24 HMD 288

Alexander Robrecht, Regine Dörbecker, Carsten Möller, Tilo Böhmann

Entscheidungsunterstützung für Cloud Computing – ITIL Service Lifecycle

Es kann festgehalten werden, dass das ITIL-Frame-work geeignet ist, die notwendigen Entscheidun-gen zur Einführung und Nutzung von CloudComputing zu unterstützen. ITIL (IT InfrastructureLibrary) stellt damit eine relevante Entschei-dungsprämisse dar. Es wird deutlich, dass trotzAuslagerung von Aufgaben an den Cloud-Provider auch Prozesse der ITIL-Phasen ServiceTransition und Service Operation weiterhin eineRelevanz für interne IT-Provider haben. Eine Kun-denorganisation kann durch explizite Planungs-entscheidungen die bisherigen IT-Servicemanage-mentprozesse an die Herausforderungen desCloud Computing anpassen und somit die Ein-führung und Nutzung von Cloud Computing vor-bereiten.

Inhaltsübersicht1 ITIL als Prämisse für Cloud-Entscheidungen2 Entscheidungen bei der Nutzung von Cloud

Computing2.1 Phasen der Entscheidung2.2 Vorgelagerte Entscheidungen2.3 Beschaffungsentscheidungen2.4 Entscheidungen bei

Leistungserbringung2.5 Entscheidungen bei Nicht-/

Schlechtleistung2.6 Übersicht: Relevante ITIL-Prozesse für

Cloud-Entscheidungen3 Literatur

1 ITIL als Prämisse für Cloud-Entscheidungen

Die Einführung und Nutzung von Cloud Com-puting im Unternehmenskontext stellt eine He-rausforderung dar, der durch Integration diesesParadigmas in das IT-Servicemanagement

(ITSM) begegnet werden kann. Der De-facto-Standard des ITSM, das ITIL-Framework, adres-siert jedoch nicht explizit die Adoption vonCloud Computing. Es ist daher zu klären, inwie-fern die Prozesse des Frameworks Entscheidun-gen zur Einführung und Nutzung von Public-Cloud-Services unterstützen können.

Im Sinne dieser entscheidungsorientiertenBetrachtung werden die Prozesse des ITIL-Frameworks in diesem Beitrag als Entschei-dungsprämisse verstanden. Entscheidungsprä-missen grenzen den Entscheidungsspielraumeines Entscheiders ein, ohne jedoch die Ent-scheidung bereits vollständig festzulegen[Luhmann 2006, S. 20]. Diese Einordnungmacht deutlich, dass das Framework Einflussauf die Entscheidungen in einer IT-Abteilunghat und somit auch die Einführung und Nut-zung von Cloud Computing in einem Unterneh-men mitbestimmt. Eine bewusste Veränderungvon Prämissen wird Planungsentscheidung ge-nannt [Luhmann 2006, S. 19 f.]. Eine Kundenor-ganisation, die Cloud-basierte Services einfüh-ren und nutzen möchte, kann durch diesePlanungsentscheidungen die bisher gültigenEntscheidungsprämissen anpassen und so dieAbläufe und Entscheidungswerkzeuge im Rah-men des IT-Servicemanagements auf die neuenGegebenheiten abstimmen.

2 Entscheidungen bei der Nutzung von Cloud Computing

2.1 Phasen der EntscheidungDie für eine gemeinsame Werterzeugung not-wendigen Interaktionen zwischen Kunden unddem Cloud-Anbieter können mittels des ISPAR-Modells (Interact-Serve-Propose-Agree-Realize)

Entscheidungsunterstützung für Cloud Computing

HMD 288 25

beschrieben werden [Maglio et al. 2009, S. 402].Dieses bildet den gesamten Lebenszyklus einerKunden-Dienstleister-Beziehung, von der erstenÜberlegung zur Nutzung eines Service über dieBeschaffung und Nutzung einer Dienstleistungbis hin zur Beendigung des Vertragsverhältnisses,ab. Der Verlauf einer solchen Geschäftsbeziehungist nicht zufällig, sondern wird durch bewussteEntscheidungen auf Kunden- und Anbieterseitegestaltet. Für die Strukturierung dieses Beitragswerden vier kundenseitige Entscheidungspha-sen hergeleitet: vorgelagerte Entscheidungen,Beschaffungsentscheidungen, Entscheidungen beiLeistungserbringung und Entscheidungen beiNicht-/Schlechtleistung.

