Cloud-Governance in hybriden Umgebungen
Durch die flexible Natur von hybriden Bereitstellungen ist IT-Governance ein komplexeres Thema als in der Vergangenheit, aber die gleichen Prinzipien greifen immer noch: Es gilt, eine bessere Übersicht zu schaffen und zu behalten, gerade auch in modernen Multicloud-Szenarien. Im Fachartikel betrachten wir hybride Bereitstellungen aus der Sicht der IT-Governance und geben konkrete Empfehlungen in Hinblick auf die Herausforderungen für Organisationen im Bereich Kostenkontrolle, Shadow-IT und Security.
Zehn Jahre hat es etwa gedauert, bis die IT-Branche aus dem Cloud-Hype adäquate Use Cases entwickelt und allen Widerständen zum Trotz durchgesetzt hat. Seit ein paar Jahren nutzen Unternehmen Hybrid Cloud, haben dabei verschiedenste Erfahrungen gesammelt und vermutlich einiges an Lehrgeld bezahlen müssen.
Typische Fallen: Kosten
Die Kontrolle von Kosten ist mitunter ein, wenn nicht sogar der wichtigste Punkt bei der Planung und dem Einsatz der Cloud. Im Gegensatz zu einer reinen On-Premises-IT, bei der sich alles innerhalb eines kontrollierten Budgets basierend auf Investitionen bewegt, definiert sich die Cloud über hohe Betriebskosten. Das bedeutet, dass ständig laufende Kosten zum Unterhalt entstehen. Unter Umständen steigen diese auch exponentiell.
Damit steigt die Gefahr, in Kostenfallen zu treten. Die Trias aus Rechenleistung, Storage und Netzwerk unterteilen Azure, AWS und andere Hersteller in kleinste Bereiche. Dabei unterliegt sie stellenweise großen Schwankungen im Preismodell – je nach Region, Abnahmemenge und Rahmenvertrag. In einigen Fällen ist sie sogar abhängig von der Uhrzeit, in der bestimmte Dienste genutzt werden. Selbstverständlich entstehen Kosten nicht nur während der aktiven Nutzung eines Servers oder Dienstes. Auch außerhalb von Geschäftszeiten kommt es zur Nutzung von Cloudressourcen, die zu bezahlen sind.
Empfehlung hier: Unternehmen sollten dringend ein Verständnis sowohl für die Kosten pro Minute als auch die maximalen Kosten für einen ganzen Monat entwickeln. Wenn das Worst-Case-Szenario dabei abschreckend ist, heißt es, die Planung zu überdenken. Außerdem sollten Unternehmen die Option, gezielt Maschinen in der Cloud zeitgesteuert hoch- und runterzufahren, um die Ressourcennutzung zu minimieren, in der Praxis besser wahrnehmen.
Besser mit den Cloudressourcen haushalten
Das Planen der Ressourcen für eine Anwendung ist dabei nicht immer ganz einfach. Wenn ein Mitarbeiter der IT noch keine Erfahrung mit dem Auslastungsprofil einer neuen Anwendung hat und kein geeignetes Monitoringtool zur Verfügung steht, um Kennzahlen auszulesen, folgen der eine oder andere gern dem Motto "viel hilft viel", vergisst dabei jedoch, dass "viel" auch für die laufenden Kosten gilt.
Innerhalb des eigenen Unternehmens sehen sich IT-Verantwortliche begrenzten Mitteln gegenüber und lernen, mit diesen zu haushalten, indem zum Beispiel Anwendungen oder Datenbankabfragen im laufenden Betrieb optimiert werden. Die in der Cloud nahezu endlos zur Verfügung stehenden Ressourcen verleiten hingegen dazu, die Kapazitäten für die Anwendungen einfach zu erhöhen. Da es in der Praxis häufig viel einfacher ist, Ressourcen hinzuzufügen anstatt herunterzunehmen, ist der Ansatz, unterdimensioniert zu beginnen, durchaus eine valide Idee.
Das gleiche gilt für Storage. Eine Anwendung auf "Premium SSD" bereitzustellen, klingt großartig und ist im Falle von Datenbanken vielleicht sogar unerlässlich. Bei vielen anderen Anwendungen ist der damit verbundene Aufpreis jedoch unnötig.
Empfehlung hier: Die meisten Cloudanbieter erlauben bidirektionale Storage-Migration, die zwar eventuell mit einer Downtime der Anwendung verbunden ist, sonst aber mit keinen weiteren Problemen verknüpft ist.
Schatten-IT ruft Change Control auf den Plan
Shadow-IT oder Schatten-IT, das Nutzen von Anwendungen, Geräten, Dienstleistungen ohne vorherige Autorisation, ist schon innerhalb des Unternehmens ein ernsthaftes Problem. Shadow-IT kann Auswirkungen auf verschiedene Bereiche haben kann, unter anderem auf die Kosten und die Sicherheit. In der Cloud verschieben sich zwar die Bedingungen, doch das Problem bleibt das gleiche. Nur liegt es jetzt nicht mehr am Buchhalter, der einen USB-Stick von zu Hause mitbringt, sondern beim IT-Mitarbeiter, der zweifelhafte Ideen zur Optimierung auf eigene Faust ausprobiert. Experimente dieser Art können trotz aller guten Absichten früher oder später zu Problemen führen.
