- Anzeige -


Sie sind hier: Startseite » Fachartikel » Grundlagen

Outsourcing und das Thema Sicherheit


Unerlässlich beim Outsourcing: Die kritischen Bereiche im Sicherheitsprozess müssen genau unter die Lupe genommen und dokumentiert werden
Einstieg ins Outsourcing: Die Umsetzung ("Do") beginnt idealerweise mit der Definition und Implementierung eines Risikobehandlungsplans


Von Gernot Keckeis, Director Identity & Security bei Novell, und Michael Junk, IT-Security & Compliance Manager bei Novell

(13.01.09) - In vielen IT-Abteilungen regiert derzeit der Rotstift, da die Auswirkungen der aktuellen Krise an den Finanzmärkten auf die reale Wirtschaft nicht ausbleiben. Das Thema Outsourcing bekommt dadurch erneut Rückenwind: In Boomzeiten gilt es als gute Möglichkeit, um Zugang zu neuen Technologien und Ressourcen zu erhalten, und in Krisenzeiten gilt Outsourcing als Kostensenker. Dabei ist kaum ein Thema gleichzeitig so umstritten. Gernot Keckeis, Director Identity & Security bei Novell, und Michael Junk, IT-Security & Compliance Manager bei Novell, untersuchen, welche Vorteile die Auslagerung von einzelnen Geschäftsprozessen mit sich bringen kann und welche Hürden gemeistert werden müssen.

Zahlreiche gesetzliche Vorschriften und der zunehmende Druck von Finanzmärkten stellen IT-Entscheider vor neue Herausforderungen, denn die IT-Systeme und Geschäftsprozesse in den Unternehmen müssen den komplexen rechtlichen Rahmenbedingungen entsprechen. Zudem machen neue Anforderungen an Corporate Governance und Compliance auch um Outsourcing-Dienstleistungen keinen Bogen. Die ideale Form des Outsourcing ist individuell verschieden, aber durch die Orientierung an Fragen nach den gesetzlichen Regelungen und Richtlinien, deren praktischer Umsetzung, den Standards und Zertifikaten, die sich im Markt durchgesetzt haben sowie an Referenzmodellen lässt sich das jeweils ideale Modell besser eingrenzen.

Auslöser für eine Entscheidung zum Outsourcing bilden oft kurzfristige Kapazitätsengpässe oder Kostenprobleme. Das greift jedoch zu kurz: Informationstechnische und unternehmerische Aspekte wie zum Beispiel Stabilität, Sicherheit, Funktionalität, Verfügbarkeit, Zuverlässigkeit, Flexibilität oder Pflege von Informationssystemen und Daten müssen ebenfalls berücksichtigt werden. Weitere potenzielle Risiken wie Umweltbedrohungen, der Ausfall von Mitarbeitern, externe Abhängigkeiten und andere Gefahren von innen (Netzausfälle) und außen (Anschläge, Diebstähle) müssen bei der Entscheidung eine Rolle spielen.

Daher ist es unerlässlich, die kritischen Bereiche im Sicherheitsprozess genau unter die Lupe zu nehmen und zu dokumentieren. Denn auch nach dem Outsourcing muss das Unternehmen als Ganzes noch funktionieren und in der Lage sein, für das Thema Ausfall und Datenschutz die Anforderungen seitens des Gesetzgebers zu erfüllen. Auch das Thema IT-Compliance und die Einhaltung von gesetzlichen Regelungen sollten beim Outsourcing nicht zu kurz kommen. Generell sind die Schwachstellen der IT Sicherheit heute eher in der stark vernetzten Leistungserbringungskette zu suchen, als in nicht funktionsfähigen Firewalls. Um den enormen Sicherheitsanforderungen gerecht zu werden, ist es empfehlenswert, nach dem Ansatz "Plan, Do, Check and Act" vorzugehen. Unter "Plan" fallen dabei Aspekte, wie die Definition des Geltungsbereiches, Definition und Auswahl der Informationssicherheitspolitik (IS – Politik) sowie die Definition eines systematischen Ansatzes für den Umgang mit Risiken. Außerdem erfolgt in dieser Phase die Übernahme der Restrisiken durch das Management sowie die Freigabe der Einführung und des Betriebs des ISMS (Information Security Management System).

