Auditering

6 maj 2020

ITAM, hjemmearbejde og verden på hovedet…

Jess Kristoffersen Asset Management, Auditering brugeranalyse, BYOD, compliance, GAP, GAP analyse og optimering, GoToMeetings, hjemmearbejde, IasS, installations analyse, it processer, IT sikkerhed, Licens og intallations optimering, License entitlement, non-compliance, Teams, WebEx, Zoom

Nu var det faktisk ikke meningen at jeg ville skrive en ”corona” artikel – jeg mener at vi faktisk har nok at tænke over lige pt. Men når det så er sagt, så er verden bare et andet sted i øjeblikket, navnlig når man tænker på at alle arbejder hjemme og det giver nogen interessante udfordringer i forhold til de IT assets der bruges i denne proces.

Dette pludselige opståede behov for at virksomheders hele arbejdsstyrke er begyndt at arbejde hjemmefra lægger pres på IT –afdelingen. Her vil jeg tale om nogen af de udfordringer der kommer i forhold til IT assets og processerne omkring dem.

Processer, der ikke følges

Det første der ryger ud ad vinduet, er processerne, med den undskyldning at ”det er der ikke tid til”. Processerne bliver oftest kun fulgt sporadisk, hvis overhovedet, fordi det pludseligt skal gå meget stærkt. Men lad os spørge os selv, er det fordi mennesker bare ønsker at bryde processer? Eller er det fordi de processer virksomheden har stablet på benene, ikke løbende er blevet tilpasset virksomhedens forandringer?

I min optik, ønsker de fleste faktisk at følge processer, men følge effektive, tidsbesparende processer, der er fulgt med virksomhedens behov.

Så hvis det er nødvendigt for virksomhedens medarbejder at bryde processerne, fordi det skal gå stærkt, er det måske en god ide at se på om IT afdelingens IT-asset processer ikke kunne trænge til en opdatering?

Non-compliance

Det mest sandsynlige resultat, af det manglende fokus på bestillingsprocesserne og virksomhedens IT assetlifecycle , der ryger ud ad vinduet, vil være non-compliance på software. Blindt at ”give adgang til software nu, og løse licensproblematikken senere” er et af de steder hvor processerne sandsynligvis tilsidesættes.

I min erfaring, kommer “at løse problematikken senere” bare meget sjældent … navnlig i den situation vi oplever nu.

Det gælder f.eks for værktøjer som Zoom / WebEx / GoToMeeting / Teams osv. Før har det måske kun har været en del af organisationen, der har brugt dem, nu er det så alle. Selvom man nu vælger at købe de nødvendige licenser, hvad gør man så efterfølgende med de overskydende licenser?

Nu har et midlertidigt licensunderskud, skabt et blivende licensoverskud. Hvordan er din balance? er der omkostningsbesparelser i at ramme rigtigt?

IasS

Den pludselige opståede situation, kræver sandsynligvis at der skal sættes servere op der skal klare det øgende arbejdspres på hjemmearbejdspladser. Skal er opsættes flere Citrix maskiner, skal man bruge gamle fysiske servere der allerede var kørt på lager?

Dette kan være et problem ud fra på performance af de virtualicerings løsninger der allerede findes, citrix, vmWare med videre. Men følger man ikke processen for korrekt bestilling og opsætning af servere risikerer man at bruge forkerte versioner, og underdimensionere løsningerne og dermed tvinger folk til alternative løsninger.

Samtidigt gælder alle de sædvanlige bekymringer, såsom har ressourcerne været passende størrelse, og bliver de slukket, når de ikke er i brug?

Det er altså ikke kun det økonomiske aspekt indenfor hardware, software og infrastruktur, men tager man ikke den nye situation under overvejelse, vil den normale kapacitet føre til at den samlede performance der lider.

Hvordan kan et overblik over kritiske forretningsservices, deres brug og sammenhæng hjælpe på situationen?

ITAM, IT-sikkerhed og hjemmearbejde

Slutbrugeren, har altid repræsenteret den største risiko, da slutbrugeren altid har været det svageste led i kæden. ITAM spiller i sidste ende en minimal rolle i at beskytte slutbrugeren mod sig selv, men det kan have en positiv indflydelse i forbindelse med viden om det det konkrete end-point.

