Schnelle geografische Netzwerksegmentierung in 6 Schritten

Schnelle geografische Segmentierung ist ein Sonderfall

Es ist sinnvoll, die schnelle geografische Segmentierung zunächst als Sonderfall der Veräußerung zu betrachten. Diese kann aus geschäftlichen Gründen – ein Unternehmen möchte sich von einem Teil seiner Aktivitäten trennen – oder aus geopolitischen Gründen – ein Unternehmen möchte seine Geschäftstätigkeit in einer bestimmten politischen Region einstellen – erfolgen.

Das Besondere an einer geopolitisch motivierten Segmentierung liegt darin, dass sie rasch und mit wenig Zeit für die Planung durchgeführt werden muss – anders als bei einem Unternehmensverkauf. Das hat menschliche Gründe. Wer möchte den Mitarbeitern in einem potenziellen Kriegsgebiet schon gerne mitteilen: „Wir glauben, dass es in ein oder zwei Jahren zu einer Invasion kommt, deshalb bereiten wir eine mögliche Veräußerung vor.“

Unternehmen können jedoch von Anfang an bestimmte Schritte unternehmen, um eine schnelle geografische Netzwerksegmentierung zu ermöglichen.

1. Entwickeln Sie eine Strategie für geografische Modularität

Der erste Schritt besteht darin, eine IT-Strategie zu verfolgen, die auf Modularität statt auf Zentralisierung oder Regionalisierung beruht. Das Konzept hierbei ist eine modulare Architektur mit Komponenten, die sich einfach vom Gesamtsystem trennen lassen, ohne die Funktionalität oder Sicherheit des Ganzen zu beeinträchtigen.

Modularität sollte daher ein Schlüsselprinzip in allen Aspekten der Technologiestrategie sein, von der Software bis zur Infrastruktur. Außerdem ist es wichtig, dies als geografische und nicht nur als rein funktionale Modularität zu betrachten. Funktionale Modularität , insbesondere in der Softwareentwicklung, hat damit zu tun, dass Änderungen an einer Softwarekomponente vorgenommen werden können, ohne andere zu beeinträchtigen.

Netzwerkarchitekten und IT-Verantwortliche müssen dem Management die Vorteile der Modularität verdeutlichen und sogar ganz offen fragen: „Was ist, wenn wir diesen Teil der Architektur aus geschäftlichen oder geopolitischen Gründen abtrennen müssen?“ Der Grundsatz der geografischen Modularität sollte sich durch den gesamten Planungszyklus ziehen, von der Strategie über die Architektur bis hin zu Beschaffung und Betrieb.

2. Legen Sie konsistente geografische Bereiche fest

Sobald sich Ihr Unternehmen auf das Konzept der geografischen Modularität geeinigt hat, müssen Sie geografische Bereiche definieren, die für das Unternehmen sinnvoll sind. Und dies sollte im Kontext der erwarteten Anforderungen nachvollziehbar erfolgen.

Das heißt, Sie sollten klar festgelegte geografische Bereiche vorsehen, die nicht nur allgemeine Regionen sind, sondern Gebiete darstellen, die möglicherweise abgekoppelt werden müssen. Wenn zum Beispiel Russland und die Ukraine zu denselben geografischen Bereichen gehören, können Sie Russland nicht abtrennen, ohne auch die Ukraine abzutrennen.

Wichtig ist, dass diese Bereiche für alle Komponenten der Architektur gelten, von der Infrastruktur bis zu Mitarbeitern, Anwendungen und Daten.

3. Schaffen Sie eine Architektur für eine schnelle geografische Segmentierung

Der Einfachheit halber ist es sinnvoll, vier Schlüsselkomponenten für Ihre Architektur zu berücksichtigen:

1. Infrastruktur, einschließlich Netzwerke, Storage und Computing-Einrichtungen.
2. Identität, dazu gehören unter anderem Mitarbeiter und Auftragnehmer.
3. Anwendungen, auch On-Premises, sowie IaaS, PaaS und SaaS.
4. Daten.

Jede dieser Komponenten sollte nach dem Prinzip der geografischen und funktionalen Modularität aufgebaut sein. Wichtig ist zudem, dass sie alle auf die oben beschriebenen konsistenten geografischen Bereiche zurückgreifen.

Die meisten globalen Unternehmen können sich nicht den Luxus leisten, völlig neue Architekturen für alle vier Komponenten festzulegen. Daher sollten Sie Ihre bestehenden Architekturen Was-wäre-wenn-Szenarien unterziehen. Was wäre zum Beispiel, wenn China in Taiwan einmarschiert und Sie Ihre Geschäftsaktivitäten in China aufgeben müssten?

