Risico’s van een gevirtualiseerde IT-omgeving

Possen & UlrichRisico’s van een gevirtualiseerde IT-omgeving---------------------------------------------------------------------------------------------------------------------------raamwerk wordt aangegeven: “Within each IT process, control objectives are provided as genericaction statements”. Hieruit blijkt duidelijk dat deze definitie meer aansluit op de definitie van eenbeheersmaatregel, zoals in dit onderzoek is gehanteerd.De beheersmaatregelen binnen dit onderzoek zijn zo generiek mogelijk gedefinieerd voor de audit vaneen gevirtualiseerde databaseserver omgeving ongeacht welk virtualisatieproduct hierbij wordtgehanteerd. Er is specifiek gekozen voor een databaseserver omgeving omdat het virtualiseren vaneen databaseserver soms ter discussie wordt gesteld (AMD, 2008). Daarnaast is de databaseserveraltijd een belangrijk object van onderzoek voor (financiële) audits. Tijdens de praktijktoetsing bleekechter dat er op het gebied van beheersing nauwelijks verschillen bestaan tussen het virtualiseren vaneen applicatieserver en databaseserver. Wel zijn enkele attentiepunten te benoemen die voor eengevirtualiseerde databaseserver speciale aandacht vragen, zoals “Manage performance and capacity(DS03)”. Het generiek formuleren van beheersmaatregelen heeft als voordeel dat het raamwerk voormeerdere virtualisatieproducten is te gebruiken. Het mogelijke nadeel is dat er soms nog eenconcretisering van het raamwerk moet plaatsvinden. Binnen deze scriptie is de infrastructuur vanVMware als voornaamste referentiepunt gebruikt. Enerzijds omdat “Deloitte Websolutions” gebruiktmaakt van VMware en anderzijds omdat VMware momenteel de marktleider is op het gebied vanvirtualisatie. Voor enkele meer technische beheersmaatregelen is er een specifieke toevoeging voorVMware opgenomen. Deze toevoeging geeft een auditor soms meer achtergrondinformatie om debeheersmaatregel goed te kunnen toetsen.Voor het inventariseren en verifiëren van de voorgestelde beheersmaatregelen (delta) is adviesingewonnen bij een virtualisatie architect van ContinuityCenter, een expert op het gebied vanBusiness Technology (ontwikkelingen op het gebied van virtualisatie en Cloud Computing) van IBMen diverse deskundigen binnen Deloitte ERS. Een volledig overzicht is opgenomen in “Bijlage 4Beschrijving van toetsingsobject en (externe) deskundigen”Toetsing van het raamwerk heeft plaats gevonden bij “Deloitte Websolutions”. Een voordeel van‘Deloitte Websolutions’ als toetsingsobject is dat er inhoudelijke gesprekken konden worden gevoerdover mogelijke problemen, gekozen implementaties en toekomstige ontwikkelingen. Vaak is eenvolledig externe organisatie huiverig dergelijke informatie met anderen te delen, echter de auteurs vandit onderzoek hadden toegang tot deze informatie omdat ze ook bij Deloitte werkzaam zijn. De door‘Deloitte Websolutions’ aangedragen vertrouwelijke informatie heeft bijgedragen aan het formulerenvan mogelijke beheersmaatregelen maar wordt niet expliciet kenbaar gemaakt in dit rapport.Op basis van de praktijktoetsing is de relevantie (is deze beheersmaatregel terecht opgenomen?), dejuistheid (klopt de beschrijving?), de volledigheid (zijn er nog andere risico’s en noodzakelijkebeheersmaatregelen?) en toepasbaarheid (is de beheersmaatregel te begrijpen en bruikbaar voor eenderde?) van de geformuleerde beheersmaatregelen vastgesteld. Tenslotte zijn de doorgevoerdewijzigingen en conclusies als gevolg van de praktijktoetsing met “Deloitte Websolutions” besproken.5.4 Aanvullend onderzoekVirtualisatie is een relatief nieuwe ontwikkeling en zal zich in de toekomst verder ontwikkelen. Dezeontwikkeling zal wellicht risico’s die in dit onderzoek zijn geïdentificeerd mitigeren. Daarnaast is hetaannemelijk dat de verdergaande ontwikkeling ook nieuwe of gewijzigde risico’s en noodzakelijkebeheersmaatregelen met zich meebrengt. In de toekomst zullen de resultaten van dit onderzoek danook moeten worden geactualiseerd.De eindresultante van het onderzoek bestaat uit een generiek toepasbaar raamwerk voor eengevirtualiseerde (database)server omgeving. Hierbij is de terminologie en architectuur van VMwareals leidraad gehanteerd. Toekomstige onderzoeken zouden zich kunnen richten op het verderconcretiseren van de geformuleerde beheersmaatregelen voor één of meerdere specifiekevirtualisatieplatformen.---------------------------------------------------------------------------------------------------------------------------Pagina 68