Die Umsetzung ("Do") beginnt idealerweise mit der Definition und Implementierung eines Risikobehandlungsplans, der Aktionen, Verantwortungen, Rollen und Prioritäten in Bezug auf IS-Risiken beschreibt. Dann folgt die praktische Umsetzung der ausgewählten IS-Maßnahmen sowie der Trainings- und Awareness-Programme. Außerdem werden Verfahren eingeführt, um auf sicherheitsrelevante Vorfälle möglichst schnell reagieren zu können.

In der Check-Phase folgt die Ausführung der Überwachungsverfahren und -maßnahmen. Hinzu kommen regelmäßige Sicherheitsaudits, die Überprüfung des Niveaus von Restrisiken und tragbaren Risiken sowie die Durchführung interner ISMS-Audits und Management-Reviews. Außerdem werden sicherheitsrelevante Aktivitäten und Ereignisse aufgezeichnet.

In der vierten Phase "Act" folgt die Definition, Implementierung und Überwachung von Korrektur- und Vorbeugungsmaßnahmen. Erkenntnisse aus Sicherheitsvorfällen der eigenen oder fremden Organisationen werden angewandt und die ISMS-Aktivitäten und – Ergebnisse werden im regelmäßigen Austausch mit allen Beteiligten kommuniziert.

Das zeigt: Die Implementierung eines funktionsfähigen Sicherheits- und Risikomanagementsystems geht mit einem kontinuierlichen Verbesserungsprozess einher. Die Implementierung eines Regelkreislaufes ist notwendig, um heute die notwendige IT Sicherheit und ein dem Risiko angemessenes Managementsystem für das Outsourcing aufzusetzen.

Zu beachten ist auch, dass die Qualität der ausgelagerten Prozesse nur indirekt durch den Auftraggeber beeinflusst werden kann. Die sorgfältige Auswahl des Dienstleisters sollte daher hohe Priorität haben. Je nach dem welche Prozesse ausgelagert werden, kann nicht nur die weitere Arbeit im Unternehmen, sondern auch das Image nach außen betroffen sein.

Sicher der wichtigste Punkt während eines Auslagerungs-Prozesses ist die zeitnahe und offene Kommunikation mit den betroffenen Mitarbeitern. Werden diese nicht umfassend und zeitnah informiert, kann dies zu Gerüchten und Szenarien führen, welche die Umsetzung des Vorhabens erschweren oder gar gefährden können. Change Management und interne Kommunikation müssen also gut geplant und umgesetzt werden.

Hält ein Unternehmen bei der Umsetzung diese Regeln ein, so hat Outsourcing folgende Vorteile: Die Konzentration auf die Kernkompetenzen ist wieder möglich und Geschäftsprozesse werden rationeller. Die Gesamtbetriebskosten sinken und lassen sich besser kalkulieren. Auslagerungen können Unternehmen zudem flexibler und mobiler machen, da sie schneller auf Veränderungen reagieren und wachsen können. Außerdem werden keine Mittel durch Investitionen gebunden und das Kreditrating verbessert sich.

Aber auch die Nachteile einer Auslagerung müssen klar sein: Vor allem das Outsourcing von Schlüsselprozessen birgt Risiken durch entstehende Abhängigkeiten, wenn beispielsweise ein externer Zulieferer sich als unzuverlässig herausstellt. Wichtiges Know-how kann verloren gehen. Auch die Abgrenzung vom Mitbewerber, der auf denselben Dienstleister zurückgreifen kann, wird schwieriger. Die erwarteten Kostenvorteile treffen zudem mittel- und langfristig nicht immer ein. (Novell: ra)

Novell: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>



Meldungen: Grundlagen

  • Automatisierte Speicherrichtlinien & Daten-GPS

    Die Globalisierung hat die Welt schrumpfen lassen. Nicht nur Reisende ziehen heute rund um den Globus, auch Daten sind dank Cloud Computing äußerst mobil und werden von Unternehmen aus den unterschiedlichsten Gründen zwischen Rechenzentren verschoben. Wir Menschen fühlen uns im eigenen Zuhause am sichersten. Auch für Unternehmensdaten gilt, dass das Risiko sie bei der Migration über Ländergrenzen hinweg zu verlieren, natürlich steigt. Als Mensch ist es heute mittels GPS sehr einfach, einen Standort zu bestimmen. Damit auch Unternehmen immer genau wissen, wo ihre Daten physisch gespeichert sind, bieten sich dank automatisierten Speicherrichtlinien und einem Daten-GPS neue Methoden, den exakten Standort von Daten festzulegen.

