Ab in die Cloud – aber richtig!

Der Cloud-Service-Provider muss dabei technische wie auch organisatorische Maßnahmen zur Verfügung stellen, um die Dokumentations- und Informationspflichten erfüllen zu können und auch den Compliance-Vorgaben gerecht zu werden. Es bleibt also weiterhin in der Pflicht der Organisation, diese Themen in den Vertragsverhandlungen und Service Level Agreements klar zu beachten.

Cloud-Zertifizierungen nach BSI- oder ISAE-3402-Standard bieten hier die klassischen Grundanforderungen, die Unternehmen einfließen lassen sollten. Denkt man weiter, so müssen auch entsprechende Notfallpläne im Hause eingeführt werden, um den Betrieb im Katastrophenfall uneingeschränkt fortführen zu können. Aus der aktuellen Erfahrung kann festgehalten werden, dass die gängigen Cloud-Service-Provider sehr am aktuellen Stand der Technik arbeiten, wodurch es oftmals schwierig wird, einen ähnlichen Leistungsgrad mit einer überschaubar großen IT-Abteilung sicherzustellen. Auslagerungen (wie bisher zu einem herkömmlichen Service-Provider oder nun eben zu einem Cloud-Service-Provider) bedeuten keinen Verantwortlichkeitsentzug für Unternehmen. Daher ist es wie bereits erwähnt die Pflicht der Unternehmen, Risiken und Kontrollen zu definieren bzw. mit zu definieren und die Effektivität der Kontrollen zu überwachen. Grundsätzlich empfehlen wir, in der Vertragsgestaltung von Anfang an ein ,,right to audit“ zu berücksichtigen und dieses auch wahrzunehmen. Insgesamt ist es wichtig, eine zentrale Cloud-Strategie bzw. auch die Vorgaben von regulatorischer Seite stets im Auge zu behalten und den Betrieb entsprechend anzupassen. Themen wie Governance, Migration und Assurance sind somit auch bei einer Cloud-Einführung unerlässlich und nicht vollumfänglich auslagerbar. Nicht zu vernachlässigen ist außerdem die Exit-Strategie, wobei das Szenario klar geregelt sein muss.

Wie kann EY helfen?

EY kann durch einen vollumfassenden Ansatz die gesamte Transformation in die Cloud unterstützen. Interdisziplinäre Teams mit branchenübergreifendem Wissen kombinieren das Verständnis von Technologie, Risikomanagement und Compliance-Erwartungen, um Unternehmen in der Planung, Umsetzung und Überprüfung zu unterstützen. Durch die Erfahrung in der Zusammenarbeit mit diversen Cloud-Anbietern (u. a. Microsoft) kann hier auch eine unabhängige Beratung erfolgen, um die bestmögliche Lösung in den komplexen Ökosystemen unserer Kunden zu finden.

Fazit

Zusammenfassend ist es wichtig zu beachten, dass es sich hier um erhebliche Veränderungen innerhalb der Organisation und den Prozessen der IT (Operations) des Unternehmens handelt. Die Transformation in die Cloud sollte daher zeitnah und mit Weitsicht geplant und umgesetzt werden, um einerseits die Weichen für die Zukunft zu stellen und andererseits derartige Projekte transparent, nachvollziehbar und compliant abzuwickeln. Für eine erfolgreiche Implementierung und die damit verbundene Transformation ist die aktive Begleitung und Steuerung der Veränderungen und der davon betroffenen Menschen neben der Strategie, Governance und Assurance eine grundlegende Voraussetzung.