Cloud Computing für KMU – Definition, Grundlagen & operationelle Aspekte
Roland Portmann setzt sich für praktische und wirkungsvolle Mechanismen in der IT-Security ein. Heute werden viele Pseudomethoden eingesetzt und propagiert, wie im Endeffekt kaum etwas bringen und grosse Schäden verursachen können. Als IT-Spezialist arbeitet Roland Portmann bei der Hochschule Luzern, bei SQS als 27001 Fachexperte. Er macht IT-Security Audits und Beratungen bei der isec AG.
Wir starten bei secnovum hier mit einer dreiteiligen Beitragsserie rund um die Aspekte von Cloud Computing, respektive der Auslagerung der IT-Infrastruktur von KMU in die Cloud. Im ersten Teil vermitteln wir einige Grundlagen und erläutern einige zentrale operationelle Aspekte. Im darauffolgenden zweiten Beitrag gehen wir eher auf potentielle Probleme und Risiken rund um das IT-Outsourcing in die Cloud und wie man sich davor schützen kann ein (juristische und finanzielle Aspekte). Im dritten und letzten Teil der Beitragsserie befassen wir uns mit einer teilweisen Auslagerung der IT; der Nutzung von einzelnen Services in der Cloud.
Starten Sie nun mit dem 1. Beitrag:
Hohe IT-Kosten meist ein Grund für Cloud-Computing
Viele KMU betreiben selbst eine eigene IT-Infrastruktur und sind zunehmend mit dem Betrieb der IT überfordert. Einzelne Firmen beschäftigen eigene IT-Spezialisten, andere Firmen arbeiten mit externen Partnern zusammen. Häufig finden wir auch eine Kombination vor, von internen Mitarbeitenden in der IT, die auch mit externen Firmen zusammenarbeiten. Sind diese Konstellationen noch zeitgemäss? Wie verändert sich die Risiko-Situation, wenn auf Cloud-Computing gewechselt wird? Ist Cloud-Computing überhaupt eine Option für KMU?
Realistische Auswertungen zeigen, dass die Kosten für das Betreiben einer eigenen IT-Infrastruktur massiv am Steigen sind und dass diese von den Betriebsinhabern kaum beeinflusst werden können. Cloud-Computing hingegen verspricht fix budgetierbare Kosten und klare Leistungen des Anbieters. Dazu ist auch bei zunehmendem Cloud-Computing damit zu rechnen, dass die Preise fallen werden. Also warum nicht zuCloud-Computing wechseln?
Der Betrieb einer eigenen IT-Infrastruktur setzt vielfach auch die Beschäftigung eigener IT-Spezialisten im Unternehmen voraus, was die Gefahr einer hohen Abhängigkeit und möglicherweise auch eine sehr eindimensionale Sichtweise auf IT mit sich bringt. Verlassen die IT Spezialisten das Unternehmen, so geht enorm viel Know-how verloren. Zudem sind eigene IT-Spezialisten zunehmend überfordert, da immer mehr und komplexere Geräte, Server, Betriebssysteme, Netzwerke, Applikationen usw. betreut werden müssen. Nicht zuletzt ist es für viele IT-Mitarbeitende immer schwieriger, die aktuelle Bedrohungslage risikogerecht zu analysieren. Allerdings, auch bei einer Betreuung durch kleinere externe Firmen sind vielfach ähnliche Probleme festzustellen.
Um nun Cloud-Computing besser zu verstehen, ist ein wenig Theorie notwendig. Wenn man in einem Theoriebuch (oder moderner: Web-Ressourcen wie Wikipedia) nachschaut werden meistens zuerst einige Charakteristiken von Cloud-Computing aufgeführt:
- On-Demand-Service: Die Leistungen aus der Cloud können selbst zugewiesen (konfiguriert) werden und stehen nach kurzer Zeit (Minuten) zur Verfügung.
- Broad Network Access: Auf die Leistungen der Cloud können mit Standardprotokollen zugegriffen werden. Meist erfolgt dies heute über Internet. Es können aber auch andere WAN-Verbindungen (Mietleitungen) verwendet werden.
- Ressource Polling: Verschiedene Cloud-Kunden können auf den gleichen Ressourcen arbeiten. Die Cloud-Konzepte stellen aber sicher, dass die Kunden nur Zugriff auf ihre Daten haben.
- Elastizität: Die Cloud-Ressourcen können bei sich ändernden Leistungsansprüchen rasch angepasst werden.
- Measured Usage: Die Ressourcennutzung wird gemessen und entsprechend verrechnet. Man bezahlt nur Leistungen, die man bezogen hat.