Men hvad med nu, hvor Bring Your Own Device (BYOD) arbejdspladser, giver medarbejderne mulighed for at arbejde på virksomhedens netværk og services på deres egne, muligvis ikkesikrede enheder.

At spore og sikre disse gennem samarbejde med IT-asset management, sikre regelmæssige opdateringer og sikre de bliver behandlet som et virksomhedsaktiver, er afgørende for sikkerheden.

Pludseligt opstået hjemmearbejde og BYOD giver unikke og nye udfordringer for virksomheden. Kunne viden km hvad man har og hvordan det bliver brugt, være med til at løse problemet?

Kunne ITAM medvirke til at løse problemet?

ITAM og COVID-19: Audits i fremtiden

Selv om der er noget amoralsk ved at tjene penge på udbrud af en pandemi, er det sikker at de store softwareleverandører godt ved at denne tid giver mange af de her nævnte situationer, derfor er det ikke usandsynligt at vi efter denne krise er overstået, vil se flere software audits, navnlig på højrisiko software som jeg taler om her

Hvad tænker du??

Der er mange ting at tænke over, denne her situation var der ingen af os der havde regnet med ville ske? Hvad tænker du? Lad os høre fra dig! Giv dit bud i kommentaren på hvad er din(e) største udfordring lige nu?

Vi vil hører gerne dine erfaringer og tanker, måske kan vi krydre dem med nogen af vores erfaringer og viden.

Vi vil gerne spare med jer om jeres ITAM udfordringer, skriv, eller ring til os, allerede idag.

6 maj 2020

Oracle licensiering – Get in shape, stay in shape

Jess Kristoffersen Asset Management, Auditering analyse, baseline, brugeranalyse, compliance, GAP, GAP analyse og optimering, installations analyse, Licens og intallations optimering, License entitlement, non-compliance, Oracle

Som jeg skrev i min tidligere artikel om risikobevidsthed inden for software asset management på Oracle, har Oracle, gennemført nogen ændringer, der gør ITAM mere kompleks, samtidigt hæves sandsynligheden for audits, reglerne for dataindsamling og deling af denne data skærpet.

Dette gør samlet at risikoen for in-compliance på Oracle er meget høj – som jeg skrev i min artikel om risiko bevidsthed, er 98% af alle kunder hvor der er gennemført en simuleret audit, fundet non-compliant.

Oracle Audit

Men hvordan minimerer man så sin risiko?

Nu sidder du måske og tænker: ”Ja, ja, det er jo meget godt, men det kan vi jo ikke gøre noget ved alligevel”

Men det kan man – som så mange andre ting her i livet, kræver det faktisk mindre end man skulle tro.

Der findes en række værktøjer der viser oracle komponenter, og de enheder der har dem installeret, men da Oracle nu kræver at bruge eget værktøj og egne data, kan de værktøjer virksomheden besidder, kun virke som vejledende.

Men det er muligt at gennemføre en baseline og kontrol af virksomhedens Oracle miljø der er baseret på teknologi og scripts, svarende til Oracles egen fremgangsmåde. Dermed sikrer man det mest optimale udgangspunkt for en minimeret risiko, og sikrer at virksomhedens oracle løsning er compliant.

Afklaring af baseline

Dette gøres i 2 skridt, der leder frem til den endelige rapportering og plan for sikring af compliance:

License Entitlement analyse
Installations- og brugsanalyse

License Entitlement analyse

Første skridt er at forstå virksomhedens Oracle landskab.

Sammen finder vi alle relevante dokumenter, fornyelser og lign. (fx fakturaer, indkøbsordrer, Service & Support Renewal mv).
På baggrund af disse udføres kontrakt- og entitlement analyse på de komponenter og produkter, der er indeholdt i licenserne.
Sidst gennemføres en finansiel analyse med hensyn til igangværende og tilbagevendende investeringer

Installations og brugsanalyse

Andet skridt er at opnå et overblik over det Oracle software, der er i brug/installeret hos Jer.

Danne klarhed over det egentlige installations- og brugsbillede, da det er aftalernes licensdefinitioner der i vid udstrækning bestemmer målemetoden.