  • Mit SaaS & HaaS die IT-Abteilung entlasten

    In vielen Unternehmen stehen CIOs vor der Aufgabe, mit einer sich rasch entwickelnden IT-Welt Schritt halten zu müssen. Hinzu kommt, geeignetes Personal mit dem entsprechenden Know-how zu finden und sich stets gegen zunehmende Sicherheitsrisiken zu wappnen. Diese Herausforderungen beanspruchen zeitliche und finanzielle Ressourcen in der IT-Abteilung, die Unternehmen an anderer Stelle dringender bräuchten. Im Rahmen von Managed Services wie Software-as-a-Service (SaaS) und Hardware-as-a-Service (HaaS) werden Standardaufgaben an externe Dienstleister ausgelagert. Das schafft Freiräume und entlastet die IT-Abteilung. Welche Fragen sind relevant, um zu erkennen, ob auch das eigene Unternehmen von Managed Services profitieren kann.

  • Die Zukunft des File Sharing

    Um den Austausch von Forschungsdaten zwischen verschiedenen Teams am CERN zu ermöglichen, erfand Tim Berners-Lee in den achtziger Jahren, als Nebenprodukt sozusagen, das Internet. Heute ist das Internet die tragende Säule der weltweiten Kommunikation und aus unserem digitalen Leben nicht mehr wegzudenken. Überraschenderweise hat sich seit den frühen Tagen des Internets kaum etwas verändert: Nach wie vor werden für die Übermittlung von Dateien Protokolle aus den Anfangstagen des Internets genutzt. Zum damaligen Zeitpunkt war jedoch eine Welt, in der Datenmengen exponentiell wachsen, Hacker an allerlei Daten interessiert sind und Organisationen in denen zehntausende Mitarbeiter täglich millionenfach Dateien teilen, noch nicht vorstellbar. Worauf sollten Unternehmen also achten, wenn sie eine zukunftssichere File Sharing-Lösung nutzen möchten? Und welche neuen Technologien halten Einzug um Filesharing sicherer, komfortabler und schneller zu machen?

  • File Sharing im Unternehmen: Strategie gesucht

    Um Daten auszutauschen setzen die meisten Unternehmen noch immer auf die gute alte E-Mail, auch wenn diese Technologie offensichtlich nicht mehr auf dem neuesten Stand der Technik ist. Auch das ebenso veraltete FTP ist noch weit verbreitet, wenn es darum geht größere Dateien zu übermitteln. Den IT-Alptraum perfekt machen, intern oft nicht überwachte, File-Sharing-Dienste in der Cloud a la Dropbox & Co. Um striktere Compliance-Vorgaben zu erfüllen und die offensichtlich nicht gegebene Datensicherheit für ihr Unternehmen zu gewährleisten suchen IT-Verantwortliche suchen händeringend nach eine umfassenden Strategie um die genannten, unzuverlässigen Werkzeuge zu ersetzen und somit die Kontrolle über ihre sensiblen Daten zurückzugewinnen.

  • Privacy Shield und die Folgen

    Am 1. August 2016 trat das neue Privacy Shield-Abkommen in Kraft, das für Kunden und Anbieter von Cloud Computing-Services wieder Rechtssicherheit bieten und den transatlantischen Datenfluss wiederherstellen soll. Ob Privacy Shield die Nutzer besser schützen wird als der Vorgänger Safe Harbor wird von vielen Experten jedoch bezweifelt. Auch Subhashini Simha von Thru zweifelt das Abkommen an. Ihre Einschätzung der Folgen von Privacy Shield für Unternehmen hat sie in diesem Artikel zusammengefasst. Demnach benötigen Unternehmen zukünftig mehr denn je Flexibilität ihre Daten im Notfall auch im eigenen Rechenzentrum zu hosten und sie bei sich ändernder Rechtslage aus anderen Regionen abzuziehen.