- Resilience: Die Cloud-Ressourcen sind gegen einen Ausfall gut geschützt (redundate RZ, Georedundanz, automatischer Fail Over)
On-Premise vs. Cloud Computing - Probleme und Herausforderungen
Mit dem Betrieb einer eigenen IT-Infrastruktur tauchen häufig folgende Probleme auf, die scheinbar mit Cloud-Computing zu lösen sind:
- Neue Server und Applikationen benötigen eine Einführungszeit von mehreren Monaten
- Auftreten grösserer Netzwerk-Probleme, die offenbar schwierig zu lösen sind
- Die eigenen teuren Server sind zu 1%-2% (CPU-Auslastung) ausgelastet. Kleinere Server sind nicht mehr zu kaufen
- Falls eine IT-Ressource ausgebaut werden muss (z.B. Disk-Platz), ist mit hohen Kosten und langer Ausbauzeit zu rechnen
- Die IT-Spezialisten wollen Produkte installieren, die hohe Kosten und einen unklaren Nutzen bringen
- Die eigenen Server stehen leider oft in Räumen, die eigentlich für den IT-Betrieb ungeeignet sind.
Aber auch mit Cloud-Computing tauchen die einen oder anderen Aspekte auf, die kritische Argumente gegen eine Nutzung von Cloud-Computing in KMU auf den Tisch bringen:
- Das Zuweisen von Ressourcen bei der Nutzung von Cloud-Computing ist komplex und erfordert entsprechendes Know-how
- Ausfall des Internets oder instabile Funktionalität beinträchtigt die komplette Nutzung
- Es gibt immer wieder Schwachstellen, die eine saubere Trennung von verschiedenen Kunden erschweren (Meltdown, Spectre)
- Es besteht das Risiko, dass unnötige Ressourcen-Kapazitäten konfiguriert werden und bezahlt werden müssen
- Die Kosten des Cloud-Computing können schnell hoch werden, da unnötige Kapazitäten sehr teuer sein können
- KMU benötigen vielfach keine hohe Ausfallsicherheit
Sind Cloud-Services die Lösung?
Die grossen Cloud-Anbieter (Amazon, Microsoft, Swisscom) bieten Services mit den oben beschriebenen Charakteristiken an (reine Cloud-Services). Die meisten dieser Services können von KMU-Firmen nicht (direkt) eingesetzt werden. Eine KMU-Firma will eher einen einzigen Ansprechpartner für alle IT-Probleme. Viele IT-Firmen in der Schweiz bieten daher «Cloud-Lösungen» an, die nicht alle obigen Charakteristiken aufweisen, aber bedeutend besser auf die Bedürfnisse der KMU zugeschnitten sind.
Diese IT-Firmen betreiben eine grosse Virtualisierungsinfrastruktur, die teilweise in grossen Rechenzentren betrieben wird (Collocation). Teilweise beziehen diese IT-Firmen auch Ressourcen von den grossen Cloud-Anbietern und mixen diese mit den eigenen Ressourcen (Hybrid Cloud). Auf diesen Virtualisierungsinfrastrukturen betreiben die Firmen alle Server und Services ihrer Kunden. Damit profitieren die Kunden von vielen Vorteilen des Cloud-Computings und haben zudem einen einzigen Ansprechpartner für alle IT-Probleme. Diese Cloud-Anbieter für KMU-Firmen implementieren typischerweise IT-Konzepte, die man üblicherweise nur bei grossen Firmen sieht:
- Die Betriebskonzepte sind modern und gut dokumentiert. Die entsprechenden Prozesse für den Betrieb sind gemäss üblichen Mechanismen und Standards (z.B. ITIL) implementiert
- Es werden zeitgemässe Sicherheitsmechanismen implementiert
- Das notwendige Know-how ist auf alle Mitarbeitenden des Cloud-Anbieters verteilt
- Die Server werden mit einer üblichen und sinnvollen Auslastung betrieben
- Es wird ein professionelles Monitoring implementiert
- Es werden moderne Backup-Konzepte implementiert
Viele der obigen Aspekte skalieren sehr gut, d.h. es spielt vom Aufwand her keine Rolle, ob mit einem guten Monitoring-System 1 Server oder 100 Server überwacht werden. Damit können die Leistungen relativ preisgünstig angeboten werden.
Die Vorteile der Cloud-Services sehen bestechend aus. Im zweiten Teil dieser Beitragsserie werden auch einige problematische bzw. zu berücksichtigende Aspekte des Cloud-Computings angesprochen. Schlussendlich muss jede Firma eine Risiko-Betrachtung für sich selber durchführen.
