Virtualisierte IT bei Innova

Von Nicola Alexander Schlup

Seit 2007 hat die Schweizer Versicherungsgesellschaft Innova in Sachen IT einiges umgekrempelt. Über drei Jahre hinweg wurden die gesamte IT-Infrastruktur an den beiden Standorten in Gümligen und Winterthur neu aufgebaut, die IT-Organisation restrukturiert und die Betreuung der Systeme ausgelagert.
Angestossen wurden die Veränderungen durch die neuen Bedürfnisse und Wünsche, die an die IT gerichtet wurden. Das ehemalige System wurde bereits zu dieser Zeit im Inhouse-Rechenzentrum betrieben, jedoch noch mit einzelnen physikalischen Servern und der daraus resultierenden inkonsequenten Trennung der einzelnen Server-Funktionalitäten.

Mitarbeiter mobil machen

Eine der Hauptanforderungen an die neue Infrastruktur war, dass die Aussendienstmitarbeiter von Innova die Zeit zwischen Kundenterminen effizienter nutzen können. Aus diesem Grund beschloss man, ihnen künftig mittels Datenstick und Notebook einen vollwertigen mobilen Arbeitsplatz zur Verfügung zu stellen. Aber auch die Heimarbeitsplätze sollten entsprechend ausgestattet
werden, damit man für krankheitsbedingte Ausfälle der Vor-Ort-Mitarbeiter oder ausbrechenden Pandemie gerüstet ist.
Als zusätzliche Massnahme zur Reduktion der ungenützten Zeiten der Aussendienstmitarbeiter und des Kaders wurde der Einsatz einer Mobile-Synchronisation für die Terminkalender beschlossen, die über verschiedene Mobile-Betriebssysteme hinweg funktionieren muss. Weitere Anforderungen waren die Reduktion des Wartungsaufwandes, des Stromverbrauches und die Erhöhung der Flexibilität für kommende Ansprüche.

Sicherheit im Zentrum

Die neuen Anforderungen warfen gerade im sicherheitskritischen Umfeld einer Versicherung wichtige Fragen zum Thema Datenschutz und -sicherheit auf. Um eine saubere Umsetzung des Projekts zu erreichen, war es unausweichlich, praxistaugliche Messkriterien zu definieren. Die Lösung dazu wurde in einer pragmatischen Umsetzung des ISO-27001-Standards gefunden, der die technischen und organisatorischen Ansprüche definierte.
Um die unterschiedlichen Systeme wie Dienste, Server und Netze wie vom ISO-27001-Standard gefordert sauber voneinander zu trennen und die Sicherheitsanforderungen der Branche zu erfüllen, war es nötig, die bestehende IT-Architektur komplett zu überdenken. «Wir wollten einen sauberen Schnitt machen, um die Infrastruktur für die wachsende Rolle der IT aufzurüsten», erklärt Patrick Zuber, Leiter Ressourcen bei Innova.

Inhouse vs. Outsourcing

Bevor die Projektumsetzung gestartet wurde, verglich und bewertete man bei Innova die beiden Varianten Inhouse und Outsourcing. Kriterien waren hierbei die Sicherheit, Flexibilität und Kosten für die Umsetzung und Wartung.
Die Prüfung der Inhouse-Umsetzung offenbarte ein Problem mit dem Aufbau und Erhalt des Know-hows, das bei einer komplexen IT-Infrastruktur zu oft vernachlässigt wird. Jedoch hätte diese Variante bei richtiger Ausführung mit ihrer hohen Flexibilität gepunktet. Bei der Outsourcing-Umsetzung hätte man derweil von der Erfahrung und den günstigeren Konditionen des Outsourcing-Anbieters profitiert, hätte aber unter Umständen Einbussen in der Flexibilität hinnehmen müssen.
Bei der Grösse von Innova mit rund 90 Mitarbeitern wurde schliesslich der grösseren Flexibilität eine erhöhte Gewichtung zugesprochen. Die Abklärungen mit diversen IT-Outsourcern hatten gezeigt, dass Innova bei einer Outsourcing-Umsetzung auf eine Palette von Software hätte verzichten müssen. Den angefragten Outsourcing-Anbietern aus dem Raum Bern war es nicht möglich, die umfangreiche Software-Palette für einen spezifischen Kunden kostengünstig zu betreiben. Aus diesen Gründen und aufgrund des bereits hohen fachlichen Niveaus der internen IT-Abteilung wurde die Inhouse-Umsetzung gewählt.

