In Teil 1 und 2 der Reihe habe ich unter anderem vom Big Picture gesprochen. Anhand einer fiktiven Infrastruktur-Architektur eines mittelständischen Unternehmens möchte ich im Detail auf das Thema eingehen.

Management- Landkarte Teil2: technische Methoden

Management- Landkarte Teil1: organisatorische Methoden

Warum also ein Big Picture?

Die wenigstem Menschen sind in der Lage, komplexe Strukturen in allen Details über lange Zeit im Kopf zu behalten. Zudem hat jeder Mensch eine eigene Vorstellungswelt, die nicht unbedingt mit den Vorstellungswelten anderer beteiligter Personen deckungsgleich ist. Last but not Least sind auch Fachbegriffe meist unterschiedlich belegt, so das es zu Unverständnis trotz gleicher Fachsprache kommt.

Diese drei wichtigen Gründe führen dazu, eine gemeinsame Basis zu schaffen, die von allen Beteiligten verstanden und akzeptiert wird. Da Infrastrukturen durch ihre Komplexität nicht sonderlich gut durch Texte beschrieben werden, ist der Weg über ein großes Bild, ein Big Picture der gegebene Weg.

Das Pig Picture hilft dem Team wichtige Infrastruktur- Komponenten und ihre Details im Zusammenhang mit anderen Komponenten in einer einheitlichen Sprache darzustellen. Ein Big Picture zeigt mindestens die Technologieebene des zugrundeliegenden Metamodells auf.

Gerne gehe ich in einem späteren Artikel auf das Thema Metamodell ein. Da sich aber dieser Artikel auf den Aspekt der „Allgemein verfügbaren Infrastruktur- Komponenten der Technologieebene“ beschränkt, soll des erstmal damit genug sein. Wer sich vorab über das Thema informieren möchte, dem lege ich diesen Artikel über Metamodelle ans Herz.

Allgemein verfügbare Infrastruktur Komponenten (Basis-Infrastruktur)

Jede Fachanwendung benötigt Infrastruktur-Komponenten wie Authentifizierung & Autorisierung, File- & Print- Services, Datenbanken, Anwendungsserver, Schnittstellen, Sicherheitsfeatures und Backups usw.. um notwendige Leistung für den Fachbereich zur Verfügung zu stellen.

Diese „Allgemein verfügbaren Infrastruktur- Komponenten“ oder Basis-Infrastruktur sind in der Regel in allen Organisationen in der Mindest-Funktionalität gleich. So bedarf es für den geregelten Betrieb Netzwerkkomponenten , DNS, DHCP, Directory Service wie ADDS, Zertifikatsverwaltung wie AD CS, Server- und Client Deployment, Datenbanken, Sicherheits-Komponenten wie Firewalls und Patch-Management Komponenten uvm.

Alle diese Komponenten stehen in Bezug zueinander. Sie kommunizieren miteinander. Und sie haben unterschiedliche Wertigkeit bezüglich Authentizität, Integrität, und Verfügbarkeit in Abhängigkeit der zu verarbeitenden Daten. Diese Aussagen treffen auf 100% der IT – Infrastrukturen zu.

Technologieebene

Deshalb versuche ich hier, ein allgemein gültiges Bild einer Basis-Infrastruktur – bezugnehmend auf ein mittelständiges Unternehmen mit ca. 500 MA – abzubilden. Bei größeren Unternehmen und über mehrere Standorte kann das Bild weiter diversifiziert werden. Bei kleineren Unternehmen muss sicherlich an der einen oder anderen Stelle mit Abstrichen rechnen.

Das Big Picture ist

• Grundlage für das gemeinsame Verständnis von Zusammenhängen und Abhängigkeiten zwischen IT den Fachbereichen und der Geschäftsführung
• Grundlage für tiefer gehende (technische) Diskussionen innerhalb der IT
• Ankerpunkt für detaillierte technische Plots der Feinarchitektur z.B. für Fachanwendungen

Big Pictures sind wie die zugrunde liegenden Infrastrukturen einem steten Wandel unterzogen. Dabei gibt es aber auch mehrere Konstante: Die einmal getroffene Datenklassifizierung wird sicherlich so schnell nicht mehr grundlegend geändert und Authentifizierung & Autorisierung sind immer erforderlich.

Datenklassifizierung

Daten in einem Unternehmen haben unterschiedliche Gewichtungen hinsichtlich Ihrer Wichtigkeit für den Fortbestand und der Erfolg des Unternehmens. So sind die CRM- Daten und die Einkaufskontrakte eines Handelshauses die Grundlage des Erfolges. Kommen diese Daten in die Hände der Mitbewerber, gefährdet das maßgeblich die Zukunft des Unternehmens Ich bezeichne diese Daten als Kronjuwelen

Eine weitere existentielle Datengruppe sind die Mitarbeiter-Daten. Sie zu vernachlässigen, würde nicht nur gegen geltendes Recht verstoßen, sondern auch Angreifern die Gelegenheit bieten, via Sozial Hacking an die Kronjuwelen zu gelangen.

