Mythen des Cloud Computing Prof. Dr. Peter Buxmann Fachgebiet Wirtschaftsinformatik Software Business & Information Management Technische Universität Darmstadt 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 1
Agenda Grundlagen des Cloud Computing Die zwei Mythen des Cloud Computing Mythos 1: Cloud Services werden flexibel und nutzungsabhängig bezahlt Mythos 2: Cloud Computing ist riskant IT-Sicherheit aus Anbietersicht Fazit 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 2
Grundlagen des Cloud Computing Cloud Computing := Cloud computing is a model for enabling ubiquitous, convenient, on-demand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction. National Institute of Standards and Technology (NIST) 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 3
Ebenen des Cloud Computing Software as a Service (SaaS) Software (B2C, B2B) Komplementäre Anwendungen basiert auf Platform as a Service (PaaS) Marktplatz, Ausführungs- / Entwicklungsumgebung basiert auf Infrastructure as a Service (IaaS) Rechenleistung, Speicher, Netzwerke etc. 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 4
Agenda Grundlagen des Cloud Computing Die zwei Mythen des Cloud Computing Mythos 1: Cloud Services werden flexibel und nutzungsabhängig bezahlt Mythos 2: Cloud Computing ist riskant IT-Sicherheit aus Anbietersicht Fazit 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 5
Agenda Grundlagen des Cloud Computing Die zwei Mythen des Cloud Computing Mythos 1: Cloud Services werden flexibel und nutzungsabhängig bezahlt Mythos 2: Cloud Computing ist riskant IT-Sicherheit aus Anbietersicht Fazit 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 6
Auftrittshäufigkeit Preismodelle für SaaS Inhaltsanalyse hinsichtlich der Bemessungsgrundlage auf Webseiten von 67 deutschen und 259 US-amerikanischen SaaS-Anbietern 80% 60% 40% 20% 0% 68,7% 52,7% 39,2% 22,3% 9,0% 8,1% nutzungsabhängig hybrid nutzungsunabhängig Art der Bemessungsgrundlage US-amerikanische Anbieter deutsche Anbieter Nutzungsunabhängige Bepreisung überwiegt in beiden Märkten 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 7
Agenda Grundlagen des Cloud Computing Die zwei Mythen des Cloud Computing Mythos 1: Cloud Services werden flexibel und nutzungsabhängig bezahlt Mythos 2: Cloud Computing ist riskant IT-Sicherheit aus Anbietersicht Fazit 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 8
Sicherheit im Cloud Computing Ziel: Bestimmung der wahrgenommenen Risiken von Cloud Computing Vorgehensweise: Zwei großzahlige Umfragen 1. Studie: 2. Studie: Umfassende Risikoanalyse von Cloud Computing Detaillierte Untersuchung der IT-Sicherheitsrisiken 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 9
1. Studie: Umfassende Risikoanalyse von Cloud Computing Befragung von 349 IT-Entscheidungsträgern Risiko-Bewertung Finanziell Strategisch Operativ 2,25 2,38 2,70 3,32 3,79 3,63 Sicherheit 2,85 3,97 Sozial 2,11 1,69 Skala von 1 (geringes) bis 5 (hohes) Risiko Wichtigster Grund, nicht umzusteigen wahrgenommene IT-Sicherheitsrisiken 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 10
2. Studie: Detaillierte Untersuchung der IT-Sicherheitsrisiken Erster Schritt: Basierend auf Literaturrecherche und Experteninterviews wurden die Dimensionen von IT-Sicherheitsrisiken abgeleitet: Vertraulichkeit Integrität Verfügbarkeit Leistung (Performance) Anpassbarkeit und Wartung Zurechenbarkeit Jede Dimension besteht aus mehreren IT-Sicherheitsrisiken Zweiter Schritt: Großzahlige Umfrage unter 472 IT-Entscheidungsträgern in Deutschland 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 11
