EINE CLOUD- STRATEGIE ENTWICKELN, DIE KOSTEN UND COMPLIANCE BERÜCKSICHTIGT

Transkript

1 E-Guide EINE CLOUD- STRATEGIE ENTWICKELN, DIE KOSTEN UND COMPLIANCE BERÜCKSICHTIGT SearchCloud Computing

2 V iele Unternehmen gehen davon aus, dass die Cloud günstiger ist, doch ist Kosteneffizienz nicht garantiert. Um von den finanziellen Vorteilen der Cloud zu profitieren, sollten Sie einen Optimierungsplan aufstellen. Darüber hinaus gründet eine Vor-Ort-Governance auf physischer Sicherheit, weshalb eine Migration in die Cloud als Widerspruch zu dieser Strategie erscheinen könnte. In diesem E-Handbuch erfahren Sie, wie Sie Ihre Governance- und Sicherheitsverfahren für die Cloud bewerten, und Ihnen werden vier Schritte zur Kostenoptimierung durch planmäßige Cloud-App-Entwicklung vorgestellt. SEITE 2 VON 16

3 GOVERNANCE-METHODEN NACH EINER CLOUD-MIGRATION NICHT STERBEN LASSEN Interne Prüfer sind fortwährend frustriert, denn jedes Mal, wenn sie Complianceund für eine Anwendung festlegen, wird ihr Modell aufgrund von Änderungen hinfällig. Die Cloud kann eine besondere Quelle für Frustration in Sachen Governance sein, denn durch sie ändern sich die elementarsten Annahmen im IT-Bereich: Meine Geräte laufen hier und werden von mir kontrolliert. Soll gewährleistet sein, dass einen Wechsel in die Cloud überleben, müssen Sie drei Schritte umsetzen: 1. Bewerten, wie stark Sie auf physische Sicherheit und physischen Zugriff setzen 2. Ihre in Bezug auf die Schwächen der Cloud beurteilen 3. Sicherstellen, dass Ihre Governance-Änderungen endgültig sind SEITE 3 VON 16

4 BEWERTUNG IHRER GOVERNANCE- UND SICHERHEITSVERFAHREN Viele Unternehmen setzen auf die Kontrolle ihrer physischen Anlagen, um die kritischen Sicherheits- und Compliance-Strategien zu entwickeln, die die Grundlage der internen Governance bilden. Kein Schutzmechanismus auf Anwendungsebene und keine Verschlüsselungsstrategie kann jedoch den einfachen Diebstahl eines Backup-Bandes oder direkte Eingriffe in Software-Versionen vereiteln. Dagegen verfügen fast alle großen Cloud-Anbieter über sehr spezielle Sicherheits- und Compliance-Zertifizierungen wie zum Beispiel ISO und spezifische Zertifizierungen für Finanzdienstleistungen und das Gesundheitswesen. Ihre Governance-Verfahren cloudfähig zu machen, bedeutet herauszufinden, was Ihr geplanter Anbieter und andere mögliche Mitbewerber anbieten. Es kommt darauf an zu wissen, ob Ihre Governance-Verfahren fragil sind oder nicht die entsprechenden Regelungen enthalten, falls Sie den Anbieter wechseln. Es gibt Unternehmen, die darauf spezialisiert sind, weltweit Compliance-Anforderungen nachzuverfolgen, und sie sind eine gute Ressource für Unternehmen, die alle Bereiche berücksichtigen wollen, in denen sie möglicherweise Risiken ausgesetzt sind. Wenn Sie die Compliance-Strategien Ihres Cloudanbieters kennen, bedeutet das jedoch nicht, dass Sie Fragen der physischen Sicherheit nicht mehr zu erwägen SEITE 4 VON 16

