Systemkopien und Datenanonymisierung gehören zusammen wie Auto und Sicherheitsgurt. Die Systemkopie als Auto bringt uns vom Produktiv- ins Testsystem. Die Datenanonymisierung ist der Sicherheitsgurt: unerlässlich für die Sicherheit und in den meisten Fällen gesetzlich vorgeschrieben.
Wenn auch die Relevanz von Systemkopien den meisten bekannt ist, so hinkt das Bewusstsein für die Notwendigkeit und Vorteile der Anonymisierung in vielen Fällen noch hinterher. Eine Systemkopie ist für einen geregelten Entwicklungsablauf unerlässlich. Es würde schnell Chaos vorherrschen, wenn die Entwickler sich im Produktivsystem ausprobieren müssten. Permanente Ausfälle und Unsicherheit wären die Folge. Das führt zu einem langsamen Entwicklungstempo. Niemand will der Grund für einen stundenlangen System- und damit auch Verdienstausfall sein.
Deswegen setzen die meisten Firmen auf Entwicklungs- viele sogar auch noch auf QA-Systeme. Hier können die Entwickler nach Herzenslust pushen und pullen. Bei einem zu verwegenen Commit fängt man sich vielleicht den Groll der Entwicklerkollegen ein, der Rest der Firma oder gar die Kunden bekommen von diesem internen Drama aber nichts mit. Der normale Geschäftsbetrieb bleibt ungestört.
Um gewährleisten zu können, dass die Entwickler auf einem dem Produktivsystem möglichst ähnlichen System arbeiten können, greift man in der Regel zu Systemkopien. Natürlich könnte man auch ein neues System „auf der grünen Wiese“ erstellen, allerdings hält sich hier der Nutzen in Grenzen. Denn jedes System wächst und entwickelt sich mit der Zeit. Was auf einem neuen System entwickelt und getestet wird, funktioniert nicht zwangsweise auch auf einem historisch gewachsenen System. Die Lösung sind also sich regelmäßig wiederholende Systemkopien. So bleibt gewährleistet, dass sich die Entwicklungs-/QA-Umgebung und die Produktivumgebung nie zu gravierend unterscheiden. Der Haken: Eine Systemkopie kann ein langwieriger Prozess sein.
Und hier reden wir nicht nur von der reinen Laufzeit, also die Dauer der einzelnen Schritte, die angestoßen werden müssen. Wir reden hier auch von Mitarbeiterzeit, die aufgewendet werden muss. Dazu kommt noch die Frage, wann überhaupt eine Systemkopie durchgeführt werden kann, um den Geschäftsbetrieb nicht zu stören. Meistens müssen hier die Entwickler in den sauren Apfel beißen und Wochenendschichten schieben. Gäbe es doch nur ein Produkt, das die Systemkopie automatisiert durchführt.
Doch kaum war die Kopie erfolgreich, haben wir bereits das nächste Problem: Die Kopie war erfolgreich! Sämtliche Daten, welche vorher auf einem hermetisch abgeriegelten System von handverlesenen Personen kuratiert wurden, sind nun auf dem Testsystem. Wie ist das Testsystem geschützt? Wer hat Zugriff? Wer braucht welche Berechtigungen? Wie war das nochmal mit der DSGVO? Wer sichergehen will, dass mit dem Testsystem kein Schabernack getrieben werden kann, hat viele Fragen zu beantworten. Zum Glück kann die Antwort aber immer die Gleiche sein: Anonymisierung!
Wem in meiner Firma kann ich Zugriff geben? Alle die ihn wollen, die Daten sind anonymisiert. Was passiert, wenn unbefugte Zugriff auf das Testsystem erlangen? Die Daten sind anonymisiert. Was sagt die DSGVO?
„Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden […], so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem […]
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“
DSGVO Artikel 6 Absatz 4 Buchstabe e
Das ist gut zu wissen, denn ansonsten würden viele Testsysteme wohl an folgender Bedingung der DSGVO scheitern:
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;“
DSGVO Artikel 6 Absatz 1 Buchstabe a
Denn aus welchem Grund die Daten zu Beginn auch erhoben wurden, sie wurden wahrscheinlich nicht erhoben, um damit Tests durchzuführen. Vielleicht könnte man bei seinen Kunden/Lieferanten um die Genehmigung bitten, würde aber wahrscheinlich statt Daten eher irritierte Blicke ernten.
Deutlich einfacher macht man es sich hier, wenn man erst kopiert und dann anonymisiert. Doch auch eine vernünftige Anonymisierung will überdacht sein. Die simpelste Lösung wäre flächendeckend überall XXX einfügen. Damit verliert man allerdings einen der großen Vorteile der Systemkopie, nämlich die Nähe zum Produktivsystem. Validitätsprüfungen werden hinfällig und die Übersichtlichkeit geht verloren.
Deutlich bessere Ergebnisse erzielt man durch die Verwendung von „Echtdaten“. Reale Adressen, Kreditkarten-Nummern mit gültigen Prüfziffern und „echte“ Namen. Jetzt haben wir ein aktuelles System, das zwar ein Testsystem ist, aber so nah am Produktivsystem ist wie möglich. Kopie und Anonymisierung gehen also Hand in Hand.
Genau für diesen Fall haben wir bei Libelle zwei Software-Lösungen: Libelle SystemCopy (LSC) und Libelle DataMasking (LDM).
Mit Libelle SystemCopy haben Sie einen vertrauensvollen Helfer an Ihrer Seite. Was vorher eine wahre Sisyphos-Arbeit war, wird nach einmaligem Einrichten von LSC zu einem simplen Automatismus.
Für die Anonymisierung nach der Kopie bieten wir Libelle DataMasking an. Gefüttert mir realen Adressen und echt wirkenden Namen haben sie mit LDM die Möglichkeit, in einer Umgebung zu entwickeln die sich wie das Produktivsystem anfühlt.
LSC und LDM können auch alleinstehend verwendet werden, zur vollen Form laufen die zwei Programme aber erst in der „Dreamteam“ Kombination auf. Hier kann LDM ganz einfach in den LSC Prozess eingebettet werden. Jedes Mal, wenn wieder eine erfolgreiche Systemkopie mit LSC durchgeführt wurde, wird automatisch LDM angestoßen. Damit bleibt ihre Testlandschaft so realitätsnah wie möglich ohne Kompromisse bei der Sicherheit einzugehen.
Sie möchten noch mehr zu Themen aus der IT oder News aus der Libelle IT Group erfahren? Auf unserem Blog finden Sie spannende weitere Beiträge. Folgen Sie uns auch auf unseren Social Media Kanälen LinkedIn und Facebook.