187
4.1.2
Generelle Anforderungen
Es gibt schon eine Reihe von Auditierungsschemen für IT‐Outsourcing, die
sich allerdings sehr auf die Themen Sicherheit und korrekte
Transaktionsdurchführung beziehen. Für den komplexen Bereich des Cloud‐
Computings müssen aber alle kritischen Bereiche im Sinne der Compliance‐
Anforderungen geprüft werden.
Es ist sehr hilfreich, zunächst die eigenen Anforderungen zu klassifizieren
und je nach Service eine Gewichtung bezüglich des notwendigen
Erfüllungsgrades zu erstellen. Dies sind in erster Linie die Bereiche
Sicherheit
Transparenz
Skalierbarkeit
Kontrollmöglichkeiten
Integrationsfähigkeit und ‐aufwand
Flexibilität
Wirtschaftlichkeit
Compliance
Die Anforderungen können je nach fachlicher Nutzung und
Risikoeinschätzung der zu verwaltenden Daten unterschiedlich gesehen
werden. Es ist zu empfehlen, für jeden geeigneten IT‐Service, der aus der
Cloud bezogen wird, eine Scorecard zu entwickeln, in der neben den
jeweiligen Anforderungen auch eine Problemeinschätzung durchgeführt
wird. Dabei sind die Fachanforderungen sehr unterschiedlich und können je
nach Cloud‐Service sehr stark variieren.
Die Prüfung darf sich auch nicht ausschließlich in diesen Bereichen bewegen,
sondern muss auch die Zusammenhänge untersuchen. So ist zum Beispiel
die Zusage einer Verfügbarkeit von 99,9 % einer SaaS‐Anwendung nicht viel
wert, wenn der Infrastrukturlieferant im Innenverhältnis nur eine
Verfügbarkeit von 99,5 % zusichert und keine geeigneten
Redundanzverfahren eingerichtet sind.
