Risico’s van een gevirtualiseerde IT-omgeving

Possen & UlrichRisico’s van een gevirtualiseerde IT-omgeving---------------------------------------------------------------------------------------------------------------------------Deze scriptie zal niet ingaan op de specifieke risico’s die samenhangen met Cloud Computing, maarhet moge duidelijk zijn dat de introductie van virtualisatie zal leiden tot wijzigingen van hetrisicoprofiel, beheersmaatregelen en audit-aanpak. Er bestaat dus een duidelijke reden om de toolkitvan de IT-auditor te voorzien van informatie over specifieke beheersmaatregelen die de risico’s vanvirtualisatie kunnen afdekken. De auditor zal bewust moeten worden van de nieuwe risico’s die metvirtualisatie worden geïntroduceerd en hoe hiermee om dient worden te gaan.De wereld van virtualisatieproducten is niet uniform. Het is dus niet mogelijk één algemeen raamwerkte ontwikkelen met specifieke beheersmaatregelen die toepasbaar zijn voor elke gevirtualiseerdeomgeving. Naast de product specifieke risico’s, bestaan risico’s voor de unieke situatie waarbinnenvirtualisatie wordt toegepast. Het is wel mogelijk om de huidige set van algemene beheersmaatregelendie binnen een datacenter worden toegepast onder de loep te nemen en te onderzoeken in hoeverrevirtualisatie hier impact op heeft.De beheersmaatregelen die voor een gevirtualiseerde omgeving zullen moeten worden aangepast,vormen een delta. De delta kan worden beschouwd als het verschil tussen het oude raamwerk van eenniet gevirtualiseerde omgeving en het nieuwe raamwerk voor een gevirtualiseerde omgeving. Erwordt bewust gekozen om een delta op te stellen, in tegenstelling tot een compleet nieuw raamwerk.De voornaamste reden hiervoor is eigenlijk al genoemd: Het onderzoek is erop gericht een generiekraamwerk te formuleren met beheersmaatregelen die binnen de verschillende gevirtualiseerdeomgevingen en op basis van verschillende virtualisatieproducten zijn uitgevoerd. . Debeheersmaatregelen zullen voor het uitvoeren van een audit nog verder moeten wordengeconcretiseerd op basis van het gebruikte virtualisatie product en (klant) omgeving.Er wordt niet verwacht dat door het toepassen van virtualisatie, reeds bestaande beheersmaatregelenkomen te vervallen. De oude situatie van een server met hierop draaiende een applicatie die beidenmoeten worden beheerst blijft immers bestaan, hetzij virtueel. Virtualisatie introduceert echter eenextra laag binnen de bestaande IT-architectuur waarvoor nieuwe beheersmaatregelen noodzakelijkzijn en de manier waarop invulling wordt gegeven aan reeds bestaande beheersmaatregelen brederwordt. Binnen deze scriptie staan de drie kwaliteitsaspecten “beschikbaarheid”, “integriteit”, en“vertrouwelijkheid” (ook bekend als ‘BIV’ of ‘CIA’) centraal, aangezien deze drie kwaliteitsaspectenvaak als uitgangspunt worden gehanteerd voor een IT-audit met als doelstelling het toetsen van degenerieke beheersmaatregelen (General Computer Controls) van een geautomatiseerde omgeving.1.2 DoelstellingDit onderzoek richt zich op de risico’s die organisaties lopen indien gebruik wordt gemaakt vanvirtualisatie. Op basis van de genoemde kwaliteitaspecten (zie de vorige paragraaf) worden de voordit onderzoek relevante generieke IT-beheerprocessen geselecteerd, op basis van een algemeen erkendraamwerk. Voor de generieke IT-beheerprocessen wordt de impact van virtualisatie geïnventariseerdmet betrekking tot de toegepaste beheersmaatregelen. Vanwege de soms nog bestaande twijfel omdatabaseservers te virtualiseren, zal hierbij specifiek worden gekeken naar de risico’s voor eendatabaseserver omgeving.Het doel is om voor de geïdentificeerde risico’s met betrekking tot virtualisatie van eendatabaseserver, mitigerende beheersmaatregelen te definiëren die uiteindelijk leiden tot een algemeenbeheersmaatregelenraamwerk ten behoeve van gevirtualiseerde databaseservers.Het raamwerk bestaat uit beheersmaatregelen die nodig zijn om de specifieke risico’s van virtualisatieaf te dekken voor de geselecteerde IT-beheerprocessen. Het raamwerk zal niet gedetailleerd ingaan opde algemene beheersmaatregelen die niet wijzigen als gevolg van virtualisatie, maar het beschrijft eendelta tussen de oude en de nieuwe beheersmaatregelen als gevolg van virtualisatie.---------------------------------------------------------------------------------------------------------------------------Pagina 6