TÜV-Prüfer gibt Tipps zur Rechenzentrumsreaktivierung Einmal Datacenter, immer Datacenter? Nein. Ohne Risiko-Abschätzung kein Zertifikat

Anbieter zum Thema

TÜV Saarland Bildung + Consulting GmbH

DAXTEN GmbH

VON ZUR MÜHLEN'SCHE GmbH

DeRZ - Deutsche Rechenzentren GmbH

Rechenzentrumszertifizierungen nach EN 50600 sind nicht nur ein technisches Thema. Es geht vielmehr erst einmal um die Risiko-Abschätzung und den Sicherheitsbedarf in Bezug zum Geschäftsmodell des Unternehmens.

Zertifizierungen für Rechenzentren sind mitnichten ein Thema nur für Cloud- oder Colocation-Provider. Denn die Leitinfrastruktur heißt Hybrid Cloud. Und Hybrid Cloud bedeutet: Unternehmen halten Teile ihrer Daten nach wie vor on Premises und mitnichten in der Wolke.

Daran wird sich auch so schnell nichts ändern. Denn inzwischen mischen sich in die anfängliche Cloud-Euphorie deutlich kritischere Töne. Dabei geht es oft um die IT-Sicherheit, die auch in der Cloud nicht absolut zu sein scheint.

Zudem scheint der Schutz wichtiger, werthaltiger Firmendaten vor unerlaubten Zugriffen im wolkigen Cloud-Umfeld ein Thema zu sein: Begründet oder nicht, Patentdaten oder neue Entwürfe behält man im Zweifel doch lieber im Haus.

On Premises bleibt

Und schließlich ist es der jüngsten Generation der IT-Leiter zwar selbstverständlich, die Cloud zu nutzen. Genauso selbstverständlich allerdings scheinen die jungen CIOs Cloud-Anbieter aber nicht mehr durch die rosa Brille zu betrachten.

Sie sehen sie als das, was sie nun einmal sind: Sie sind Wirtschaftsunternehmen mit durchaus großen, aber begrenzten Fähigkeiten und der eindeutigen Gewinnabsicht, mit Hilfe ihrer Kunden Gewinne zu erwirtschaften.

Kein Wunder also, dass viele Unternehmen beim On-Premises-Rechenzentrum bleiben, oder gar alte, bereits fast oder vollständig aufgegebene interne Datacenter-Standorte wiederbeleben möchten. Die Gründe liegen freilich in dem eigenen, gestiegenen Sicherheitsbewusstsein. Aber auch der Kunden wegen soll die Reaktivierung am liebsten mit einschlägiger Zertifizierung erfolgen. Relevant ist hier insbesondere EN 50600, die europäische Daacenter-Bau- und Betriebsnorm.

Ohne Vorbereitungen kein Zertifikat

Zertifizierungen erfordern allerdings in der Regel umfangreiche Vorbereitungen, Arbeit und Mühe. Und können dennoch scheitern, weil grundlegende Vorgaben der Norm – bei Rechenzentren ist der Leitstandard derzeit EN 50600 – missachtet wurden. Das ist leichter als gedacht.

Dies gilt insbesondere dann, wenn einfach ein früherer Rechenzentrumsstandort, der inzwischen entweder weitgehend abgespeckt oder aber einem ganz anderen Zweck gewidmet wurde, plötzlich wieder aufgewärmt werden soll. Denn inzwischen kann sich vieles geändert haben. Und solche Änderungen machen eine Neuzertifizierung nach dem früher für den Standort erreichten Standard zu einer Aufgabe, die keinesfalls ein Selbstläufer ist – ganz abgesehen davon, dass die alten Sicherheits- und Verfügbarkeitslevel vielleicht gar nicht mehr passen.

Achtung, Veränderungen!

Hier, so Stefan Frank, Lead Datacenter Consultant beim TÜV Saarland, liege häufig der Hase im Pfeffer, wenn eine geplante Zertifizierung zunächst fehlschlägt. „Man kann einfach nicht davon ausgehen, dass ein Raum, der früher mal als Rechenzentrum der Verfügbarkeitsklasse X und der Sicherheitsklasse Y gedient hat, zehn Jahre später automatisch dieselbe Zertifizierung erreicht .“

So schreibe die EN 50600 als erstes vor, dass das zertifizierungswillige Unternehmen eine auf die geschäftlichen Aktivitäten bezogene Analyse aller Risiken rund um die IT vornimmt. Als nächstes gelte es zu ermitteln, welche Auswirkungen die Realisierung der entsprechenden Risiken hätte. Und erst dann sollte ermittelt werden, welchen Verfügbarkeits- und Sicherheitsgrad ein Rechenzentrum braucht, um den angestrebten Geschäftszweck zu unterstützen.

Schwierige Wiederinbetriebnahme

Frank: „Gerade bei der Wiederinbetriebnahme alter Rechenzentrumsräume werden entsprechende Analysen häufig unterlassen.“ Dann sei der Ärger groß, wenn trotz aller möglichen technischen Vorkehrungen entsprechend dem gewählten Sicherheits- respektive Verfügbarkeitslevel die Zertifizierung nicht erteilt werde.

