Auch für IT-Audits ist ein fundiertes BCM teilweise Pflicht. Gerade bei Unternehmen in der Finanzbranche, wie z.B. Versicherungen, werden von der FINMA gewisse Anforderungen an ein Business Continuity Management gestellt. In einem BCM Konzept wird für jeden Ausnahmezustand, Notfall oder Umweltkatastrophe vorgesorgt. Dazu gehört der Business Continuity Plan, die Anleitung für Notfälle und Krisen, die den Mitarbeitern klare Anweisungen für die Geschäftsfortführung im Falle eines im Plan definierten Notfallszenarios gibt.
Jedes der folgenden BCM Szenarien könnte in einen Business Continuity Plan gehören:
- Ausfall von Personal mit Schlüsselfunktionen
- Ausfall technischer Anlagen
- Ausfall von Drittparteien
- Verlust sensibler oder kritischer Daten
- Ausfall von Gebäude, Arbeitsplätzen oder Arbeitsgeräten
- Ausfall der IT – durch Sicherheitsattacken oder Systemfehler
- Stromausfall
- Naturkatastrophen
Gerade an die Gewährleistung des IT-Betriebs im Notfall werden heutzutage hohe Anforderungen gestellt. Seit der Digitalisierung sind Unternehmen mehr oder weniger abhängig von der Funktionstüchtigkeit der IT. Mit einem Anteil von 48% sitzt rund jeder zweite Beschäftigte an einem Computerarbeitsplatz (Quelle: Golem.de, 2018). Der Fortbetrieb der IT und die Datenrettung im Notfall wird im Disaster Recovery Plan (DRP) geregelt, welcher ein fester Bestandteil des BCM Konzepts ist.
Das Ziel des Disaster Recovery Plans ist es, trotz der Umstände das Geschäft fortzuführen, um den Verlust von Ressourcen und Daten möglichst gering zu halten. Um einen Disaster Recovery Plan richtig zu gestalten, gibt es einige wichtige Punkte, die unter keinen Umständen vergessen gehen sollten.
Der strukturierte Disaster Recovery Plan
Für den Fall der Fälle muss im Disaster Recovery Plan eine gut strukturierte Anleitung für die Mitarbeitenden vorhanden sein. Je besser die Anleitung, desto besser reagieren diese im Ernstfall und desto weniger Kosten entstehen durch den Ausfall. Natürlich verläuft nicht immer jedes Szenario nach Plan. Einige Massnahmen werden vielleicht überflüssig, andere Massnahmen sind zusätzlich notwendig. In der Handlungsanleitung soll klar erkennbar sein, wo Massnahmen hinzugefügt oder vorgesehene Massnahmen übersprungen werden könnten. Um Redundanz und Fehlerquoten zu minimieren und die Reaktionsgeschwindigkeit zu optimieren, empfiehlt es sich, ähnliche Szenarien zusammenzufassen. Eine Möglichkeit der Darstellung ist ein übersichtliches Flussdiagramm mit Legende, welches klar und strukturiert die verschiedenen Schritte und Massnahmen aufzeigt.
Ausweicharbeitsplätze einplanen
Für den Fall, dass die Mitarbeiter ihre Arbeitsplätze nicht mehr benutzen können, lohnt es sich, Ausweicharbeitsplätze in die Planung miteinzubeziehen. Die Herausforderung hier liegt bei den unterschiedlichen Anforderungen: Ein Vertriebsmitarbeiter benötigt meist nur einen Laptop mit Office 365 und sein Smartphone, während der Mitarbeiter aus der Administration zusätzlich Zugriff auf interne Verwaltungssysteme und Daten benötigt. Überlegen Sie sich, welche Mitarbeiter im Notfall im Home-Office arbeiten könnten und welche dedizierte Ausweicharbeitsplätze benötigen.
Ein dedizierter Ausweicharbeitsplatz muss nicht zwingend physisch vorhanden sein – mittels Cloud-Lösung lassen sich skalierte Ausweicharbeitsplätze per Remotedesktopverbindung zur Verfügung stellen. Ihre Mitarbeiter können dann von jedem beliebigen Ort arbeiten und Sie bezahlen nur die digitalen Arbeitsplätze, die dann effektiv benötigt werden. Dies erspart Ihnen Kosten und Unterhalt für Räumlichkeiten, die für physische Arbeitsplätze zur Verfügung stehen müssten.
