- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Eine einheitliche IT-Notfallvorsorge einführen


Goldene Regeln für den Aufbau eines Business Continuity Managements
Es gehört zu den weit verbreiteten Missverständnissen, das Business Continuity Management fokussiere vor allem auf die Verfügbarkeit der technischen Infrastruktur

(21.08.14) - Fallen technische Systeme aus, sind im Regelfall der Produktions- und Geschäftsbetrieb des Unternehmens unmittelbar davon betroffen. Um die finanziellen, rechtlichen und reputationsmäßigen Auswirkungen solcher Probleme zu minimieren, bedarf es eines Business Continuity Managements (BCM), das die Ausfallzeiten der Geschäftsprozesse minimiert. Darunter wird ein unternehmensweiter Ansatz verstanden, mit dem die kritischen Geschäftsfunktionen bei Bedrohungssituationen aufgrund interner oder externer Ereignisse aufrechterhalten oder zeitnah wiederhergestellt werden können.

"Es gehört zu den weit verbreiteten Missverständnissen, das Business Continuity Management fokussiere vor allem auf die Verfügbarkeit der technischen Infrastruktur", erklärt der BCM-Spezialist Hartmut Duwald. "Stattdessen umfasst es die gesamten Einflussfaktoren bis hin zu den baulichen Verhältnissen und dem Lieferantennetz", betont er. Duwald ist Partner des BCM-Kompetenznetzwerkes der ITSM Consulting AG, das beispielsweise für einen Automobilindustriekonzern an seinen 40 weltweiten Standorten eine einheitliche IT-Notfallvorsorge eingeführt hat. Abgeleitet aus den Erfahrungen aus diesen und weiteren Projekten hat er Regeln abgeleitet, die den systematischen BCM-Aufbau unterstützen helfen:

1. Die Geschäftsführung muss BCM unterstützen:
Entscheidend für ein wirkungsvolles und effizientes Business Continuity Management ist die Einführung einer Unternehmensrichtlinie, die von der Geschäftsführung getragen wird. Sie sollte zudem mit den Verantwortlichen für die Bereiche Compliance, Risikomanagement und Informationssicherheitsmanagement abgestimmt werden, damit ein konsistenter Überbau über alle diese Themen hinweg entsteht.

2. BCM als Stabsstelle unterhalb der Geschäftsführung einrichten:
BCM ist nicht gleichzusetzen mit einem Risiko- oder Sicherheitsmanagement. Auch wenn diese beiden Funktionsbereiche gute Gründe hierfür haben, empfiehlt es sich, BCM als separate Stabsstelle direkt unterhalb der Geschäftsführung zu verankern. Dies erhöht die Schlagkraft und die Voraussetzungen dafür, dass das Unternehmen Notfälle und Krisen gut überstehen kann, da sich BCM primär mit unternehmensbedrohenden Worst-Case-Szenarien und deren Bewältigung beschäftigt.

3. Nicht auf die Wirtschaftsprüfer warten:
Die Umsetzung erster BCM-Maßnahmen sollte nicht so lange hinausgezögert werden, bis die Wirtschaftsprüfer Vorgaben mit sehr ambitionierten Umsetzungsterminen definieren. Die Maßnahmen werden zwangsläufig reaktiv angelegt sein, indem sie auf die Behebung der Feststellungen abzielen. Damit geht auch zwangsläufig ein Verlust an eigener Steuerungsfähigkeit einher, weshalb es sich empfiehlt, frühzeitig selbst initiativ zu werden.

4. An den eigenen Bedürfnissen und nicht starr an Standards ausrichten:
Vielfach wird argumentiert, dass BCM um seiner selbst willen realisiert werden muss und weil es sich dabei um einen Standard handelt. Diese Falle gilt es zu vermeiden, indem zunächst die eigenen Bedürfnisse identifiziert und zum Maßstab des Projekts werden. Schließlich soll ein Business Continuity Management in erster Linie Risiken minimieren und Schaden vom Unternehmen abwenden helfen und nicht formal einem Standard entsprechen.

