Notfall-Management oft vernachlässigt
Blauäugig in die IT-Katastrophe
Das Notfall-Management zählt zum kleinen Einmaleins der Sicherheit, das jedes Unternehmen beherrschen sollte - insbesondere in der hochsensiblen produzierenden Industrie, ist diese doch ein bevorzugtes Ziel von Cyberkriminellen. Um so erschreckender ist es, dass viele deutsche Betriebe mit ihren digitalen Ressourcen äußerst fahrlässig umgehen und auf eine dezidierte Notfallplanung verzichten. Denn ob es zu unvorhergesehenen Zwischenfällen oder Angriffen im IT-Bereich kommt, ist nicht die Frage: Offen bleibt lediglich, wann und wie dies geschieht.
Die aktuellen Ransomware-Wellen, Wetterkapriolen und Sabotageattacken haben deutlich gezeigt, wie schnell Schäden entstehen können, die im schwerwiegendsten Fall ein komplettes Unternehmen lahmlegen. Zur Planung, was im Falle eines Falles zu tun ist, gibt es keine Alternative. Der Bogen bei der Erstellung eines Notfallplans ist dabei weiter zu spannen als nur bis zur Firewall oder dem Management der Zugriffsberechtigungen. Denn was hilft die aufwendige digitale Lösung zum Schutz vor Eindringlingen (Intrusion Protection), wenn sich nicht legitimierte Personen mit unlauteren Absichten Zutritt zum Rechenzentrum verschaffen? Was hilft ein ausgefeiltes Zugriffs-Management, wenn sich mehrere Monate lang Mobilgeräte mit einer Firmware-Backdoor im Netz tummeln? Was heißt es für die Verfügbarkeit, wenn die örtliche Stromversorgung zusammenbricht und die Backup-Generatoren nach vier Stunden neuen Diesel benötigen?
Wichtig ist es, für alle wahrscheinlichen Störfälle Reaktionen, Gegenmaßnahmen und die Behebung zu definieren. Für die Bedrohungsszenarien ist zudem sicherzustellen, dass die personellen Kompetenzen und der Zeitrahmen klar definiert sind, die für Gegenmaßnahmen erforderlich sind. Also: Wer hat das entsprechende Know-how, wer verfügt über die notwendigen Ressourcen, wer koordiniert und steuert das Vorgehen? Gleichzeitig muss für das notwendige Maß an Flexibilität und kurze Entscheidungswege gesorgt sein. Denn würde ein Plan für das Notfall-Management ausgearbeitet, der wirklich alle potenziellen Ausfalloptionen abdeckt, erreicht dieser schnell den Umfang mehrerer Hauptstadt-Telefonbücher - und den gleichen Nutzwert.
Schrittweise zum Notfallplan
Notfallplanung und -Management sind mit Aufwand und Kosten für ein Unternehmen verbunden. Allerdings ist es deutlich teurer und aufwendiger, im Schadensfall nicht adäquat und langsam zu reagieren. Zur Erstellung eines Notfallplans empfiehlt sich eine sequenzielle Vorgehensweise, deren Ergebnisse dokumentiert sein müssen. Folgende Schritte können hier als Rahmen dienen: Zunächst erfasst und analysiert ein Projektteam den Ist-Zustand. Sind Backup-Systeme vorhanden, speichern sie alle wichtigen Daten? Bewahrt die IT-Organisation Backups räumlich getrennt (in einem externen Rechenzentrum oder aber in der Cloud) und in mehreren Backup-Generationen auf? Verwaltet sie Zugriffsrechte zentral und aktualisiert sie zeitnah? Gibt es klare Regeln zur Nutzung von - gegebenenfalls privater - Hardware wie zum Beispiel von Mobilgeräten?
Die anschließende Definition des Soll-Zustands verdeutlicht, wie der Schutz aufgebaut sein sollte. Dabei gilt es zunächst festzustellen, welche Prozesse das Unternehmen unbedingt aufrechterhalten muss, um seine Existenz nicht zu gefährden. Die anschließende Planung der notwendigen Maßnahmen umfasst die Definition von Zuständigkeiten und Ansprechpartnern innerhalb und - falls man Dienstleister in Anspruch nimmt oder dies plant - außerhalb des Unternehmens. Anhand des Soll-Zustands lässt sich feststellen, an welchen Stellen Handlungsbedarf besteht. Je nach Ereignis wird das Unternehmen mit einem spezifischen Katastrophenszenario reagieren. Entsprechend wichtig für die Festlegung der Prioritäten ist eine Einschätzung der Wahrscheinlichkeit sowie des Schadens, den ein Ereignis verursachen kann. Aus Definitionen wie etwa dem maximal tolerierbaren Zeitfenster für die Nichtverfügbarkeit der Infrastruktur oder dem größten noch akzeptablen Datenverlust zwischen Sicherungsintervallen ergeben sich die Mindestanforderungen an die Schutzlösungen.