Diese Entscheidungsphasen werden basie-rend auf den Erkenntnissen einer umfangreichenLiteraturrecherche und -analyse in den folgendenAbschnitten präzisiert. Hierbei werden diese nochsehr abstrakten Entscheidungsphasen jeweils ineinzelne Entscheidungen untergliedert und durcheine Zielsetzung, Handlungsalternativen und Ent-scheidungskriterien beschrieben. Daraus ergebensich Anforderungen an eine Entscheidungsunter-stützung, die jeweils mit den Zielen, Aktivitäten,Methoden und Techniken der einzelnen Prozessedes ITIL-Frameworks [Cannon et al. 2011] abgegli-chen werden. Ergebnis dieser Analyse ist eineÜbersicht (vgl. Tab. 1) der für die Einführung undNutzung von Cloud Computing relevanten ITIL-Prozesse, wobei zwischen einer durchführungs-verantwortlichen und einer unterstützenden Rolleder Prozesse unterschieden wird.

2.2 Vorgelagerte EntscheidungenBasierend auf der Literaturanalyse wird dieseEntscheidungsphase in vier Entscheidungenaufgeteilt: generelle Adoptionsentscheidung,Entscheidung über eine Anpassung der Gover-nance- und Organisationsstrukturen, Auswahleines geeigneten Betriebsmodells sowie Gestal-tung eines Cloud-Service-Portfolios.

Generelle Adoptionsentscheidung: Aus-gangspunkt jeder expliziten Entscheidung füroder gegen die Adoption von Cloud Computing

ist eine erste Auseinandersetzung mit dieserneuen Technologie. Es gilt dabei, herauszufin-den, ob eine Innovation zukünftig in einer Orga-nisation eingesetzt werden sollte oder nicht.Ohne eine explizite Entscheidung wird eine im-plizite Ablehnung vorgenommen. Eine Studiezur Adoption von Software as a Service (SaaS) inDeutschland zeigt, dass wahrgenommenerNutzen (u.a. Kosten, Flexibilität, Qualität) undwahrgenommene Risiken (u.a. Sicherheit, Per-formance) die Adoptionsentscheidung maß-geblich beeinflussen [Benlian & Hess 2011,S. 242]. Auslöser der Entscheidung kann dieNachfrage eines Kunden sowie das interne Be-streben zur Verbesserung sein.

Zuständig für die Identifizierung der aktu-ellen und zukünftigen Kundenanforderungenist in ITIL das Demand Management. Zielset-zung dieses Prozesses ist das Verstehen, Anti-zipieren und Beeinflussen der Kundennachfra-ge. Unterstützung kann der Prozess des Busi-ness Relationship Management bieten, dadieser das Business-IT-Alignment fördert unddas Ziel verfolgt, ein hohes Maß an Geschäfts-verständnis in der IT sicherzustellen. Um IT-intern Verbesserungspotenziale zu erkennenund umzusetzen, schlägt ITIL den 7-Step Im-provement Process vor. Neben der Verbesse-rung von Services trägt dieser auch die Verant-wortung für das Ziel der Kostenreduzierung.Bei der Bewertung von Kosteneinsparungenkann das Financial Management for IT Ser-vices, zuständig für das IT-Controlling, unter-stützen. Im Anschluss an diese erste Bewer-tung liegt die Zuständigkeit für die weiterenstrategischen Entscheidungen zur Adoptionim Prozess Strategy Management for ITServices. Aufgabe dieses Prozesses ist dieDurchführung von Analysen interner undexterner Einflussfaktoren (z. B. einer neuenTechnologie wie Cloud Computing) zur Iden-tifikation von Chancen und Risiken. Basie-rend darauf werden strategische Maßnah-men geplant, dokumentiert und für die Um-setzung vorbereitet.

Entscheidungsunterstützung für Cloud Computing

26 HMD 288

Tab. 1: Matrix der ITIL-Entscheidungen

Entscheidung über eine Anpassung der Gover-nance- und Organisationsstrukturen: Die Adoptionvon Cloud Computing steht in einer wech-selseitigen Beziehung zur Organisations- und

Governance-Struktur eines Unternehmens unddamit auch zum IT-Servicemanagement [Suoet al. 2011]. Unternehmen müssen entscheiden,ob ihre ITSM-Prozesse die Herausforderungen des

ITILService Strategy

Service Design Service Transition Service Operation

CSI

Legende:

R: Responsible (durchführungs-verantwortlich)

C: Consulted (fachlich unterstützend)

Str

ateg

y M

anag

emen

tS

ervi

ce P

ortf

olio

Mgm

t.F

inan

cial

Man

agem

ent

Dem

and

Man

agem

ent

Bus

ines

s R

elat

ions

hip

Mgm

t.D

esig

n C

oord

inat

ion

Ser

vice

Cat

alog

ue M

gmt.

