Vitako-Positionspapier. Checkliste «Lizenzaudit»

Transkript

1 Vitak-Psitinspapier Checkliste «Lizenzaudit» Ansprechpartner: Danny Pannicke Referent für Infrmatinsmanagement, Vitak-Geschäftsstelle, Stand: Dezember 2013

2 Inhalt BEGRIFFSBESTIMMUNG... 3 HANDLUNGSBEDARF... 3 CHECKLISTE LIZENZAUDIT... 4

3 Begriffsbestimmung Mit Lizenzmanagement wird allgemein ein Przess in Unternehmen bezeichnet, der den legalen und effizienten Umgang mit Sftware-Lizenzen sicherstellt. Zentrale Aspekte des Lizenzmanagements sind die Bedarfsermittlung, die Prüfung und Aushandlung vn Lizenzbedingungen bei der Beschaffung, die nachvllziehbare Inbetriebnahme lizenzierter Sftware, die laufende Überwachung im Hinblick auf Über- und Unter- Lizenzierung swie die Ausmusterung und Abgabe vn nicht mehr gebrauchten Lizenzen. Handlungsbedarf Bei einem öffentlichen IT-Dienstleister sind typischerweise eine Vielzahl vn Sftwarelizenzen für den Betriebsablauf ntwendig. Die unterschiedlichen Lizenztypen und -mdelle swie die spezifischen Lizenzbedingungen führen dabei zu einer erheblichen Kmplexität. Besnders mit der Einführung der Servervirtualisierung hat sich die Kmplexität des Lizenzmanagements nchmals erhöht, da bereits einfache Verlagerungen virtueller Server lizenzrechtlich relevant sein können. Die Auskünfte und Beratungen vn Vertriebspartnern der Sftware-Hersteller ersparen in der Regel nicht eine ksten- und zeitintensive eigene Prüfung der kmplexen Verträge. Die Sftware-Anbieter behalten sich in den marktüblichen Lizenzverträgen das Recht vr, die rdnungsgemäße Lizenzierung der verkauften Sftwareprdukte vr Ort zu überprüfen. Bei vielen Mitgliedern vn Vitak haben in diesem Zusammenhang bereits Lizenzaudits verschiedener Hersteller stattgefunden. Wird bei einem slchen Audit eine Unter-Lizenzierungen festgestellt, s führt dies in der Regel zu Nachfrderungen durch den Hersteller. Auf diese Weise können sich für einen IT-Dienstleister hhe und vr allem ungeplante Ausgaben ergeben. Die einzige Möglichkeit, sich vr derartigen Vertragsstrafen zu schützen, besteht im Aufbau eines leistungsfähigen Lizenzmanagements, das jederzeit in der Lage ist, die erwrbenen und in Betrieb befindlichen Sftwarelizenzen krrekt gegenüberzustellen und zu bilanzieren. Selbst wenn ein derart ausgereiftes Lizenzmanagement im Unternehmen institutinalisiert ist, bedarf ein angemeldetes Lizenzaudit einer besnderen und weitergehenden Vrbereitung. Die Checkliste Lizenzaudit sll helfen, diese ntwendigen Vrbereitungen zu treffen und das Audit ptimal durchzuführen. 3

