Die standardisierten Services aus Microsoft Office 365 können technisch rasch implementiert und genutzt werden. Die Adaption der jeweiligen Prozesse wird jedoch oft unterschätzt. Ein standardisiertes Vorgehen und Prozesstemplates beschleunigen die Einführung und bieten grossen Mehrwert.
Das Paretoprinzip, oder auch 80/20-Regel genannt, besagt, dass etwa 80 Prozent der Ergebnisse mit 20 Prozent des Gesamtaufwandes erreicht werden können. Die Umsetzung der verbleibenden 20 Prozent der Ergebnisse erfordern jedoch ca. 80 Prozent des Gesamtaufwandes.
Im Umfeld von O365 machen Unternehmen vergleichbare Erfahrungen. So können im Rahmen eines Proof of Concepts O365-Services wie beispielsweise Teams, Sharepoint Online oder Intune rasch aufgesetzt und umgehend genutzt werden. Die produktive Nutzung dieser Services unter Berücksichtigung der unternehmensweiten Adaption der jeweiligen Business- und Governance-Prozesse stellt die Unternehmen vor grosse Herausforderungen und nimmt den Grossteil des Aufwands ein (üblicherweise mehr als 80 Prozent des Gesamtaufwandes).
Vielschichtige Herausforderungen
Microsoft O365 verfolgt den ganzheitlichen Business-, Compliance- und Security-Ansatz. Viele der jeweiligen organisatorischen oder technischen Eigenschaften resp. Controls der einzelnen Services sind nicht mehr unabhängig voneinander, sondern können übergeordnet im ganzen O365-Ökosystem gleichermassen für alle Services angewendet werden. Entsprechend müssen sich die Unternehmen den untenstehenden Herausforderungen stellen (Auflistung nicht abschliessend):
• Organisation: Viele aktuelle Organisations- resp. Teamstrukturen sind vertikal ausgerichtet und zeichnen sich verantwortlich für spezifische Prozesse oder Controls ohne Einbezug des ganzheitlichen Ansatzes. So arbeiten aktuell beispielsweise Teams im Verantwortungsbereich von E-Mail, Sharepoint, Windows-Desktop oder Mobile kaum zusammen. In O365 müssen sie aufgrund der ganzheitlichen Prozesse und Controls aus beispielsweise Identity and Access Management, Conditional Access, Data Retention, Data Classification, Data Leakage Prevention oder Threat Detection eng zusammenarbeiten und die jeweiligen Aktivitäten untereinander koordinieren.
• Compliance und Governance: Bestehende Vorgaben, Konzepte oder Prozesse im Zusammenhang mit der Nutzung, Sicherheit, Steuerung oder Überwachung von Legacy-Applikationen können oft nur partiell in O365 angewendet werden. Entsprechend müssen diese überarbeitet werden. Zudem nutzen Unternehmen gerne die Möglichkeit, Business-, Security- oder Operational-Governance-Prozesse mit der Nutzung von O365 zu optimieren resp. neu einzuführen.
Don’t Panic
Standardisierte O365-Services haben standardisierte Prozesse zur Folge, die in einem standardisierten Vorgehen umgesetzt und überprüft werden können. Nahezu jeder Prozess beginnt und endet in einem O365-Service oder -Control, sei dies beispielsweise im Zusammenhang mit Security Governance (Identity und Access Management, Data Leakage Prevention, Threat Detection etc.), der Data Governance (Datenklassifizierung, Datenaufbewahrung etc.) oder der Service Governance (Konfiguration, Überwachung, Alarmierung etc.). Bestehende Sicherheitskonzepte können mit standardisierten O365-Sicherheitskonzepten erweitert werden, die wiederum auf gängige Standards wie ISO 2700x, NIST Cybersecurity Framework etc. verweisen.
Auf den Punkt gebracht
Jedes Unternehmen muss die O365-Prozesse individuell auf seine Vorgaben und Bedürfnisse anpassen. Es stehen aber umfangreiche «good practices»-Prozesse zur Verfügung, auf denen aufgebaut werden kann, sodass man rasch und effizient die Vorzüge von O365 sicher nutzen kann. ■
Keyon AG, CH-8645 Jona
Martin Brunner
+41 (0)55 220 64 07