Risico’s van een gevirtualiseerde IT-omgeving

Possen & UlrichRisico’s van een gevirtualiseerde IT-omgeving---------------------------------------------------------------------------------------------------------------------------oTijdens de verificatie van de in CobiT aanwezige beheersmaatregelen, als onderdeel vanhet proces fysieke beveiliging, zijn geen ontbrekende of gewijzigde maatregelengeïdentificeerd.5.2 Analyse van bevindingenWanneer wordt gekeken naar de uiteindelijk geïdentificeerde beheersmaatregelen, blijkt datvirtualisatie een grote impact zal hebben op de bestaande infrastructuur en IT-beheerprocessen. Deimpact uit zich per CobiT-proces op een andere manier, maar er zijn op hoofdlijnen enkeleovereenkomsten geïdentificeerd. Deze eigenschappen zijn gecategoriseerd in:- nieuwe beheersmaatregelen;- gewijzigde beheersmaatregelen;- niet gewijzigde beheersmaatregelen.Nieuwe beheersmaatregelenTen eerste zijn er beheersmaatregelen geïdentificeerd die volledig nieuw zijn. Binnen de volgendeprocessen zijn nieuwe beheersmaatregelen gedefinieerd:• Manage changes(AI06);• Ensure continuous service(DS04);• Ensure systems security(DS05);• Manage data(DS11).Dit is verklaarbaar door het feit dat een nieuwe infrastructuur laag wordt geïntroduceerd die nieuwe(beheer) mogelijkheden biedt. Voor deze nieuwe laag en (beheer)mogelijkheden bestaan ook nieuwerisico’s. Deze risico’s worden afgedekt met beheersmaatregelen die niet bestaan binnen een nietgevirtualiseerde IT-infrastructuur.Gewijzigde beheersmaatregelenDe meest omvangrijke groep bestaat uit processen waarvoor een bestaande beheersmaatregel blijftbestaan, maar een specifieke toevoeging voor virtualisatie moet worden opgenomen. Het gaat hierbijom de volgende processen;• Assess and manage IT risks(PO09);• Manage changes(AI06);• Manage performance and capacity(DS03);• Ensure continuous service(DS04);• Ensure systems security(DS05);• Manage the configuration(DS09);• Manage data(DS11).Virtualisatie introduceert een nieuwe laag binnen de infrastructuur die moet worden beheerst. Debestaande beheersmaatregelen zijn vaak globaal gedefinieerd omdat duidelijk was over welke laagwerd gesproken. Met de introductie van een extra laag (gevirtualiseerde infrastructuur) dienen dezebeheersmaatregelen expliciet deze extra laag te benoemen. Voor deze beheersmaatregelen geldt nietzozeer een ander proces, de diepgang van de beheersmaatregelen wordt groter aangezien ook devirtuele laag onderdeel zal moeten zijn van de gedefinieerde beheersmaatregelen.Geen wijzigingen in de bestaande beheersmaatregelenDe laatste categorie zijn de beheersmaatregelen waarbij geen wijzigingen zijn geïdentificeerd alsgevolg van virtualisatie. Deze categorie omvat de beheersmaatregelen zoals deze in de nietgevirtualiseerde omgeving reeds bestaan en in een gevirtualiseerde omgeving blijven bestaan. Enkelebeheersmaatregelen binnen de geselecteerd processen zullen niet wijzigen wanneer een organisatiegebruik gaat maken van virtualisatie. Deze beheersmaatregelen zijn dan ook niet opgenomen in hetopgestelde raamwerk, aangezien dit raamwerk de delta tussen virtuele en niet virtuele omgevingenbeschrijft. Op basis van dit onderzoek en praktijktoetsing is vastgesteld dat de beheersmaatregelenvoor de volgende twee processen niet wijzigen;---------------------------------------------------------------------------------------------------------------------------Pagina 66