Dr. Wolfgang Zink

The Standardisation Environment for Cloud Computing An analysis from the European and German point of view, including the ‘Trusted Cloud Technology Programme’ Short version Imprint Publisher The Federal Ministry of Economics and Federal Ministry of Economics and Technology (BMWi) Technology has been awarded the Public Relations berufundfamilie® audit certificate for its 11019 Berlin family-friendly HR policy. The certificate www.bmwi.de is granted by berufundfamilie gGmbH, an initiative of the Hertie Foundation. Editorial department Study commissioned by the Federal Ministry of Economics and Technology Produced by Booz & Company in co-operation with the FZI Forschungszentrum Informatik Overall responsibility Dr. Rainer Bernnat (Booz), Dr. Wolfgang Zink (Booz) Head of project team Dr. Nicolai Bieber (Booz) Project team Joachim Strach (Booz), Robin Fischer (FZI) Academic support Prof. Dr.-Ing. Stefan Tai (FZI) Booz & Company GmbH, Berlin FZI Forschungszentrum Informatik, Berlin Last Revised This brochure is published as part of the public relations work of February 2012 the Federal Ministry of Economics and Technology. It is distribu- ted free of charge and is not intended for sale. The distribution of Print this brochure at campaign events or at information stands run by Hansa Print Service GmbH, Munich political parties is prohibited, and political party-related informa- Design and production tion or advertising shall not be inserted in, printed on, or affixed PRpetuum GmbH, Munich to this publication Contents 1. Summary and outlook ..........................................................................................................................................................................2 2. Introduction..............................................................................................................................................................................................4 3. Taxonomy of standards in cloud computing ..............................................................................................................................6 4. Standardisation organisations in cloud computing ................................................................................................................8 5. Relevant standards in the cloud environment ........................................................................................................................ 10 6. Important strategic trends ............................................................................................................................................................... 13 7. Recommendations for action ......................................................................................................................................................... 14 The long version of the study in German is available for download under www.trusted-cloud.de 2 1. Summary and outlook The standardisation environment tion attempts like OCCI, OVF, Open Stack or CDMI, all is heterogeneous of which make explicit reference to cloud computing, are also proving attractive. Generally, there are large The standardisation environment for cloud computing gaps in standardisation and there is great potential for is only just starting to develop. However, it is picking development. There is a confusing plethora of stand- up speed. So this study is inevitably an initial snap- ards, some of them similar, some of them underdevel- shot.1 Existing work on standardisation has yet to pass oped, and their degree of market relevance is some- the concept stage, since a lack of common definitions times unclear. The potential contained in a large or orientational knowledge has impeded joint and number of established standards for other fields and targeted progress. The widespread deployment of sectors, which in an adapted form are becoming genuinely useful and usable standards for cloud com- important for cloud computing, is only being devel- puting is hindered by a lack of suitable national rules, oped slowly (e.g. OAuth, SCAP, WS-* or USDL). Man- of harmonisation, and of technical convergence. agement standards, like GRC-Stack, are extremely rare. The USA is leading the way A diverse range of challenges Thanks to the market power of their proprietary There is a need for a holistic approach and a co-ordinated industry standards, established US providers are exert- definition of the aims in the field of cloud standardisa- ing the greatest influence on standardisation in cloud tion. As far as possible, this should be co-ordinated at computing. In the second tier, there are consortia aim- international, European and German level. The main ing to have open standards as a market entry strategy. aim should be to close the gaps in the interest of func- A pioneering role amongst the standardisation bodies tioning and fair competition. For example, there are is being played by the NIST of the US administration: many challenges in terms of interoperability, portabili- it was the first body to draw up a standardisation road- ty, enhanced transparency, legal certainty (e.g. with map for cloud computing. Some international bodies regard to data privacy), information security and gov- are also very much involved, but the overwhelming ernance, or – more fundamentally – in terms of open- majority are being slow to focus on standards for cloud ness to more competition. computing. At European level, ETSI and EuroCloud are the most influential bodies. In Germany, the DIN, BIT- KOM and the BSI are taking first steps towards the The industry and the state are both called definition of the specifications. Major future commer- on to act cial users of cloud computing, and SMEs in particular, are failing to play a sufficient part in the process. Many The chief responsibility lies with the German business leading industrial nations are currently at the stage of community, which needs to play a more active part in orientation and planning in the field of cloud comput- standardisation in order to assert its key interests in ing and cloud standardisation. the field of cloud computing. At the same time, there is a need for a policy response by government, since this is the only way to prevent possible market failure at an First standards becoming accepted early stage. Cloud computing should not be a field where the legal situation is unclear or even completely Much work is currently being done on preparations, open: it simply offers too many opportunities for e. g. orientational knowledge, specifications or refer- growth if the right framework is in place. Rapid action ence implementations. Proprietary, commercial solu- is needed since major decisions on cloud standardisa- tions in particular are widespread, and are currently tion are likely to be seen by 2014. emerging as the industry standard. Initial standardisa- 1 In the course of the six months in which the study was produced, a lot of new publications appeared, not all of which could be taken into account (e. g. TOSCA, http://www.oasis-open.org/committees/tosca/). 1.