4 Checkliste Lizenzaudit Zeitpunkt Bei der Vertragsgestaltung Aktin Spezifische Audit-Klauseln des Herstellers prüfen und nach Möglichkeit verhandeln Spezifische Lizenzbedingungen beachten (zum Beispiel innerhalb eines Zeitraums schwankende Lizenzanzahl) Anpassungen der Lizenzbedingungen beachten Nach Möglichkeit sllten Vertragsstrafen bei Lizenzverletzungen im Vertrag fixiert werden Bei Kntaktaufnahme des Herstellers Anlass der Auditprüfung hinterfragen (Berechtigter Verdacht auf Unterlizenzierung muss bestehen! Diesen sllte man sich begründen lassen) Zweifelhafte Vrschläge des Herstellers, etwa zur Durchführung eines Sftware Asset Management Prjekts durch ein assziiertes Beratungsunternehmen, sllten ebenfalls kritisch hinterfragt werden Vrbereitung auf die Aushandlung der Auditbedingungen Prüfung der Auditbedingungen durch Analyse der zugrunde liegenden Lizenzverträge (welche Audit-Klauseln sind relevant?) Was ist vrzuhalten? Insbesndere: was ist der akzeptierte Lizenznachweis (Handbücher, Packungen, Hlgramme, Rechnungen, Liefernachweise etc.) Überprüfung bzw. Abgleich der Lizenzinfrmatinen im eigenen Haus mit den Infrmatinen des Herstellers (zum Beispiel über entsprechende Kundenprtale des Sftware-Anbieters) Planung des zeitlichen Hriznts, um das Audit entsprechend vrzubereiten 4

5 Zeitpunkt Aushandlung der Auditbedingungen mit den Auditren Aktin Wer wird genau namentlich die Prüfung durchführen und ist Ansprechpartner? Mit wem erflgt der Datenaustausch? Hier ist idealerweise eine 1:1 Zurdnung festzulegen, um einen definierten Ansprechpartner für den gesamten Przess zu haben! Zeitraum der Prüfung (Zugangszeiten und Dauer der Prüfung) (Hier kann es sinnvll sein, eine Verzögerung aufgrund betrieblicher Gründe geltend zu machen, um das Audit im eigenen Haus gründlich vrzubereiten!) Genauen Umfang der Prüfung klären und möglichst gering halten: welche Entitäten werden genau durch die Prüfung betrffen sein? (Scpe: Arbeitsplätze, Server etc.) Was ist das anerkannte Ergebnis der Auditprüfung? Ist eine Freigabe des Ergebnisses durch den Hersteller ntwendig? Welche Tchterfirmen und Kunden werden betrffen sein? Welcher Stichtag für den Lizenzbestand wird zugrunde gelegt? Gibt es Möglichkeiten, Einfluss auf die Auswahl der Auditren zu nehmen? (zum Beispiel eine Prüf-Gesellschaft, zu der bereits Kntakte bestehen) Klärung des Aufwands (wer zahlt für das Audit?) In der Regel wird versucht, die Ksten auf den Lizenznehmer zu überwälzen, zum Teil indirekt über entsprechende Beratungsprjekte, die zur Durchführung empfhlen werden Klärung der Haftung für mögliche Schäden, die durch das Audit entstehen Grundsätzliche Klärung des Prüf-Przesses mit den Prüfern: wie wird das Audit im Detail ablaufen? Beschreibung des Audit-Przesses Wer ist intern verantwrtlich für die Organisatin des Auditprzesses? Nach Klärung dieser Rlle sllte idealerweise eine Art Drehbuch aller relevanten Infrmatinen für den Audit-Przess erstellt werden. Hierbei sind unter anderem flgende Aspekte zu berücksichtigen: Ermittlung der für das Audit ntwendigen Daten und Lizenz-Infrmatinen Welche Prüf-Sftware wird eingesetzt und welche administrativen Rechte auf den zu prüfenden Sys- 5