5 brauchen. Sie müssen bei Ihren Governance-Richtlinien einen Wechsel vom Testen interner Abläufe zum Testen der Einhaltung von Bestimmungen durch Ihren Anbieter vollziehen. Hierfür muss er Ihnen entweder regelmäßig vorgeschriebene Zertifizierungen nachweisen, oder Sie führen Audits seiner Abläufe durch (oder geben sie in Auftrag). Werten Sie eine erste Überprüfung der Zertifizierung nicht als Hinweis darauf, dass der Anbieter seine Zertifizierungen auf dem aktuellen Stand hält. BEURTEILUNG DER CLOUD-GOVERNANCE-VERFAHREN FÜR LÖCHER Das nächste Problem, das es anzugehen gilt, ist die Beurteilung Ihrer Governance-Abläufe für cloudspezifische Schwachpunkte. Die meisten Unternehmen setzen IT-Governance durch ihre Application-Lifecycle-Management(ALM)-Prozesse in Verbindung mit speziellen Werkzeugen zur Überwachung und Steuerung von Anwendungen und Infrastruktur um. Eine Migration in die Cloud wirkt sich fast immer auf beide Bereiche aus, sodass sie die Governance ruinieren können, ohne überhaupt gegen Compliance-Bestimmungen zu verstoßen. ALM setzt Compliance durch, indem Abläufe umgesetzt werden, mit denen Anwendungsänderungen und die Integrität der Produktionssysteme validiert werden. Eine Bereitstellung in der Cloud führt neue Variablen ein, wie zum Beispiel die SEITE 5 VON 16

6 Integrität von Rechnerimage und Konfiguration. Die Verfahren für die Überprüfung dieser neuen Variablen mittels Versionskontrolle sind unterschiedlich. Eines der großen Probleme ist sicherzustellen, dass Änderungen an Betriebssystem und Middleware für alle betroffenen Rechnerimages umgesetzt werden was in einem Rechenzentrum möglicherweise automatisch geschieht, in der Cloud aber eigens vorgesehen werden sein muss. Rechnerimages können der Cloud-Governance Probleme bereiten, doch können sie möglicherweise auch nützliche Funktionen an einen Ort bringen, der sonst schwer zu erreichen ist. Jede Anwendung oder Komponente, die mit einem Rechnerimage geladen wird und Informationen über die Anwendung und ihre Umgebung liefert, ist in Wirklichkeit ein Assistent für die Governance, der in einem anderen Rechenzentrum geladen wird. Integriert man Versionstest, Statustest und sogar Leistungstest in das Rechnerimage, kann man es dafür verwenden, Informationen darüber zu liefern, was ausgeführt wird und wie. Der Einsatz von Software-Agent-Technologie zur Prüfung der installierten Bibliotheken von Komponentenversionen ist recht verbreitet, und es lohnt sich, diese Werkzeuge daraufhin zu prüfen, ob sie die aktuell ausgeführten Versionen von Rechnerimages validieren können. Dadurch wird ein Problem bei der Versionskontrolle SEITE 6 VON 16

7 vermieden, das entweder durch Ihre eigenen internen Abläufe verursacht wird etwa weil versäumt wird, ein Rechnerimage mit neuen Middleware-Ausgaben zu aktualisieren, oder durch einen Cloudanbieter, der zu einer Backup-Version zurückgeht oder aufgrund eines Konfigurationsfehlers ein altes Image ausführt. Das letzte neue Governance-Problem der Cloud sind die Cloud-Datendienste. Cloud-Anbieter bieten verschiedene Datenbank-/Datei-/Blockspeicheroptionen an, und natürlich unterliegen in der Cloud gespeicherte Daten nicht den gleichen physischen Sicherheitskontrollen wie vor Ort. Gelegentlich wird die Tatsache übersehen, dass Daten allein aufgrund ihres Speicherortes regulatorischer Aufsicht unterliegen können. Zudem können sich Datenzugriffskontrollen in der Cloud von den Kontrollen vor Ort unterscheiden, weil der Zugriff auf die Cloud über das Internet oder VPNs erfolgt, die gehackt werden können. Je mehr regulatorischer Aufsicht Ihr Unternehmen unterliegt, desto mehr müssen Sie sich Sorgen um Probleme im Zusammenhang mit der Rechtsordnung machen, in der die Daten gespeichert sind. Konsultieren Sie Ihre Governance-Prüfer, erkundigen Sie sich, ob staatliche oder lokale Regelungen bestehen, die möglicherweise für in der Cloud gespeicherte Daten gelten, und bringen Sie in Erfahrung, wo Ihr Cloud-Anbieter Daten speichert. SEITE 7 VON 16

