Fünf Regeln, um die Risiken für Applikationslandschaften zu reduzieren

White Paper Business Solutions Guide: Compliance by Design FÜNF REGELN, UM DIE RISIKEN FÜR APPLIKATIONSLANDSCHAFTEN ZU REDUZIEREN 2 Business Solutions Guide: Compliance by Design. Fünf Regeln, um die Risiken für Applikationsland- schaften zu reduzieren Dieser Guide wendet sich an alle, die für Sicherheit und Compliance von Applikati- onslandschaften eines Unternehmens verantwortlich sind, darunter CIOs, CISOs, Heads of IT Governance und Unternehmensarchitekten. Er umfasst fünf Regeln zur Gestaltung einer zukünftigen IT-Landschaft, die sowohl internen als auch externen Bestimmungen entspricht und gleichzeitig geschäftlichen Nutzen bringt. Schlagzeilen vermeiden Einer der sichersten Wege für Unternehmen, eine breite Aufmerksamkeit in den Medien zu erhalten, sind spektakuläre Sicherheitslücken in ihrer IT-Landschaft. Obwohl Unternehmen viel Geld für die Risikoanalyse ihrer Applikationen ausgeben, um solche Schlagzeilen zu vermeiden, gehen noch immer regelmäßig Nachrichten über verlorene Kundendaten oder überwundene Sicherheitssysteme durch die Presse. Denn selbst wenn es interne Bestimmungen gibt, werden diese – oft unbe- wusst – nicht immer durchgesetzt. Das zeigt, wie schwierig es ist, alle Sicherheits- lücken zu schließen – besonders angesichts steigender Komplexität und sinkender IT-Budgets. „Man muss ständig überlegen, wie man die Komplexität reduzieren kann, wo man ansetzen kann und wie das zum Business passt. Und was diese Reduzierung bedeutet.“ sagt Klaus Wolf, Leiter des IT-Ma- nagement der Generali Deutschland Informatik Services. Externe Bestimmungen tragen zusätzlich zur Komplexität bei. Da Entscheidungs- träger persönlich für die Compliance ihrer Applikationslandschaft verantwortlich gemacht werden können, überrascht es nicht, dass Unternehmen diese Aufgabe sehr ernst nehmen und viel Aufwand betreiben, den jährlichen „Gesundheitscheck“ der Applikationslandschaft zu bestehen. Mit einer „gesunden Lebensweise“ auf organisatorischer Ebene ist man bestens darauf vorbereitet; dazu bedarf es aber der Implementierung und Automatisierung Business Solutions Guide: Compliance by Design. 3 von effektiven IT-Governance-Prozessen. Organisationen, die Entscheidungsprozes- se für IT-Risk- und IT-Compliance-Management erfolgreich mit der fortwährenden Entwicklung des IT-Portfolios verbinden können, profitieren am meisten von ihren IT-Governance-Initiativen. Wir hoffen, dass dieser Business Solutions Guide Ihnen helfen wird. Er bietet fünf Regeln, um Compliance by Design zu erreichen – von der Aufdeckung von IT-Risiken bis hin zur Gestaltung einer zukünftigen IT-Landschaft, die compliant ist und den Geschäftserfolg vorantreibt. Kontaktieren Sie uns, wenn Sie Näheres über die ein- zelnen Punkte erfahren möchten. Regel 1: Die Realität einholen. Um die bestehenden Risiken und Compliance-Lücken zu erkennen, benötigen Sie einen genauen Überblick über Ihre aktuelle Applikationslandschaft. Was jedoch viele Organisationen als ihre „aktuelle Landschaft“ akzeptieren, ist sehr oft nur ein Abbild der Vergangenheit. Eine aktuelle Studie von Nucleus Research zeigt, dass IT-Entscheidungsträger in Unter- nehmen von Informationen abhängig sind, die in der Regel 14 Monate alt sind – und nur zu 55% korrekt. So entsteht ein ernsthaftes Problem der Datenqua- lität für jegliche Risiko- oder Compliance-Analyse. Im Gegensatz dazu können Unternehmen, die ihren Daten voll und ganz trauen, Entscheidungen mit we- sentlich größerer Zuversicht treffen. „Wir haben jetzt Konsistenz in unseren Daten und deren Beziehungen, um die Analyse korrekt durchzuführen. Und die Möglichkeit, unse- re Bestandsaufnahmen von Prozessen, Applikationen, Plattformen, Geschäftsobjekte usw. ständig zu aktualisieren, was natürlich enorm wichtig ist. Das Maß an Vertrauen in die Rationalisierung oder die Analyse sinkt beträchtlich, wenn die Daten nicht aktuell sind,“ sagt Gabriel Morgan, Principal Enterprise Architect bei MSIT. 4 Bevor Organisationen also Risiken oder Compliance-Lücken der Applikationsland- schaft beurteilen und analysieren können, müssen sie zunächst die Realität einho- len und sicher stellen, dass sie einen Echtzeit-Überblick über ihr IT-Portfolio haben. Regel 2: Eine Routine daraus machen. Angesichts der schieren Menge an Informationen und der Dynamik der Veränderun- gen, können Daten nicht mehr umfassend ad hoc erhoben werden. Trotzdem nehmen viele Organisationen einen anstehenden Compliance-Audit oder eine Risikoanalyse zum Anlass, um Application-Manager und andere IT-Verantwort- liche zum Stand der bestehenden Applikationslandschaft zu befragen. Und das immer wieder! Wenn mehrere Audits anstehen, werden so inkonsistente Detailaus- schnitte und