Top 10 IT-Sicherheitsrisiken des Cloud Computings Überhaupt nicht riskant Überaus riskant 1 2 3 4 5 6 7 1. Identitätsdiebstahl 2. Angriffe auf Verfügbarkeit 3. Einsehen von Daten beim Anbieter 4. Datenweitergabe durch Anbieter 5. Einsehen von Daten auf internen Systemen 6. Geschwindigkeitsprobleme 7. Ungewollte Ausfälle 8. Abhören der Übertragung 9. Aktionen unzureichend protokolliert 10. Proprietäre Technologien N = 359 376 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 12
Forschungsmodell und Ergebnisse Dimensionen der wahrgenommenen IT-Sicherheitsrisiken Vertraulichkeit Integrität Verfügbarkeit Leistung (Performance) Zurechenbarkeit Anpassbarkeit und Wartung + + + + + + Wahrgenommenes IT- Sicherheitsrisiko Absicht, die Cloud Computing Adoption zu erhöhen 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 13
Forschungsmodell und Ergebnisse Dimensionen der wahrgenommenen IT-Sicherheitsrisiken Vertraulichkeit Integrität Verfügbarkeit Leistung (Performance) Zurechenbarkeit Anpassbarkeit und Wartung 0.40*** 0.06* 0.28*** 0.11** 0.21*** 0.10** Wahrgenommenes IT- Sicherheitsrisiko - 0.53*** Absicht, die Cloud Computing Adoption zu erhöhen 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 14
Agenda Grundlagen des Cloud Computing Die zwei Mythen des Cloud Computing Mythos 1: Cloud Services werden flexibel und nutzungsabhängig bezahlt Mythos 2: Cloud Computing ist riskant IT-Sicherheit aus Anbietersicht Fazit 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 15
Empirische Studie mit Cloud Computing Anbietern Übersicht deskriptive Daten Befragung aus Anbieterperspektive Rücklauf: 57 Anbieter aus dem deutschen Cloud Computing Markt. Internationale Studie noch nicht abgeschlossen Sowohl große als auch kleine Anbieter in Studie berücksichtigt Teilnehmer sind größtenteils IT- Entscheider (CEO/CIO/Abteilungsleiter) 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 16
Mehrdimensionale Bewertung der IT-Sicherheitsrisikos Nutzung des Expertenwissens der Studienteilnehmer Überhaupt nicht riskant Überaus riskant 1.Identitätsdiebstahl 2. Angriffe auf Verfügbarkeit 3. Inkompatible Geschäftsprozesse oder Software 4. Unzureichende Anpassbarkeit 5. Ungewollte Ausfälle durchschnittlicher Wettbewerber eigenes Unternehmen 6. Geschwindigkeitsprobleme 7. Geschwindigkeitsprobleme interner Systeme 8. Einsehen von Daten auf internen Systemen 9. Unzureichender Datenimport 10. Proprietäre Technologien 1 3 5 7 N = 57 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 17
Agenda Grundlagen des Cloud Computing Die zwei Mythen des Cloud Computing Mythos 1: Cloud Services werden flexibel und nutzungsabhängig bezahlt Mythos 2: Cloud Computing ist riskant IT-Sicherheit aus Anbietersicht Fazit 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 18
Fazit Mythos 1: Cloud Services werden flexibel und nutzungsabhängig bezahlt Empirische Ergebnisse: Nein, insbesondere im Fall von Software-as-a-Service ist nutzungsunabhängige Bepreisung die Regel. Ausblick: Unter welchen Bedingungen und für welche Lösungen sind nutzungsabhängige oder unabhängige Zahlungsmodelle sinnvoll? Mythos 2: Cloud Computing ist riskant Empirische Ergebnisse: Wir wissen es noch nicht, aber wir wissen, dass IT-Security-Bedenken einer der Hauptgründe für das Verzichten auf Cloud Computing-Lösungen sind. Ausblick: Sind die Nutzerbedenken begründet? IT-Sicherheit aus Anbietersicht Empirische Ergebnisse: Anbieter schätzen ihre Fähigkeit zum Management von IT-Sicherheit grundsätzlich besser ein als die des Wettbewerbs. Unterschätzung der Bedrohung wirkt sich negativ auf die IT- Sicherheit der Cloud Computing Dienste aus. Ausblick: Zusammenführung der Ergebnisse anhand von Experteneinschätzungen und Ableiten von Handlungsempfehlungen Anbieter 2,1 Nutzer 7,0 6,0 5,0 4,0 3,0 2,0 1,0 0,0 4,8 3,5 Sicherheitsex perten 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 19
Vielen Dank für Ihre Aufmerksamkeit 12.09.2012 IT-Business meets Science Prof. Dr. Peter Buxmann 20