IT aus der Steckdose ist heute Wirklichkeit geworden. Das Angebot aus der Cloud nimmt täglich zu und kein CIO kann es sich heute mehr leisten, nicht ernsthaft Gedanken über den Bezug von IT Services aus der Cloud zu machen. Zu gross sind die Vorzüge bezüglich Effizienz, Geschwindigkeit und Aktualität von offerierten Lösungen, als dass diese traditionell mit annähernder Qualität bereitgestellt werden könnte. Einzig die Killerargumente „Risiko“ und „Sicherheit“ vermögen doch auch aufzuhorchen und den Schritt in die Wolke zumindest hinaus zu zögern.
Noch nie wurde eine Entwicklung kontroverser diskutiert als die, welche von der Cloud Technologie ausgeht. Die vierte industrielle Revolution basiert auf einer smarten Technologie, welche nur via Cloud möglich ist. Und sie findet statt, ob man will oder nicht. Und je mehr Unternehmen in die Cloud gehen, desto grösser wird der Druck, für die die sich tapfer entgegenstellen.
Kann man Chancen und Risiken so schwarz-weiss betrachten? Wird mit den neuen Möglichkeiten die Sicherheit vollständig aufs Spiel gesetzt? Opfert man der gewonnen Performance sämtliche Compliance-Vorgaben? Wird man mit der Öffnung in die Cloud die Kontrolle los, welche doch so wichtig ist, in den eigenen Händen zu behalten? Was passiert mit unseren Daten, wenn diese über die Grenzen weg gespeichert werden? Wie bekommen wir die Daten wieder zurück, wenn der Cloud-Provider bankrottgeht? Steht dann mein Geschäft still, weil seine Systeme nicht mehr laufen? Fragen über Fragen, welche niemand genau zu beantworten vermag und damit das Unbehagen in die Cloud-Technologie anheizt.
Was sicher ist: ohne Vertrauen in die Cloud wird es schwierig, die Vorteile für die eigene Organisation zu nutzen. Aber wie soll Vertrauen gewonnen werden, wenn das Schlimmste zu befürchten ist? Es ist auch ein gewisser Sachverstand notwendig, um die Problembereiche rund um die Cloud besser fassen zu können. Es braucht zudem eine Strukturierung der Fragestellungen, damit eine differenzierte Entscheidung gefällt werden kann. Und Cloud Service Provider (CSP) müssen sich dieses Vertrauen verdienen indem sie nachvollziehbare Antworten auf diese Fragen haben. Wenn es einem CSP also gelingt, echtes Vertrauen im Markt aufzubauen, so wird dies zu einem unbezahlbaren USP.
Eine wichtige Voraussetzung für das Vertrauen ist Transparenz. Transparenz darüber, wo, wie, durch wen und womit die Daten verarbeitet werden. Wie mit Personendaten umgegangen wird, wie die Rechenzentren betrieben werden und welche Prozesse eingerichtet sind um die Daten seiner Kunden zu schützen. Wenn die Transparenz einmal vorliegt, kann jeder Kunde für seinen speziellen Anwendungsfall selber gut entscheiden, ob die angebotene Lösung genügt oder nicht.
Die Kunst liegt nun darin, die richtigen Fragen zu stellen. Strukturierte Fragen zu den Themen wie Verträge, Compliance, Sicherheit und Datenschutz, Rechenzentren und Zugriff, Support-Chain und Sublieferanten sowie zu den konkreten Lösungen IaaS, PaaS oder SaaS. Welche Kontrollen sind beim CSP zu den einzelnen Themen eingerichtet und wie werden diese wahrgenommen. Wenn die Antworten auf dem Tisch liegen, gibt es keine Schwarz-Weiss-Betrachtung mehr. Man kann die Lösung und den Provider viel besser einschätzen und die Risiken bewusster beurteilen.
Die EuroCloud ist eine unabhängige non-profit Organisation, welche auf zwei Ebenen (national, international) organisiert ist und Hilfestellungen zu diesen Fragen liefern. EuroCloud Europe stellt ein pan-europäisches Netzwerk dar, welches neutral Wissen zwischen Anbietern, Kunden, Innovationsgruppen und Wissenschaft tun Forschung vermittelt. Eines der Werkzeuge dazu stellt das Cloud-Assessment Tool ECSA «EuroCloud Star Audit» dar. Ich habe bereits früher in diese Blog darüber berichtet: «EuroCloud Star Audit – Das Gütesiegel für sichere, transparente und zuverlässige Cloud Services».
Das Ziel dieses Tools ist, dass sich CSPs ihre Cloud Services auditieren und nach je nach Qualität zu einem Dreistern-, Vierstern- oder gar Fünfstern-Cloud-Service zertifizieren lassen. Die konkret vorhandenen und eingerichteten Kontrollen wären öffentlich einsehbar und damit für alle transparent. Aktuell sind sehr viele Provider dabei, ihre Services dem ECSA-Assessment zu unterwerfen. Die Anforderungen sind nicht so einfach zu erfüllen und trotzdem sehr zentral, dass sie beantwortet werden müssen. CSPs welche sich dazu entschliessen, sich hier zu outen, werden gegenüber anderen Anbietern einen grossen Vorteil haben: sie sind transparent und bieten damit die Grundlage für das eingangs verlangte Vertrauen.
Das Assessment-Tool ist jedoch nicht bloss für die Zertifizierung von Cloud-Services von grossem Nutzen. Ein viel grösserer Nutzen bietet sich für alle Unternehmen, welche sich für den Weg in die Cloud entschieden haben oder davor stehen. Welche Anforderungen sollen nun konkret in die Ausschreibung eingebracht werden? Welche Kontrollen sind Pflicht und welche können allenfalls weg gelassen werden. Je konkreter die Fragen und damit Anforderungen an den CSP gestellt werden, desto besser können die Angebote verglichen werden.
Ein weiteres Tool stellt der «Cloud Privacy Check» dar. Ein einfaches Werkzeug, welches hilft aufzuzeigen, ob und wie Privacy-Aspekte zu berücksichtigen sind und falls ja, was für ein Massnahmenpaket vernünftig ist. Dieser Check wird in Kürze auf der EuroCloud-Seite aufgeschaltet und alle relevanten Länder-spezifischen Fragestellungen berücksichtigen. Der Nebel um die Cloud lichtet sich und hilft nun stark, das Thema Cloud nicht pauschal zu betrachten, sondern mit ganz konkreten Problemstellungen zu konfrontieren. Lösungen lassen sich so viel punktgenauer erbringen.
Hier liegt der Schlüssel zum Erfolg für beide Seiten: ECSA ist das Tool für die Enduser-Organisationen und für die Cloud Service Providern und damit der Brückenbauer für das gegenseitige Vertrauen. Die Glenfis AG hat sich deshalb entschieden, sich innerhalb der EuroCloud-Community zu engagieren. Sie ist nun bereits ein akkreditiertes Trainings- und Consulting Unternehmen für ECSA – das erste in der Schweiz. Bereits sind 7 Berater zum ECSA-Professional Consultant und Trainer zertifiziert und Trainings befinden sich in Vorbereitung. Diese werden ab 2016 verfügbar.
Wir sind überzeugt, dass durch die Nutzung des Assessment-Tools eine wertvolle Unterstützung zur Versachlichung rund um die Cloud-Fragestellungen geboten wird. Cloud Service Provider erhalten somit auch die Möglichkeit durch qualitativ hochstehende Services sich von der Konkurrenz abzuheben und damit das Vertrauen zu schaffen, auf das sie so angewiesen sind.