6 Zeitpunkt Aktin temen sind dazu erfrderlich? Ist eine Prüfung der Sft- und Hardware der Auditren auf Schadsftware ntwendig? Erfrdernis vn Netzwerkzugängen/- beschränkungen Festlegung der Annymisierung der Daten (zum Beispiel Kundendaten) Internes Test- Audit vrab durchführen Abgleich der technischen Installatinsdaten mit dem kaufmännischen Bestand (Anlagevermögen) Bereitstellung und Prüfung vn Lizenzüberwachungstabellen im Haus, auf die der Sftware-Hersteller/Auditr ein Herausgabe- der Einsichtsrecht hat (unter Umständen sind Hilfstls zur Interpretatin der entsprechenden Daten ntwendig) Durchführung eines autmatischen Testlaufs, sweit entsprechende Tls vrhanden sind (Tivli Licence Manager und ähnliche) Wie ist die spezifische Lizenzmetrik zu lesen? Hier sllte man bei kmplizierten Metriken nchmals kritisch hinterfragen, b die Metrik vllständig verstanden wrden ist. Unter Umständen ist es sinnvll, hierfür unabhängige Beratung in Anspruch zu nehmen. Spezielles Augenmerk sllte auf die Prüfung der Virtualisierungsinfrastruktur gelegt werden: die Verteilung / Rerganisatin virtueller Server kann relevant für die Lizenzmetrik sein Knslidierung der Lizenznutzung: w wird die Sftware nicht mehr genutzt, ist aber nch installiert? Eigene Abschätzung einer Unter- der Überlizenzierung durchführen Je nach Vlumen und Kmplexität: Hinzuziehen eines externen Beraters bzw. auf Sftware-Lizenzen spezialisierten Rechtsanwalts Festlegung der Verhandlungsstrategie für den Umgang mit einer Unter-Lizenzierung nach dem Audit Eventuell vrhandene Schwankungsmöglichkeiten ausschöpfen 6

7 Zeitpunkt Vr der Durchführung des Audits Aktin Nachkaufen Macht es Sinn, technische Veränderungen vrzunehmen, um die Lizenzprblematik zu lösen? (zum Beispiel Prjekte vrziehen, Außer-Dienst-stellen vn Infrastruktur) Vrbereitung vn Nn-Disclsure-Agreements / Datenschutz-Vereinbarungen mit den Auditren Einhaltung der geltenden Datenschutzgesetze sicherstellen (zum Beispiel Datenschutzverpflichtung nach Bundes- und Landesdatenschutzgesetz) Sind Einsichtnahmerechte ntwendig? Beeinträchtigung des perativen Betriebs im Haus durch die Lizenzprüfung Grundsätzliche Infrmatin an alle Mitarbeiter und Mitarbeiterinnen, dass ein Audit durchgeführt wird Wer muss über eventuelle Beeinträchtigungen vrab infrmiert werden? Sind Kunden in irgendeiner Weise durch das Audit betrffen? Infrmatin des Kunden gewährleisten Klärung der perativen Verantwrtung während des Audit- Vrgangs Wer ist dafür verantwrtlich, dass nur das geprüft wird, was auch vrher vereinbart wurde? (Begleitung und Überwachung der Auditren) Wer ist gegenüber den Auditren auskunftsberechtigt? (Lizenzverantwrtliche bzw. Mitglied der Geschäftsleitung) Welche Mitarbeiter müssen vrab spezifisch über den Audit-Vrgang infrmiert werden? Auf Basis der vrliegenden Prüfergebnisse des Audits Validierung der Prüfergebnisse Wer prüft die Plausibilität der Prüfergebnisse? Die Krrektheit der Prüfergebnisse sllte kritisch hinterfragt werden Unter Umständen gibt es einen Interpretatinsspielraum bei der Bewertung der Ergebnisse 7

8 Zeitpunkt Aktin Das Ergebnis der Lizenzprüfung sllte als definierter Ausgangspunkt für nachflgende Prüfungen vereinbart werden, um den Aufwand für spätere Prüfungen zu reduzieren. Die Checkliste Lizenzaudit sll im Laufe der Zeit wachsen und um weitere Details angereichert werden. Ansprechpartner für Anregungen und Ergänzungen in der Vitak-Geschäftsstelle ist: Danny Pannicke Referent für Infrmatinsmanagement Cpyright: Vitak Bundes-Arbeitsgemeinschaft der Kmmunalen IT- Dienstleister Markgrafenstraße Berlin Tel