Datenrettung mit Disaster Recovery Backup
Ein fester Bestandteil des Disaster Recovery Plans ist das Disaster Recovery Backup. Dieses spezielle Backup ermöglicht es, im Notfall die Datenrettung innert wenigen Stunden sicherzustellen und den IT-Betrieb wieder aufzunehmen. Durch eine permanente Spiegelung der Cloud-/ oder On-Premises-Infrastruktur an einem georedundanten Standort kann bei einem IT Ausfall die komplette IT Infrastruktur auf einen früheren, funktionierenden Zustand zurückgesetzt werden (Disaster Recovery). Bei dieser Cloud-Dienstleistung kann aus verschiedenen RTO-Standards (Recovery Time Objective) ausgewählt werden. Der RTO Wert gibt an, wie lange ein System ausfallen darf. Bei geschäftskritischen Systemen beträgt die RTO im Normalfall zwischen 2 und 8 Stunden, wobei bei nicht-geschäftskritischen Systemen die RTO bis zu 48 Stunden betragen kann. Die RTO kann durch den korrekten Aufbau einer IT-Infrastruktur massgebend reduziert werden. Je einfacher die Infrastruktur gehalten wird, desto einfacher und schneller kann im Notfall gehandelt werden. Wenn Sie Ihre IT-Infrastruktur komplett in der IaaS Cloud betreiben und zudem Cloud-Dienste wie «Office 365» nutzen, können Sie Ihren Mitarbeitern die Arbeitsplätze am schnellsten wieder zur Verfügung stellen. Die RTO-Zeiten bei Disaster Recovery Backups für IaaS Cloud-Dienste sind ausserdem garantiert, sodass man im Ernstfall mit einer maximalen Ausfallzeit rechnen kann. Es ist noch zu empfehlen, die Zahl der IT-Ansprechpartner für den Notfall auf das Nötigste zu reduzieren, bzw. falls möglich nur einen Ansprechpartner zu haben. Wir bieten neben dem Full IT Outsourcing verschiedene Disaster Recovery Backup Lösungen, sowohl in der Entec Cloud als auch in der Microsoft Azure Cloud. Welche Cloud für Ihre Bedürfnisse und Anforderungen am besten passt, evaluieren wir gerne für Sie.
Was gehört nicht in einen Disaster Recovery Plan?
Nicht alle Angaben müssen in einem Disaster Recovery-Plan enthalten sein. Der DRP soll so schlank wie möglich gehalten werden, um Effizienz im Ernstfall zu gewährleisten. Folgende Angaben sollten nicht im DRP stehen, können und müssen teilweise jedoch separat zur Verfügung stehen:
- Kontaktlisten: Da Kontaktlisten stetigen Änderungen unterliegen, sollten diese nicht direkt im Disaster Recovery Plan vermerkt sein. Eine separate Kontaktliste ist einfacher aktuell zu halten.
- Umfassende Arbeitsschrittbeschreibungen: Weniger ist mehr. Wenn Sie einen BCM-Plan entwickeln, müssen Sie davon ausgehen, dass die lesende Person das Geschäft kennt. Denn – für detaillierte Arbeitsschrittbeschreibungen hat man im Notfall keine Zeit. Konzentrieren Sie sich auf das Wesentliche und erfassen Sie Arbeitsschritte nur, wenn sie nicht zum Alltag der lesenden Person gehören, dann aber separat in einer Anleitung.
- Beschreibung von Programmen, Servern, etc.: Gleich wie bei den umfassenden Arbeitsschrittbeschreibungen ist eine Beschreibung eines Computerprogramms oder einer Maschine nicht relevant für jemand, der sich mit dem Geschäft auskennt. Stellen Sie sich vor, Sie müssen dringend eine spezifische E-Mail versenden, müssen sich aber zuerst durch eine Gebrauchsanleitung von Outlook durcharbeiten. Daher sollten Gebrauchsanweisungen o.ä. separat zur Verfügung gestellt werden.
- Überwachung und Kontrolle des Plans: Wie ein Plan überwacht wird und kontrolliert wird, ob alle Massnahmen des Plans wie vorgesehen umgesetzt wurden, sollte zwar festgehalten werden – jedoch nicht im Plan selber. Führen Sie solche Dokumente separat, da diese Informationen nicht jeder Person zur Verfügung stehen müssen.
Business Continuity Management Konzept und Disaster Recovery Plan: packen Sies an!
Gerne unterstützen wir Sie bei der Erstellung des BCM Konzepts und des Disaster Recovery Plans für Ihr Unternehmen oder prüfen die Tauglichkeit eines bestehenden Plans für Ihr nächstes IT Audit. Wir orientieren unsere Prozesse nach dem offiziellen ITIL-Verfahren, um auch unseren Kunden eine sichere und strukturierte Prozessabwicklung im Change Management zu ermöglichen.