Momentaufnahmen einer sich ständig verändernden IT-Umgebung gemacht. „Die Plattform wird von Stakeholdern in der gesamten Organisation Credit Suisse weltweit genutzt und umfasst 3000 Applikationen mit 3000 technischen Komponenten und deren Beziehungen untereinan- der“, betont Stephan Hug, CTO, Private Banking IT bei Credit Suisse. Nur indem man alle Veränderungen sorgfältig verfolgt und sicherstellt, dass die In- formationen fortlaufend und möglichst automatisiert aktualisiert werden, kann man ein genaues Verständnis der aktuellen IT-Landschaft bekommen – in Echtzeit. Dies kann jedoch nicht von einer einzelnen Person und auch nicht von einem speziellen Team alleine erreicht werden. Es muss für alle, die Veränderungen in der Landschaft vornehmen, zur Routine werden, die Änderungen in dem Moment zu berichten, in dem sie vorgenommen werden. In anderen Worten, alle machen etwas statt wenige machen alles – kurz: All Do Some. Regel 3: Silos vermeiden. Die meisten Organisationen führen Risikoanalysen und Compliance-Audits von eigenen Organisationseinheiten aus durch – das ist gut. Diese schaffen und pflegen jedoch oft separate Datenquellen – das ist nicht gut. Business Solutions Guide: Compliance by Design. 5 Der Einsatz von Silos verursacht inkonsistente Sichten und enorme Kosten, weil Daten über die IT-Landschaft und den Business-Kontext separat von den für Risk und Compliance relevanten Informationen gespeichert werden und die Planung von Veränderungen und Migration wiederum in einer weiteren Umgebung erfolgt. Zudem bleibt genügend Spielraum für Fehlinterpretationen und blinde Flecken. „Eine zentralisierte Informationsbasis ist von grundlegender Bedeu- tung, um die Entwicklung, Optimierung und den Betrieb der Applikati- onslandschaft zu verwalten“, sagt Klaus Wolf, Director of IT Manage- ment bei Generali Deutschland Informatik Services. „Viele IT-Prozesse – nicht nur ITIL oder CMMI – können von einem aktiven Repository unterstützt werden, und können auch so gestaltet werden, dass die aktuellsten Projektinformationen direkt in die Planung einfließen“, so Wolf weiter. Nur ein integriertes IT-Portfolio mit Einsicht in alle Aspekte der IT-Landschaft und der geplanten Veränderungen macht eine umfassende Analyse der aktuellen und der zukünftigen Risiken und Compliance-Lücken möglich. In einer aktuellen Un- tersuchung stellt Nucleus Research1 fest, dass die Zusammenfassung aller Daten in einem konsistenten Repository mit Unterstützung der Business-, Budget- und Architektur-Sicht eine single source of the truth schafft. Regel 4: Prozesse automatisieren. Manuell verwaltete Prozesse sind fehleranfällig, teuer und oft sehr langsam. Dies trifft besonders auf komplexe Prozesse mit vielen Beteiligten zu. Für das Management von Compliance und Risk einer Applikationslandschaft sind komplexe IT-Governance-Prozesse notwendig, um die relevanten Daten, Pläne und Beteiligten miteinander zu verbinden, zu synchronisieren und jederzeit zu aktualisie- ren; und somit gleichzeitig interne Ziele und externe Bestimmungen zu erfüllen. Die Automatisierung dieser Prozesse bietet daher ein hohes Potenzial für die Verbesse- rung der Effizienz und Effektivität – vor in Unterstützung von Regel 2. The Risk of Inaccurate Data on IT Applications, Nucleus Research, April 2011 6 „Ein Repository definiert die Controls für all diese Prozesse“, sagt Wolf von Generali. „Die Governance-Projekte arbeiten jetzt nach diesen Con- trols und es ist ganz einfach, zum Beispiel einen SAS70-Bericht anzu- fordern.“ Jan Rick, ehemals Head of IT Strategy der Deutschen Bahn, stimmt dem zu: „Die Einführung dieser Art der Planungs-Software und ihr Potenzial für die Verbesserung der IT-Prozesse ist eine gute, lang- fristige Investition.“ Automatisierte Workflows stellen sicher, dass alle Schritte eines Prozesses korrekt ausgeführt werden und dass deren Status nachverfolgt werden kann. Dieser Grad der Transparenz ist von großer Bedeutung für den Überblick über die Risk- und Compliance-Bewertungen sowie für die Planung von Gegenmaßnahmen, vor allem, da beide Aufgaben eine abgestimmte und abteilungsübergreifende Zusammenarbeit erfordern. Regel 5: Compliance by Design. Die Aufdeckung eines Risikos oder einer Compliance-Lücke in einer bestehenden IT-Landschaft ist das Ergebnis einer guten Analyse – und einer schlechten Planung. Viele Organisationen werten die Aufgabe der Risk- und Compliance-Analyse zu einer nachgelagerten Prüfung in der Entwicklung der IT-Landschaft ab, anstatt sie zu einem integralen Bestandteil der IT- Planung zu machen. Dies geschieht kaum aus böser Absicht; es ist vielmehr die Folge fehlender Infor- mationen, die bereits während der Entwicklungszeit benötigt werden, um die Auswirkungen von Verände- rungen antizipieren zu können.