(K)eine Frage des Vertrauens

Managed Cloud Services, also Dienste, die Kunden die Verwaltung von Cloud-Ressourcen oder -Infrastruktur für Kunden teilweise oder komplett abnehmen, treffen den Geschmack von IT-Verantwortlichen. Weil Aufgaben wie Migration, Konfiguration, Optimierung, Sicherheit und Wartung in die Verantwortung des Providers übergehen, minimieren sich Zeit- und Kostenaufwand für die IT-Infrastruktur. So ermöglichen es Managed Cloud Services Unternehmen, moderne Cloud-Computing-Ressourcen zu nutzen und sich auf das Kerngeschäft konzentrieren zu können, ohne internes Know-how aufbauen oder bereithalten zu müssen.

Durchblick in der Evaluierung

Doch bis es dazu kommt, steht Organisationen ein mitunter mühsamer Auswahlprozess bevor. Schon die Vertragsdetails im Managed Service Agreement (MSA) der vielen verschiedenen Anbieter von IT-Dienstleistungen unterscheiden sich bisweilen sehr. Hier geht Kontrolle über Vertrauen. Wichtig dabei sind neben klaren Vergütungsvereinbarungen und Reaktionszeiten, die im Rahmen der Business Continuity in der Regel eine 24-stündige Servicebereitschaft umfassen sollten, v.a. die Kündigungsklauseln – Stichwort „Vendor-Lock-in“: Um nicht in eine Abhängigkeit von bestimmten Providern zu geraten, muss protokolliert werden, dass Kunden nach Beendigung der IT-Partnerschaft die volle Kontrolle über Daten zurückerlangen.

Branchen-Know-how ist gefragt

Hinzu kommt, dass Provider heute nicht mehr nur mit Cloud-Diensten selbst und den zugrunde liegenden Technologien vertraut sein müssen. Abhängig von der Branche ist mittlerweile auch spezifisches Know-how über das Kerngeschäft des Kunden unverzichtbar geworden. Das gilt ganz besonders für stark regulierte Märkte wie das Finanzwesen: Viele Regulatorien wie die „Bankaufsichtlichen Anforderungen an die IT (BAIT)“ führen dort zu einem besonders hohen Bedarf an Sicherheit für IT-Dienstleistungen.

Dies ist ein Artikel aus unserer Print-Ausgabe 5/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Hinzu kommen Compliance-Anforderungen und die Mindestanforderungen an das Risikomanagement (MaRisk) oder zusätzliche BaFin-Kompetenzen wie das „Gesetz zur Stärkung der Finanzmarktintegrität (FISG)“. Unternehmen sollten also ein besonders scharfes Auge auf die Zertifizierungen und Audit-Verfahren der IT-Partner haben. Zertifizierungsinstanzen wie BSI oder Tüv bürgen für ein bestätigtes IT-Sicherheitsniveau.

Georedundanz für kritische Einrichtungen

Doch auch Kleingedrucktes wie Gerichtsstand und der Ort, wo Daten vorgehalten werden, müssen in die Entscheidungskriterien bei der Wahl des Anbieters einfließen. Um beispielsweise auch für den Katastrophenfall eine Verfügbarkeit und Absicherung garantieren zu können, ist Georedundanz gefragt. Demnach müssen Rechenzentren mindestens 100 Kilometer voneinander entfernt stehen, um die Folgen von Naturkatastrophen abfedern zu können. So kann im Fall der Fälle das zweite Datacenter bei einem Totalausfall des ersten den gesamten IT-Betrieb übernehmen. Kontrolle ist manchmal eben doch besser als Vertrauen.

Bildquelle: Noris Network