Denne analyse udføres med scripts tilsvarende Oracles egne.

GAP analyse og optimering

Efter det indledende arbejde med indsamling af dokumenter og data, gennemføres den endelige analyse, også i 2 skridt:

Compliance Gap Analyse
Licens- og installationsoptimering

Compliance Gap Analyse

Baseret på de dokumenter, rettigheder, installations- og brugsdata fastlægger vi Jeres compliance, eller in-compliance.
Undersøgelsen viser forskellen mellem licensrettighederne og brugen af softwaren.

Risikoen udtrykkes i US $ – baseret på kendte listepriser

Licens og installations optimering

Slutteligt gennemføres rådgivning til virksomheden om den fremadrettede styring af Oracle.
Baseret på indsamlede data fra licens, implementerings- og brugsperspektiv, anbefaler vi alternative scenarier for licensering eller implementering og/eller brugen af Oracle hos virksomheden.

Som Projektafslutning afleveres en plan for eventuel tilbagebringelse af oracle til compliant status – med konkrete actionpunkter. Denne plan Leveres i rapportform, sammen med alle data og andet samlet materiale. Dette sker på en samlet afsluttende workshop.

Gevinster og påvirkning

I har nu opnået et komplet overblik, ikke kun en ”baseline”, men en reel status der viser den compliance status som Oracle ville finde, og dermed fået en sikkerhed omkring den nuværende risiko og potentiale.

Skulle det vise sig, at I er non-compliant, findes der nu en actionplan for at bringge virksomheden tilbage til et punkt, hvor den igen er compliant.

Analysen gennemføres desuden med et minimalt ressourcetræk internt i virksomheden. Den er derfor det perfekte udgangspunkt for at kunne afgøre compliance status på Oracle.

Hos Flowbuilders har vi omfattende erfaring med risiko- og omkostningsreducering inden for alle dele af ITAM, inklusiv komplekse løsninger som Oracle typisk er en del af, samt de licensregler og styringsprocesser, der skal til for at understøtte denne minimering.

Kontakt os for mere information, eller læs mere her på siden.

19 april 2020

Kræver risikohåndtering SAMarbejde?

Jess Kristoffersen Asset Management, Auditering audit clause, audit team, compliance, Licensiering, LMS collection tool, Oracle, Software asset management

Når man som vi gør, arbejder med IT Asset Management, kommer man ikke uden om, at Software Asset Management, er et område hvor der er store potentialer for at reducere omkostninger og risici – for få producenter, er det så sandt, som det er for Oracle.

Software Asset Management og Oracle

Nu kan man argumentere for, at licensering på Oracle altid har været komplekst at styre, både på grund af løsningernes kompleksitet, men sammen med komplekse kontrakter, licensbeviser og entitlements, har det været komplekst at overskue og optimere.

Denne kompleksitet taget i betragtning, er det derfor ikke underligt at vi her må konstatere at:

98% af alle Oracle kunder de har gennemført interne audits, er fundet non-compliant.
80% af alle Oracle kunder de har gennemført interne audits hos, betaler support maintanance for produkter de ikke bruger.

Men hvad har det med mig at gøre?

Det nok den første tanke der ryger igennem dit hoved, når du læser denne artikel. Det har måske heller ikke noget med dig at gøre – hvis du altså ikke lige er Oracle kunde, men hvis du er, er der tre ting der har ændret sig. De tre ting forandre risikoen på Oracle en hel del.

Ændringer i Oracles ”audit clause”
Ændringer i Oracles ”audit team”
Ændringer i Oracles ”LMS collection tool”

Oracles auditklausul

Oracle har altid været meget aktiv, og kunderne har måske endda betragtet dem som en smule aggressive, når det kom til software audits, men de fleste virksomheder vidste i det mindste hvad de kunne forvente. Men der er kommet flere ændringer i deres audit klausul, og navnlig én, er det værd at lægge mærke til:

“Such assistance shall include, but shall not be limited to, the running of Oracle data measurement tools on Your servers and providing the resulting data to Oracle”

Denne er indført for at omgå kundernes “manglende lyst”, til at køre bl.a. LMS collection tool i forbindelse med et audit.

