Managements. Änderungsprozess. Wolfgang Witerzens, Manager 31. Januar 2008 ADVISORY

Transkript

1 Grundlagen des Change Managements Anforderungen und Möglichkeiten für einen sauberen Änderungsprozess Wolfgang Witerzens, Manager 31. Januar 2008 ADVISORY

2 Hauptrisikofaktoren für IT-Sicherheit Patches Passwörter Benutzerzugriff (User Management) Netzwerkdienste / Systemkonfiguration 2

3 Erfahrungen bezüglich Change Management Prozess ist in vielen Unternehmen nicht ausreichend umgesetzt t und effektiv. Prozess nicht definiert, es wird einfach so gemacht und mündlich überliefert. Keine Nachvollziehbarkeit (Prozesseffektivität) Keine Auswertbarkeit (Schwachstellenanalyse) Prozess ist unnötig kompliziert, nicht einheitlich oder wird nicht gelebt Keine vollständige Einbeziehung der vorhandenen Systeme Keine Vollständigkeit Abdeckung aller Änderungen Viele Probleme und Sicherheitsvorfälle haben ihre Ursache in einem unzureichendem Change Management. 3

4 Anforderungen & Standards Standards ISO Standards Allgemeine Standards IDW Prüfungsstandards Inhalte ISO Aufbau und Betrieb eines Information Security Management System (ISMS) ISO (17799) - Code of Practice enthält Best Practice Ansätze, die zur Einführung von Kontrollen bei einem ISMS Control Objectives for Information and related Technology (Cobit) IT Infrastructure Library (ITIL) IDW RS FAIT 1 (GoBS) PS 330 Abschlussprüfung bei Einsatz von Informationstechnologie PS 880 Erteilung und Verwendung von Softwarebescheinigungen Die Pflicht zur Umsetzung der Standards d ergibt sich aus dem Verweis aus den Gesetzen (z.b. HGB, SOX, etc.) 4

5 Aufgaben des Change Management Management von Änderungsanfragen, d. h. von Requests for Change (RfC). Festlegung von Prioritäten für die Bearbeitung von Requests for Change. Analyse der Auswirkungen von Änderungen Autorisierung i von Änderungen Planung von Änderungen Festlegung von Backout-Verfahren, falls Änderungen fehlschlagen Überwachung von Realisierung, Test und Implementierung von Änderungen Review von Änderungen 5

6 Change Management innerhalb von ITIL v2 6

7 Bedeutung von Change Management Service Support nach ITIL v2 Unternehmen Incident Management Störungen Service Desk Anfragen Kunden Benutzer Problem Management Change Management Release Management Releases Configuration Management Störungen Probleme Bekannte Fehler Änderungen Beziehungen Configuration Management Database 7

8 Kategorisierung und Priorisierung von Änderungen Kategorisierung Überschrift Standard Minor Significantg Major Die Kategorien beschreiben die potentielle Auswirkung (Risiko) auf den Betrieb des Services Priorisierung Überschrift Niedrig Mittel Hoch Dringend Die Priorität ität zeigt die Bedeutung und Dringlichkeit des Changes für die Behebung 8

9 Exemplarischer Change Management Prozess RFC Änderungs Antrag Change Management nach ITIL v2 Release Management nach ITIL v2 Erstellen, Testen, Implementieren Erfassung, Vorabbewertung, Akzeptieren Dringlichkeit festlegen Klassifizieren Planen Freigeben Genehmigen PIR Emergency Commitee CAB Change Advisory Board Configuration Management Database 9

10 Testfragen für ein Selfassessment Sind alle Änderungen Nachvollziehbar? Werden alle Systeme durch den Prozess abgedeckt? Ist der Prozess nachvollziehbar hb und einheitlich? itli h? Wird der Prozess gelebt wie er dokumentiert ist? Kann ich herausfinden auf welchem Patchlevel l meine Systeme sind? 10

11 Herzlichen Dank für Ihre Aufmerksamkeit 11

12 Kontakt: Wolfgang g Witerzens KPMG +49 (69) wwiterzens@kpmg.com Die enthaltenen Informationen sind allgemeiner Natur und nicht auf die spezielle Situation einer Einzelperson oder einer juristischen Person ausgerichtet. Obwohl wir uns bemühen, zuverlässige und aktuelle Informationen zu liefern, können wir nicht garantieren, dass diese Informationen so zutreffend sind wie zum Zeitpunkt ihres Eingangs oder dass sie auch in Zukunft so zutreffend sein werden. Niemand sollte auf Grund dieser Informationen handeln ohne geeigneten fachlichen Rat und ohne gründliche Analyse der betreffenden Situation KPMG Deutsche Treuhand-Gesellschaft Aktiengesellschaft Wirtschaftsprüfungsgesellschaft, deutsches Mitgliedsunternehmen von KPMG International, einer Genossenschaft schweizerischen Rechts. Alle Rechte vorbehalten. KPMG und das KPMG-Logo sind eingetragene Markenzeichen von KPMG International. 12