Risico’s van een gevirtualiseerde IT-omgeving

Possen & UlrichRisico’s van een gevirtualiseerde IT-omgeving---------------------------------------------------------------------------------------------------------------------------Vanuit CobiT worden een drietal beheersmaatregelen gedefinieerd welke hieronder kort wordenopgesomd, een volledige beschrijving is opgenomen in bijlage 3. Hierna zullen de wijzigingen dievoor dit proces zijn geïdentificeerd worden beschreven.• DS9.1 Configuration Repository and Baseline;• DS9.2 Identification and Maintenance of Configuration Items;• DS9.3 Configuration Integrity Review.In traditionele, niet virtuele omgevingen, is het vaak duidelijk over welke servers een organisatiebeschikt. In de serverruimte kunnen de fysieke servers worden onderscheiden. In een virtueleomgeving zijn deze niet zichtbaar. Zoals Gartner naar aanleiding van een in 2007 uitgevoerde enquêteheeft aangegeven is een van de grootste uitdagingen in virtuele omgevingen het beheren van dewildgroei van virtuele (database) servers (Haight, 2008). Deze wildgroei brengt een uitdaging metzich mee op het gebied van configuratiebeheer. Een enkele fysieke server herbergt vaak meerderevirtuele (database) servers. Daarom is het belangrijk om vast te leggen welke virtuele (database)servers in gebruik zijn en dit periodiek te controleren of deze virtuele (database) servers nogbeschikbaar zijn en of de registratie nog volledig is. Daarnaast zijn per virtuele (database)serververschillende instellingen mogelijk ook deze instellingen dienen adequaat en volledig te wordengeregistreerd. Hiervoor dienen goede procedures worden opgesteld zodat het inzichtelijk is en blijftop welke wijze de virtuele (database) servers zijn geconfigureerd (Baldwin e.a., 2008)(Montero,2009).Het is van belang dat de configuratie van alle (database) servers en andere IT-componenten adequaaten volledig plaatsvindt. Wanneer dit niet gebeurt kan het oplossen van storingen langer duren dangewenst of nodig is. Tevens is dit voor het monitoren van belang om inzichtelijk te hebben welkevirtuele databaseservers op welke host draaien. Verder is het van belang dat niet alleen de huidigeinstellingen te zien zijn maar dat ook inzichtelijk kan worden gemaakt welke wijzigingen zijndoorgevoerd ten aanzien van een IT-component (Behnia & Wrobel, 2009)(Clavister, 2009)(Olsen,2009).Voor het beoordelen van de juistheid van de configuratiedatabase is het van belang dat deparameterwijzigingen aan en het in en uitschakelen van de virtuele (database) servers automatischwordt gelogd en periodiek wordt beoordeeld. Hiermee kan worden vastgesteld of de configuratie vande omgeving conform de eisen van de organisatie is en is geweest binnen een bepaalde periode.(Melançon, 2008)Alle IT-componenten dienen te zijn geclassificeerd ten aanzien van de kwaliteitsaspectenbeschikbaarheid, integriteit en vertrouwelijkheid. Op basis van deze classificatie zullen verschillendemaatregelen moeten worden genomen, onder andere op het gebied van beveiliging en continuïteit.Virtualisatie brengt de mogelijkheid met zich mee om onder andere (database) servers en ander ITcomponentendie zijn gevirtualiseerd snel en zonder veel moeite over verschillende fysieke hosts teverplaatsen. Het is hierbij van belang om de classificatie van de virtuele servers, fysieke hosts enoverige (virtuele)IT-componenten vast te hebben liggen in het CMDB en te controleren. Vanuit onderandere het beveiligings- en continuïteitsoogpunt is het van belang dat de servers alleen op hostsmogen draaien met dezelfde classificatie. Hierop dient controle te worden uitgeoefend (Baldwin ea,2008)(Klaver, 2008).Traditioneel werden licenties voor besturingssystemen uitgegeven per server en was de licentiegebonden aan het aantal processoren van de server. Uit interviews met experts komt ook naar vorendat het beheren van licenties in virtuele omgevingen erg lastig is omdat het vaak niet duidelijk is---------------------------------------------------------------------------------------------------------------------------Pagina 58