Die interne Hybrid-Cloud-Plattform von IBM wurde entwickelt, um Tausende von internen Anwendungen zu hosten, die die Geschäfte von IBM betreiben. Der IBM Cloud-Katalog umfasst Hunderte sofort einsatzfähiger Services. Anwendungsteams nutzen vollständig verwaltete Cloud-Services, anstatt ihre eigenen Dienste zu hosten. IBM Cloud-Datenbanken können beispielsweise Backups erstellen, diese wiederherstellen und Versions-Upgrades bei Bedarf oder nach einem automatischen Zeitplan durchführen.
Die Nutzung von Cloud-Services vereinfachte jedoch nicht die Nachverfolgung der Compliance-Anforderungen von Unternehmen. Erfüllen die von den Anwendungsteams erstellten Cloud-Service-Instanzen die Sicherheits-Compliance? Sind die Services so konfiguriert, dass sie den Sicherheitsrichtlinien des Unternehmens entsprechen? Sind die Softwareversionen auf dem erforderlichen Stand der Sicherheits-Patches? Dies sind die gleichen Probleme, die in den lokalen Rechenzentren von IBM bewältigt werden.
Die IBM Hybrid Cloud bietet eine Plattform für verschiedene Anwendungsentwicklungsteams. Die Plattform und die Anwendungsteams teilen sich die operative Last. Die Anwendungs-Compliance wurde zunächst anhand einer schriftlichen Checkliste, Besprechungen und E-Mails überprüft. Feedback und Hilfe waren äußerst begrenzt.
Das IBM Cloud Security and Compliance Center (SCC) stellte automatisierte Kontrollen bereit, die in Profilen zusammengefasst wurden. Das Team der CIO Hybrid-Cloud-Plattform wählte ein Profil aus, das seinen Anforderungen sehr nahe kam, aktivierte Scans und öffnete das Dashboard für die Echtzeit-Compliance-Kontrollen. Die Kontrollen sind so konzipiert, dass das Team nach Abschluss des ersten Scans seine Sicherheits-Compliance-Position visualisieren konnte.
Im Laufe der Zeit erstellte das CIO Hybrid-Cloud-Plattform-Team ein benutzerdefiniertes Profil, das ihren einzigartigen Geschäftsanforderungen entsprach. Die Ergebnisse der Compliance-Prüfung werden in „Scans“ erfasst und den Anwendungsteams zur Verfügung gestellt. Alle Teamkonten der CIO Hybrid-Cloud-Plattform wurden mit einer entsprechenden SCC-Konfiguration und automatischen Scans konfiguriert.
Es ist aufschlussreich, die Compliance-Prozesse vor und nach SCC zu vergleichen:
- Vorher: Dokumentation und handschriftliche Anforderungen
Nachher: Detaillierte Kontrollen, die Anforderungen genau kodieren
- Vorher: Manuelle Überprüfung der Kontoumgebung und der Ressourcen
Nachher: Automatisierte Scans, deren Ergebnisse die Audit-Bereitschaft unterstützen
- Vorher: Feedbackgespräche, E-Mails und handschriftliche Dokumente
Nachher: Maschinell generierte, eindeutige Scanergebnisse mit klaren Erläuterungen zu Problemen und häufig mit Schritten zur Risikominderung
Das SCC bietet ein Dashboard, in dem die Ergebnisse der Sicherheits-Compliance gemeldet werden. Die angezeigten Kontrollen sind klar und prägnant, um den Anwendungsteams dabei zu helfen, fehlerhafte Kontrollen zu identifizieren und die erforderlichen Änderungen an den Anwendungsressourcen vorzunehmen, um die Probleme zu beheben. Wiederkehrende Scans erstellen automatisch aktualisierte Berichte. So können die Anwendungsteams die Auswirkungen der Änderungen beobachten. Dadurch entfiel die Notwendigkeit für zentrale E-Mail-Benachrichtigungen zur Durchsetzung und Statusbesprechungen. Im Juli 2024 ergab eine Überprüfung der etablierten SCC-Kontrollen für das CIO-Hybrid-Cloud-Plattform-Team einen SCC-Dashboard-Wert von 91 % – eine Verbesserung der Compliance bei Unternehmensanwendungen um 52 % gegenüber dem vorherigen SCC-Daten-Dashboard-Wert von 60 % im Juni 2023.1
Die Liste der Kontrollen wird regelmäßig vom CIO Hybrid-Cloud-Plattform-Team anhand von Branchen- und Unternehmens-Compliance-Standards überprüft. Compliance-Anforderungen ändern sich ständig. Durch die Definition von Richtlinien als Code mit automatisierter Prüfung ist das CIO Hybrid-Cloud-Plattform-Team in der Lage, sich ändernde Sicherheitsstandards zu erfüllen.
1 Die Leistungsdaten zur Einhaltung von Sicherheitsvorschriften für das CIO Hybrid-Cloud-Plattform-Team wurden über das Dashboard des IBM Security and Compliance Center am 19. Juni 2023 und am 26. Juli 2024 abgerufen.
Die Chief Information Office (CIO) Organization ist für die interne IT-Strategie von IBM zuständig und kümmert sich um die Bereitstellung, Sicherung, Modernisierung und Unterstützung der IT-Lösungen, die IBM Mitarbeiter, Kunden und Partner tagtäglich für ihre Arbeit nutzen. Die CIO-Strategie umfasst die Schaffung einer anpassungsfähigen IT-Plattform, die den Zugang zur IT im gesamten Unternehmen erleichtert, die Problemlösung beschleunigt und als Innovationsmotor für IBM dient, der das Geschäftswachstum ankurbelt.
Rechtshinweise
© Copyright IBM Corporation 2024. IBM, das IBM Logo und IBM Cloud sind Marken oder eingetragene Marken der IBM Corp. in den USA und/oder anderen Ländern. Das vorliegende Dokument ist ab dem Datum der Erstveröffentlichung aktuell und kann jederzeit von IBM geändert werden. Nicht alle Angebote sind in allen Ländern verfügbar, in denen IBM tätig ist.
Alle angeführten Beispiele illustrieren lediglich, wie einige Kunden IBM Produkte verwendet haben und welche Ergebnisse sie dabei erzielt haben. Tatsächliche Leistung, Kosten, Einsparungen oder andere Ergebnisse in anderen Betriebsumgebungen können abweichen.