8 DIE CLOUD-GOVERNANCE-STRATEGIE FINALISIEREN Man macht es sich zu leicht, wenn man seine Cloud-Governance-Strategie anbieterspezifisch statt insgesamt cloudfähig gestaltet. Praktisch jeder Cloud-Anbieter wird für verschiedene Anwender unterschiedliche Auswirkungen auf die Governance haben. Achten Sie daher auf Bereiche, in denen die Cloud eine Schwachstelle in Ihre Verfahren einführt, formulieren Sie eine allgemeine Strategie und Richtlinie, um diese Schwachstellen zu beseitigen und spezifizieren Sie die Anwendung Ihrer Strategie für die Anbieter, auf die Sie zurückgreifen. So haben Sie eine allgemeine Cloud- Governance-Strategie als Fundament, und die anbieterspezifischen Elemente sind dann leichter anzupassen. So müssen Sie Ihre Strategie nicht jedes Mal neu entwickeln, wenn Sie einen neuen Cloud-Anbieter oder -Dienst implementieren. SEITE 8 VON 16

9 KNAPPE IT-BUDGETS DURCH DIE OPTIMIERUNG VON CLOUD-KOSTEN VERMEIDEN Die meisten Unternehmen wechseln mit der Erwartung in die Cloud, dass sie dann Geld sparen. Zwar kann die Cloud tatsächlich Kosten senken, doch kommen die Kosteneinsparungen nicht automatisch. Um die Kosteneffizienz der Cloud zu maximieren, müssen Unternehmen ihre IT-Umgebung effizient verwalten, was auch das Abstimmen von Anwendungen auf die Cloud einschließt. Bei der Planung der Cloudkostenoptimierung muss man zuerst die Kosten für den Cloud-Anbieter verstehen. Die Tarifmodelle variieren je nach Anbieter und Cloud-Dienstleistung Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service, man muss daher jeweils das vollständige Tarifmodell berücksichtigen. Cloud-Preise setzen sich aus vier Komponenten zusammen: grundlegende Dienstleistungskosten, Datenbankkosten, Aktivitätskosten und Funktionskosten. Mit der richtigen Kostenoptimierungsplanung kann jeder dieser Faktoren reduziert werden. Grundlegende Preise für Cloud-Dienstleistungen berechnen sich nach SEITE 9 VON 16

10 Benutzerzahl, CPU-Stunden und anderem mehr. IaaS- und PaaS-Tarife beziehen sich auf die Basiskonfiguration. Das erste Ziel der Optimierungsplanung besteht darin, innerhalb der Standardkonfiguration für die Standarddienstleistung zu arbeiten. Da der Cloud-Markt stark umkämpft ist und der beworbene Grundpreis meistens für den Wettbewerbsvergleich verwendet wird, ist er wahrscheinlich auch der günstigste Preis. Anbieter bemessen Datenbankgebühren anhand der Zugriffe der Cloud-Anwendung auf in der Cloud gespeicherte Daten. Diese Gebühren werden allgemein pro Zugriff berechnet, basieren gelegentlich aber auch auf der Gesamtdatenmenge, auf die zugegriffen wurde. Diese Kostenkomponente lässt sich am schwersten optimieren, indem Cloud-Dienstleistungen an sich geändert oder eingestellt werden. Um in den Genuss von Vorteilen bei den Cloud-Kosten zu gelangen, müssen Unternehmen möglicherweise das Anwendungsdesign optimieren. Anbieter bemessen Aktivitätskosten meistens bei IaaS und PaaS für jede in die Cloud-Anwendung eingehende und aus ihr ausgehende Transaktion. Aktivitätstarife unterscheiden sich von Anbieter zu Anbieter, Unternehmen können sich hier also umschauen. Doch um diese Kosten zu minimieren, müssen Unternehmen Anwendungen wahrscheinlich entsprechend entwerfen. SEITE 10 VON 16

