08.08.2011 Backup und Hochverfügbarkeit

Integration von Backup ins Risikomanagement schreitet voran

Von: Siegfried Dannehl

Immer mehr Anbieter schnüren Backup-Pakete, die nicht nur einen erhöhten Schutz gegen Angriffe und Datenverluste bieten, sondern auch den strenger werdenden gesetzlichen Vorgaben hinsichtlich des Risikomanagements Rechnung tragen.

Datensicherung stellt IT-Verantwortliche zunehmend vor eine große Herausforderung.

Verlieren deutsche Unternehmen ihre Daten, wird der finanzielle Schaden von Jahr zu Jahr größer. Der Bericht „2010 Annual Study: Cost of a Data Breach“ des Ponemon-Instituts zeigt, dass deutsche Firmen nach einer Datenpanne durchschnittlich 3,4 Mio. Euro aufbringen mussten, um den Vorfall aufzuklären und die entstandenen Schäden einzudämmen. Ein Jahr zuvor lag der Wert noch bei 2,6 Mio. Euro. Die Wiederherstellung wichtiger Geschäfts- und Kundendaten sowie die wegen eines Vorfalls entgangenen Profite machen mit 44 Prozent den größten Teil der Kosten bei Datenverlusten aus.

Eine mögliche Ursache für den generellen Kostenanstieg sehen Experten u.a. darin, dass Unternehmen im Ernstfall aufgrund der schärferen Gesetzeslage schneller reagieren und mehr Gegenmaßnahmen ergreifen müssen. Um die Datensicherheit zu gewährleisten und Kosten zu sparen, empfehlen sie den Unternehmen, Risikopotentiale genau zu analysieren, indem sie ihre vertraulichen Informationen identifizieren und klassifizieren. Zudem sollten Unternehmen ihre Datenschutzmaßnahmen in die Geschäftsprozesse einbinden.

Datenschutz wird zentralisiert

Datensicherungen trotz Virtualisierung und Datenexplosion in angemessenem Umfang und der notwendigen zeitlichen Frequenz durchzuführen, stellt IT-Verantwortliche zunehmend vor große Herausforderungen. Einen Ausweg aus dem Dilemma sehen Experten darin, Backup nicht mehr als separate „Insellösung“ zu betrachten, sondern in umfassende Datenmanagementkonzepte zu integrieren. Mit dem Backup Exec 2010 Agent for Enterprise Vault bietet Symantec beispielsweise jetzt die Möglichkeit, Archivierung und Backup effizient miteinander zu verknüpfen.

In der Archivierung sieht der Anbieter eine wichtige Ergänzung für das Backup, da Firmen dadurch vorab definieren können, welche Daten gespeichert, gelöscht oder auf Sekundärsysteme verschoben werden dürfen. Durch die Verknüpfung werden Unternehmen laut Symantec in die Lage versetzt, Speicherkosten besser zu kontrollieren und Wiederherstellungszeiten zu verkürzen. Auch bei Fujitsu setzen die Verantwortlichen auf eine Vereinfachung von Backup und Archivierung. Ein Schlüsselrolle spielt dabei die von CommVault entwickelte Simpana-9-Software, die Fujitsu neuerdings als OEM-Produkt für seine Eternus-Lösungen anbietet.

Nach Angaben von Fujitsu profitieren Kunden mit Simpana von schnelleren Speicherprozessen in Verbindung mit einem schnellem Zugang zu Backup-Daten im Falle einer Systemstörung. Die Backup-Abläufe sollen vereinfacht und die Storage-Verwaltung dadurch effizienter werden. Mit Simpana 9 lassen sich zudem die Snapshots der Eternus-DX-Systeme mit Eternus CS Backup und Archivierung effektiv kombinieren. So können Unternehmen die kurzzeitige Datensicherung mit langfristigen Aufgaben wie zentralisierter Datenvorhaltung, Wiederherstellung, Archivierung und Nearline Storage auf Band verknüpfen.