Bei der Realisierung neuer oder aktualisierter Services und Lösungen ist nicht nur die technische Seite zu berücksichtigen. Vielmehr ist es unerlässlich, im eigenen Unternehmen entsprechendes Know-how vorzuhalten oder dieses bei Service-Partnern abrufen zu können. Eine klare Definition und Dokumentation der Prozesse zur Wahrung der Business Continuity (ununterbrochener Geschäftsbetrieb) samt der Verantwortlichkeiten schafft Übersicht. Für das Gros der Unternehmen heißt dies heute, auf Leistungen von Service-Providern zurückzugreifen, die über Ressourcen wie etwa spezielle Backup-Rechenzentren und Notfallarbeitsplätze verfügen. Entsprechend relevant ist die Standortfrage. Neben alternativen RZ-Standorten für Anwendungsbetrieb und Datenspeicherung müssen Business-Continuity-Services zum Beispiel auch die Netzwerk-Services für die Anbindung der Systeme nach außen bereitstellen.
Bedeutsam ist es ebenfalls, Notfallpläne nicht der grauen Theorie zu überlassen. Ergo gehören eine regelmäßige Durchsicht und Überprüfung dieser Pläne ebenso ins Pflichtenheft wie die Anpassungen und Erweiterungen der Sicherheitssysteme, die der stetige Infrastrukturwandel erzwingt. Über Testläufe sollte die IT-Organisation zudem regelmäßig die Anwendbarkeit und Wirksamkeit der Maßnahmen überprüfen. Ausbildung und Sensibilisierung der Mitarbeiter über das richtige Verhalten in Schadensfällen zählen zu den maßgeblichen Aufgaben. Dazu gehört, exakt festzulegen, welche Mitarbeiter das Krisen-Management verantworten und wie ihre Funktionen definiert sind. Auch die Informations- und Kommunikationswege einschließlich der Erreichbarkeit selbst beim Ausfall der IT-basierten Telefonanlage müssen klar definiert sein, um keine Verzögerungen oder gar ein Scheitern von Notfallmaßnahmen zu riskieren.
Gleichung mit vielen Unbekannten
Reaktionen auf Ausfälle des technischen Equipments oder sogar von Standorten lassen sich durchgängig planen. Dennoch müssen sich Unternehmen dafür wappnen, sich mit Ereignissen konfrontiert zu sehen, die kein zuvor definiertes Handeln erlauben. In diesem Moment bedarf es einer gehörigen Portion Flexibilität - nicht nur, was die technischen Mittel betrifft, sondern auch in puncto personeller und finanzieller Kapazitäten. Denn manche Notfälle schaffen Fakten, die nicht mit den Abläufen des Business-Continuity-Plans harmonisieren. Und auch dann gilt es, eine Lösung zu finden. Ein hohes Maß an Flexibilität müssen auch die beauftragten Service-Provider vorweisen. Denn Zwischenfälle halten sich weder an Öffnungs- noch an Service-Zeiten. Damit rücken die Dienstleister als Partner in Sachen Notfallplanung in den Fokus, die über die entsprechende Manpower und Erfahrung sowie ihrerseits über die nötige Flexibilität verfügen, um auch auf Nicht-Planbares effizient reagieren zu können - und die bereit sind, über entsprechende SLAs (Service Level Agreements) ihren Teil der Verantwortung zu übernehmen.
Grundlegendes Ziel des Notfall-Managements ist es, die Handlungsfähigkeit und damit auch die Existenz des Unternehmens zu sichern. Darüber hinaus existieren aber auch noch weitere positive Aspekte. So führt eine exakte Beleuchtung der Arbeitsabläufe und eine Beurteilung von deren Gesamtbedeutung unternehmensintern zu klareren Strukturen. Diese können die Basis für eine Optimierung der Wertschöpfungskette bilden. Zudem ist eine exakte Notfallplanung, die Sicherheit gewährleistet, auch für Zulieferer, Partner und Kunden ein wichtiges Argument. Denn diese begeben sich häufig in Abhängigkeit zu einem Unternehmen, sodass ein konsequentes Risiko-Management durchaus als Argument für die Aufnahme einer Geschäftsbeziehung zur Geltung kommt.
Lesen Sie mehr zum Thema
