Interview: Sicherheit und Optimierung im RZ-Umfeld
Brandschutz allein genügt nicht
Bei der Planung und dem Betrieb eines Rechenzentrums fällt dem Thema Sicherheit eine herausragende Rolle zu. Im Gespräch mit der LANline erläuterten Thomas Sting und Ralf Siefen, beide Geschäftsführer der herstellerneutralen ProRZ Rechenzentrumsbau, welche Punkte besonders zu beachten sind. Als Berater empfehlen sie einen ganzheitlichen und gleichzeitig möglichst modularen Ansatz.
LANline: Wie ordnen Sie den Begriff IT-Optimierung in das Sicherheitsumfeld ein, speziell beim
Rechenzentrumsbetrieb?
Sting: Grundsätzlich wird der Begriff aus vielen Perspektiven korrekt genutzt, und es besteht
auch meist ein Konsens bezüglich der Notwendigkeit der IT-Optimierung. Es besteht jedoch ein großes
Konfliktpotenzial in der Frage, inwiefern es sich lohnt, in IT zu investieren und wo eingespart
werden soll. Fazit ist, dass zu wenig IT-Sicherheit ein Unternehmen an den Rand des Ruins bringen
kann, wenn die Informationssicherheit verletzt wird. Zuviel Sicherheit wiederum lähmt jegliche
Aktivität.
LANline: Wie findet ein Unternehmen dann das richtige Maß?
Sting: Grundsätzlich muss man betonen, dass ganzheitliche Sicherheit nicht gleichzusetzen ist
mit riesigen Investitionen. Ganzheitliche Sicherheit bedeutet zunächst mehr als logische und
technische IT-Sicherheit. Zusätzlich zu den bekannten Sicherheitsmaßnahmen wie beispielsweise
Firewalls, Virenschutz, Abhörsicherheit oder Daten-Backup-Konzepte gibt es noch ein weites Feld an
nützlichen Maßnahmen, die die IT absichern. Alle Strategien bestimmen unmittelbar die
Ausfallsicherheit – angefangen vom Grundschutz bis hin zur Hochverfügbarkeit. Die zusätzlich
erforderliche physikalische Sicherheit lässt sich im Rahmen einer wirtschaftlichen IT- Optimierung
innerhalb kurzer Zeit umsetzen. IT-Verantwortliche sollten deshalb ein Augenmerk auf alle
beeinflussenden Kriterien richten. Da dies aufgrund der Vielfalt allein kaum zu bewältigen ist,
raten wir zu einer ganzheitlichen Beratung und mit einer Aufnahme der Ist-Situation. Die Kosten
hierfür sind sehr überschaubar und rechnen sich schon nach kurzer Zeit, da sich nicht nur die
versteckten Risiken aufdecken lassen, sondern in der Regel immer Kosteneinsparpotenziale
transparent werden.
LANline: Welche Faktoren sind dabei besonders wichtig?
Sting: Lassen Sie uns einmal das Thema Feuer betrachten. Dieses Risiko wird seitens einiger
Dienstleister gerne als Nummer 1 angeführt. Tatsächlich aber hat das Risiko Feuer nach der
Schadensstatistik der Risikoversicherer gegenüber anderen physikalischen Einflussgrößen die
kleinste Eintrittswahrscheinlichkeit. Hinzu kommt, dass bei den relativ wenigen Bränden nur 20
Prozent im Umfeld von Rechenzentren oder im Rechenzentrum selbst entstehen. 80 Prozent entstehen
außerhalb. Die Folge ist, dass Rechenzentren eher gegenüber unberechtigtem Zugriff, Löschwasser,
Rauchgasen und Hitze geschützt werden müssen. Zusätzlich sollte auch die Stromversorgung
entsprechend geschützt sein.
Schutz situationsbezogen an die Risiken anpassen
LANline: Wie sieht eine mögliche Lösung aus?
Sting: Eine in vielen Fällen empfehlenswerte Lösung stellt ein den kundenseitigen Anforderungen
angepasstes Raum-in Raum-System dar. Ein solcher modularer IT-Raum bietet je nach gewünschter
Wertigkeit oder angestrebtem Sicherheits-Level einen zertifizierten Schutz. Solche Lösungen können
situationsbezogen an die relevanten Risiken angepasst werden und sind deshalb äußerst
wirtschaftlich. Neben einer solchen Lösung sollten dann auch Mindest-Sicherheitsstandards wie eine
Brandfrühesterkennung implementiert sein.
LANline: Wie definieren Sie in diesem Fall Frühesterkennung?