Ser

vice

Lev

el M

anag

emen

tA

vaila

bilit

y M

anag

emen

tC

apac

ity M

anag

emen

tIT

-Ser

vice

Con

tinui

ty M

gmt.

Info

rmat

ion

Sec

urity

Mgm

t.S

uppl

ier

Man

agem

ent

Tra

nsiti

on P

lann

ing

& S

uppo

rtC

hang

e M

anag

emen

tS

ervi

ce A

sset

& C

onfig

urat

ion

Mgm

t.R

elea

se &

Dep

loym

ent M

gmt.

Ser

vice

Val

idat

ion

& T

estin

gC

hang

e E

valu

atio

nK

now

ledg

e M

anag

emen

tE

vent

Man

agem

ent

Inci

dent

Man

agem

ent

Req

uest

Ful

film

ent

Pro

blem

Man

agem

ent

Acc

ess

Man

agem

ent

7-S

tep

Impr

ovem

ent P

roce

ss

EntscheidungssituationVorgelagerte EntscheidungenEntscheidung zur generellen Adoption von Cloud Computing

R C R C R

Entscheidung Anpas-sung Governance- und Organisationsstrukturen

R R

Auswahl des geeigneten Betriebsmodells

R C C C C C C C C C C C C C

Gestaltung eines Cloud-Service-Portfolios

C R C C C C C C C C C C C C

BeschaffungsentscheidungenService- und Anbieterauswahl in der Public Cloud

C R C C C C C C C C C C C

Vertragsgestaltung Public Cloud

C C C R C C C C R

Entscheidungen bei LeistungserbringungInbetriebnahme C C C C R C C C C C

Überprüfung des regu-lären Systembetriebs

C C C C C C C R C C C C C R

Umgang mit Incidents und Requests

R R C C C

Entscheidungen bei Nicht-/SchlechtleistungReaktion auf schwer-wiegende Störfälle

R C C C C C

Anbieterwechsel/Backsourcing

C R C C C C C C C C R C C R

Entscheidungsunterstützung für Cloud Computing

HMD 288 27

Cloud Computing bereits ausreichend adressie-ren oder ob eine Anpassung erforderlich ist (Pla-nungsentscheidung).

Bestandteil der strategischen Planungen imITIL-Prozess Strategy Management for IT Ser-vices ist die Bewertung der internen Fähigkeiten(Services, Prozesse, Human Resources (HR) etc.).Auf Basis dieser Erkenntnisse wird eine Strategieentwickelt, die die identifizierten Stärken undSchwächen adressiert. Hierbei wird explizit aucheine Anpassung von IT-Servicemanagementpro-zessen vorgesehen. Der 7-Step ImprovementProcess ist ein strukturierter, kennzahlenorien-tierter Prozess, der für die Umsetzung solcherVeränderungen verantwortlich ist.

Auswahl eines geeigneten Betriebsmodells:Bei der Adoption von Cloud Computing stehenOrganisationen vor einer strategischen Make-or-Buy-Entscheidung. Im Cloud-Umfeld könnenin diesem Zusammenhang Public und PrivateCloud sowie Mischformen unterschieden wer-den. Der Branchenverband BITKOM unterstütztEntscheider in einem Cloud-Computing-Leitfa-den mit einem 14 Kriterien umfassenden Be-wertungskatalog [Weber 2010, S. 21]. NebenKostenaspekten (Skaleneffekte) sind Sicherheitund Compliance wichtige Entscheidungskriterien.Viele Unternehmen setzen auf ein hybridesPortfolio aus Legacy- sowie Private- und Public-Cloud-Systemen.

Die Verantwortung für strategische Ent-scheidungen liegt in ITIL beim Prozess StrategyManagement for IT Services, in dessen Analyse-phase kritische Erfolgsfaktoren identifiziertwerden. Im Rahmen der Make-or-Buy-Entschei-dung können diese mit den Eigenschaften derCloud-Betriebsmodelle abgeglichen werden.Die Bewertung der einzelnen Kriterien kanndurch Prozesse der Phasen Service Strategy undService Design unterstützt werden (z.B. Sicher-heitsanforderungen durch das Information Se-curity Management oder Flexibilitätsanforde-rungen aus dem Demand Management). Derneue Prozess Design Coordination bildet eineSchnittstelle zwischen den Phasen der Service

Strategy und des Service Design und ist dahergeeignet, einen koordinierten Abgleich zwi-schen Anforderungen der Services und den Ent-scheidungskriterien im Strategieprozess zu er-möglichen. Technische Aspekte, wie z.B. derVerteilungsgrad einer Anwendung, könnenmittels des Prozesses Service Asset & Configu-ration Management bewertet werden, da die-ser Informationen zur Konfiguration einzelnerService Assets sowie deren Beziehungen im Ge-samtkontext bereitstellt.

