Business Continuity und Disaster-Recovery (BC/DR)

Warum ist BC/DR wichtig?

Die Rolle des BC/DR besteht darin, die Auswirkungen von Ausfällen und Unterbrechungen auf den Geschäftsbetrieb zu minimieren. BC/DR-Praktiken ermöglichen es einer Organisation, nach dem Auftreten von Problemen wieder auf die Beine zu kommen, das Risiko von Datenverlusten und Rufschädigung zu verringern und den Betrieb zu verbessern und gleichzeitig die Wahrscheinlichkeit von Notfällen zu verringern.

Einige Unternehmen haben vielleicht einen Vorsprung beim BC/DR. DR ist eine etablierte Funktion in vielen IT-Abteilungen in Bezug auf einzelne Systeme. BC/DR ist jedoch weiter gefasst als IT und umfasst eine Reihe von Überlegungen - einschließlich Krisenmanagement, Mitarbeitersicherheit und alternative Arbeitsorte.

Ein ganzheitlicher BC/DR-Ansatz erfordert eine gründliche Planung und Vorbereitung. BC/DR-Fachleute können einer Organisation dabei helfen, eine Strategie zur Erreichung von Widerstandsfähigkeit (Resilienz) zu entwickeln. Die Entwicklung einer solchen Strategie ist ein komplexer Prozess, der die Durchführung einer Business-Impact-Analyse (BIA) und einer Risikoanalyse sowie die Entwicklung von BC/DR-Plänen, Tests, Übungen und Schulungen umfasst.

Planungsdokumente, der Eckpfeiler einer wirksamen BC/DR-Strategie, helfen auch beim Ressourcenmanagement, indem sie Informationen wie Mitarbeiterkontaktlisten, Notfallkontaktlisten, Lieferantenlisten, Anweisungen zur Durchführung von Tests, Ausrüstungslisten und technische Diagramme von Systemen und Netzwerken bereitstellen.

Der BC/DR-Experte und Berater Paul Kirvan nannte mehrere andere Gründe für die Bedeutung der BC/DR-Planung:

• Die Ergebnisse der BIA zeigen Möglichkeiten zur Prozessverbesserung und Optionen auf, wie die Organisation die Technologie besser nutzen kann.
• Die Informationen im Plan dienen als alternative Dokumentationsquelle.
• Der Plan bietet eine einzige Quelle für wichtige Kontaktinformationen.
• Der Plan dient als Referenzdokument zur Verwendung bei der Produktplanung und -gestaltung, der Gestaltung und Bereitstellung von Dienstleistungen und anderen Aktivitäten.

Eine Organisation sollte sich um eine kontinuierliche Verbesserung bemühen, die durch den BC/DR-Prozess vorangetrieben wird.

Was ist Business Continuity und Disaster Recovery?

BC und DR sind eng miteinander verwandte Praktiken, die die Fähigkeit einer Organisation unterstützen, nach einem widrigen Ereignis einsatzfähig zu bleiben. Ziel des BC/DR ist es, das Risiko zu begrenzen und eine Organisation nach einer unerwarteten Unterbrechung so nah wie möglich am Normalbetrieb zu halten. Diese Praktiken ermöglichen es einer Organisation, nach dem Auftreten von Problemen wieder auf die Beine zu kommen, das Risiko von Datenverlusten und Reputationsschäden zu verringern und den Betrieb zu verbessern und gleichzeitig die Wahrscheinlichkeit von Notfällen zu verringern.

Der Trend, Business Continuity und Disaster Recovery in einem einzigen Begriff, BC/DR, zusammenzufassen, ist das Ergebnis einer wachsenden Erkenntnis, dass Führungskräfte aus Wirtschaft und Technik bei der Planung von Reaktionen auf Vorfälle eng zusammenarbeiten müssen, anstatt isoliert Schemata zu entwickeln.

Was ist der Unterschied zwischen Business Continuity und Disaster Recovery?

BC ist proaktiver und bezieht sich im Allgemeinen auf die Prozesse und Verfahren, die eine Organisation implementieren muss, um sicherzustellen, dass geschäftskritische Funktionen während und nach einer Katastrophe weitergeführt werden können. Dieser Bereich umfasst eine umfassendere Planung, die auf langfristige Herausforderungen für den Erfolg einer Organisation ausgerichtet ist.

DR ist reaktiver und umfasst spezifische Schritte, die eine Organisation ergreifen muss, um nach einem Zwischenfall den Betrieb wieder aufzunehmen. Wiederherstellungsmaßnahmen nach einer Katastrophe finden nach dem Vorfall statt, und die Reaktionszeiten können von Sekunden bis zu Tagen reichen.

