Risico’s van een gevirtualiseerde IT-omgeving

Possen & UlrichRisico’s van een gevirtualiseerde IT-omgeving---------------------------------------------------------------------------------------------------------------------------4.2 Assess and manage IT risks (PO09)IT-risicomanagement wordt binnen het CobiT-raamwerk behandeld in het proces “PO9 Assess andManage IT Risks”. Dit proces is erop gericht dat een organisatie een duidelijk proces heeftgeïmplementeerd voor risicobeheersing. Dit betekent dat (IT)risico’s worden geïdentificeerd,geanalyseerd, beoordeeld en overwogen maatregelen worden geïmplementeerd. Debeheersdoelstelling voor dit proces wordt in CobiT 4.1 is als volgt gedefinieerd (ITGI, 2007);“Er bestaat een beheerst proces voor IT-risico identificatie, beoordeling en beheersing. Alle ITrisico’sen mogelijke impact op de processen en doelen van een organisatie worden onderzocht enbinnen de organisatie gedeeld.”Binnen CobiT worden een zestal beheersmaatregelen gedefinieerd welke hieronder kort wordenopgesomd, een volledige beschrijving is opgenomen in bijlage 3. Hierna zullen de wijzigingen dievoor dit proces zijn geïdentificeerd worden beschreven.• PO9.1 IT Risk Management Framework;• PO9.2 Establishment of Risk Context;• PO9.3 Event Identification;• PO9.4 Risk Assessment;• PO9.5 Risk Response;• PO9.6 Maintenance and Monitoring of a Risk Action Plan.Virtualisatie van (database) servers heeft een kleine impact op de vereiste beheersmaatregelen van ITrisicomanagement.De impact van virtualisatie komt voort uit de additionele complexiteit dievirtualisatie met zich mee brengt. Hiermee worden nieuwe risico’s geïntroduceerd ten aanzien van de(IT) organisatie, de automatiseringsomgeving en de (IT) beheerprocessen. Het is belangrijk dat degeïntroduceerde virtualisatielaag ook wordt meegenomen in de beheersmaatregelen met betrekking totIT-risico’s (Dutton, 2007)(Behnia & Wrobel, 2009). Hierbij is het belangrijk om de risico’s vanvirtualisatie op bedrijfsproces niveau te beoordelen en te mitigeren tot een geaccepteerd niveau voordeze bedrijfsprocessen (niet IT gedreven)(Ranada, 2009).Experts geven aan dat wanneer de risico’s van virtuele (database)servers niet worden beheerst, devoordelen van de virtuele omgeving zullen worden overtroffen (Melançon, 2008). Hierbij is hettevens van belang om bij het uitvoeren van de risicoanalyse experts op het gebied van(database)servervirtualisatie te betrekken zodat de bedreigingen, risico’s, maatregelen eninschattingen (impact en waarschijnlijkheid gerelateerd aan het voordoen van het risico) in de juistecontext worden geanalyseerd. De experts dienen kennis te hebben van het gebruiktevirtualisatieproces en de impact op de verschillende (virtuele) onderdelen adequaat in te kunnenschatten. Hierbij dient de impact voor de volgende onderdelen van een virtuele omgeving wordenbepaald:• Virtual Machine (VM);• Service Console;• VirtualCenter;• Virtualization Layer;• Virtual network;• Virtual Storage;---------------------------------------------------------------------------------------------------------------------------Pagina 26