Gestaltung eines Cloud-Service-Portfolios: Ineinem hybriden Szenario ist für jeden IT-Servicezu entscheiden, ob dieser in die Public Cloudausgelagert werden sollte oder nicht. WichtigeBewertungskriterien für die Gestaltung desCloud-Service-Portfolios sind die Kritikalität(Sicherheitsrelevanz, Kosten bei Ausfall) und diestrategische Bedeutung (Wettbewerbsdifferen-zierung, Wettbewerbsvorteile) des Service. Aberauch technische Aspekte wie Standardisierung,Verteilungsgrad oder Anforderungen an dasNetzwerk sollten einbezogen werden [Loebbeckeet al. 2012].

Im ITIL-Framework liegt die Zuständigkeitfür die Spezifikation einzelner Services im Ser-vice Portfolio Management. Zur Bewertung derstrategischen, technischen und wirtschaftli-chen Entscheidungskriterien erscheint es er-neut sinnvoll, die Prozesse der Service-Strategy-und Service Design-Phase sowie den ProzessService Asset & Configuration Managementhinzuzuziehen.

2.3 BeschaffungsentscheidungenIn der Phase der Beschaffungsentscheidungenwerden zwei Entscheidungen betrachtet: Ser-vice- und Anbieterauswahl in der Public Cloud so-wie Vertragsgestaltung in der Public Cloud.

Service- und Anbieterauswahl in der PublicCloud: Um eine strukturierte und umfassendeBewertung von Public-Cloud-Services und -An-bietern zu ermöglichen, wird in der Literatur einCloud-Requirement-Framework vorgeschlagen[Repschläger et al. 2012]. Diesem liegen die Ziel-

Entscheidungsunterstützung für Cloud Computing

28 HMD 288

dimensionen Kosten, Service und Cloud Ma-nagement, Zuverlässigkeit und Vertrauenswür-digkeit, IT-Sicherheit und Compliance, Flexibili-tät sowie Scope und Performance zugrunde,denen sowohl servicemodellunabhängige alsauch servicemodellspezifische Kriterien zuge-ordnet werden.

Die Entscheidung über Investments in dieBereitstellung neuer oder die Anpassung beste-hender Services obliegt im ITIL-Framework demService Portfolio Management. Vergleichbar zurBewertung technischer Kriterien in der Phaseder vorgelagerten Entscheidungen erscheint essinnvoll, Prozesse der Phase Service Design so-wie den Prozess Service Asset & ConfigurationManagement für die Definition von Anfor-derungen an den neuen Service zu verwenden.Im Rahmen des Prozesses Design Coordinationwird die Erstellung eines Service DesignPackage, das alle Anforderungen und Spezifika-tionen eines Service enthält, empfohlen. Die fi-nanzielle Bewertung von Alternativen sowie dieBudgetierung sind in ITIL im Financial Manage-ment for IT Services abgebildet. Da die Beschaf-fung neuer Systeme bzw. Services Veränderun-gen des bisherigen Serviceportfolios auslösen,ist die Einbeziehung des Change Managementsinnvoll. Zielsetzung dieses Prozesses ist es, Ver-änderungen ohne Störungen für den Nutzerumzusetzen.

Vertragsgestaltung in der Public Cloud: In en-gem Zusammenhang zur Auswahl eines Anbie-ters steht die Vertragsgestaltung. Um rechtli-che Risiken auszuschließen und Maßnahmengegen technische Risiken zu vereinbaren, sollteein entsprechender Vertrag zwischen dem Kun-den und dem Cloud-Provider abgeschlossenwerden. [Bochicchio & Longo 2011] beschreibendie Vertragsgestaltung als Prozess, der mit derVertragsanfrage startet, mehrere Verhand-lungsrunden (Service-Level-Ziele, Kosten, recht-liche Aspekte) umfasst und gegebenenfalls miteiner Zustimmung, der Unterschrift und Archi-vierung des Vertrags endet. Sie weisen auchdarauf hin, dass eine Vertragsverhandlung im

Rahmen des Cloud Computing in den meistenFällen eine Auswahlentscheidung darstellt, daCloud-Provider nahezu ausschließlich Stan-dardverträge anbieten. Einzig Kunden mit sehrhohem Auftragsvolumen und entsprechenderMarktmacht haben die Möglichkeit, individuel-le Vertragsinhalte zu definieren.