Für Brian Babineau, Analyst bei der Enterprise Strategy Group, gewinnt Information Governance immer mehr an Bedeutung. Das gilt insbesondere für Unternehmen, die eine bündige Strategie für ihre Compliance-, E-Discovery- und Inhaltsmanagementanforderungen brauchen. „Datenzugriffe zu konsolidieren und die Verwaltung über einen einzigen Kontrollpunkt zu gestalten ist wichtig, um alle Details zu erfassen und den Wert der Daten zu maximieren. Policy-Erfüllung für Compliance, Records Retention und Workflow-Prozesse von einer Instanz aus ermöglichen es Unternehmen, ihre aktiven Daten für unterschiedliche Geschäftszwecke optimal zu nutzen“, so Babineau.

Cloud-Services: Effizienz Top – Sicherheit Flop

Storage und Backup gehören in Unternehmen mit 1.000 und mehr Mitarbeitern, so die Ergebnisse einer Umfrage der Experton Group, inzwischen zu den fünf wichtigsten Anwendungsszenarien für Cloud Computing. Demnach ist die Nutzung von Storage-as-a-Service-Konzepten durchaus sinnvoll, da der Aufbau und das Management hochskalierender Storage-Architekturen hohe Investitionen und entsprechende Fähigkeiten auf der Personalseite erfordert. Unternehmen nutzen die Storage-Infrastrukturen der Cloud-Anbieter, um Web-basierten und ressourcenintensiven Content zu speichern oder im Rahmen von Backups zu sichern. Durch die nutzungsabhängige Preisgestaltung lassen sich Investitionskosten in Betriebskosten verwandeln sowie die eigene Flexibilität erhöhen.

Die Zahl derartiger Cloud-basierten Angebote steigt kontinuierlich. So hat beispielsweise CA Technologies kürzlich mit Microsoft eine Vereinbarung getroffen, ihre Datenschutztechnologie CA Arcserve als SaaS-Lösung über die Cloud-Plattform Windows Azure anzubieten. Das neue Angebot ist nach Angaben von CA Teil der Strategie, IT-Managementlösungen auf den Markt zu bringen, die sich rasch einsetzen lassen und einfach zu handhaben sind. Die Lösung richtet sich an Unternehmen, für die herkömmliche, intern betriebene Backup- und Wiederherstellungssysteme aus Kosten- und Organisationsgründen nicht infrage kommen.

Angesichts der unbestreitbaren Vorteilen in Bezug auf Kostenreduktionen und schnelle Einführungszeiten sollten allerdings Sicherheitsaspekte nicht außer Acht gelassen werden. Eine aktuelle Studie des Ponemon Institute offenbart, dass die Auffassungen von Cloud-Anbietern und -Anwendern hinsichtlich der Datensicherheit sehr widersprüchlich sind. Danach vertreten 69 Prozent der 127 weltweit befragten Cloud-Anbieter die Ansicht, dass für die Sicherheit hauptsächlich der Cloud-Nutzer verantwortlich ist. Demgegenüber fühlen sich jedoch nur 35 Prozent der Anwender für die Sicherheit ihrer Daten in der Cloud verantwortlich.

Datenschutz auf neuestem Stand

„Die Absicherung von Cloud-Umgebungen ist keine Option, sondern eine Notwendigkeit. Leider muss man aber feststellen, dass viele Cloud-Dienstleister nicht in ausreichendem Maß IT-Ressourcen für die Sicherheit bereitstellen“, kommentiert Frank Schwittay, Managing Director Central Europe beim Sicherheitsspezialisten Trend Micro. Beim Schutz sensibler Daten in der Cloud setzen 85 Prozent der Befragten, die öffentliche Cloud-Infrastrukturen nutzen, auf Verschlüsselung. Und mehr als die Hälfte der Befragten würden im konkreten Fall eher einen Cloud-Dienstleister wählen, der verschlüsselte Datenspeicherung im Angebot hat. Doch die meisten der gängigen Schlüsselmanagementtechniken, die heute in der Cloud zum Einsatz kommen, entsprechen nach Angaben von Schwittay nicht dem neuesten technologischen Entwicklungsstand und sind nicht unangreifbar.