Schrittweise Umsetzung

Die damalige interne IT-Abteilung hatte sich zum Ziel gesetzt, die neue Infrastruktur parallel zu entwickeln und die alten Systeme laufend abzulösen. Auf der neuen Systemumgebung sollte Abteilung für Abteilung migriert werden. Die Verbindung zwischen dem alten und neuen System wurde dabei mittels Transfer-Laufwerk und eines Routings bewerkstelligt. Von der Konzeption bis zur vollständigen Migration wurde ein Zeithorizont von zwei Jahren gesetzt.
Auch neue Hardware wurde fällig. Die bisherigen einzelnen Server wurden daher durch zwei ESX-Hauptserver von Dell ersetzt, die mit je acht logischen Prozessoren à 2,6 GHz und 32 GB RAM ausgestattet sind und ein gemeinsames Cluster mit Loadbalancing bilden. Für die zentrale Datenablage wurden zwei EMC-SAN beschafft, die mit Fibre-Channel-Technologie eine Anbindung von je 4 GB/s ermöglichen und mittels RAID zudem hohe Sicherheit bieten. Aus architektonischen Gründen wurden ausserdem einige leistungsärmere Server hinzugezogen, die nun zum Beispiel als Terminal Server zum Einsatz kommen.

Um die Flexibilität und Sicherheit zu gewährleisten und zugleich den Wartungsaufwand zu verringern, entschied sich Innova auf Hardware-Ebene für eine Vmware-Virtualisierung. Zur Bereitstellung des Desktops und der Applikationen kam Citrix zum Zug. Die geplante Architektur beinhaltete über 25 virtuelle sowie 15 physikalische Server.
Heute ermöglicht die Virtualisierung mit Vmware die Sicherung der Server mittels Snapshots, die im laufenden Betrieb innerhalb weniger Sekunden durchgeführt werden können. Zudem werden die Server unabhängig voneinander betrieben. Dies verringert die Fehlerquote, da jeder virtuelle Server eine isolierte Aufgabe erfüllt.
Die Backup Appliance und einer der Domain Controller wurden derweil aus Sicherheitsgründen direkt auf physikalischen Servern eingerichtet. Dadurch ist es bei einem gleichzeitigen Ausfall der beiden ESX-Server weiterhin möglich, die Systeme auf separater Hardware wiederherzustellen.

Auch Desktop virtualisiert

Nebst der alten Server sollten auch die Fat Clients der rund 90 Mitarbeiter ausrangiert werden. Mit Citrix wurde eine Desktop-Virtualisierung umgesetzt, wodurch 90 Prozent der alten Computer durch selbst entwickelte Thin Clients ersetzt wurden. «Heute würden wir für unsere Zwecke wohl eher auf Microsoft Terminal Server setzen, da er mittlerweile den Anforderungen genügt und somit ausreichend, einfacher und günstiger wäre. Aber damals erfüllte nur Citrix alle unsere Anforderungen, wie zum Beispiel das Loadbalancing und die selektive Freigabe von Applikationen», so System Engineer Christoph Nyffenegger.
Um eine doppelte Virtualisierung – Terminal Server auf ESX, ESX auf Hardware – zu vermeiden, wurden die Terminal Server für die Desktop-Virtualisierung mit Citrix auf physikalischen Servern aufgesetzt. Ansonsten wären Performance-Verluste die Folge gewesen.
Dank den Terminal Servern konnte auch der zweite Standort von Innova in Winterthur ohne eine doppelt geführte IT-Infrastruktur angeschlossen werden. Die IT-Betreuung erfolgt durch den Hauptstandort in Gümligen, in Winterthur wurde für den First-Level-Support ein Mitarbeiter als Kontaktstelle definiert.