Verträge mit externen IT-Providern sind inITIL durch das Konzept der Underpinning Con-tracts im Prozess Service Level Management ab-gebildet. Dieser sollte daher bei der Vertragsge-staltung federführend sein und eng mit demProzess Supplier Management, verantwortlichfür die Zusammenarbeit mit externen Lieferan-ten, zusammenarbeiten. Durch den Abgleichmit den eigenen SLAs kann ein interner Providersicherstellen, dass auch mit den Lieferantenentsprechende Regelungen vereinbart werden.Zur Bewertung einzelner Vertragsbestandteileerscheint es sinnvoll, die Vertragsinhalte mitden Anforderungen aus den Prozessen der Ser-vice-Design-Phase sowie des Financial Manage-ment abzugleichen.

2.4 Entscheidungen bei Leistungserbringung

Die Phase der Leistungserbringung wird durchdrei Entscheidungen beschrieben: Entscheidun-gen zur Inbetriebnahme, Überprüfung des regu-lären Systembetriebs sowie Entscheidungen zumUmgang mit Incidents und Requests.

Entscheidungen zur Inbetriebnahme: NachAbschluss der Beschaffungsphase ist es erfor-derlich, die neuen Services für die Nutzung vor-zubereiten und eine Migration vorzunehmen.Je nach Servicemodell sind gegebenenfalls An-passungen an der Systemarchitektur bzw. denzugrunde liegenden Informationsschematanotwendig. Auch die komplette Neuentwick-lung einer Software ist eine Handlungsalterna-tive. Hinzu kommt die Aufgabe, die Sicherheitdurch geeignete Maßnahmen wie Verschlüsse-lung und Authentifizierung zu gewährleisten[Kaisler & Money 2011, S. 5 f.].

Entscheidungsunterstützung für Cloud Computing

HMD 288 29

ITIL adressiert die Überführung von geplan-ten Services in den Betrieb durch die Phase Ser-vice Transition. Die Verantwortung für die Steue-rung von Changes über den gesamten Lebens-zyklus hinweg liegt bei dem Prozess ChangeManagement, dessen Ziel eine möglichst stö-rungsfreie Überführung ist. Aufgrund der ho-hen Bedeutung der Sicherheit im Public-Cloud-Umfeld erscheint es sinnvoll, die Service-Design-Prozesse Information Security und IT Ser-vice Continuity Management einzubeziehen.Nach Abschluss der Implementierung kann derneue Service dem Kunden durch die Überfüh-rung aus der Servicepipeline in den Servicekata-log (Service Catalogue Management) zur Nut-zung bereitgestellt werden.

Überprüfung des regulären Systembetriebs:Für das Monitoring des Cloud-Dienstleistersschlagen [Martens & Teuteberg 2011] ein inte-griertes Risiko- und Compliance Managementvor. Im Zentrum des Modells stehen Key-Perfor-mance-Indikatoren (KPI) für jeden Risikofaktor(z.B. Verfügbarkeit) sowie sämtliche Compliance-Anforderungen (intern und extern). Im Rahmenvon Audits können anhand dieser Kennzahlender aktuelle Compliance Level nachgewiesenbzw. Risiken bewertet und entsprechende Maß-nahmen abgeleitet werden. Die Erfassung derMessdaten erfolgt in der Regel durch automati-sierte Tools, zum Teil liegt dies auch in der Ver-antwortung des Anbieters, der dann entspre-chende Reports zur Verfügung stellen sollte.

Die Verantwortung für das Monitoring vonIT-Services ist im ITIL-Framework der PhaseContinual Service Improvement zugeordnet,wobei sich die erfassten Kennzahlen in der Re-gel auf die in der Service-Design-Phase definier-ten Anforderungen bezüglich Verfügbarkeit,Sicherheit, Zuverlässigkeit, und Performancebeziehen. Verantwortlich für die Bewertungvon fremdbezogenen Services ist der ProzessSupplier Management, der die Durchführungformaler Supplier-Performance-Reviews vor-sieht. In diesen Reviews wird die erbrachte Leis-tung mit den Leistungszielen aus dem Service

Level Management verglichen. Grundlage fürdie Auswertung können Daten aus den Prozes-sen der Service-Operation-Phase sein. Zusätz-lich wird die Durchführung von Studien zurNutzerzufriedenheit empfohlen, wobei dasBusiness Relationship Managmenent unter-stützen kann. Die Integration des FinancialManagement zur finanziellen Überprüfung derAbrechnung erscheint sinnvoll.

