Compliance und Sicherheit der Geschäftsdaten
IT-Compliance: Leitfaden für die Implementierung einer effizienten Configuration- und Audit Control-Lösung
Sicherheitslücken, Performance-Schwächen und Produktivitätsverluste vermeiden
(11.01.12) - Change- und Configuration Management (CCM)-Tools werden in modernen Unternehmen als effektive Lösungen für die Kontrolle dynamischer IT-Umgebungen angesehen und eingesetzt. Doch, so warnen Analysten des amerikanischen Marktforschungsinstituts EMA (Enterprise Management Associates) (*), traditionelle Change- und Konfigurationsmanagement-Tools adressieren in der Regel nicht alle Aspekte der zahlreichen Konfigurationsdetails, wie sie komplexen IT-Infrastrukturen zugrunde liegen. So können Veränderungen aus einer Vielzahl von Quellen heraus initiiert werden, jedoch ist jedes einzelne CCM-Tool auf die Bewertung seiner eigenen Disziplin beschränkt. Liegen dem Unternehmen beim Auftreten von Problemen nicht die detaillierten forensischen Daten für eine schnelle Ursachenerkennung und Fehlerbehebung vor, kann dies zu einschneidenden Störungen in den Geschäftsabläufen führen.
Zudem machen sowohl interne, als auch industriell und gesetzlich getriebene Compliance-Anforderungen eine Lösung unerlässlich, die eine unternehmensweite Konformität und Sicherheit der Geschäftsdaten garantiert. Hierfür bietet Configuration Audit und Control, so die IT-Berater von EMA, die geeignete, unabhängige Basis. Unter Configuration Audit und Control versteht man den Prozess, mit dessen Hilfe sichergestellt wird, dass sämtliche Infrastrukturkomponenten der IT-Umgebung in einem bekannten und vertrauenswürdigen Status gehalten werden. Um die Vorteile von Configuration Audit und Control in vollem Umfang nutzen zu können, sind bei der Auswahl potentieller Lösungen einige grundlegende Kriterien zu beachten. EMA hat diese Kriterien in zehn Hauptsegmente eingeteilt, aus denen sich je nach Geschäftsanforderungen und Ablauf der Geschäftsprozesse sieben Tipps und Maßnahmen für eine effiziente Produktevaluierung ableiten lassen:
1. Stellen Sie sicher, dass Ihre Konfigurationen den organisatorischen Standards entsprechen
Das erfolgreiche Verwalten und Einhalten von Konfigurations-Settings ist nur dann möglich, wenn die grundlegenden Einstellungen für die jeweilige IT-Infrastruktur und deren besondere Anforderungen optimiert sind. Neben rein funktionalen Konfigurationen für die Optimierung der Performance, des Load Balancing und der Security sind vor allem auch Konfigurationen entscheidend, die internen Audit-Anforderungen, dokumentierten Best Practices (CIS, ISO 27001) und gesetzlichen Compliance-Vorschriften (PCI-DSS, SOX, HIPAA) entsprechen. Auf welche IT-Anforderungen Ihr Unternehmen auch immer standardisiert hat – es ist entscheidend, dass alle IT-Komponenten mit diesen Standards konform gehen und bleiben.
2. Erkennen Sie alle Änderungen über die gesamte IT-Landschaft hinweg
Den EMA-Untersuchungen zufolge, die im Auftrag der auf automatisierte Security und IT-Compliance spezialisierten durchgeführt wurden, werden durchschnittlich mehr als 60 Prozent aller kritischen System- und Applikationsausfälle durch fehlerhafte Änderungen an der IT-Umgebung verursacht. Da Veränderungen von unterschiedlichsten Quellen ausgehen können, müssen die diversen, im Unternehmen agierenden Change-Agenten wie automatisierte Konfigurationstools, semi-automatisierte Skripts und natürlich auch manuelle Änderungen identifiziert werden. Angesichts so zahlreicher Interaktionspunkte kann das Management von Change-Monitoring schwierig und mühsam sein. Zur Vereinfachung dieses Prozesses sollte innerhalb einer zentralisierten Lösung ein einziger "Point of Control" implementiert werden. Für die meisten Unternehmen gehört diese Komponente zu den wichtigsten Elementen von Configuration Audit und Control, da sie direkten Einfluss darauf hat, inwieweit die Unternehmens-IT auftretende Fehler schnell identifizieren und beheben kann.