Das Normungs- und Standardisierungsumfeld von Cloud Computing Eine Untersuchung aus europäischer und deutscher Sicht unter Einbeziehung des Technologieprogramms „Trusted Cloud“ Kurzfassung Impressum Herausgeber Das Bundesministerium für Wirtschaft und Bundesministerium für Wirtschaft Technologie ist mit dem audit berufundfamilie® und Technologie (BMWi) für seine familienfreundliche Personalpolitik Öffentlichkeitsarbeit ausgezeichnet worden. Das Zertifikat wird von 11019 Berlin der berufundfamilie gGmbH, einer Initiative der www.bmwi.de Gemeinnützigen Hertie-Stiftung, verliehen. Redaktion Eine Studie im Auftrag des Bundesministeriums für Wirtschaft und Technologie Erstellung durch Booz & Company in Kooperation mit dem FZI Forschungszentrum Informatik. Gesamtverantwortung Dr. Rainer Bernnat (Booz), Dr. Wolfgang Zink (Booz) Leitung Projektteam Dr. Nicolai Bieber (Booz) Projektteam Joachim Strach (Booz), Robin Fischer (FZI) Wissenschaftliche Begleitung Prof. Dr.-Ing. Stefan Tai (FZI) Booz & Company GmbH, Berlin FZI Forschungszentrum Informatik, Berlin Stand Diese Broschüre ist Teil der Öffentlichkeitsarbeit des Februar 2012 Bundesministeriums für Wirtschaft und Technologie. Sie wird kostenlos abgegeben und ist nicht zum Druck Verkauf bestimmt. Nicht zulässig ist die Verteilung Hansa Print Service GmbH, München auf Wahlveranstaltungen und an Informationsständen Gestaltung und Produktion der Parteien sowie das Einlegen, Aufdrucken oder PRpetuum GmbH, München Aufkleben von Informationen oder Werbemitteln. Inhalt 1. Zusammenfassung und Ausblick .....................................................................................................................................................2 2. Einleitung ...................................................................................................................................................................................................4 3. Taxonomie für Standards im Cloud Computing .......................................................................................................................6 4. Standardisierungsorganisationen im Cloud Computing ......................................................................................................8 5. Relevante Standards im Cloud-Umfeld ...................................................................................................................................... 10 6. Wichtige strategische Trends bei der Standardisierung im Cloud Computing ......................................................... 13 7. Handlungsempfehlungen für die Standardisierung im Cloud Computing ................................................................ 14 Die Langfassung der Studie steht als Download unter www.trusted-cloud.de zur Verfügung. 2 1. Zusammenfassung und Ausblick Das Standardisierungsumfeld ist heterogen Erste Standards etablieren sich Das Normungs- und Standardisierungsumfeld im Cloud Viele Anstrengungen sind heute noch Vorarbeiten Computing ist erst im Entstehen begriffen. Es gewinnt gewidmet, z. B. Orientierungswissen, Spezifikationen jedoch zunehmend an Eigendynamik. Diese Studie ist oder Referenzimplementierungen. Große Verbreitung somit zwangsläufig eine erste Momentaufnahme.1 besitzen vor allem proprietäre, kommerzielle Lösun- Bisherige Bemühungen zur Standardisierung stecken gen, die derzeit zum Industriestandard aufsteigen. konzeptionell in den Kinderschuhen, da ein Mangel an Attraktivität strahlen auch erste Standardisierungsan- einheitlichen Definitionen oder Orientierungswissen sätze wie OCCI, OVF, Open Stack oder CDMI aus, die ein zielorientiertes gemeinsames Handeln behindert. alle einen expliziten Bezug zum Cloud Computing auf- Die Verbreitung wirklich anwendbarer