11 Von allen Cloud-Kosten sind die Funktionskosten am problematischsten. Die meisten Cloudanbieter, einschließlich der Marktführer, bieten spezielle Cloud-Dienstleistungsmerkmale an. Mit einigen dieser Funktionen sind andere Kostenmodelle als bei den Basisdienstleistungen verbunden, wie zum Beispiel reservierte VM-Instanzen versus Nutzungsmessung. Andere sind spezielle Datenbankfunktionen, Bereitstellungs- und Verwaltungswerkzeuge oder sogar Anbieterfunktionen, um Anwendungen zu verbessern. Pilottests können zeigen, ob sich Verbesserungen der Basisdienstleistung auf die Kosten auswirken. Unternehmen können auch Pilottests mit Datenbank-, Bereitstellungs- und Verwaltungswerkzeugen durchführen, um sicherzustellen, dass diese Kosteneinsparungen bewirken. In fast allen Fällen müssen Anwendungsfunktionen in die zu nutzende Anwendung integriert werden. Darüber hinaus muss das Entwicklungsprojekt eine Kosten-Nutzen-Analyse für die Nutzung dieser Funktionen einschließen. Vier Schritte zur Kostenoptimierung durch planmäßige Cloud-Anwendungsentwicklung Wenn eine Anwendungsentwicklungsplanung für die Optimierung Ihrer Cloud erforderlich ist, gibt es einen einfachen Weg, um das zu bekommen, was Sie SEITE 11 VON 16

12 benötigen. Erstens: Versuchen Sie, die Clouddienstleistung der höchsten Stufe zu nutzen, was bedeutet, PaaS vor IaaS für die Entwicklung auszuwählen. Bei PaaS entfallen Kosten für Softwarelizenzierung und -support, was häufig günstiger ist. Wenn Unternehmen eine PaaS-Plattform wählen, die nicht mit den gegenwärtigen internen IT-Verfahren kompatibel ist, kann die Einarbeitungszeit lang und teuer sein. Die wichtigste Überlegung beim Anwendungsdesign ist, dass PaaS die Middleware-Funktionen beschränkt, die Anwendungen nutzen können. Um zu gewährleisten, dass die PaaS-Software tatsächlich den Anwendungsanforderungen und zumindest auf kurze Sicht potenziell anstehenden Funktionserweiterungen gerecht wird, müssen Unternehmen über eine Entwicklungsüberprüfung verfügen. Zweitens: Beginnen Sie Anwendungsplanungen stets mit Basisdienstleistungen. Organisationen neigen dazu, auf ihr erklärtes Ziel hin zu entwickeln, ob es nun richtig oder falsch ist. Die standardmäßigste Dienstleistung, die Ihre Anforderungen erfüllt, erzielt den günstigsten Cloud-Tarif. Unternehmen müssen es rechtfertigen, wenn sie einen anderen Weg gehen. Basisdienstleistungen bedeuten normalerweise die Messung von CPU-Nutzung, Datenzugriffskosten und Aktivitätskosten also in die Cloud eingehende und SEITE 12 VON 16

13 von ihr abgehende Netzwerknutzung. Gute Datenbankdesignverfahren können die Datenzugriffskosten begrenzen und eine sorgfältige Überarbeitung der Anwendungs-GUI kann die Kosten für die Netzwerknutzung senken. Drittens: Denken Sie über den Nutzen und den Preis von erweiterten Cloud-Funktionen und -werkzeugen in Ihrem Design nach. Wenn Sie zum Beispiel meinen, dass Ihre Anwendung von elastischer Skalierung profitieren könnte, nehmen Sie diese in Ihr Design auf solange die Änderungen nicht Ihr Nutzenmodell ruinieren. Einige erweiterte Cloudfunktionen, wie zum Beispiel DBMS, DevOps und reservierte Instanzen, sind leicht zu bewerten, entweder weil eine Anwendung sie benötigt oder weil sie einen offenkundigen Vorteil bringen. Andere Werkzeuge, wie zum Beispiel Caching, Queuing oder Workflowdienste, ersetzen Funktionen, die Ihre eigene Anwendung bereitstellen könnte, setzen sie aber für die Cloud effizienter um. Wenn diese cloudspezifischen Funktionen nützlich sind, dann lohnt es sich wahrscheinlich, diese Leistungen zu kaufen. Es ist jedoch wichtig, den Nutzen und die Kosten sorgfältig zu prüfen. Viertens: Planen Sie Anwendungen, um die Nutzung spezieller Cloud-Funktionen modular zu gestalten. So können Unternehmen problemlos die Anwendung ändern, um Funktionen einzuführen oder zu eliminieren, je nachdem, wie die SEITE 13 VON 16