Um diese Defizite zu beheben, hat Trend Micro im vergangenen Jahr SecureCloud vorgestellt. Die Sicherheitsplattform kombiniert richtlinienbasiertes Schlüsselmanagement mit sicherer Verschlüsselung nach Industriestandard. Unternehmen haben dadurch die Kontrolle über ihre Daten in öffentlichen, privaten oder hybriden Cloud-Umgebungen. Risiken in Bezug auf Datensicherheit, Datenschutz und Compliance, die bei der Verwendung von Daten in Cloud-Computing-Umgebungen immer ein Thema sind, lassen sich so minimieren. Eine Option, die der ERP-Anbieter Sage bereits nutzt. Die Sage-Online-Backup-Anwendung ist nahtlos in die Warenwirtschafts- und Buchhaltungslösungen integriert und die Daten werden direkt in frei einstellbaren Intervallen aus den Sage-Lösungen in die Trend-Micro-Datensicherungssysteme übertragen.

Vertrauen ist gut – Kontrolle ist Pflicht

Im Rahmen des Risikomanagements unterschätzt wird häufig die sichere Lagerung und Archivierung, nicht nur der Backup-Medien, sondern auch all jener unternehmenskritischen Dokumente, die nach wie vor in Papierform vorliegen. Auch hier gibt es Dienstleister, die Unternehmen beim Informationsmanagement unterstützen. Kernelement eines sicheren Archivmanagements sind nach Ansicht von Hans-Günter Börgmann, Geschäftsführer bei Iron Mountain Deutschland, die Schaffung nachhaltiger Strukturen und Workflows. „Dazu zählen die Erfassung aller unternehmenskritischen Daten und Dokumente, die Regelung der Zugriffe, die Definition des Archivierungsortes und die Nachverfolgung jeder Bewegung und Veränderung. Zudem gilt es die Aufbewahrungsfristen festzulegen, die Strukturen regelmäßig zu überprüfen und natürlich auch die Aufbewahrungskosten zu analysieren“, so Börgmann. Als Vorteile eines externen Informationsmanagements betrachtet Börgmann u.a. eine Risikominimierung von Datenverlust oder -missbrauch, eine Reduzierung von Kosten und administrativem Aufwand und eine Sicherstellung der Einhaltung von Compliance-Vorschriften.

Wer zur Verwaltung seiner Daten und Dokumente auf die Unterstützung von Cloud- oder Archivierungsdienstleistern zurückgreift, sollte nach Empfehlung von Mathias Reif von der auf den IT- und TK-Bereich spezialisierten Wirtschaftsrechtskanzlei BridgehouseLaw, gesetzliche Grundsätze beachten. „Das gilt insbesondere für den Umgang mit personenbezogenen Daten und deren eventueller Weitergabe an Dienstleister im Ausland. Für den Datentransfer ins Nicht-EU-Ausland, wie er bei Cloud-Services nicht selten vorkommt, gelten strikte gesetzliche Regelungen“, betont Reif. Generell sollte die Inanspruchnahme von Leistungen im Rahmen von Auftragsdatenverarbeitung in einem Vertrag klar definiert werden (siehe Checkliste). Dabei gilt es, so Reif, die Interessen des Auftragnehmers nach freier Gestaltung bei der Erbringung des Dienstes, nach klarer und dauerhafter Pflichtenbegrenzung und nach Vergütung von Zusatzleistungen mit den Interessen des Auftraggebers in Einklang zu bringen. Dazu zählen weitgehende Kontroll- und Zugriffsmöglichkeiten, Flexibilität bei der Weisungserteilung und kostenneutrale Möglichkeiten zur Auftragsänderung.