Vertrauen und Kontrolle in der Cloud
Soziologische und psychologische Aspekte der Nutzung von Cloud Computing
Ein Cloud-Angebot ist ein komplexes, abstraktes System: Die Nutzung benötigt daher einen Vertrauensvorschuss gegenüber Anbietern auf Seiten der Unternehmen
(09.06.15) - Ein wichtiger Faktor, wenn nicht der wichtigste, bei der Nutzung von Cloud-Services ist das Vertrauen des Kunden in die Sicherheit bei der Aufbewahrung und Verarbeitung seiner Daten. Schließlich gibt man sensible Daten wie Kundendaten, Artikelstammdaten oder gar Daten der Finanzbuchhaltung ungern in fremde Hand. Hier ist von den Cloud-Anbietern noch einiges an Bewusstseins- und Vertrauensarbeit zu leisten. Erste Initiativen gibt es bereits, zum Beispiel die Inbetriebnahme von Datacentern durch SAP (in Kooperation mit IBM) und Amazon in Deutschland – und hierzulande gelten die schärfsten Datenschutzbestimmungen der Welt. Auch Microsoft hat für Azure, Office 365, Microsoft Dynamics CRM und Windows Intune einen Vertrag mit der EU abgeschlossen und muss ihre Enterprise-Cloud-Verträge nun nicht mehr in jedem einzelnen EU-Land genehmigen lassen.
Wie kann man Vertrauen aufbauen? Vertrauen ist eine Vorleistung in ungewissen und verwundbaren Zuständen gegenüber anderen Menschen oder Institutionen. Exzellente Technik und strikte rechtliche Vorschriften alleine reichen noch nicht aus. Man hat es mit Menschen und Institutionen zu tun – und diese müssen absolut loyal und integer sein. Um Vertrauen aufzubauen bedarf es einer Beziehung zwischen den Akteuren, seien es Menschen oder Institutionen. Diese Akteure haben Freiräume, Kompetenzen und Verantwortung. Vertrauen ist die Vorleistung, dass die beteiligten Akteure positiv mit diesen Aspekten umgehen.
Nun ist ein Cloud Computing-Angebot ein komplexes, abstraktes System. Daher muss man, um es zu nutzen, eine Art Generalvertrauen aufbauen oder mitbringen – nicht naiv oder bedingungslos, sondern aus einem gewissen Kalkül heraus. Man geht als positiv denkender Mensch mit einer positiven Erwartungshaltung diese Beziehung ein. Man nennt dieses Vertrauen "generalisierendes Vertrauen".
Bei Cloud-Services sollte eine "Kultur des konstruktiven Problemlösens" gepflegt werden, da "Vertrauen durch gemeinsames Problemlösen gestärkt wird". "Anbieter von Cloudlösungen sollten besonderen Wert auf ihren User-Support und Kundenservice legen".
"Kunden sollten nicht gleich beim ersten Problem den Anbieter wechseln, sondern ihrerseits konstruktiv zur Problemlösung beitragen". Kooperatives Verhalten beiderseits pflegt die Vertrauenskultur in dem ganzen System.
Das Vertrauen in ein abstraktes System wie eine Cloud-Dienstleistung wird bestimmt durch seine Repräsentanten – an den Zugangspunkten und als das System kontrollierende Experten. Vertrauensobjekt ist das System, "doch die Vertrauenswürdigkeit des Systems macht der Vertrauensgeber am Verhalten bestimmter Akteure fest".
Nach Luhmann wird Vertrauen in ein System vor allem durch Vertrauen in die dort eingebauten Kontrollen gestützt. Vertrauen wird durch Kontrolle produziert. Dabei kann der Vertrauende nicht das System selbst kontrollieren, weiß aber, dass Kontrollen eingebaut sind. Diese Kontrollen erfolgen in Form von Audits durch Datenschutzbehörden und über ISO-Normen, zum Beispiel die Normengruppe ISO 27000.
Fehler sind niemals völlig auszuschließen. Daher müssen die Verantwortlichen signalisieren, dass sie ihre Verantwortung für das System wahrnehmen.
Auf der anderen Seite, der des Kunden, müssen bei der Einführung von Cloud Computing-Diensten neue Prozesse geschaffen beziehungsweise die Komponenten der ITIL-Hauptprozesse neu ausgerichtet werden. Letztere beginnen bei der Service-Strategie mit der Bereitstellungsstrategie, den Richtlinien und den Ressourcen. Es folgt das Service-Design mit dem Lösungsdesign, der Architektur und den Standards. Bei der Service-Überführung geht es um den Aufbau, Test und die Bereitstellung der Cloud-Services. Im Service-Betrieb schließlich kommt das technische Management, das Monitoring und der Support beziehungsweise die Problemlösung zum Einsatz. Das Ganze dient einer kontinuierlichen Service-Verbesserung.