Sting: Die Technik, von der wir reden, erkennt Brände, bevor sie Schäden anrichten. Ein
Schlauchsystem saugt ständig Luft aus dem Schutzraum und kontrolliert, ob spezielle Aerosole in der
Raumluft auftreten. Diese Gase stammen von den Weichmachern in den Kabeln, die während der
Erwärmung abgegeben werden. Nicht zu unterschätzen ist dann die weitere Alarmablaufplanung, um
Situationsbezogen auf die Warnungen zu reagieren.
LANline: Gibt es noch andere Bedrohungsszenarien?
Siefen: Wenig beachtet wird zum Beispiel das Risiko Staub. Die feinen Partikel sind der
natürliche Feind der Elektronik. Die Lebensdauer von Lüftern, Filter und der elektronischen
Bauteile reduziert sich enorm. In gemauerten Räumen entsteht immer wieder Staub, beispielsweise
wenn gebohrt wird. In speziell geeigneten Sicherheitsräumen werden Aufhängungen dagegen an Profilen
fixiert, und zwar staubfrei und ohne größeren Aufwand.
LANline: Welchen Stellenwert hat das Thema Zugangsberechtigung?
Siefen: Den Zugang zu einem IT-Bereich sehe ich als äußerst sensibel an. So sollten
beispielsweise die Türen speziellen Anforderungen gegen Brand und Rauchdichtigkeit genügen. Hier
muss insbesondere die Rauchdichtigkeit ständig überprüft werden. Darüber hinaus dient es der
Sicherheit, wenn der Zugang genau geregelt wird und eine Datenbank jedes Betreten mitprotokolliert.
Besteht die Möglichkeit, dann sollte die Technik von den laufenden Servern räumlich getrennt
sein.
Absicherung der Energieversorgung ist ein wichtiges Thema
LANline: Wie sieht es mit Temperatur und Feuchtigkeit aus?
Siefen: Die Strukturen sollten nach außen isoliert und nach innen genau auf die Bedürfnisse der
IT angepasst werden. Der Kunde erhält die spezielle Planung seines Schutzraums, womit
Wärme-Kurzschlüsse oder nicht klimatisierte Bereiche der Vergangenheit angehören. Darüber hinaus
muss man großen Wert auf sauber verlegte Kabel legen, sodass eine optimale Luftzufuhr besteht. Zum
Thema Feuchtigkeit kann ich aus unserer Erfahrung sagen, dass Bauwerke aus Beton oder gemauerte
Wände besonders nach der Neubauphase ihre Restfeuchtigkeit in das Raumklima abgeben. Dies erhöht
die Gefahr von vermehrter Luftfeuchtigkeit und damit Beschädigungen in der Hardware.
LANline: Welche Punkte sind bei der Energieversorgung zu beachten?
Siefen: Die Absicherung der Energieversorgung ist ein wichtiges Thema für die IT. Eine den
Anforderungen angepasste unterbrechungsfreie Stromversorgung, der Aufbau von Redundanzen, die
Einspeisung eines Notstromaggregats sowie die Absicherung der Kabel im Brandfall lassen sich in den
sensiblen Bereichen integrieren. Weiterhin wird die elektromagnetische Verträglichkeit (EMV) in
verschiedenen Normen geregelt. Gute Sicherheitslösungen sind mit einer besonderen Abschirmung
ausgestattet, sodass keine Strahlung den IT-Bereich verlässt. Dies alles funktioniert natürlich nur
problemlos, wenn Energie- und Datenkabel sauber verlegt sind. Der Anwender weiß sofort, wohin ein
Kabel gehört. Außerdem verkürzen sich die Reparaturzeiten, wenn etwa Schränke umgeräumt werden
müssen.
LANline: Studien belegen, dass das interne Risiko hoch ist, und dazu zählt auch die Bedrohung
durch eigene Mitarbeiter. Wie kann man sich davor schützen?
Sting: Neben den immer häufiger und gefährlicher werdenden Angriffen von außen gewinnt auch der
Schutz vor internen Attacken an Bedeutung. Obwohl externe Angriffe auf die IT-Struktur und damit
auf ein Unternehmen wesentlich mehr öffentliche Aufmerksamkeit erregen, sind interne Angriffe
häufiger. Die International Computer Security Association schätzt den Anteil interner Angriffe auf
die Unternehmens-IT auf bis zu 80 Prozent. Dabei schleusen Mitarbeiter Spionageprogramme ins
interne Netzwerk ein oder entwenden heimlich Daten.
LANline: Dieses Thema lässt sich wohl nicht isoliert betrachten …
Sting: Genau, im Rahmen des Schutzes der unternehmenseigenen IT gegen interne und externe
Angriffe sollten Unternehmen auch Maßnahmen zur Sicherheit in Kommunikationsnetzwerken treffen.
