Cloud Governance

In diesen Bereichen enablen wir euch:

• Herbeiführung und Absicherung der strategischen (Sourcing-) Entscheidung "make or buy"
• Wettbewerbsorientierte Ausschreibung des Betriebs als "Managed Cloud Service" und Auswahl geeigneter IT-Dienstleisters (für Administration, Konfiguration, Monitoring, etc.)
• Ausarbeitung von Agilitäts-, Betriebs- und Berechtigungskonzepten
• Begleitung des organisatorischen und kulturellen Wandels in Business und IT (CI/CD, DevOps, DevSecOps, FinOps, Shift left, SRE etc.) z. B. durch geeignete Rollenprofile und Prozesse

Ein Ausstieg kann geplant oder ungeplant durch das Unternehmen oder durch den Dienstleister erfolgen.

Geplanter Ausstieg: Der Beginn des Exits wird bei diesen Szenarien maßgeblich durch die Kündigungsfristen in dem Vertrag bestimmt. Gründe auf Seiten des Unternehmens und des Dienstleister können das geplante Vertragsende des Vertrages oder auch eine geplante strategische Neuausrichtung sein. Das Unternehmen kann auch einen geplanten Anbieterwechsel vornehmen, wenn es mit der Leistung nicht zufrieden war oder sich Rahmenbedingungen geändert haben, so dass die Dienstleistungen des Anbieters nicht weiter in Anspruch genommen werden können.

Ungeplanter Ausstieg: Diese Szenarien basieren auf plötzlichen und nicht vorhersehbaren Ereignissen. Hierbei sind die Parteien aufgrund der Kritikalität nicht an die Kündigungsfristen aus dem Vertrag gebunden. Hierfür gibt es häufig in den Verträgen außerordentliche Kündigungsrechte mit kürzerem Zeitfenster. Gründe für ein solches Exit-Szenario sind finanzielle Schwierigkeiten auf Seiten des Dienstleisters oder eine schwerwiegende Einschränkung der Leistungserbringung.

Nicht nur regulierte Unternehmen müssen sich Strategien für eine mögliche zukünftige Trennung von dem Dienstleister überlegen. Nutzt dafür unsere Vorlage für Exit-Management.
Im Rahmen von DORA müssen die Pläne sogar getestet werden. Dies ist ebenfalls für nicht-regulierte Unternehmen sinnvoll, um auch bei ungeplanten Szenarien vorbereitet zu sein.

Die gewünschte Flexibilität hinsichtlich verschiedener Cloud Use Cases lässt sich am besten erreichen, indem man den Nutzern Freiheiten gewährt – sowohl bei der Auswahl des Cloud-Providers als auch bei der Auswahl der genutzten Services. Ein cloud-nativer Ansatz ermöglicht ein solches Vorgehen. Die Nutzer erhalten Zugriff auf eine abgeschlossene Cloud-Umgebung, in der sie sich frei bewegen und nach ihren Bedürfnissen Services auswählen können.

Organisatorisch setzt dies voraus, dass eine zentrale Cloud Governance etabliert wird, um zu vermeiden, dass innerhalb des Unternehmens parallele Aktivitäten zu heterogenen Insellösungen und mangelnder Transparenz führen.

• Die organisatorische Dimension umfasst beispielsweise die Vereinbarkeit der Cloud-Nutzung mit den Vorgaben aus Datenschutz, Informationssicherheit und Regulatorik. Im Fokus der damit verbundenen Rollen, Prozesse und Werkzeuge stehen das Onboarding, die Freigaben und die Risikoanalyse der einzelnen Cloud Use Cases, aber auch die Abrechnung ("billing") und die Vertragsverwaltung. Es gilt, Kontrolle und Steuerung im Verhältnis zu Agilität und Geschwindigkeit auszubalancieren.
• Aus technischer Perspektive hingegen fokussiert Cloud Governance (für den jeweiligen Tenant) etwa auf Aspekte der Benutzerauthentifizierung und Zugriffsberechtigung, der Verschlüsselung, der Provisionierung oder auch der On-Premise-Konnektivität. Rollen, Prozesse und Werkzeuge der technischen Cloud Governance stellen die Implementierung der übergeordneten Anforderungen ("controls") in den jeweiligen Cloud-Zielumgebungen ("landing zones") sicher, die sorgsam aktuell gehalten werden müssen. Sie ermöglichen dem Nutzer, möglichst "frei", aber eben auch "kontrolliert" die Cloud-Dienste zu konsumieren.

Bei der Nutzung Cloud-basierter Lösungen ist in jedem Unternehmen und für jeden Anwendungsfall ein Onboarding-Prozess zu durchlaufen, um zum Beispiel Aspekte der Informationssicherheit, des Datenschutzes und der Compliance zu prüfen sowie entsprechende Risiken zu bewerten. Die Beurteilung, ob und in welchem Umfang der von ihm favorisierte Cloud-Service "compliant" ist, kann nicht der Nutzer alleine treffen. Indem das Unternehmen eine lückenlose Erfüllung gesetzlicher, regulatorischer oder auch eigener Anforderungen sicherstellt, nimmt es dem Nutzer diese Last.

Unsere Empfehlung: Alle Cloud-Lösungen sollten einen Onboarding-Prozess durchlaufen und erst dann beschafft werden, wenn nach der Risikoanalyse die Entscheidung zur Nutzung infragestehender Lösungen getroffen hat. Weitere Infos hier!