BC konzentriert sich typischerweise auf die Organisation, während sich DR auf die technologische Infrastruktur konzentriert. Die Notfallwiederherstellung ist ein Teil der Business-Continuity-Planung und konzentriert sich auf den einfachen Zugriff auf Daten nach einer Katastrophe. BC umfasst dieses Element, berücksichtigt aber auch das Risikomanagement und andere Planungen, die eine Organisation benötigt, um während eines Ereignisses „überleben“ zu können.

Es gibt Ähnlichkeiten zwischen Business Continuity und Disaster Recovery. Beide berücksichtigen verschiedene ungeplante Ereignisse, von Cyberattacken über menschliches Versagen bis hin zu einer Naturkatastrophe. Sie haben auch das Ziel, den Geschäftsbetrieb so nah wie möglich an den Normalbetrieb heranzuführen, vor allem bei geschäftskritischen Anwendungen. In vielen Fällen ist dasselbe Team sowohl mit BC als auch mit DR befasst.

Was ist der Unterschied zwischen Business Resilience und Business Continuity?

Business Resilience (Resilienz) tauchen seit Anfang der 2000er Jahre im BC/DR-Vokabular auf. Resilienz wurde bisweilen austauschbar mit Business Continuity verwendet, aber die Begriffe haben unterschiedliche Bedeutungsnuancen.

Kirvan sagt, dass ein widerstandsfähiges Unternehmen nach einem Ereignis, das es stillgelegt hat, in seinen vorherigen Betriebszustand zurückkehren kann. Business Continuity Management, technologisches Disaster Recovery und Reaktion auf Zwischenfälle gehören zu den Disziplinen, die die Widerstandsfähigkeit eines Unternehmens stärken.

Laut Jeff Ton, Senior Vice President of Product Development and Strategic Alliances bei InterVision Systems, einem IT-Dienstleister mit regionalen Hauptsitzen in Santa Clara, Kalifornien, und Chesterfield, USA, konzentriert sich Resilienz darauf, ein Unternehmen so aufzubauen, dass es gegenüber potenziellen Störungen verschiedener Art unempfindlich ist. Die Geschäftskontinuität hingegen umfasst die Wiederaufnahme des Betriebs nach einem Ausfall, sobald dieser eingetreten ist, stellte Ton fest.

Resilienz „bedeutet mehr, in der Lage zu sein, Problemen zu widerstehen und ihnen standzuhalten, und Geschäftskontinuität bedeutet, in der Lage zu sein, den Betrieb fortzusetzen, nachdem etwas Ihr Geschäft gestört hat“, betont Ton.

In Anlehnung an ein Gummiband sagt Ton, dass ein Ereignis eine Organisation überfordern könne, aber wenn die Resilienz erreicht ist, widersteht sie und nimmt ihre Form wieder an. Die Geschäftskontinuität setzt ein, wenn das Gummiband reißt und die Organisation Schritte unternimmt, um den Bruch zu beheben, erklärt er hinzu.

Bertrand sagte, Business Continuity dreht sich um die Fähigkeit, Systeme ausfallen zu lassen und auf einem hohen Verfügbarkeitsniveau zu halten, während Resilienz die Fähigkeit ist, Störungen zu widerstehen und Probleme gar nicht erst entstehen zu lassen.

Die Rolle der Risikoanalyse, der BIA und der BCDR-Strategien

Risikoanalyse und Business Impact Analysis (BIA) sind entscheidende Instrumente für Organisationen, die vor der Frage stehen, wie eine BC/DR-Strategie aufgebaut werden kann.

Die Bestimmung interner und externer Risiken ist für den BC/DR-Prozess wichtig. Die Risikoanalyse identifiziert Risiken und die Wahrscheinlichkeit ihres Eintretens. Diese Risikobewertung arbeitet mit der BIA zusammen, die dazu beiträgt, die potenziellen Auswirkungen von Störungen zu quantifizieren. Die Finanzanalyse ist ein Aspekt der BIA, aber bei dieser Übung werden auch die nicht-finanziellen Kosten ungeplanter Unterbrechungen berücksichtigt. Darüber hinaus identifiziert die BIA die unternehmenskritischen Funktionen, die eine Organisation nach einem Zwischenfall aufrechterhalten oder wiederherstellen muss, sowie die zur Unterstützung dieser Funktionen erforderlichen Ressourcen.

Angesichts der Intensität des Prozesses ist es wichtig, bei der Durchführung einer BIA die Unterstützung des Managements zu gewinnen. Die BIA bietet einer Organisation die Möglichkeit, etwas über sich selbst zu erfahren und zeigt Verbesserungsmöglichkeiten auf.

Eine Organisation verwendet Risikoanalyse und BIA-Daten, um Strategien für die Geschäftskontinuität (BC) und die Notfallwiederherstellung (DR) sowie die entsprechenden Reaktionen zu bestimmen. Jede Strategie wird in eine Reihe von Maßnahmen umgesetzt, die zur operativen Wiederherstellung beitragen, wie zum Beispiel Datenreplikation, Failover auf einen Cloud-basierten Dienst, Aktivierung alternativer Netzwerkrouten und Remote-Arbeit.