Tilføjelsen af denne pasus, viser at Oracle skærper retorikken. Dette fremhæver samtidigt vigtigheden af komplet, nøjagtig og detaljeret licensadministration, og rettighedsstyring af software assets, samtidigt insisterer Oracle nu på at indsamlere deres egen information i forbindelse med Audits.

Ændringer I Oracles audit teams

I starten af Oracle’s seneste regnskabsår blev den tidligere organisation, Global License Management Services (LMS) til ”Global Licensing and Advisory Services.” (GLAS), denne organisation er opdelt i 4 overordnede teams, hvor en navnlig er værd at lægge mærke til:

LMS partnere

Udvalgte oracle partnere, deer på oracle’s vegne kan gennemføre licensaudits.
De er ikke aflønnet for at gennemføre audit. Deres interesse er at sælge Oracle-licenser og / eller cloud. Det er sådan, de kompenseres for revisionen.

Dette indvarsler en ny måde at tænke på, da der er allerede noget der tyder på, at Oracle har polstret deres salg af egne cloud løsninger, netop under trusler om audit. Oracle kommer nu i højere grad til at bruge partnere til at gennemføre audits. Da disse partnere, ikke er aflønnet i forbindelse med det gennemførte audit, men alene af det mersalg det måtte genere, vil dette naturligt påvirke partnernes fokus, i et eventuelt audit.

Hvad er Oracles LMS collection tool?

Oracle LMS Collection Tool bruges af Oracle LMS hos de kunder, der gennemgår et Oracle License Review eller Oracle License Audit. Værktøjet er en samling af scripts, der skal køres fra operativsystemet på de servere, hvor Oracle Software er installeret. Værktøjet er et shell-script, der integrerer historisk udviklede scripts.

Bliver virksomheden bedt om at køre LMS collection tool på virksomhedens servere, og efterfølgende dele filernes output, er der en meget stor risiko for, at virksomheden ikke selv er i stand til at tolke dette output, og dermed ikke forstår hvad de konkrete licenskrav er.

Problemet er bare at man som virksomhed ikke længere har et reelt valg, om hvorvidt man vil køre værktøjet eller ej.

Opdaterede regler for brug af LMS collection tool

Fra det øjeblik, man første gang vælger at bruge LMS Collection Tool, skal man acceptere den værktøjets licensaftale. Accepterer man ikke, fungerer det simpelthen ikke.

Så hvad er det egentligt man siger ja til?

Output fra værktøjet er juridisk bindende

Man accepterer at det data værktøjet producerer, er det grundlag Oracle kan anvende i et audit.

Lovhjemmel

Aftalen styres af de materielle og proceduremæssige love der findes i Californien.
I tilfælde af tvister eller uenighed om resultatet, skal kunden klage til retten i San Francisco eller Santa Clara.

Funktionsgaranti.

Oracle garanterer ikke, at LMS Collection Tool kører fejlfri
LMS Collection Tool leveres “as-is” altså uden garanti af nogen art.

Med andre ord…

Brug af auditpartnere, skarpere formuleringer, værktøjer med videre, vil give flere audits.
Virksomheden er tvunget til at bruge et værktøj, hvis funktionalitet ikke garanteres, med et output den ikke selv har mulighed for at tolke.
Et output der samtidigt juridisk bindende, under en lovhjemmel, som langt de fleste danske virksomheder ikke vil have megen erfaring med.

Det kan der heldigvis gøres noget ved.

Det er muligt at gennemføre et simuleret Oracle audit, der med tilsvarende scripts, afdækker virksomhedens konkrete risiko. En sådan gennemgang, vil give virksomheden det helt præcise compliance overblik, og en konkret plan med konkrete actionpunkter til hvad den evt. skal gøre, for at minimere denne risiko.

Det lyder som en stor opgave, men i forhold til kompleksiteten, kan det gennemføres med en forholdsvis lille indsats, For mere information om det simulerede auditprojekt kan du klikke her.

I Flowbuilders har vi omfattende erfaring med risiko og omkostnings reducering inden for alle dele af ITAM, inklusiv komplekse løsninger som Oracle typisk er en del af, samt de licensregler og styringsprocesser, der skal til for at understøtte denne minimering.

Kontakt os for mere information, eller læs mere her på siden.