220
}
Die Anforderungen können je nach fachlicher Nutzung und
Risikoeinschätzung der zu verwaltenden Daten unterschiedlich gesehen
werden. Es ist zu empfehlen, für jeden geeigneten IT-Service, der aus der
Cloud bezogen wird, eine Scorecard zu entwickeln, in der die
Problemeinschätzung durchgeführt wird. Dabei sind die Fachanforderungen
sehr unterschiedlich.
Zwei Beispiele:
Für ein sechsmonatiges Entwicklungsprojekt wird ein Team von fünf Leuten
eingerichtet. Es sind keine weiteren Rechner verfügbar und eine Investition
für diesen Zeitraum ist zu teuer. In diesem Fall ist die Buchung eines
virtuellen Cloud-Servers ökonomisch sinnvoll. Je nach gewählter Option wird
die Nutzung auch nur berechnet, solange der Server aktiv ist. Somit
entstehen nur während der konkreten Tätigkeit Kosten. Alternativ kann eine
pauschale Buchung pro Monat erfolgen.
Da in diesem Fall keine personenbezogenen oder steuerrelevanten Daten
verarbeitet werden, bestehen auch keine rechtlichen Einschränkungen bei
der Anbieterauswahl.
Ein mittelständisches Unternehmen mit 80 Mitarbeitern will ein ERP-System
als Software as a Service nutzen. Mindestens 15 Mitarbeiter werden täglich
mit dem System arbeiten. Ein Ausfall von drei Stunden kann schon
erhebliche Probleme und interne Kosten verursachen. Zudem sind alle
rechtlichen und steuerlichen Vorgaben zu erfüllen und die jeweilig
landesspezifischen Datenschutzanforderungen nachweislich umzusetzen.
6.2.1
Risikofaktoren und ihre Auswirkungen
Eine Risikoeinschätzung ist nur dann möglich, wenn eine ausreichende
Transparenz bei der Serviceerbringung seitens des Anbieters gegeben ist.
Selbst wenn man ein regionales Softwarehaus aussucht, das bisher eine für
die jeweiligen Zwecke gut funktionierende Softwarelösung als Lizenz
angeboten hat und nun auch als Mietsoftware zur Verfügung stellt, kann es
sein, dass dabei Infrastrukturdienste von außereuropäischen Anbietern
eingesetzt werden und damit direkt rechtliche Unsicherheiten entstehen.
Seitens ENISA (European Network and Information Security Agency) wurden
durch Studien die folgenden Hauptrisiken aufgeführt:
Unzureichende Service-Level-Garantien
Providerabhängigkeit