Entscheidungen zum Umgang mit Incidentsund Requests: Die Cloud Security Alliance be-schreibt Herausforderungen und Handlungs-empfehlungen für das Security Incident Ma-nagement in Cloud-Computing-Umgebungen,das für die Bearbeitung von sicherheitsrelevan-ten Zwischenfällen verantwortlich ist [CloudSecurity Alliance 2011, S. 93 f.]. Viele der Erkennt-nisse können auch auf das gesamte IncidentHandling übertragen werden. Je nach Service-und Betriebsmodell unterscheiden sich die Ver-antwortlichkeiten sowie die Möglichkeiten desZugriffs auf Daten und Systeme zwischen inter-nem bzw. Cloud-Service-Provider. In einer PublicCloud, und dort besonders bei SaaS-Lösungen,ist eine hohe Abhängigkeit vom Anbieter zubeobachten. Eine Zusammenarbeit beiderParteien ist daher notwendig und sollte bereitsim SLA vereinbart werden. Dies gilt auch fürChanges und Requests. Viele Cloud-Anbietersetzen für Standard-Changes und -RequestsUser-Self-Service-Tools ein. In SaaS-Szenariensind aufwendige Changes an der Geschäftslo-gik – vergleichbar zu Standardsoftware – jedochnicht ohne Weiteres möglich und müssen mitdem Anbieter abgestimmt werden.

Die Bearbeitung von Zwischenfällen obliegtim ITIL-Framework dem Incident Management,das bei wiederkehrenden Störungen durch dasProblem Management unterstützt wird. Der In-cident-Management-Prozess sieht die Einbezie-hung externer Partner durch funktionale Eska-lation an 2nd- oder 3rd-Level-Support vor. Zen-trale Kontaktstelle für die Nutzer ist dabei derService Desk, an den auch (Change) Requestsadressiert werden. Der Prozess Change Ma-

Entscheidungsunterstützung für Cloud Computing

30 HMD 288

nagement ist verantwortlich für die Planung,Bewertung und Priorisierung von Change Re-quests. Durch die Einführung der Prozesse Re-quest Fulfilment und Access Management kannder Change-Management-Prozess entlastetwerden, da Standardanfragen durch diese Pro-zesse beschleunigt bearbeitet werden können.

2.5 Entscheidungen bei Nicht-/Schlechtleistung

Entscheidungen bei Nicht-/Schlechtleistungwerden unterschieden in Reaktion auf schwer-wiegende Störfälle und Entscheidung für einenAnbieterwechsel/Backsourcing.

Reaktion auf schwerwiegende Störfälle: In ei-ner Studie zeigt [Clarke 2012], dass es trotz ge-troffener Sicherheitsmaßnahmen auf Anbieter-seite zu teilweise schwerwiegenden Ausfällenvon Cloud-Computing-Services gekommen ist.Neben der Nichtverfügbarkeit von Services undder damit oftmals verbundenen Unfähigkeitdes Kunden, den Geschäftsbetrieb aufrechtzu-erhalten, wurde in einigen Fällen auch der Ver-lust von Daten beobachtet. Für Unternehmenstellt sich daher die wichtige Frage, wie im Falleeines Systemausfalls der Geschäftsablauf auf-rechterhalten bzw. wiederhergestellt werdenkann. Unternehmer sind verpflichtet, entspre-chende BC/DR-Pläne (Business Continuity/DataRecovery) und -Maßnahmen im Rahmen desstrategischen Risikomanagements vorzuberei-ten [Clarke 2012, S. 93 f.].

Der Prozess IT Service Continuity Manage-ment ist im ITIL-Framework für die Aufrechter-haltung bzw. die Wiederherstellung des Ge-schäftsbetriebs im Falle eines Desaster-Eintrittsverantwortlich. Hierzu werden im Vorwege ent-sprechende Maßnahmen definiert und umge-setzt. Die Identifizierung der Störfälle erfolgtdabei in der Regel im Incident- oder Event-Management-Prozess. Aufgrund der hohen Be-deutung der Sicherheit im Cloud-Umfeld er-scheint die Einbeziehung des Information Security

Management als sinnvoll. Liegt der Grund fürden Störfall im Verantwortungsbereich des in-ternen IT-Providers kann mithilfe von EmergencyChanges – im Rahmen des Change Manage-ment – der Systembetrieb wiederhergestelltwerden. Liegt die Verantwortung beim Cloud-Provider, ist eine Abstimmung über das SupplierManagement notwendig.