Die dritte Gruppe sind alle Zugangsdaten zum Unternehmen, sei es physisch wie auch IT-seitig. Diese Daten werden von Angreifern in der Hauptsache genutzt um das Unternehmen auszuspähen und ihm ggfls. zu schaden.

Damit wären die überlebenswichtigen Datengruppen benannt.

• Strategische und operative Daten -> die Kronjuwelen
• Mitarbeiter- Daten
• Zugangsdaten

Aber eigentlich sind all‘ diese Datengruppen die Kronjuwelen des Unternehmens.

Authentifizierung & Autorisierung

Zu dem Thema habe ich mich bereits ausführlich geäußert, so das ich auf die folgenden Artikel verweisen darf:

Schutz von Unternehmensidentitäten: Sicherheitsstrategien für ADDS

Tiering-Modell / Security Level

Tiering-Modelle sind seit langem im Finanz- und Versicherungswesen eingeführte Architekturkonzepte. Sie bilden konzentrische Datenringe, Tiers in Securitylevels ab. In der Regel sind fünf Levels / Tiers für den sicheren Betrieb einer Intrastruktur ausreichend, Sie können segmentiert und, wenn erforderlich, um weitere Tiers ergänzt werden.

• TIER 0: DATA
  existentielle Daten des Unternehmens in Datenbanken, HR-Daten, AD, PKI
• TIER 1: SERVICES & APPLICATIONS
  Applikationsserver, mit Schnittstellen zu internen Systemen in TIER1q und zu Datenbankservern in TIER0.
• TIER 2: WORKPLACE
  Arbeitsplatze und Endgeräte mit geregeltem Zugriff auf Applikationen in TIER1
• TIER 4: PERIMETER / DMZ
  Frontendserver, die mit externen Entitäten via Internet kommunizieren müssen.
  Die Frontendserver kommunizieren mit Applikationen in TIER1 über geregelte, verschlüsselte und überwachte Schnittstellen und Protokolle.
• TIER 5: INTERNET
  In Menge und Qualität nicht definierbare weltweite Umgebung. Zugriff aus dem Internet auf Frontend-Systeme in Tier4 bei höchst möglicher Sicherheit bezüglich Datensparsamkeit, Identität, Verschlüsselung und Überwachung.

Das Tiering Modell wurde in den letzten Jahren insbesondere durch Microsoft für den Einsatz des Active Directory und den angrenzenden Technologien getrieben. Das das Active Directory das führende Identitäts-Directory ist, ist dieses Modell allgemeingültig geworden.

Stages: Produktion & Support

Es ist sehr wichtig zu erwähnen, das eine Produktionsumgebung unbedingt von äußeren Einflüssen frei zu halten ist. Die Produktionsumgebung unterliegt den Regeln des ITSM und der Sicherheit. So dürfen Änderung an der Produktion nur über definierte Kanäle (Deployment-Chain) und durch die Begleitung eines Change Prozesses durchgeführt werden. Ziel ist die umfassende Betriebssicherheit und vollständige Transparenz der Handlungen.

Entwicklung und Test werden in eigenen Stages durchgeführt. Das sind in der Regel eine Entwicklungs- und Testumgebung, sowie eine Abnahmeumgebung, die funktionsgleich der Produktionsumgebung ist. In komplexen Situationen ist eine Integrationsumgebung sinnvoll.

Ergebnis

Das Ergebnis ist ein durchgängiges Tiering-Modell für die Produktionsumgebung, indem Entwicklung, Test und Abnahme von der Produktionsumgebung getrennt ist. Der administrative Zugriff darf immer nur aus dem Level erfolgen, indem die Server / Services aufgestellt sind. Der Zugriff aus einem niedrigeren Security Level auf ein höheren Securitylevel zum Zweck der Administration ist streng untersagt. Ansonsten sind Durchgriffe für produktive Aufgaben geregelt, verschlüsselt, überwacht und dokumentiert.
Nach Möglichkeit sind Protokollwechsel zwischen den Security Level anzustreben.
Es gilt immer die Prämisse der Datensparsamkeit.

Produktion, Entwicklung und Test sind streng voneinander getrennt. Es gibt keinen Durchgriff und keinerlei direkte Verbindung. Einfluss auf die Produktion kann lediglich durch eine geregelte, limitierte und automatisierte Bereitstellung erfolgen.

Im Beispiel wird die Zufuhr von Software, Updates und Patches über einen Dienstleister erbracht. Das ist eine Lösung, die der Unternehmensgröße und Zweck an dieser Stelle gerecht wurde. Dabei sind CI/CD Ansätze noch nicht implementiert.

Auch ist in diesem Beispiel noch VPN als Verbindungstechnik für Mitarbeiter und Administratoren vorgesehen. Darauf würde ich in Zukunft gerne verzichten zugunsten einer dedizierten Service- Bereitstellung über Cloud Funktionalitäten.

VPN hat aus meiner Sicht in der Zukunft höchstenfalls eine administrative Funktion, die wenigen Personen und restriktiver Nutzung bereitgestellt werden sollte.

Das Big Picture hat den Focus zunächst auf die On-Premise Umgebung. Cloud Komponenten werden rudimentär berücksichtigt, werden aber noch zu im Detail deklinieren sein.