Patch- und Änderungsmanagement

Transkript

1 Patch- und Änderungsmanagement Mindestsicherheitsstandard erfordert Change Management Werner Fritsche

2 2

3 Vortragsthemen - Übersicht Patch- und Änderungsmanagement: Mindestsicherheitsstandard erfordert Change Management Herausforderungen Aufgaben / Ziele Umsetzung des Prozesses Change Management im krz 3

4 Herausforderungen unserer Kunden Immer kürzere Änderungszyklen (Kundenwünsche, Innovationen, gesetzlichen Anforderungen) Time to Market Verhältnis von Flexibilität und Stabilität wirtschaftliche und termingerecht Durchführung Minimierung von Risiken und Störungen Antwort proaktiver Change Management Prozess 4

5 BSI IT Grundschutzkatalog: Heimat von Patch- und Änderungsmanagement 5

6 Die IT-Grundschutz-Kataloge sind eine Sammlung von Dokumenten des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI), die der Erkennung und Bekämpfung sicherheitsrelevanter Schwachstellen in IT-Umgebungen (IT Verbund) dienen. Die Sammlung umfasst mit Einleitung und Katalogen über 4000 Seiten und dient als Grundlage zur Zertifizierung des IT-Grundschutzes eines Unternehmens. B 1.14 Patch- und Änderungsmanagement 10. EL Stand

7 IT-Service Management auf Basis von ITIL Service Transition: Heimat von Change Management 7

8 Die IT Infrastructure Library (ITIL) ist eine Sammlung von Best Practices bzw. Good Practices, die eine mögliche Umsetzung eines IT-Service-Managements (ITSM) beschreiben und inzwischen international als De-facto- Standard hierfür gelten Bestehend aus fünf Kernpublikationen: Servicestrategie (engl. Service Strategy SS) Serviceentwurf (engl. Service Design SD) Serviceüberführung (engl. Service Transition ST) Servicebetrieb (engl. Service Operation SO) Kontinuierliche Serviceverbesserung (engl. Continual Service Improvement CSI) 8

9 Aufgaben Change Management Verändernde Eingriffe in Anwendungen, Infrastruktur, Prozessen und Verfahren steuer- und kontrollierbar zu gestalten Sämtliche Veränderungen der produktiven IT-Infrastruktur und Ihrer Komponenten managen und dokumentieren Abfolge der Änderungsschritte planen, umsetzen, kommunizieren Ziele Change Management Kontrollierte, strukturierte, zeitnahe und standardisierte Durchführung von Änderungen geringe Auswirkungen auf den laufenden Betrieb (Sicherung und Schutz der Produktion) 9

10 Projekt krz zur Sicherstellung verlässlicher Serviceerbringung Teilprojekt Change krz zur Entwicklung eines Standards zur Durchführung von Änderungen Vorbereitungsworkshop Change Management mit externer Moderation Workshop Prozessgestaltung Change Management je Abteilung / Geschäftsbereich 1 2 Mitarbeiter Modellierung des Prozesses und Erstellung einer entsprechenden Leitlinie Abbilden des Prozesses im für das gesamte ITSM ausgewählte Tool (HPSM) Tooltraining für alle betroffenen Mitarbeiter Definition eines Change-Kataloges mit Differenzierung nach Normal / Standard Going Live Aufbau eines Berichtswesens mit festgelegten Messzahlen (KPI s) Anbindung des Configuration Managements 10

11 Projekt krz zur Sicherstellung verlässlicher Serviceerbringung Teilprojekt Change krz zur Entwicklung eines Standards zur Durchführung von Änderungen Kundenbedürfnisse effektiv umsetzen Unterstützung zur Sicherstellung verlässliche Serviceerbringung Reibungsloser Betrieb BSI-Grundschutz erfüllen Gesetzliche Vorgaben erfüllen Verbesserte interne Abstimmung Abhängigkeiten kennen, Risiken und Auswirkungen abschätzen und minimieren können In der Lage sein, zu planen Transparenz und Nachvollziehbarkeit von Änderungen 11

12 Was ist ein Change? (Definition BSI) Änderungen an IT-Systemen (neue Applikationen, neue Hardware, neue Netzwerkverbindungen, Modifikationen an der eingesetzten Software, Einspielen von Sicherheitspatches, Aufrüstung der Hardware, usw.) Änderungen in der Aufgabenstellung oder in der Wichtigkeit der Aufgabe für die Institution Änderungen in der Benutzerstruktur (neue, etwa externe oder anonyme, Benutzergruppen) räumliche Änderungen, z. B. nach einem Umzug verändernde Eingriffe in Anwendungen, Infrastruktur, Dokumentationen, Prozesse und Verfahren 12

13 Was ist ein Change? (Definition krz) Eine Änderung ist ein geplanter Prozess des Übergangs von einem definierten Zustand in einen anderen. Beispiele - Änderungen an: Hardware (Rechner, Switch, Speichermedien, etc.) Netzwerkkomponenten (Router, Firewalls, etc.) Hersteller-Software: Einspielen Rel.+Patches Applikationen und Skripte Abläufe Konfigurationen, Parameter Prozessen Berechtigungsstrukturen Haustechnik (Klima, Strom [USV], Kühlung) Umzügen (Raumänderung) Personal (Einstellung, Umsetzung, Entlassung) Verträge 13

14 Change Prozess nach BSI / ITIL 14

15 Changetypen Standard Change (ca. 80%, überwiegend technisch) Vorab bewilligt Wiederkehrend Häufig Geringes Risiko Keine Genehmigung, Freigabe notwendig Ablauf, Prozedere immer identisch Normal Change: (ca. 20%) Das volle Programm Emergency Change: (Anzahl: ) Auslöser: Normal Change, der eine Nachbesserung zur Folge hat Schlanker Normal Change Kein CAB nötig Freigabe nach dem 4-Augen-Prinzip 15

16 16

17 Rollen und Aufgaben im Change krz Change Manager Übergeordnete Funktion Umsetzen BSI-Anforderungen Gesamtkoordination Führen zentraler Terminkalender Prüfen Beraten Einberufen CAB; Vorsitz CAB Qualitätssicherung Berichtswesen anhand von festgelegten Messzahlen (KPI s) 17

18 Rollen und Aufgaben im Change krz Change Koordinator (Verfahrensbetreuer, Systemadministratoren) Erfassen Prüfen und analysieren Planen und informieren Führen, steuern und koordinieren Testen (Funktionalität, fachliche Anforderungen ) Deployment Übernahme in Produktionsbetrieb Prüfen nach Umsetzung der Änderungen (PIR) 18

19 Rollen und Aufgaben im Change krz CAB (Change Advisory Board) Genehmigung und Freigabe von Änderungsanträgen Risikobewertung Mögliche Mitglieder (Abhängig von der Auswirkung) Change Manager (Vorsitz) Change Koordinatoren Abteilungs- / Geschäftsbereichsleiter IT Sicherheitsbeauftragter Service Level Manager (Vertritt Leistungsabnehmer) Notfallbeauftragter Geschäftsführung 19

20 20

21 21

22 22

23 Don`t let Changes manage your work Manage your Changes 23

24 Vielen Dank für Ihre Aufmerksamkeit Werner Fritsche Qualitätsmanagement Kommunales Rechenzentrum Minden-Ravensberg/Lippe Am Lindenhaus Lemgo Tel: 05261/

25 Kunden rundum zufrieden