Entscheidung für einen Anbieterwechsel/Backsourcing: Verschiedene Gründe könnenbeim Cloud-Anwender zu der Entscheidungführen, dass der Cloud-Anbieter gewechseltoder ein Backsourcing durchgeführt wird. Umdiese Entscheidung zu unterstützen, schlagen[Martens & Teuteberg 2010] ein Entscheidungs-modell, basierend auf den Einflussfaktoren Er-wartungslücken (z.B. Kosten, Servicequalität,Kontrollverlust), interne Veränderungen (z.B.neues Management, geschäftliche Verände-rung) und externe Veränderungen (Umwelt,Konjunktur), vor.

Im ITIL-Framework kann die Entscheidungfür einen Anbieterwechsel oder ein Back-sourcing durch das Supplier Management, ver-antwortlich für das Monitoring der Anbieter-Performance, ausgelöst werden. Genauso sindInitiativen aus dem Prozess Continual ServiceImprovement (CSI) denkbar. Die schlussend-liche Entscheidung ist vergleichbar zur Beschaf-fungsentscheidung und obliegt dementspre-chend dem Service Portfolio Management, un-terstützt durch Prozesse der Service-Design-Phase sowie dem Strategy und Financial Ma-nagement.

2.6 Übersicht: Relevante ITIL-Prozesse für Cloud-Entscheidungen

Zusammenfassend kann festgehalten werden,dass das ITIL-Framework geeignet ist, die not-wendigen Entscheidungen zur Einführung undNutzung von Cloud Computing zu unterstüt-zen. Allen identifizierten Entscheidungen konn-ten im Rahmen der Analyse verantwortliche

Entscheidungsunterstützung für Cloud Computing

HMD 288 31

bzw. unterstützende ITIL-Prozesse zugeordnetwerden. Für die Bestimmung und Visualisie-rung von Verantwortlichkeiten schlagen die Au-toren des ITIL-Frameworks die Verwendung ei-ner RACI-Matrix vor [Cannon et al. 2011, S. 337].RACI ist ein Akronym für die im Modell definier-ten Zuständigkeitsausprägungen Responsible,Accountable, Consulted und Informed. Durch dieAnpassung der in der Praxis etablierten RACI-Methodik an die Spezifika dieses Themas solldie Wiedererkennbarkeit und Verständlichkeitder Ergebnisse im Vergleich zu einer unbekann-ten oder neuen Visualisierungsform erhöhtwerden. Im Vergleich zur originären Anwen-dung des Modells zur Zuordnung von Rollenund Aktivitäten werden in diesem Beitrag dieProzesse des ITIL-Frameworks den identifizier-ten Entscheidungsaktivitäten zugeordnet. Pro-zesse, die für eine Entscheidung durchfüh-rungsverantwortlich sind, werden mit einem(R), Prozesse, die eine Entscheidung unterstüt-zen können, mit einem (C) gekennzeichnet. Aufdie Zuordnung einer Rechenschaftspflicht (A)wird verzichtet, da diese rechtliche Verantwor-tung bedeutet und somit nicht einem Prozessmit gegebenenfalls mehreren Beteiligten, son-dern einer einzelnen Person zugeordnet werdensollte. Tabelle 1 fasst diese Ergebnisse zusam-men. Um die Lesbarkeit der Tabelle zu verbes-sern, wird ebenfalls auf die Visualisierung derInformed-Beziehung (I) verzichtet. Diese ergibtsich aus den Aktivitäten und Schnittstellen derausführungsverantwortlichen Prozesse.

3 Literatur[Benlian & Hess 2011] Benlian, A.; Hess, T.: Opportuni-

ties and risks of software-as-a-service: Findingsfrom a survey of IT executives. Decision Sup-port Systems 52 (2011), 1, pp. 232-246.

[Bochicchio & Longo 2011] Bochicchio, M. A.; Longo, A.:Modelling Contract Management for CloudServices. Proceedings of the 2011 IEEE 4th Inter-national Conference on Cloud Computing, 2011,pp. 332-339.

[Cannon et al. 2011] Cannon, D.; Hunnebeck, L.;Lloyd, V.; Rance, S.; Steinberg, R.: ITIL LifecycleSuite 2011 Edition. The Stationery Office (TSO),London, 2011.