Eine Studie von accenture befasst sich mit den notwendigen Verhaltenskompetenzen der Mitarbeiter für den nachhaltigen Erfolg beim Einsatz von Cloud-Diensten. Danach ändert Letzterer Prozesse und Aufgaben von IT-Organisationen. "Statt Anwendungsentwicklung und -Betrieb rücken Anforderungs-, Finanz- und Sicherheitsmanagement sowie die Dienstleistersteuerung in den Mittelpunkt" (Accenture). "Wer an der Schnittstelle von Business und IT unterschiedliche Interessen und Dienstleister koordinieren muss, braucht nicht nur Technologie- und Methoden-Kompetenz, sondern insbesondere tiefes Branchenverständnis und vor allem soziale Kompetenzen, um der Interaktion mit Cloud-Service-Dienstleistern gewachsen zu sein".
Die Ergebnisse der Studie zeigen, dass die IT-Mitarbeiter umdenken müssen: Sie müssen "sich vom Entwickler und Betreiber von Individuallösungen zum Einkäufer von externen Dienstleistungen sowie zum Verkäufer von IT-Kapazitäten gegenüber unternehmensinternen Fachbereichen wandeln".
Vor allem die Zusammensetzung des Mitarbeiterverhaltens ist nach accenture ausschlaggebend, um das volle Potenzial von Cloud Computing auszuschöpfen. Dabei kommt es auf drei Kompetenzfelder an: Branchen-, Methoden- und Sozialkompetenz. Bisher wird die Methodenkompetenz vorrangig bereitgestellt, zu Lasten der beiden anderen Kompetenzfelder. Um die Herausforderungen im Umgang mit den internen Fachabteilungen und den externen Dienstleistern zu meistern, sind jedoch eher die Branchen- und die Sozialkompetenz gefragt. Accenture hat herausgefunden, dass der Fokus innerhalb der IT-Organisationen primär auf fünf Bereichen liegen sollte: Business Relationship Management, Architektur- und Informationsmanagement, Service Integration Management, IT-Finanzmanagement und Sicherheits- und Risikomanagement.
In all diesen Bereichen muss die Verhaltenskompetenz der Mitarbeiter gestärkt werden. Accenture empfiehlt, genau zu analysieren, "welche angepassten Verhaltenskompetenzen für die IT-Mitarbeiter wichtig sind, welche Potenziale zum bisherigen Verhalten eines Mitarbeiters oder Kandidaten ausgeschöpft werden könnten und welche Entwicklungsmaßnahmen ergriffen werden sollten, um den erforderlichen Aufbau von Verhaltenskompetenzen zu ermöglichen". Accenture empfiehlt dazu vier Schritte: Definition des erforderlichen Mix der Verhaltenskompetenzen, Analyse der individuellen Ausprägung der Verhaltenskompetenzen, Entwicklung individueller Maßnahmen zum Aufbau/Neuausrichtung von Verhaltenskompetenzen und die Durchführung individueller Entwicklungsmaßnahmen.
Bei der Einführung von Cloud-Diensten in ein Unternehmen kann als vertrauensbildende Instanz ein spezialisiertes Beratungsunternehmen auf den Plan treten. So befindet sich das gesamte Prozedere in einer Hand und der Kunde muss sich nicht mehr um die einzelnen Aspekte kümmern. Exemplarisch sei hier das Portfolio von Netlution mit Sitz in Mannheim angeführt, das sich auf das Design, die Planung, den Aufbau und den Betrieb von Cloud-Services spezialisiert hat, und dies im Unternehmen bei Cloud Computing-Management und Operations sowie als Schnittstellenmanager zum Cloud-Provider. Über die gesamte Laufzeit hinweg bietet Netlution zum Beispiel die Lieferantensteuerung, das Service-Monitoring (SLA/KPI), das Identitäts- und Zugangsmanagement, das Einhalten der Compliance, das Berichtswesen, die kontinuierliche Serviceverbesserung und die Automatisierung. Hinzu kommt ein 3rd Level Support, ein Backend-OS, das Kapazitäts- und Verfügbarkeitsmanagement, das Change Management und der Knowledge Transfer.
Die Nutzung eines solchen Angebots birgt die Sicherheit, dass das ganze Cloud- und Outsourcing-Projekt von erfahrenen, kompetenten Spezialisten und Experten betreut und durchgeführt wird. Dies sind dann die Kontrolleure und Repräsentanten, denen man – aus dem Kalkül heraus, dass sie ihre Kompetenzen und Freiräume im Interesse des Kunden und somit in ihrem eigenen Interesse verantwortungsvoll einsetzen - vertrauen kann.
"Wo technische Sicherungsmechanismen an Grenzen stoßen, müssen die verbleibenden Lücken durch soziale Mechanismen geschlossen werden". Daher müssen die verantwortlichen Akteure in Erscheinung treten, um ihre Verantwortungsbereitschaft zu beweisen. Nicht absolute Sicherheit ist das (unerreichbare) Ziel, sondern der "gute Wille" – der alleine natürlich nicht ausreicht. Aber er muss stets erkennbar sein, um Vertrauen in das Cloud Computing zu schaffen und ihm zum Durchbruch zu verhelfen.
(Netlution: ra)
Netlution: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.