Risico’s van een gevirtualiseerde IT-omgeving

Possen & UlrichRisico’s van een gevirtualiseerde IT-omgeving---------------------------------------------------------------------------------------------------------------------------voogestestelde beheersmaatregelen werd aangegeven dat niet duidelijk was wat precies werdgevraagd en tot op welk niveau aangetoond moest kunnen worden dat risicomanagement wasgeïmplementeerd.oOp basis van de uitkomsten van dit gesprek, zijn de beheersmaatregelen specifiekertoegeschreven naar de virtualisatiecomponenten waar de delta specifiek betrekking opheeft.• Manage changes(AI06)Op het gebied van wijzigingsbeheer werd tijdens de toetsing van ons raamwerk geopperd dat ereen nieuwe manier van wijzigingenbeheer kan bestaan, namelijk een vorm waarbij niet desoftware maar de VM migreert over de OTAP omgevingen. Er werd gewezen op een mogelijkgevolg van het snel kunnen deployen van een VM, namelijk mogelijke wildgroei van VM’s(“Server sprawl”). Om deze wildgroei te voorkomen dient er een beheerst wijzigingsbeheerproceste bestaan. Verder bestaan in de literatuur verschillende meningen over de manier waaropscheiding van omgevingen moet worden geïmplementeerd. Op basis van de praktijktoetsing isgeconcludeerd dat er minimaal een fysieke scheiding tussen de test en productieomgeving van devirtualization layer (tussenlaag) dient te bestaan. Op basis van de gedefinieerdebeheersmaatregelen en de besproken door te voeren verbeteringen is geconcludeerd dat debeheersmaatregelen juist, volledig, relevant en toepasbaar zijn.ooTijdens het interview zijn de specifieke risico’s die bij wijzigingenbeheer op basis vanVM migratie worden onderkend nader geanalyseerd Er is een specifiekebeheersmaatregel geformuleerd, waarbij rekening wordt gehouden met het classificatieniveau en de (beveiligings)instellingen van een VM die naar de productieomgevingwordt gemigreerd.Op basis van de praktijktoetsing is geconcludeerd dat minimaal fysieke scheiding dient tebestaan tussen de test en productie-omgeving van de virtualization layer. Het betreft hiergescheiden omgevingen van de virtuele-infrastructuur. Bovenop deze infrastructurelescheiding van omgevingen bestaat de scheiding van serveromgevingen (OTAP) vanVM’s. Hiervoor zijn aparte beheersmaatregelen gedefinieerd.• Manage the configuration(DS09);Tijdens de praktijktoetsing kwam naar voren dat de gedefinieerde beheersmaatregelen relevant,juist en toepasbaar waren. Daarnaast heeft discussie plaatsgevonden over de volledigheid van debeheersmaatregelen. Tijdens de toetsing werd geopperd voor de opname van beheersmaatregelenvoor licentiebeheer. Dit werd in eerste instantie niet beschouwd als een component met impact opde drie kwaliteitsaspecten. Tijdens de toetsing is echter een scenario geschetst van een organisatiedie over te weinig licenties beschikte. In een dergelijk geval zouden er mogelijk juridischegevolgen bestaan voor het gebruik van een te groot aantal VM’s. Indirect kan dit een impact op debeschikbaarheid voor deze VM’s tot gevolg hebben.oEen beheersmaatregel is opgenomen om zorg te dragen voor een beheerst licentiebeheerproces. Hiermee is de volledigheid van de maatregelen voor dit proces geborgd.• Manage performance and capacity(DS03);Prestatie en capaciteitsmanagement krijgt veel aandacht binnen de beschikbare literatuur. Vooralop het vlak van (database)server virtualisatie. Tijdens de praktijktoetsing bleek dat de in hetconceptraamwerk opgenomen beheersmaatregelen relevant en volledig zijn. Door het formulerenvan duidelijke “Quality of Service” settings en het monitoren van resources kan het procesworden beheerst. Wel verandert de impact en de complexiteit van prestatie encapaciteitsmanagement. De impact wijzigt vanwege de onderlinge relatie tussen VM’s. Eventueleprestatie en capaciteitsproblemen brengt niet de beschikbaarheid van één VM, maar eenverzameling VM’s in gevaar. De complexiteit wijzigt omdat voorheen prestatie encapaciteitmanagement per fysieke server werd uitgevoerd. Bij virtualisatie bestaan resources uit---------------------------------------------------------------------------------------------------------------------------Pagina 64