14 Kosten-Nutzen-Analyse ausfällt. Viele erweiterte Cloudfunktionen und -werkzeuge ersetzen ähnliche Funktionen, die normalerweise in die Anwendung integriert würden. Während Basis-Cloud-Dienstleistungen sehr wettbewerbsfähig und kompatibel sind, unterscheiden sich diese erweiterten Dienstleistungen von Anbieter zu Anbieter und sind möglicherweise nicht immer verfügbar oder wettbewerbsfähig bepreist. Wenn Unternehmen diese Dienstleistungen nutzen, sollten sie Programme so strukturieren, dass sie diese Dienstleistungen problemlos entfernen können, um sie bei Bedarf gegen interne Implementierungen austauschen zu können. Ein letzter Tipp: Entwickeln Sie die Anwendung nicht derart, dass sie Elastizität, Redundanz oder andere die Cloud aufblähende Funktionsmerkmale benötigt, die Sie niemals nutzen werden. Unternehmen mögen versucht sein, Anwendungen zu entwickeln und Clouddienstleistungen zu kaufen, die skalieren oder Failover unterstützen können. Und wenn das wirklich nötig ist, ist es eine gute Entscheidung. Doch Funktionen, die mehrere Standorte oder eine Skalierung unterstützen, kosten mehr. Sie sollten darauf vorbereitet sein, diese hinzuzufügen, dies jedoch erst tun, wenn sie wirklich nötig sind. Sorgfältige Planung spart auf lange Sicht Geld. SEITE 14 VON 16

15 KOSTENLOSE ONLINE-RESSOURCEN FÜR IT-EXPERTEN TechTarget publiziert qualifizierte Medieninhalte im IT-Bereich, die Ihren Informationsbedarf bei der Suche nach neuen IT-Produkten und Technologien abdeckt, und Ihr Unternehmen somit gezielt in der Strategieentwicklung unterstützt. Es ist unser Ziel, Ihnen durch die Bereitstellung von Online-Ressourcen über die aktuellsten Themen die Kaufentscheidungen für IT-Produkte zu erleichtern und kostengünstiger zu gestalten. Unser Netzwerk an Technologie-Webseiten gibt Ihnen die Möglichkeit, auf eine der weltweit größten Online-Bibliotheken zum Thema IT zuzugreifen, und anhand von unabhängigen Expertenmeinungen und Analysen, sowie auch zahlreichen Whitepapern, Webcasts, Podcasts, Videos, virtuellen Messen und Forschungsberichten zu einer ausgewogenen Kaufentscheidung zu gelangen. Unsere Online-Ressourcen berufen sich auf die umfangreichen Forschungs- und Entwicklungskompetenzen führender Technologieanbieter, und ermöglichen es Ihnen somit, Ihr Unternehmen für künftige Marktentwicklungen und Herausforderungen zu rüsten. Unsere Live-Informationsevents und virtuelle Seminare geben Ihnen die Möglichkeit, Ihre täglichen individuellen Herausforderungen im Bereich IT mit den Experten der Branche zu diskutieren. SEITE 15 VON 16

16 Außerdem können Sie in unserem Social Network, dem IT Knowledge Exchange, praxisnahe Erfahrungsberichte mit Fachkollegen und Experten in Echtzeit austauschen. WAS MACHT TECHTARGET SO EINZIGARTIG? Bei TechTarget steht die Unternehmens-IT im Mittelpunkt. Unsere Autoren und das Redaktions-Team sowie auch unser großes Netzwerk an Industrieexperten bietet Ihnen Zugriff auf die neuesten Entwicklungen und relevantesten Themen der Branche. TechTarget liefert klare und überzeugende Inhalte und umsetzbare Informationen für die Profis und Entscheidungsträger der IT-Branche. Wir nutzen die Schnelligkeit und Unmittelbarkeit des Internets, um Ihnen in realen und virtuellen Kommunikationsräumen hervorragende Networking-Möglichkeiten mit Fachkollegen zu ermöglichen. SEITE 16 VON 16