Doch das sei in solchen Fällen schlicht unmöglich. „Zertifiziert wird nur, wer das Richtige aus den richtigen Gründen und zu den richtigen Zwecken tut, so Frank. Für sich genommen reiche keine der beiden Komponenten Technik und Risikobezug, um die begehrten Zertifikate zu erhalten.

Geschäftsführung einbinden!

Dass entsprechende Vorüberlegungen, wie sie eigentlich dringend nötig sind, häufig unterbleiben, weil die Analyse des Einflusses von Rechenezntrums- und IT-bezogenen Risiken aufs Geschäft die Kompetenzen der IT in der Regel deutlich überschreiten. Frank: „Das sind Themen für die Geschäftsführungsebene.“

Deshalb müsse diese bei einem Zertifizierungsprojekt von Anfang an eingebunden werden; denn sie hat die erste Aufgabe im Rahmen der Vorbereitungen zu erledigen: Risiken auflisten, ihre Eintrittswahrscheinlichkeit und den Umfang ihres Einflusses aufs Geschäft bewerten und sie dann priorisieren.

Ist das geschehen, lässt sich sehr genau begründen, warum ein bestimmtes Niveau an Sicherheit oder Verfügbarkeit angestrebt wird. Genau dies ist es auch, was die Norm fordert.

Feldrecherche in der Nachbarschaft erforderlich

Solche Analysen erfordern oft genug ein wenig Feldrecherche. Beispielsweise müssen sich Datacenter-Verantwortliche darum kümmern, wie sich ihre Nachbarschaft entwickelt hat: Befinden sich dort im Gegensatz zu früher sicherheitsrelevante Einrichtungen oder Risiken?

Frank: „Ein gutes Beispiele sind die Betriebshöfe der Betreiber öffentlicher Verkehrsmittel. Sie verlagern ihre Rechenzentren oft in die Betriebshöfe, weil sie für das Facility Management einfach zur betrieblichen Infrastruktur gehören, wie die Elektrobusse“, die schlimmstenfalls, so Frank, direkt daneben stünden.

Denn deren Batterien könnten ja beispielsweise explodieren. Wegen dieses erhöhten Risikos sind andere Vorkehrungen oder gar ein anderer Standort entweder für Busse oder das Rechenzentrum nötig.

Was tun die Nachbarn?

Ähnliche Überlegungen fallen an, wenn sich das geplante Datacenter schon immer an einem bestimmten Platz in einem Industriegebiet befunden hat, die Nachbarn aber inzwischen andere sind. „Dann empfehle ich oft, sich darum zu kümmern, wer überhaupt die benachbarten Gebäude mit welchen Aktivitäten nutzt.“

Und schließlich kann es auch sein, dass eine Aktivität, die ein Unternehmen betreibt und die das Rechenzentrum unterstützt, heute anders definiert wird. So hat sich der Kreis der Unternehmen, die zur kritischen Infrastruktur zählen, seit der jüngsten KRITIS-Novelle erheblich ausgeweitet. Ein Unternehmen, das als kritisch bewertet wird, muss aber höhere Sicherheits- und Verfügbarkeitsmaßstäbe an die eigene Datacenter-Infrastruktur anlegen als andere.

Nach den Vorüberlegungen kommen die Maßnahmen

Erst wenn all diese Vorüberlegungen getroffen wurden und stimmig sind, ergibt sich daraus also, was ein Rechenzentrumsbetreiber tun muss. Denn aus den Risiko-Analysen lässt sich mehr oder weniger zwingend ableiten, welches Sicherheits- oder Verfügbarkeitsniveau das passende ist.

Und erst dann geht es daran zu prüfen, ob alle dafür notwendigen technischen und organisatorischen Maßnahmen getroffen wurden respektive Lücken zu füllen. Wer das Rechenzentrum zertifiziert, kann eine Zertifizierung dann jedenfalls nicht schon wegen Inkongruenz zwischen Mitteln, Zielen und Zwecken verweigern.

Sinnvolles Vorgehen bei Zertifizierungswunsch nach EN 50600

Sinnvoll ist also folgendes Vorgehen:

• Geschäftsmodellbezogene übergreifende IT-/Datacenter-Risiko-Analyse

• Aktuelle Umfeldrisiko-Analyse, auch bei bestehenden Standorten die ertüchtigt werden.

• Mit der Risiko-Analyse kongruente Definition von Sicherheits- und Verfügbarkeitslevel

• Frühe Einbindung eines Prüfdienstleisters für die spätere Zertifizierung, bevor teure Fakten geschaffen werden.

• Definition und Umsetzung konkreter Maßnahmen entsprechend gewähltem Level

• Zertifizierung

• Regelmäßige Überprüfung der Risiko-Analyse, insbesondere vor Rezertifizierungen, und entsprechende Anpassungen der nachfolgenden Schritte.

Gehen Unternehmen entsprechend diesem Schema vor, brauchen sie vor dem Prüfer keine Angst zu haben, sagt der Prüfer. Es sei sehr viel wahrscheinlicher, dass sie das angestrebte Zertifikat erhielten oder dafür nur wenig nacharbeiten müssten.

(ID:50237547)