[Clarke 2012] Clarke, R.: How reliable is cloud-sourcing? A review of articles in the technicalmedia 2005-11. Computer Law & Security Re-view 28 (2012), 1, pp. 90-95.

[Cloud Security Alliance 2011] Cloud Security Alliance:Security Guidance for critical areas of focus inCloud Computing V3.0, 2011.

[Kaisler & Money 2011] Kaisler, S.; Money, W. H.: Ser-vice Migration in a Cloud Architecture. Procee-dings of the 44th Hawaii International Confe-rence on System Sciences, 2011.

[Loebbecke et al. 2012] Loebbecke, C.; Thomas, B.;Ullrich, T.: Assessing the Cloud Readiness atContinental AG. MIS Quaterly Executive 11(2012), 1, pp. 11-23.

[Luhmann 2006] Luhmann, N.: Organisation undEntscheidung. VS Verlag für Sozialwissenschaf-ten, Wiesbaden, 2006.

[Maglio et al. 2009] Maglio, P. P.; Vargo, S. L.;Caswell, N.; Spohrer, J.: The Service System is theBasic Abstraction of Service Science. InformationSystems and E-Business Management 7 (2009),4, pp. 395-406.

[Martens & Teuteberg 2010] Martens, B.; Teuteberg, F.:Bewertung von Backsourcing-Entscheidungenim Umfeld des Cloud Computing: Ein SystemDynamics Ansatz. In: Schumann, M.; Kolbe, L. M.;Breitner, M. H.; Friedrichs, A. (Hrsg.): Multikon-ferenz Wirtschaftsinformatik, 2010, S. 273-285.

[Martens & Teuteberg 2011] Martens, B.; Teuteberg, F.:Risk and Compliance Management for CloudComputing Services: Designing a ReferenceModel. AMCIS 2011 Proceedings – All Submissions,Paper 228, 2011.

[Repschläger et al. 2012] Repschläger, J.; Zarnekow, R.;Wind, S.; Turowski, K.: Cloud RequirementFramework: Requirements and EvaluationCriteria to adopt Cloud Solutions. ECIS 2012Proceedings, Paper 42, 2012.

[Suo et al. 2011] Suo, S.; Techatassanasoontorn, A. A.;Purao, S.: The Interplay between Cloud-basedSOA and IT Departments: Research Directions.AMCIS 2011 Proceedings – All Submissions,Paper 480, 2011.

Entscheidungsunterstützung für Cloud Computing

32 HMD 288

[Weber 2010] Weber, M.: Leitfaden Cloud Compu-ting – Was Entscheider wissen müssen: Einganzheitlicher Blick über die Technik hinaus. Po-sitionierung, Vertragsrecht, Datenschutz, Infor-mationssicherheit, Compliance. BITKOM, 2010.

Alexander Robrecht B.Sc.Dipl.-Kfm. Carsten MöllerIndiTango AGGänsemarkt 3520354 Hamburg{alexander.robrecht, carsten.moeller}@inditango.comwww.inditango.com

Dipl.-Math. Regine DörbeckerProf. Dr. Tilo BöhmannUniversität HamburgFachbereich InformatikArbeitsbereich IT-Management und -ConsultingVogt-Kölln-Str. 3022527 Hamburgdoerbecker@informatik.uni-hamburg.detilo.boehmann@uni-hamburg.dewww.informatik.uni-hamburg.de

Robrecht et al., Entscheidungsunterstützung für Cloud Computing – ITIL Service Lifecycle. HMD – Praxis der Wirtschaftsinformatik, Heft 288, 2012, S. 24-32.

Sehr geehrte Abonnenten,

ab dem 1. Januar 2013 stellen wir Ihnen unter www.hmd.dpunkt.de/onlinearchiv das HMD-Archiv kostenlos zur Verfügung. Das heißt, dass Sie als Abonnent der »HMD – Praxis der Wirtschaftsinformatik« nun exklusiv Zugriff auf die Beiträge des jeweils aktuellen Heftes sowie der vergangenen Ausgaben (ab HMD 253) haben werden. Ihren persönlichen Code zur einma-ligen Registrierung sowie weitere Informationen zur Nutzung des HMD-Onlinearchivs erhalten Sie noch im Dezember zusammen mit Ihrer Jahresrechnung. Bei Rückfragen können Sie sich gerne auch an den Vertrieb unter hmdarchiv@dpunkt.de wenden.

Wir wünschen Ihnen ein schönes Weihnachtsfest und einen guten Rutsch ins Neue Jahr 2013.

Ihre Redaktion