Die Herausforderungen des Cloud Computing: Compliance

[ 2 ] Oktober 28, 2011 |

Mit der Adaption von Cloud Computing Technologien und Services stehen Unternehmen Herausforderungen gegenüber, die es zu bewältigen gilt. Zum einen müssen organisatorische Voraussetzungen geschaffen und Aufklärungsarbeit innerhalb des Unternehmens geleistet werden, um die Akzeptanz und das Verständnis zu stärken. Zum anderen treffen aber auch viele “Widerstände” von außen auf das Unternehmen. Das sind neben Fragen bzgl. der Sicherheit und des Datenschutz ebenfalls Themen zur Verfügbarkeit und Performanz des ausgewählten Cloud Service sowie dessen Integrationsfähigkeit in die bereits bestehende IT-Infrastruktur und die nahtlose Unterstützung der vorhandenen Geschäftsprozesse. Und wie auch schon aus den klassischen Sourcingmöglichkeiten bekannt, besteht auch im Cloud Computing die Angst, in die Abhängigkeit eines einzigen Anbieters zu verfallen. So müssen auch hier die Interoperabilität und die Schnittstellen des Anbieters sowie ein Vergleich zu anderen Anbieteren vorgenommen werden.

Ist die Entscheidung für die Nutzung des Cloud Computing gefallen, ist es für Unternehmen zunächst an der Zeit, eine Ist-Analyse der bestehenden IT-Infrastruktur und Systeme vorzunehmen, um auf Basis dieser zu planen, welche Cloud Services adaptiert werden sollen. Hier kann bspw. eine Kosten-/ Nutzen-Analyse weiterhelfen, bei der auch eine Risikobewertung nicht fehlen sollte. Um erste Erfahrungen auf dem Cloud Computing Gebiet zu sammeln, sollte ein Pilotprojekt initiiert werden, welches auf Grund des Cloud Computing Konzepts schnell und kostengünstig gestartet werden kann. Dieses sollte einem Gesamtverantwortlichen “Cloud” untergeordnert sein, der als zentrale Stelle innerhalb der Organisation für die Adaption und Beratung der einzelnen Abteilungen für dieses Thema zuständig ist. Mit den gesammelten Erfahrungen können dann weitere Projekte gestartet werden und die Adaption unterschiedlicher Cloud Services sukzessive vorgenommen werden.

Compliance

Der Begriff Compliance bezeichnet die Einhaltung von extern vorgegeben Gesetzen, Regeln und Richtlinien, die von einem Unternehmen zu erfüllen sind. Die bekanntesten Gesetze in diesem Bereich sind der Sarbanes-Oxley Act (SOX), Solvency II und Basel II; Aber auch die elektronische Buchhaltung sowie die Archivierung der Geschäftsunterlagen fallen in den Bereich Compliance. In vielen Fällen, u.a. bei SOX, führt eine Nichteinhaltung der Gesetze zu einer Vorstandshaftung, wodurch vor allem die Unternehmensführung daran interessiert ist, dass ihr Unternehmen inkl. seiner IT compliant ist.

Dr. Markus Böhm beschreibt Cloud Compliance als eine “[…] nachweisbare Einhaltung von Regeln zur Nutzung oder Bereitstellung von Cloud Computing.” Diese hat das Ziel, “[…] Transparenz und Sicherheit für alle Anspruchsgruppen (Stakeholder) zu schaffen.” und soll dabei unterstützen “[…] die bestehende Zurückhaltung und die Vorbehalte gegenüber den Angeboten zum Cloud Computing aufzulösen”, wodurch die Cloud Compliance eine wichtige Basis schafft, “[…] um alle Vorteile des Cloud Computings für Anbieter und Provider vollumfänglich nutzbar zu machen.”

Böhm sieht vor allem die “[…] Neuartigkeit und die damit verbundene Komplexität des Themas, die Vielzahl von Service-Angeboten und Geschäftsmodellen der Anbieter mit derzeit oft noch unklaren bzw. sich widersprechenden Cloud Definitionen sowie die fehlenden Standards im Markt ” als besondere Herausforderungen der Cloud Compliance an. Für die Erreichung einer passenden Cloud Compliance gilt es daher “[…]die Anforderungen insgesamt zu kennen und hinsichtlich ihrer Bedeutung zu bewerten.” Dabei kann die Kategorisierung der Anforderungen “[…] schematisch nach primär externen Vorgaben (Gesetzen und externen Regelwerken) sowie primär internen Vorgaben (interne Verpflichtungen und Verträge) erfolgen. Die Identifikation als auch die Kategorisierung sollten sowohl Nutzer als auch Anbieter von Cloud Computing individuell für ihre Geschäftszwecke vornehmen.” Ein Compliance Management Systems (CMS), welches zugleich von dem Cloud Nutzer sowie vom Cloud Anbieter eingesetzt werden kann, soll dabei helfen die Ziele und Herausforderungen zu unterstützen. Grundsätzlich gelten für das Cloud Computing keinen eigenen Compliance Regeln, wodurch “[…] die allgemeinen IT-Compliance-Anforderungen Anwendung finden.” Hier gilt es also passende Maßnahmen für klassische IT-Risiken zu ergreifen. Dazu gehören u.a. Sicherheit, Verfügbarkeit, Vollständigkeit und Nachvollziehbarkeit. “Diese verlangen jedoch in jedem Fall eine gesonderte Auseinandersetzung mit den für Cloud Computing spezifischen Risiken.”