Netzwerk getrennt

Wie bei der Trennung der Server nach Funktionalität wurde auch das Netzwerk selbst unterteilt und mittels mehrerer Firewalls getrennt. Insgesamt existieren heute drei Subnetze: das lokale Netz für alle Clients, die interne demilitarisierte Zone (DMZ) – das sicherheitskritische Netz zwischen dem LAN und dem Internet – für alle virtuellen Server wie beispielsweise Exchange und für den physikalischen Domain Controller und die Terminal Server sowie die externe DMZ, welche die Mobile Synchronisation Gateway, FTP-Server und eine Secure Mail Appliance umfasst. Die interne DMZ wird dabei durch einen ausfallsicheren Firewall-Cluster geschützt, der den Verkehr auf die beiden Firewalls verteilt.

Unterwegs synchronisieren

Die Mobile-Synchronisation erfolgt bei Innova nun über einen separaten und gehärteten Sync-Server. Der dafür eingesetzte Gateway ist eine Eigenentwicklung der internen IT-Abteilung, die auf einem Linux-System basiert und in der externen DMZ betrieben wird. Dadurch ist es nicht mehr nötig, den Exchange-Server den direkten Zugriffen aus dem Internet auszusetzen, was in Anbetracht der regelmässigen Angriffe ein Sicherheitsrisiko darstellte.
Eine RSA-Token-Authentifizierung schützt derweil den Zugriff auf die Heimarbeitsplätze und der Citrix Secure Gateway sichert die Verbindung. Die angewendeten Policies verhindern das unerlaubte Kopieren von schützenswerten Daten, und die Rollen-basierte Rechtevergabe und Datenablage stellen zudem sicher, dass nur die notwendigen Daten bearbeitet werden können.

Umgewöhnung für die Mitarbeiter

Durch die neuen Sicherheitsrichtlinien, grösstenteils die Vorgaben von Microsofts Quasi-Standard, gab es für die Mitarbeiter von Innova eine Reihe neuer Einschränkungen, die eine Eingewöhnungszeit von mehreren Monaten benötigten. Auslöser waren dabei meistens kleine Anpassungen, zum Beispiel, dass der Desktop nicht mehr als Dateiablage genutzt werden konnte. Nur so war es jedoch möglich, die Datenintegrität und Sicherheit der Systeme gewährleisten zu können, wobei Microsoft als Hersteller den tiefsten Systemeinblick besitzt, um passende Sicherheitsrichtlinien zu definieren. Für die Umsetzung der Sicherheitsrichtlinien war es essentiell, dass die neue IT-Strategie die Unterstützung des Managements genoss.
Im Alltag bewährt sich insbesondere die Monitoring-Lösung, die für die Überwachung der Systeme implementiert und mit selbstentwickelten Zusatzmodulen ergänzt wurde. Mit dieser Lösung werden Warnungen und Fehler auf allen Servern erkannt und gemeldet.
Seit dem Neuaufbau kann die IT eine konstante Systemverfügbarkeit von mindestens 99,9 Prozent gewährleisten. Für die Prüfung der neuen Systeme wurde ein ISO 27001 Audit durchgeführt, der mit Bravur bestanden wurde.

Outsourcing zum Schluss

Seit 2009 wird das System von Innova Versicherungen nun durch den Outsourcing-Partner Lunilogic betreut. Das unabhängige IT-Unternehmen aus Gümligen bei Bern wurde durch die ehemaligen Mitarbeiter der IT-Abteilung von Innova unter der technischen Leitung von Christoph Nyffenegger gegründet, um eine saubere Trennung zwischen First-Level-Support und der Systembetreuung zu erreichen. Dank dem bekannten Team und der vergleichsweise kleinen Grösse des Outsourcing-Anbieters kann die gewohnte Flexibilität beibehalten werden und das Know-how wird durch zusätzliche Outsourcing-Kunden stetig aktuell gehalten.

Die neu aufgebaute interne IT-Abteilung von Innova wird nun von Martin Küng geleitet. Das Aufgabengebiet der IT Innova umfasst nebst der strategischen IT-Planung die Projektleitung und die Sicherstellung des First-Level-Supports.
Für die Zukunft stehen neue Projekte wie die Integration der Swiss Health Platform (SHP) und neuer Thin Clients an. Als möglicher Thin-Client-Ersatz wird der LuniThinClient 100 von Lunilogic evaluiert, bei dem die bestehende Hardware beibehalten werden könnte und Full-HD-Auflösung möglich würde.