(openPR) Karlsruhe, 30.11.2007 – Das Hosting von Geschäftsanwendungen weist schon seit geraumer Zeit überdurchschnittliche Wachstumsraten auf, woran sich nach den Prognosen der Analysten auch vorläufig nichts ändern soll. Allerdings erwartet der Karlsruher IT-Dienstleister ORGA GmbH einen sukzessiven Wandel in den Leistungsansprüchen. „Wurde bei den wirtschaftlich motivierten Auslagerungsprojekten bisher vornehmlich nach Anbietern mit dem günstigsten Preis Ausschau gehalten, so finden Qualitätsaspekte und die Werthaftigkeit von Services zunehmend eine mindestens ähnliche Gewichtung“, hat Hermann Tschierschke, Vertriebsleiter der ORGA, im Markt des SAP-Hosting festgestellt.
Insbesondere würden Sicherheitsfragen deutlich an Bedeutung gewinnen. „Es hat sich bei den Unternehmen deutlich mehr Sensibilität für die Risiken entwickelt, wenn der Hosting-Partner nicht tatsächlich optimale Security-Verhältnisse gewährleisten kann“, erläutert er. „Der wirtschaftliche Nutzen einer Auslagerung steht zwar weiterhin im Vordergrund, aber daneben soll die technische Infrastruktur des Providers möglichst so ‚unkaputtbar’ wie ein Bankenrechenzentrum sein.“ Tschierschke beschreibt die typischen Sicherheitsaspekte, die von den Unternehmen aktuell besonders angesprochen werden:
1. Liegt die garantierte Verfügbarkeit tatsächlich nur einen Wimpernschlag von der 100%-Marke entfernt? Insbesondere ERP-Anwendungen benötigen eine durchgängig hohe Verfügbarkeit, weil sie unmittelbaren Einfluss auf die Wertschöpfung der Geschäftsprozesse haben. So würde eine an sich gering erscheinende einprozentige Ausfallquote der Hosting-Systeme bei einer 5-Tage Woche bedeuten, dass die Benutzer etwa 60 Stunden pro Jahr keinen Zugriff auf ihre betriebswirtschaftlichen Anwendungen hätten. In dieser Zeit wären Produktionsprozesse unterbrochen oder Kundenkontakte empfindlich gestört. Deshalb muss der SAP-Provider eine an den Prozessen seiner Kunden orientierte Verfügbarkeit sicherstellen können. Bezieht sich die Verfügbarkeit im vorgenannten Beispiel auf den Monat und wird nur die geschäftskritische Zeit von 10 Stunden an Arbeitstagen gemessen, reduziert sich die tolerierte Ausfallzeit auf 2 Stunden im Monat. Für geschäftskritische Anwendungen sollte aber eine monatliche Verfügbarkeit von mindestens 99,5% Prozent sichergestellt sein.
2. Ist ein unterbrechungsfreier Geschäftsbetrieb auch in sehr kritischen Situationen gewährleistet? Ein für den Anwender erkennbares Hochverfügbarkeitskonzept muss auch eine ausreichende Risikovorsorge für Katastrophenfälle beinhalten. Sie besteht etwa darin, dass die IT-Produktion aus Sicherheitsgründen auf verschiedene autark arbeitende Rechenzentren verteilt ist und eine redundante Auslegung aller sicherheitskritischen Verarbeitungs- und Kommunikationssysteme besteht. Ebenso gehören synchrone Echtzeitspeicherung der Daten in zwei Rechenzentren mit identischer Infrastruktur dazu, so dass bei technischen Problemen oder Katastrophen in einer Produktionsstätte der Betrieb kurzfristig auf den anderen Standort übertragen werden kann. Mit solchen Hochverfügbarkeitskonzepten können den Hosting-Anwendern selbst in kritischen Ausnahmesituationen unterbrechungsfreie Geschäftsprozesse gewährleistet werden.
3. Besteht eine zertifizierte Infrastruktur? Orientiert sich ein SAP-Provider an internationalen Standards wie etwa dem BSI-Grundschutzhandbuch, BS 7799 und ISO/IEC 27001 sowie den Leitsätzen der IT Infrastructure Library (ITIL), kann er verlässliche und überprüfbare Outsourcing-Dienstleistungen auf hohem Qualitätsniveau zur Verfügung stellen. Allerdings sind solche Zertifizierungen längst noch nicht selbstverständlich. So gehört etwa die ORGA zu dem erst kleinen Kreis von 75 Unternehmen in Deutschland, die sich nach dem seit 2005 global anerkannten Standard ISO/IEC 27001 zertifizieren ließen.
4. Ist die technische Infrastruktur perfekt gegenüber den Gefahren aus dem Internet abgeriegelt? Um den Gefahren aus dem Internet zu trotzen, müssen für alle potenziellen Risiken detaillierte technische und organisatorische Schutzmaßnahmen bestehen. Beispielsweise ist für den Schutz vor Virenattacken eine doppelte Auslegung der Antiviren-Systeme notwendig, damit bei Ausfall einzelner Systeme keine Schwachstellen entstehen. Auch eine automatisierte und zentrale Verwaltung der Virenschutzsysteme gehört zum Pflichtprogramm des SAP-Providers, ebenso automatische Verfahren für zeitnahe Updates der Virendefinitionen. Diese Sicherheitsverhältnisse sind zudem regelmäßig über mehrstufige Angriffssimulationen auf ihre Wirksamkeit hin zu testen.
5. Wird eine angemessene Sicherheitsstrategie gelebt? Eine noch so perfekte Infrastruktur hat dort ihre Grenzen, wo Sicherheit nicht fester Bestandteil der strategischen Orientierung ist. Sie muss sich seitens des SAP-Providers durch vielfältige Maßnahmen darstellen. Dazu gehören beispielsweise ausgeprägte Analysemethoden zur frühzeitigen Ermittlung von Risiken, konzeptionelle Verfahren zur Risikominimierung und Vermeidung von Notfallsituationen. Auch praxisnahe Tests von Störfallsimulationen auf Basis unterschiedlicher Problem- und Katastrophenszenarien sowie eine intensive Schulung der Mitarbeiter müssen fester Bestandteil der Security-Strategie sein.
6. Welcher Schutz besteht beim Rechenzentrumsgebäude? Auch wenn die Verfügbarkeit der Anwendungen in erster Linie von der Sicherheit der Infrastruktur, Produktionsprozesse und Organisation geprägt ist, zählen zu den sicherheitsrelevanten Ressourcen auch die baulichen Schutzmaßnahmen und räumlichen Bedingungen. So sind Sicherheitszonen mit restriktiver Zutrittskontrolle erforderlich und bedürfen die Rechenzentren unbedingt Brand- und Wasserdetektoren, einer unterbrechungsfreien Notstromversorgung sowie einer 24-stündigen Überwachung.
ORGA GmbH
Ein Unternehmen der FIDUCIA Gruppe
Fiduciastraße 20
76227 Karlsruhe
Tel. (07 21) 40 04 - 20 00
Fax. (07 21) 40 04 - 15 32
www.orga.de