Ohne an dieser Stelle zu spezifisch zu werden, sollte ganz generell darauf geachtet werden, dass
die Risikoanalyse und das darauf abgestimmte Sicherheitskonzept diese Thematik bewusst behandelt.
Oft helfen schon wichtige effiziente betriebsorganisatorische Maßnahmen weiter, ohne dass hierzu
wesentliche Investitionen notwendig werden.
Langfristige Planung kann schwierig sein
LANline: Für Unternehmen ist es relativ schwierig, langfristig zu planen, etwa kurzfristig
entstandenes starkes Wachstum auf die IT zu übertragen. Auch das Gegenteil, der Abbau, das
Zusammenlegen oder der Umbau von Kapazitäten sind mit RZ-Strukturen nur schwierig zu realisieren.
Eine allzu großzügige Planung eines Rechenzentrums bietet viel Kapital. Welche Alternativen gibt es
dazu?
Sting: Ganz allgemein gilt die Regel, dass Flexibilität Kosten spart. Man kann Kunden nur raten,
in ihrer Planung so beweglich wie möglich zu bleiben. Eine Modulbauweise bietet Flexibilität. Dabei
lassen sich zum Beispiel einzelne Sicherheitswände nach außen verschieben oder neue Elemente
einfügen.
LANline: Was passiert, wenn man sich schnell vergrößern muss?
Sting: Die Nutzung leer angemieteter oder leer stehender Gebäude oder Büros ist ebenfalls
problemlos möglich. Statt neu zu bauen, können die wirtschaftlichen Sicherheitslösungen problemlos
und in kurzer Zeit in einem bestehenden Gebäude integriert werden. Schließlich wissen Unternehmen
oft nicht, wo sie sich in drei oder fünf Jahren befinden. Herstellerneutrale Sicherheitslösungen
lassen sich demontieren und an einem neuen Standort wieder aufbauen. Genauso lassen sich die
Raumsysteme verkleinern.
LANline: Wie findet man einen Anfang ohne sich finanziell zu übernehmen?
Siefen: Entsprechend des vorhandenen Kenntnisstands über die jeweilige Ist-Situation empfiehlt
sich zu Beginn immer eine ganzheitliche Risikoanalyse. Diese erschlägt mehrere Themen, da neben der
Risikoerfassung die Einbindung in das Risk-Management auch eine Prioritätenplanung konkrete
Hinweise auf die wirtschaftlichen Rahmenparameter liefert. Der nächste Schritt besteht in der
Erarbeitung eines detaillierten Planungsvorschlags. Ein ganzheitliches und bezahlbares
Beratungspaket gibt dabei entsprechende Planungssicherheit. Erfahrene Projektleiter können
aufzeigen, wie IT rundum sicherer gemacht werden kann.
LANline: Wie muss ein entsprechendes Vorghen in der Praxis konkret aussehen?
Siefen:Die schon angesprochene ganzheitliche Beratung ist kein leeres Schlagwort. Risikoanalyse
von DV-Systemen sowie die Erfassung und Bewertung der Bauausführung oder der verschiedenen
Standorte gehören zum Programm. Die Fachplanung sowie ein Pflichtenheft müssen ebenfalls
Bestandteil des Angebots sein. Die Instandhaltung einer Sicherheitslösung ist ebenfalls
selbstverständlich. Ein Servicevertrag, bei dem zwischen verschiedenen Stufen gewählt werden kann,
bestimmt beispielsweise, dass die implementierte Sicherheitslösung einmal pro Jahr überprüft
wird.
LANline: Worauf gilt es dabei besonders zu achten?
Sting: Eine reine Wirtschaftlichkeitsbetrachtung, die nur den Return on Investment oder die
Total Cost of Ownership betrachtet, greift hinsichtlich der Sicherheit zu kurz. Gerade deshalb
haben wir es uns auf die Fahne geschrieben, tatsächliche Einsparpotenziale zu erreichen. Diese sind
besonders im Bereich der Energie- und Stromversorgung nachweisbar. Parallel zeigen wir anhand von
Versicherungsvergleichen auf, dass es sich durchaus lohnt, in IT-Sicherheit zu investieren. Dabei
gewähren Versicherungen zum Beispiel einen Nachlass auf Prämien. Dies betrifft sowohl den
Brandschutz als auch Risikoversicherungen gegen den Ausfall der IT. Gleichzeitig bieten wir unseren
Kunden spezielle Leasingmodelle an, die eine Finanzierung häufig vereinfachen. Durch diese
Geschäftsoption lassen sich Investitionen ähnlich wie ein Firmen-PKW absetzen. jos
Lesen Sie mehr zum Thema