Bei Bewertung, Aufbau oder Neugestaltung Ihrer Architektur gilt es, die folgenden Punkte zu berücksichtigen:

• Adressraum: Wenn Ihr Netzwerk schon länger existiert, nutzen Sie möglicherweise RFC 1918. Dieser Standard reserviert einen IPv4-Adressraum der Klasse A für die Verwendung in privaten Netzwerken. Daher kann es sein, dass eine komplett neue Adressierung erforderlich ist, wenn Sie eine Komponente aus Ihrem Netzwerk herauslösen – keine einfache Aufgabe, die sich schnell erledigen lässt. Sie sollten diese Architektur auf öffentliche Adressen, vorzugsweise IPv6, umstellen, die so strukturiert sind, dass jeder geografische Bereich leicht abgetrennt werden kann.
• Routing: Es empfiehlt sich, das Border Gateway Protocol (BGP) intern zwischen den Bereichen zu verwenden, was das Abkoppeln von Regionen erheblich vereinfacht. Übrigens: Hyperscaler wie Meta und Google nutzen BGP intern innerhalb ihrer Clouds und Data Center.
• AD-Struktur (Active Directory): Wenn Sie, wie die meisten großen Unternehmen, Microsoft Active Directory einsetzen, sollten Sie die Verzeichnisstruktur überarbeiten, um zu gewährleisten, dass geografische Bereiche einfach ausgegliedert werden können.
• DNS: Sie sollten Ihre DNS-Struktur überprüfen, um sicherzustellen, dass sich die betroffenen Regionen schnell und einfach abtrennen lassen.
• Richtlinien für den Zugriff auf Anwendungen: Hier ist es äußerst sinnvoll, einen Ansatz wie Zero Trust Network Access (ZTNA) zu verfolgen. Statt separater vertrauenswürdiger Bereiche und Richtlinien – wie Secure Access Service Edge (SASE) für Remote-Benutzer zuzüglich interner Autorisierung für On-Premises-Benutzer – empfiehlt sich ein einziger Satz von Richtlinien. Diese werden unternehmensweit instanziiert, können aber intern verschiedene geografische Bereiche unterscheiden. Auf diese Weise sind Sie beispielsweise in der Lage, mit einem Mausklick alle russischen oder chinesischen Mitarbeiter vom Zugriff auf Unternehmensanwendungen auszuschließen.
• Bewertung der Redundanz von Anwendungsinstanzen: Die Kehrseite des oben beschriebenen Szenarios – allen Mitarbeitern in einem bestimmten Land wird der Zugriff auf Unternehmensanwendungen verweigert – besteht darin, dass diese bei einem Verkauf oder einer Übergabe des Geschäftsbetriebs an Dritte möglicherweise Zugriff auf bestimmte Anwendungen benötigen. Es kann also notwendig sein, über geografiespezifische Instanzen für kritische Anwendungen wie CRM, Lohnbuchhaltung oder zentrale Geschäftsanwendungen zu verfügen. Dies stellt eine Herausforderung für die Anwendungsentwickler dar, die ihre Anwendungen um die gleichen geografischen Kernbereiche herum erstellen müssen wie die Infrastrukturverantwortlichen.
• Cloud: Sie denken vielleicht, dass Cloud-basierte Anwendungen keine geografische Modularität erfordern. Das ist ein Irrtum: Es ist notwendig. Sie müssen darauf achten, dass sowohl die Zugriffsrichtlinien als auch die Instanzstandorte auf dem Prinzip der geografischen Modularität basieren. Das heißt, Sie sollten in der Lage sein, beispielsweise alle russischen oder chinesischen Mitarbeiter – beziehungsweise beliebige Gruppen – von Cloud-basierten Anwendungen auszuschließen. Zudem muss es für Anwendungen, die in Clouds in Regionen betrieben werden, die möglicherweise abgekoppelt werden, Backups in verschiedenen geografischen Gebieten geben. Darüber hinaus sollte es einfach sein, Ihre Mitarbeiter von einer Instanz zu einer anderen umzuziehen.

4. Tiger Team, Plan und War Game

Wie erwähnt, können sich die meisten globalen Unternehmen nicht den Luxus leisten, ihre Abläufe von Grund auf so zu gestalten, dass eine schnelle geografische Segmentierung möglich ist. Das sollte Technologiearchitekten und IT-Experten jedoch nicht davon abhalten, ihre Architekturen in diese Richtung zu migrieren.

Der erste Schritt besteht darin, ein sogenanntes Tiger Team aus Fachleuten für jede der vier Architekturkomponenten – Infrastruktur, Identität, Anwendungen und Daten – sowie aus Vertretern der Rechtsabteilung, des Risikomanagements und des Managements zusammenzustellen. Dieses Team sollte sich unter anderem mit folgenden Fragen befassen:

• Haben wir verschiedene geografische Bereiche definiert?
• Sind die festgelegten geografischen Bereiche im heutigen geopolitischen und geschäftlichen Umfeld sinnvoll?
• Werden die Gebiete von den Architekturen in jedem der vier Komponentenbereiche erkannt und unterstützt?
• Verfügen wir über einen konkreten Plan für eine schnelle geopolitische Segmentierung im Rahmen unserer operativen Strategie?
• Ist dieser Plan im aktuellen Kontext sinnvoll? Wenn der Plan zum Beispiel zuletzt zu Zeiten der Sowjetunion entwickelt wurde, könnte es angebracht sein, ihn zu überarbeiten.
• Deckt der Plan alle vier Komponenten der Architektur ab?
• Bauen die einzelnen Schritte logisch aufeinander auf, und werden dabei Abhängigkeiten erkannt?