5. Business Continuity muss anders behandelt werden als die etablierten Prozesse:
BCM stellt keinen üblichen Ablauf dar, der einen geschlossenen Lebenszyklus hat. Der BCM-Prozess besteht vielmehr aus vielen kleinen Prozessen, die sich unabhängig voneinander mit unterschiedlichen Geschwindigkeiten bewegen. Diese Teilprozesse liegen mal im strategischen und mal im operativen Bereich. Die Herausforderung besteht darin, sie trotzdem so miteinander zu verbinden, dass die Informationen konsistent fließen und jeder Bereich seiner Verantwortung nachkommt.

6. Mehr als ein operativer Bestandteil des IT-Betriebs:
Man sollte sich bewusst sein, dass BCM in erster Linie ein strategisches Thema auf der Geschäftsführungsebene darstellt. Auch wenn im Notfall natürlich der IT-Betrieb einen wesentlichen Anteil an einem erfolgreichen Wiederanlauf hat, kann er dies nur sicherstellen, sofern vorher die richtigen Vorsorgestrategien in den Fachabteilungen und in der IT erarbeitet wurden. Denn was nützen die besten Vorsorgemaßnahmen in der IT, wenn der Ausfall von Lieferanten, Fabrikationsgebäuden oder der Mitarbeiter unberücksichtigt geblieben ist. Entsprechende Maßnahmen müssen von der Geschäftsführung bewilligt und durch die Organisation umgesetzt werden.

7. Im Kleinen beginnen:
Mit BCM wird das gesamte Unternehmen bewegt, deshalb sollte vor allem am Anfang nicht zu viel vorgenommen werden. Das geht am besten, wenn das Business Continuity Management-Projekt in handhabbare Bausteine aufgeteilt wird. Damit wird eine Überforderung der Organisation vermieden.

8. Rechtzeitig um die erforderlichen Ressourcen im Regelbetrieb kümmern:
Damit BCM nicht nur einen Projektcharakter hat, muss es im Regelbetrieb verankert sein. Dies setzt voraus, dass bereits bei Projektstart mit den Verantwortlichen über die benötigten Ressourcen gesprochen wird, da der Planungshorizont oft über Jahre hinausgeht. Ansonsten stehen die erforderlichen Mitarbeiter bei Projektübergabe in die Linienorganisation nicht zur Verfügung. Zudem ist nicht nur an den operativen Betrieb zu denken. Denn benötigt werden ebenso Ressourcen für die regelmäßige Durchführung einer Auswirkungsanalyse mit den Fachbereichen sowie für die regelmäßigen Überprüfungen der Vorsorge- und Wiederanlaufstrategie.

9. Das meist zwangsläufige Kompetenzproblem lösen:
Die Einführung von BCM wird in der Regel nur einmal vorgenommen. Daher können sich die Unternehmen typischerweise nicht in der notwendigen Weise auf bestehende Kompetenzen und Erfahrungswissen stützen. Wird das fachliche Defizit jedoch nicht über Ressourcen mit entsprechender Expertise beseitigt, entstehen zwangsläufig Schwächen in der Ergebnisqualität und Robustheit der BCM-Lösung, aber ebenso Verzögerungen und Kostensteigerungen. Da sich hinter BCM komplexe Vorhaben verbergen, müssen die Fachspezialisten auch in ausreichender Ressourcenstärke zur Verfügung stehen.

10. Social Networking ist ein Schlüsselfaktor zum Erfolg:
Es ist geboten, die Mitarbeiter eng in das Projekt einzubinden. Dabei gilt: Je mehr die BCM-Verantwortlichen den Mitarbeitern zuhören, ihre Vorschläge und Bedenken ernst nehmen und sie mitnehmen, desto größer sind das Verständnis und die Mitwirkungsbereitschaft in der Umsetzung des BCM-Projektes. Die Social Media-Kommunikation hat sich hierbei als ein wirkungsvolles Instrument erwiesen.
(ITSM Consulting: ra)

ITSM Consulting: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • Sicherheitsmaßnahmen gegenüber Bedrohungen

    Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.

  • Nahezu kein Expertenwissen mehr benötigt

    Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.

  • Fünf Sofortmaßnahmen zur Systemhärtung

    Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.

  • Abfangen und Manipulieren von E-Mails

    Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.

  • Neuer Standort und neue BC/DR-Strategie?

    Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.

Warum Passwort-Management unverzichtbar ist Ein sicheres Passwort erstellen