3. Halten Sie rechtzeitig detaillierte Daten zu Konfigurationsänderungen fest
Das manuelle Sammeln und Korrelieren von Daten zu Konfigurationsänderungen ist - angesichts der IT-Komplexität – heute selbst in kleineren Unternehmen nicht mehr praktikabel. Für das zentralisierte Sammeln und Darstellen dieser Change-Informationen sind automatisierte Tools erforderlich, die der IT-Administration eine rasche Analyse und rechtzeitige Fehlerbehebung ermöglichen. Die Werkzeuge müssen auf granularer Ebene detaillierte Informationen zu Change-Ereignissen bereit stellen, so dass jederzeit nachverfolgt werden kann, was genau wann passiert ist und wer dafür verantwortlich zeichnet. Dabei muss eine solche, automatisierte Lösung diese umfassenden Informationen bereit stellen können, ohne Ihre System- und Netzwerkressourcen zu kompromittieren.
4. Prüfen Sie Ihre Konfigurationsänderungen unabhängig von automatisierten Tools
Automations-Tools eignen sich exzellent für das Management heutiger, komplexer IT-Umgebungen. Der unbeabsichtigte oder fehlerhafte Einsatz solche Tools kann jedoch erheblichen Schaden in Ihrer IT-Infrastruktur anrichten. Da mit solchen Tools durchgeführte Änderungen immer "autorisiert" sind, ist eine unabhängige Prüfung und Analyse dieser Änderungen erforderlich, die sicher stellt, dass die Änderungen mit den festgelegten Policies konform gehen. Auch erkennt das Change Tracking – also die Nachverfolgung von Änderungen mit diesen automatisierten Tools – oft nicht diejenigen Änderungen, die mit anderen Tools, Skripts oder durch manuelles Eingreifen verursacht wurden. Nur ein unabhängiges und unternehmensweites Change- und Auditing-Tool kann die Compliance sicher stellen.
5. Gleichen Sie Änderungen mit Ihren organisatorischen Change-Policies ab
Das Erkennen ungeeigneter Änderungen ist nur dann effektiv, wenn ein Abgleich mit den vordefinierten Konfigurations- und Change-Policies erfolgen kann. Vorher festgelegte Policies helfen dabei, das aus der Nachverfolgung sehr vieler, oft nicht geschäftsrelevanter Änderungen entstehende "Informations-Sammelsurium" zu entwirren. So genannte "Business-as-usual"-Changes werden ganz automatisch bearbeitet und durch die Einbindung einer automatischen Abgleichfunktion in eine Prioritätenliste können die meisten, wichtigen Änderungen schnell identifiziert werden.
6. Erlauben Sie Change Management-Systemen den Abgleich mit Change-Tickets
Wird bereits ein automatisiertes Change Management-System eingesetzt, sollte die Configuration Audit- und Control-Lösung mit diesem System integriert werden. Der daraus entstehende, geschlossene Change Management-Prozess ermöglicht den Abgleich erkannter Änderungen mit genehmigten Change-Tickets. So wird sichergestellt, dass alle Änderungen geplant und genehmigt sind und nur an denjenigen Systemen vorgenommen werden, für die sie vorgesehen sind. Alle nicht autorisierten Changes werden kenntlich gemacht.
7. Ermöglichen Sie umfassendes, mehrstufiges Reporting und sofortige Alarmierung
Ebenso wichtig wie die Qualität und Quantität der gesammelten Daten ist die Art und Weise, wie sie präsentiert und analysiert werden. IT-Verantwortliche benötigen anschauliche Dashboards und Reports, die ein klares Bild vom "Gesundheitsstatus" der gesamten IT-Infrastruktur zeichnen. Für die Anforderungen an gesetzliche Compliance sind detaillierte Audit-Reports zum aktuellen Konfigurations- und Change-Status erforderlich. Zudem müssen alle Änderungen, die zu einer Regelverletzung führen, entsprechende Meldungen an die richtigen Adressaten und Teams generieren, so dass sofortige Korrekturmaßnahmen möglich sind. Als unverzichtbares Werkzeug für den Nachweis von Compliance und die Darstellung des unternehmensweiten IT-Status muss umfassendes Reporting ein integraler Bestandteil jeder Configuration Audit- und Control-Lösung sein.
(*) "Configuration Audit And Control: 10 Critical Factors to CCM Success" - Enterprise Management Associates, Inc.
(Tripwire: ra)
Tripwire: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.