtspflicht über diese kritischen Geschäftsprozesse entziehen kann. Es eröffnet jedoch wertvolle Chancen, die systemtechnischen und kaufmännischen Entscheidungen eines Unternehmens in Einklang zu bringen. Gemeinsam festgelegte Ziele, Kennzahlen und Abläufe helfen sowohl dem Unternehmen als auch dem Outsourcing-Partner, die PKI optimal einzusetzen. Bei entsprechender Planung und Durchführung bedeutet Outsourcing mehr Kontrolle für das Unternehmen bei deutlich geringerem Aufwand. Basis für diesen Effekt sind dedizierte Vereinbarungen, exakt geregelte Service Level Agreements und pflichtbewusstes Handeln sowohl bei beiden Parteien. Outsourcing stellt eine wirkungsvolle Lösung dar, die eigenen personellen und technischen Ressourcen zielgerichtet einzusetzen und die Kosten überschaubar zu halten. Die durch das Outsourcing frei werdenden Ressourcen eröffnen neue Chancen, die eigenen Ziele im Kerngeschäft schneller und besser zu erreichen. 5 Kontakt strust ist das Trustcenter der Sparkassen-Finanzgruppe und deutscher Partner von VeriSign, dem Weltmarktführer auf dem Gebiet Managed PKI. Gerne beraten wir Sie persönlich, wie Sie eine vollwertige PKI nutzen können und dabei durch Outsourcing die hohen Kosten für den Aufbau einer eigenen Lösung sparen. Sie erreichen uns telefonisch unter der kostenlosen Servicenummer / (08 00 / 4 STRUST) per an info@s-trust.de und im Internet unter Deutscher Sparkassen Verlag GmbH. Alle Marken und geschäftlichen Bezeichnungen, insbesondere Logos und Unternehmenskennzeichen, sind Eigentum ihrer jeweiligen Inhaber. 6