Das Portfolio eines Cloudanbieters unterliegt ständigem Wechsel. Bestehende Dienste werden verändert, neue Produkte und Dienstleistungen hinzugefügt. Risikobereitschaft gehört zur Kultur von Cloudanbietern und ist dem Fortschritt geschuldet. Doch nicht alle neuen Ideen setzen sich am Markt durch. Eine neue Dienstleistung des Providers mag verlockend klingen, und ein Test ist viel schneller eingerichtet als bei einem traditionellen On-Premises-Deployment.
Empfehlung hier: Aus gutem Grunde sind traditionelle Unternehmen eher weniger bereit, Risiken einzugehen, daher sollte es eine Selbstverständlichkeit sein, Change-Control auch auf die Cloud auszuweiten.
Automation zur Hilfe
Automation ist hier zwar eine spezielle Herausforderung, aber gleichzeitig eine Lösung zur Homogenisierung von Aufgaben und einzelnen Schritten. Jeder Cloudanbieter unterstützt eine oder gar mehrere API, und das Ausweiten von bereits bestehenden Scripts ist nicht schwer.
Skripte sind in sich selbst eine kontrollierte Umgebung und vorab getestet, und führen daher eher zu erwarteten Ergebnissen. Sollte die jeweilige Organisation strikten Konformitäten unterliegen wie im Bereich Finanzen oder dem Gesundheitswesen, ist Kreativität tatsächlich fehl am Platz. Glücklicherweise liegen Skripte im Trend – Stichwort "infrastructure as code" – und erlauben die vollkommen automatisierte Steuerung der hybriden IT eines Unternehmens.
Empfehlung hier: Die Kombination aus Scripting und dem Folgen eines vorab festgelegten Change-Protokolls, kombiniert mit der Sensibilisierung der verantwortlichen Mitarbeiter in der IT, sollten Teil einer jeden erfolgreichen Strategie zur Cloud-Governance sein.
Risiko unkontrollierter Datenflüsse
Bei einem traditionellen On-Premises-Deployment liegt die Sicherheit ausschließlich in den Händen der IT-Abteilung. Bei der Cloud und hybriden Varianten spricht man von einer geteilten Verantwortung. Der Anbieter garantiert die Sicherheit der Plattform; das aber nur solange, bis der Anwender diese eigenständig verändert und damit durchlässig für Gefahren macht.
Einige der zusätzlichen Risiken, die durch die Cloud entstehen, ist dem Mangel an Übersicht über Daten und Datenströme geschuldet. Die größeren Cloudprovider können mittlerweile garantieren, dass Daten einer bestimmten Dienstleistung nur innerhalb einer Region bearbeitet werden, ein Thema, dass für uns in Europa von großer Bedeutung ist.
Tatsächlich berührt die Kontrolle des Datenflusses auch die Themen Kostenkontrolle und Schatten-IT. Oft wird übersehen, dass nicht alle angebotenen Dienstleistungen in allen Regionen verfügbar sind. Da kann es schnell geschehen, dass Nutzer Datensätze zur Weiterverarbeitung einmal um die Welt senden. Das kann ein Risiko für die Integrität darstellen, untergräbt in jedem Falle jedoch die bestehenden Anforderungen an die Compliance.
Verschlüsselung, aber richtig
Ein populäres, wenn auch nicht mehr ganz aktuelles Beispiel ist die Verschlüsslung von S3 Storage. Über zehn Jahre lang standen verschiedenste Verschlüsslungen neben anderen Sicherheitsmaßnahmen wie, nicht zuletzt, Zugriffsberechtigungen, zur Verfügung. "No encryption" war jedoch Standard, und dies war beim Anlegen des Storage-Bereichs auch offensichtlich, und daher den Kunden bekannt. Aus verschiedenen Gründen wurden die angebotenen Sicherheitsmaßnahmen jedoch von einigen Unternehmen nicht genutzt und es kam immer wieder zu Daten-Leaks. Im Jahr 2017 hat AWS das Verhalten der Buckets verändert und diese sind seitdem mit AES-256 verschlüsselt.
Ein weiteres Problem ist die Art des Zugriffs. Es gibt verschiedene Wege für Verbindungen in die Cloud. Diese sind aber nicht notwendigerweise identisch mit dem Zugriff eines Kunden. Traditionell werden aus dem Unternehmen heraus Site-to-site-Verbindungen genutzt. Diese sollten selbstverständlich nicht die einzigen Sicherheitsmaßnahmen sein, um vor Fremdzugriffen zu schützen.
Empfehlung hier: In lokalen Infrastrukturen gibt es Tools, um Berechtigungen zu verwalten und das Prinzip des geringsten Zugriffs ist allgegenwärtig – IT-Governance wird gelebt. In der Cloud schieben viele Unternehmen aber immer noch allein dem Anbieter die Schuld zu. Das ist der falsche Ansatz, schließlich kann der Anbieter nicht wissen, welcher Zugriff berechtigt ist und welcher nicht. Zur Rolle der IT-Security gehört es, Dinge zu hinterfragen und nicht immer als gegeben vorauszusetzen – das gilt aus naheliegenden Gründen im Besonderen für hybride Umgebungen.
Fazit
Durch die flexible Natur von hybriden Bereitstellungen ist Governance ein etwas komplexeres Thema als in der Vergangenheit, jedoch greifen die gleichen Prinzipien noch immer. Es gilt, Übersicht zu schaffen und zu behalten, gerade auch in modernen Multicloud-Szenarien. Die darunterliegenden permanenten Wechsel in der Plattform sind für das Business nicht von Interesse – für die IT hingegen schon.
Autor: Sascha Giese, Head Geek bei SolarWinds