und genutzter weisen. Die Standardisierungslücken und Weiterent- Standards für das Cloud Computing wird durch unge- wicklungsmöglichkeiten sind allgemein groß. Es gibt eignete nationale Regeln oder deren Harmonisierung eine recht unübersichtliche Menge teils ähnlicher oder sowie unzureichende technische Konvergenz unreifer Standards mit unklarer Relevanz am Markt. erschwert. Das Potenzial einer Vielzahl etablierter Standards für andere Bereiche und Branchen, die in angepasster Form für das Cloud Computing wichtig werden, wird Die USA sind Vorreiter nur langsam erschlossen (bspw. OAuth, SCAP, WS-* oder USDL). Managementstandards, wie der GRC Etablierte US-amerikanische Anbieter besitzen heute Stack, sind äußerst rar. durch die Marktmacht ihrer proprietären Industrie- standards den größten Einfluss auf die Standardisierung im Cloud Computing. In der zweiten Reihe positionie- Die Herausforderungen sind breit gefächert ren sich Konsortien, die als Markteintrittsstrategie offene Standards anstreben. Eine Vorreiterrolle unter Für die Zukunft sind eine gesamthafte Betrachtung den Standardisierungsgremien hat das NIST der US- und eine koordinierte Zielbestimmung für die Arbeiten Verwaltung, das als erstes Gremium eine Standardisie- auf dem Feld der Cloud-Standardisierung notwendig. rungsroadmap für das Cloud Computing erarbeitet Dies sollte möglichst abgestimmt auf internationaler, hat. Einige internationale Gremien zeigen ebenfalls europäischer und deutscher Ebene erfolgen. Es sollte großes Engagement, während die überwiegende Mehr- vorrangig darum gehen, im Interesse eines funktionie- heit ihren Fokus nur langsam auf Standards für das renden fairen Wettbewerbs bestehende Lücken zu Cloud Computing ausrichtet. Auf europäischer Ebene schließen. So bestehen sehr viele Herausforderungen besitzen das ETSI und EuroCloud den größten Einfluss. hinsichtlich Interoperabilität, Portabilität, sowie besse- In Deutschland unternehmen das DIN, der BITKOM rer Transparenz, Rechtssicherheit (etwa in Bezug auf und das BSI erste Schritte bei der Anforderungsdefini- Datenschutz), Informationssicherheit und Governance, tion. Wichtige zukünftige Anwender von Cloud Com- oder grundsätzlich der Offenheit für mehr Wettbe- puting in der Wirtschaft, insbesondere im Mittelstand, werb. zeigen zu wenig Mitwirkung. Viele führende Industrie- staaten befinden sich im Jahr 2012 hinsichtlich Cloud Computing und seiner Standardisierung in der Orien- tierungs- und Planungsphase. 1 Während der sechsmonatigen Studienerstellung gab es eine Vielzahl neuer Veröffentlichungen, die nicht alle berücksichtigt werden konnten (z. B. TOSCA, http://www.oasis-open.org/committees/tosca/). 1. Zusammenfassung und Ausblick 3 Wirtschaft und Staat sind aufgefordert zu handeln Der deutschen Wirtschaft obliegt die Hauptverantwor- tung durch eine aktivere Rolle bei der Standardisie- rung ihre vitalen Interessen im Cloud Computing zu vertreten. Zugleich ist ordnungspolitisches Handeln entscheidend, da nur so einem möglichen Marktversa- gen frühzeitig begegnet werden kann. Cloud Compu- ting sollte auch kein Gebiet mit unklarer Rechtslage sein; dafür birgt es zu viele Wachstumschancen. Ein rasches Handeln ist notwendig, da bis 2014 wichtige Standardisierungsentscheidungen im Cloud Compu- ting zu erwarten sind. Das Handlungswirken seitens der Politik sollte auf möglichst partizipative Instrumente setzen und sich auf zwei Ziele konzentrieren: Die Unterstützung bei der inhaltlichen Orientierung und die Schaffung geeig- neter grundsätzlicher Rahmenbedingungen. Wichtige Handlungsfelder sind Zertifizierungen, Orientierungs- wissen, Rechtsverträglichkeit, zentrale Koordination, begleitende Kommunikation – und auch die Schaffung notwendiger rechtlicher Vorgaben.