Ewald Glöckl empfiehlt das Erstellen einer Anforderungsliste, in der detailliert im ersten Schritt spezifiziert wird, “[…] welche Dienstleistungen sich überhaupt in die Cloud verlagern lassen und welche intern bleiben sollen.” In diesem Zuge muss weiterhin festgelegt werden, “[…] welche Systeme und Services unternehmenskritisch sind oder wichtiges geistiges Eigentum enthalten.” Auf Basis einer Risikoeinstufung wird dann entschieden, welches System bzw. welcher Service für die Cloud geeignet ist und welcher nicht. “Je höher die Risikoeinstufung, desto geringer die Eignung für die Cloud.” Der zweite Schritt sieht eine Überprüfung der Anforderungsliste vor, um zu bestimmen, ob sich die Inhalte der Anforderungsliste so realisieren lassen und wie ein “[…] Kosten-Nutzen-Risiko-Verhältnis für die Umsetzung aussehen würde.” Im Anschluß erfolgt die Evaluation möglicher Cloud Computing Anbieter. Für eine erfolgreiche Einführung von Cloud Services im Unternehmen sieht er eine “[…] sorgfältige Beschreibung aller relevanten, vereinbarten Leistungen in den Vertragsgrundlagen mit dem Dienstleister.” Sollen kritische Geschäftsprozesse mit Hilfe des Cloud Computing unterstützt werden, führt das ebenfalls zu einer Abhängigkeit vom Cloud Computing Anbieter, die ebenfalls als kritisch zu bewerten ist.

Demnach sind laut Glöckl im Vertrag wichtige Details zu definieren. Dazu gehören “[…] die Aufrechterhaltung der Services im Notfall, das Eskalationsmanagement, Vergütungskriterien”, “[…] Regelungen über Teilleistungen und deren Kündigung”, “[…] notwendige Nutzungsrechte von urheberrechtlich geschützten Programmen”, “[…] Lizenzrechte, Haftung, Datenschutz, Datensicherheit” und “[…] Rechte auf Daten bei Beendigung des Vertrags.”

Tags: , , , ,

Category: Analysen

René Büst

About the Author ()

Rene Buest is Senior Analyst and Cloud Practice Lead at Crisp Research, covering cloud computing, IT infrastructure, open source and Internet of Things. Prior to that he was Principal Analyst at New Age Disruption and member of the worldwide Gigaom Research Analyst Network. Rene Buest is top cloud computing blogger in Germany and one of the worldwide top 50 bloggers in this area. In addition, he is one of the world’s top cloud computing influencers and belongs to the top 100 cloud computing experts on Twitter and Google+. Since the mid-90s he is focused on the strategic use of information technology in businesses and the IT impact on our society as well as disruptive technologies. Rene Buest is the author of numerous professional cloud computing and technology articles. He regularly writes for well-known IT publications like Computerwoche, CIO Magazin, LANline as well as Silicon.de and is cited in German and international media – including New York Times, Forbes Magazin, Handelsblatt, Frankfurter Allgemeine Zeitung, Wirtschaftswoche, Computerwoche, CIO, Manager Magazin and Harvard Business Manager. Furthermore Rene Buest is speaker and participant of experts rounds. He is founder of CloudUser.de and writes about cloud computing, IT infrastructure, technologies, management and strategies. He holds a diploma in computer engineering from the Hochschule Bremen (Dipl.-Informatiker (FH)) as well as a M.Sc. in IT-Management and Information Systems from the FHDW Paderborn.

Comments (2)

Trackback URL | Comments RSS Feed

  1. AntonIus sagt:

    Ich bin immer noch recht baff, dass Unternehmen jetzt schon auf Cloud Dienste zu setzen bereit sind. Wenn ich im IT sitzen würde, würde mir der Kopf rauchen, bei all den Sicherheitsrisiken und Dingen die einfach schief laufen könnten.

  2. René Büst René Büst sagt:

    Hallo Antonius,

    warum denn jetzt nicht? Das Thema Compliance wird immer eine Problematik darstellen. Ob nun heute oder in drei Jahren. Cloud Computing kann auf jedenfall dazu beitragen, dass Unternehmen sich über das Thema Compliance erneut Gedanken machen und schauen ob sie intern wirklich so aufgestellt sind, wie sie es sein sollten.

    Ich gebe Dir recht, dass Sicherheitsrisiken bestehen und das etwas schief laufen kann. Aber zunächst gibt es keine 100%ige Sicherheit. Wer das in unserer heutigen vernetzten Welt garantiert, muss per se als Scharlatan abgestempelt werden. Ein sicheres System erschaffst Du Dir nur ohne einen externen Zugriff via eines Netzwerk etc. und diversen anderen Sicherungsmechanismen. Und selbst dann kann etwas passieren. ;)

    Außerdem behaupte ich das Cloud Anbieter über einen höheren Sicherheitsstandard bzgl. des Ausfalls der Infrastruktur und anderer sicherheitsrelevanter Themen verfügen als jedes andere Unternehmen, dessen Kerngeschäft nun einmal nicht mit IT zu tun hat.

    Ob ein Unternehmen Cloud Computing nutzen sollte, unabhängig von der Sicherheit, hängt von den eigenen Bedürfnissen und Anforderungen ab. Aber der Kuchen ist groß genug für alle. ;)

    Viele Grüße

    René

Leave a Reply

You must be logged in to post a comment.