  • Herausforderungen im Wissensmanagement

    Der Erfolg eines Projekts hängt von vielen Faktoren ab: Unterstützung durch das Top-Management, entsprechende Organisationsstrukturen sowie qualifizierte Mitarbeiter. Zudem spielt Wissen eine wichtige Rolle im Projektmanagement: Welche Methode eignet sich für das Projekt? Mit welchen Maßnahmen lässt sich das Projektziel erreichen? Wie können die Projektanforderungen erfüllt werden? Diese und weitere Fragen müssen Projektleiter beantworten können. Das Problem: Oftmals sind sich diese gar nicht bewusst, was sie und ihre Mitarbeiter wissen oder eben auch nicht wissen. Ein professionelles Wissensmanagement kann das Projektmanagement wirkungsvoll unterstützen, indem es vorhandenes Wissen bündelt, neue Erkenntnisse aufnimmt und alles für zukünftige Projekte verfügbar macht.

  • Unified Communications & Cloud-Kommunikation

    Den Begriff "Unified Communications" (UC) gibt es schon seit vielen Jahren. Er bezeichnet die Integration von Kommunikationsmedien in einer einheitlichen Anwendungsumgebung. Durch die Zusammenführung verschiedener Kommunikationsdienste soll UC die Erreichbarkeit der Kommunikationspartner verbessern und damit die Geschäftsprozesse beschleunigen.

  • Multi Cloud Sourcing

    Die Vorteile von Cloud Computing sind inzwischen bekannt: hohe Flexibilität und Skalierbarkeit zu genau kalkulierbaren Kosten. Doch wer Dienste von mehreren Anbietern nutzt, steht schnell vor einem Problem. Er muss die nötigen Informationen jedes Mal neu übertragen, wodurch unterschiedliche Datenbestände und Mehraufwand für das Management entstehen können. Ein einfaches Springen von Wolke zu Wolke ermöglicht Multi Cloud Sourcing. Für viele Unternehmen ist die Hybrid Cloud attraktiv. Sie kombiniert Skalierbarkeit mit Effizienz und verspricht zusätzlich Kostenersparnisse. Denn die Kunden müssen keine teuren Kapazitäten für Spitzenzeiten bereithalten, die im Rest des Jahres nicht genutzt werden.

  • Cloud als Backup-Speicher

    Rasant wachsende Datenmengen sowie die steigende Abhängigkeit der Unternehmen von ihren operativen Daten setzen die IT-Abteilung gewaltig unter Druck. CIOs müssen daher ihre Strategie für das Datenmanagement den veränderten Realitäten anpassen. Ein mögliches Werkzeug hierfür sind IT-Ressourcen aus der Cloud, die in die Backup- und Storage-Infrastruktur eingebunden werden. Die IT-Abteilung kann es sich nicht mehr leisten, auf die Cloud zu verzichten. Immer mehr Unternehmen in Deutschland setzen mittlerweile auf diese Technologie. In der Studie "Cloud-Monitor 2015" von KPMG und Bitkom vermelden die Analysten, dass bereits 44 Prozent der deutschen Unternehmen IT-Leistungen aus der Cloud beziehen. Weitere 24 Prozent planen oder diskutieren noch über den Einsatz. Dabei sind die gemachten Erfahrungen durchweg positiv, wie bis zu 78 Prozent der Befragten berichten.

  • Mit Cloud-Datenbanken vertraut machen

    In IT-Abteilungen vollzieht sich der größte Umbruch seit Einführung des PC und die modernen Rechenzentren müssen weiterentwickelt werden, um mit dieser Entwicklung Schritt zu halten. Dies ist besonders kritisch, da die IT für fast alle Geschäftsfunktionen eine immer wichtigere Rolle spielt. Unternehmen jeder Größe nutzen alle verfügbaren Technologien und Best Practices, um die Abläufe zu optimieren und Ineffizienzen zu reduzieren, und für viele bedeutet dies in erster Linie zwei Dinge: Virtualisierung und Cloud Computing. Jede IT-Abteilung versucht Zeit zu sparen, die Produktivität zu steigern und Abläufe zu optimieren. Mithilfe der Cloud und der Virtualisierung können in diesem Zusammenhang diese Komponenten nun im gesamten Unternehmen effizienter gestaltet werden.