Betriebsverfahren und Zuständigkeiten

Dokumentierte Betriebsverfahren

Maßnahme

Die Betriebsverfahren müssen dokumentiert und allen Benutzern zugänglich gemacht werden, die sie benötigen.

Umsetzung

1. Der Ablauf der zentralen Geschäftsvorfälle ist dokumentiert worden und wird teils in Schriftform und teils in Grafiken im Intranet veröffentlicht.
2. Für die Erstellung ist die IT-Leitung in Zusammenarbeit mit den anderen Mitgliedern der Geschäftsleitung verantwortlich.
3. Die Dokumentation erfolgt an Hand der Prozesse und zeigt die Zuständigkeiten auf Basis von Abteilungen auf.

Änderungsmanagement

Maßnahme

Änderungen an der Organisation, an Geschäftsprozessen, an Datenverarbeitungseinrichtungen und an Systemen sind zu kontrollieren.

Umsetzung

Änderungsverfahren betreffen im Wesentlichen 3 Kernprozesse, die im Folgenden einzeln behandelt werden:

• Änderungen an den Programmen/Quellcode
• Änderungen an der Server- oder Netzwerkkonfiguration
• Änderungen an den Testinhalten

Kapazitätsmanagement

Maßnahme

Die Ressourcennutzung muss überwacht und abgestimmt werden, und es sind Prognosen zu zukünftigen Kapazitätsanforderungen zu erstellen, um ausreichende Systemleistungen sicherzustellen.

Umsetzung

1. Speicher- und Performance-Überwachung der Server erfolgt mittels des Monitoring-Tools Icinga. Die Anbindung der Web-Anwendungen im Rechenzentrum an das Internet, sowie die Standleitung zwischen dem Rechenzentrum und der Zentrale ist auf lange Sicht ausreichend performant ausgelegt.
2. Eine Infomail zur Bandbreiten-Ausnutzung geht regelmäßig von beiden Firewalls (RZ und Zentrale) an die IT-Leitung.

Trennung von Entwicklungs-, Test- und Betriebsumgebung

Maßnahme

Entwicklungs-, Test- und Betriebsumgebungen sind zu trennen, um das Risiko unautorisierter Zugriffe oder unautorisierter Änderungen an der Betriebsumgebung zu verringern.

Umsetzung

1. Im Rahmen der Softwareentwicklung jeder Art wird zwischen Entwicklungs-, Test- und Produktivsystemen unterschieden.
2. Die Entwicklungssysteme sind die Rechner der Softwareentwickler. Hier wird lokal entwickelt und getestet. Die Entwicklung ist so zu konzipieren, dass ein lokaler Test möglich ist. Die Auflösung der Abhängigkeiten erfolgt grundsätzlich per Maven um eine Reproduzierbarkeit auf den nachfolgenden Systemen zu gewährleisten.
3. Die potentiell für den Produktivbetrieb vorgesehenen Softwarepakete werden über einen Continuous Integration Server (CIS) auf Basis der in die Versionsverwaltung eingecheckten Version automatisch erzeugt. Dabei werden die automatisierten Tests der Software durchgeführt. Fehlschlagende Tests führen dazu, dass keine Softwarepakete erzeugt werden.
4. Integrationstests oder manuelle Tests um z.B. Fehler aufzudecken erfolgen auf dedizierten Testsystemen. Diese müssen getrennt von den Produktivsystemen sein. Dies kann durch eigene virtuelle Maschinen erfolgen.
5. Im Falle von kopierten Echtdaten dürfen diese nur auf eigenen Rechnern betrieben werden. Andernfalls ist unter Umständen der Einsatz von cloudbasierten Rechnerinstanzen möglich. Die Entscheidung hierüber fällt die IT-Leitung.
6. Produktive Systeme werden mit freigegebenen Releases versorgt. Diese werden über das CI-System erstellt.
7. Auf Produktivsystemen dürfen keine Tests gefahren werden, die Daten verändern.

Reviewdatum: 12.11.2024, Johannes Imhof