Nachdem das Team zusammengestellt und der Plan ausgearbeitet worden ist, geht es im nächsten wichtigen Schritt um das War Game. Das bedeutet, Sie sollten Was-wäre-wenn-Szenarien entwickeln, um das Team und den Plan zu testen, sowie Schwachstellen der aktuellen Architektur, der Prozesse oder des Plans aufzudecken.

Die Analysten von Nemertes empfehlen, dazu taktische Entscheidungsspiele und die sogenannte OODA-Loop zu nutzen. Dieses Informationsstrategiekonzept stammt aus dem militärischen Bereich und soll die Entscheidungsfindung bei komplexen Sachverhalten unterstützen. OODA steht für Observe (beobachten), Orient (orientieren), Decide (entscheiden) und Act (handeln). Nach jeder Übung sollte eine Nachbetrachtung erfolgen, die den Weg zu geeigneten Lösungen aufzeigt.

War Gaming für die geografische Segmentierung sollte integraler Bestandteil einer umfassenderen War-Gaming-Strategie sein. Diese sollte Cybersicherheitsvorfälle, Incident-Response-Pläne sowie die allgemeine Disaster-Recovery- und Business-Continuity-Planung abdecken.

5. Nehmen Sie MAD-Klauseln in alle Verträge auf

Es ist wichtig, daran zu denken, dass die Veräußerung von Unternehmensteilen Auswirkungen auf die Beziehungen zu Anbietern und Lieferanten hat. Das gilt insbesondere, aber nicht ausschließlich, im Bereich der Telekommunikation. Der Wegfall einer größeren Anzahl von Standorten oder Büros kann finanzielle Sanktionen nach sich ziehen oder Rabatte beeinflussen.

Daher müssen alle Verträge – ob für Telekommunikation, Softwareanwendungen, Hardware oder andere Dinge – eine Klausel enthalten, die regelt, was im Falle von Fusionen, Übernahmen und Veräußerungen geschieht. Im Englischen hat sich dafür das Akronym MAD etabliert (Mergers, Acquisitions, Divestitures). Auf diese Weise wird sichergestellt, dass Unternehmen bei einer Veräußerung keine Geldstrafen an Anbieter oder Carrier zahlen müssen.

Eine effektive MAD-Klausel basiert auf den folgenden Punkten:

• Keine Geldstrafen im Falle einer Fusion oder Veräußerung aus geschäftlichen oder geopolitischen Gründen. Wenn also die Zahl der Netzwerkknoten oder -geräte unter den ursprünglich vertraglich vereinbarten Wert sinkt, kann der Carrier oder Provider keine finanziellen Sanktionen durchsetzen. Häufig verlangen Carrier Geldstrafen für Netzwerkänderungen, die sich auf die jährliche Mindestumsatzverpflichtung (Minimum Annual Revenue Commitment, MARC) auswirken.
• Das einseitige Recht, entweder die aktuellen Preise beizubehalten oder sie neu auszuhandeln. Unabhängig von den oben genannten finanziellen Sanktionen können Anbieter die Preise erhöhen, wenn die Zahl der Standorte oder Büros unter einen bestimmten Wert fällt oder die MARC beeinträchtigt wird. Im Vertrag sollte festgelegt werden, dass dies im Falle einer Veräußerung nicht gilt und dass Sie – als Kunde – das Recht haben, die aktuellen Tarife weiter anzuwenden oder, falls Sie dies wünschen, neu auszuhandeln. Wichtig ist, dass Sie nicht vom Carrier oder Provider gezwungen werden können, höhere Preise zu zahlen.
• Bedingungen für schnelle Änderung oder Abschaltung. Vor allem bei Carriern müssen Sie unter Umständen darauf drängen, dass die Provider bestimmte Standorte schnell abschalten. Dies sollte im Vorfeld geklärt werden.

6. Vergessen Sie die Lieferkette nicht

Eine nicht ganz so offensichtliche Folge der geopolitischen Aufteilung besteht darin, dass wichtige Teile oder Zulieferungen möglicherweise in den Regionen hergestellt werden, aus denen Sie sich zurückziehen – und es wurden eventuell Sanktionen gegen das Land verhängt. Es ist außerordentlich wichtig, dass Sie sich über das Vorhandensein von beispielsweise in China produzierten Teilen oder in Russland geschriebener Software in Ihrer Hardware- und Softwareumgebung bewusst sind.

Dies ist eine Herausforderung beim interaktiven Asset-Management für alle Arten von Assets sowie die Software-BOM (Bill of Materials). Machen Sie sich mit den Quellen aller Komponenten in der Lieferkette vertraut. Außerdem empfehlen sich Ersatzstrategien, falls Sanktionen oder andere geopolitische Ereignisse, wie pandemiebedingte Shutdowns, die Verfügbarkeit von Hardware- oder Softwarekomponenten beeinträchtigen.

Fazit

Die Quintessenz? Geografische Modularität sollte von Anfang an Teil Ihrer IT-Strategie sein. Die IT-Architekten sollten ihr Möglichstes tun, um sie zu integrieren. Sie werden es zu schätzen wissen.