Warum sollten Sie BC/DR verwenden, und wann sollte es aktiviert werden?

Zu den Beweggründen für eine Organisation, die eine BC/DR-Strategie entwickelt, könnten der Schutz des Lebens und der Sicherheit der Mitarbeiter, die Gewährleistung der Verfügbarkeit von Dienstleistungen für Kunden und der Schutz der Einnahmequellen gehören. Wettbewerbspositionierung und Reputationsmanagement sind Faktoren, die oft anderen Motivatoren zugrunde liegen: Ein Unternehmen, das als nicht in der Lage wahrgenommen wird, Mitarbeiter zu schützen oder Dienstleistungen zu erbringen, wird Schwierigkeiten haben, Mitarbeiter und Kunden zu gewinnen.

Auch das regulatorische und Compliance-Umfeld beeinflusst Organisationen in ihrem Streben nach BC/DR. Die Sicherheitsregel des Health Insurance Portability and Accessibility Act (Gesetz über die Übertragbarkeit und Zugänglichkeit von Krankenversicherungen) verlangt beispielsweise, dass versicherte Einrichtungen wie Krankenhäuser einen Notfallmodus-Betriebsplan bereitstellen, der „Verfahren zur Ermöglichung der Fortführung kritischer Geschäftsprozesse zum Schutz der Sicherheit elektronisch geschützter Gesundheitsinformatione“" enthält.

Die Financial Industry Regulatory Authority (FINRA), eine Organisation, die Broker-Dealer beaufsichtigt, verlangt von Firmen, „schriftliche Pläne zur Aufrechterhaltung des Geschäftsbetriebs zu erstellen und aufrechtzuerhalten“, die sich auf Notfälle oder Unterbrechungen des Geschäftsbetriebs beziehen. Die FINRA legt die erforderlichen Business-Continuity-Maßnahmen in ihrer Notfallbereitschaftsregel fest.

US-Bundesbehörden sind unterdessen auch verpflichtet, BC/DR-Strategien zu entwickeln, die in der Regierungsterminologie als Betriebskontinuitätspläne bezeichnet werden. Ziel ist es, „sicherzustellen, dass in Notfällen - wie bei Terroranschlägen, Unwettern oder Notfällen auf Gebäudeebene - wesentliche Regierungsdienste verfügbar sind“, so das Government Accountability Office.

Kunden könnten auch Druck auf Organisationen ausüben, damit diese angemessene BC/DR-Pläne entwickeln. Eine Bewertung der BC/DR-Position eines Unternehmens könnte Teil des Überprüfungsprozesses eines potentiellen Kunden sein. Bundesaufsichtsbehörden, wie zum Beispiel das Office of the Comptroller of the Currency, ermutigen die Banken, die Belastbarkeit als Teil des Vendor Due Diligence-Prozesses zu berücksichtigen. Genauer gesagt, OCC Bulletin 2013-29, Beziehungen zu Drittparteien: Risk Management Guidance, heißt es, dass Banken „feststellen sollten, ob die Drittpartei Notfallwiederherstellungs- und Business-Continuity-Pläne unterhält, die den Zeitrahmen für die Wiederaufnahme der Aktivitäten und die Wiederherstellung von Daten festlegen“.

Das „Warum“ des BC/DR hat potenziell viele Antworten, und das „Wann“ von Business Continuity und Disaster Recovery ist ähnlich nuanciert. Organisationen müssen mehrere Faktoren abwägen, bevor sie eine Katastrophe erklären und den BC/DR-Plan auslösen. Dazu gehören vor allem die erwartete Dauer des Ausfalls, die Auswirkungen des Ausfalls auf die Organisation, die finanziellen Kosten für die Aktivierung des BC/DR-Plans und das Potenzial des BC/DR-Plans, Störungen zu verursachen. Paradoxerweise könnte der Prozess des Failover vom Hauptgeschäftssitz einer Organisation zu einer Backup-Einrichtung - und dann nach einem Ereignis wieder zurück - den Betrieb erheblich unterbrechen, bemerkt Paul Thomann, Regionaldirektor, Cloud- und Rechenzentrumstransformation bei Insight Enterprises, einem IT-Dienstleister mit Sitz in Tempe, Ariz.

Dementsprechend muss die Führung einer Organisation sorgfältig abwägen, wann sie den BC/DR-Plan in Kraft setzt. Die Migration zu einer Backup-Einrichtung, so Thomann, „hat Auswirkungen auf das Budget“. Eine Organisation könnte zum Beispiel einen sechsstündigen Ausfall als nicht bedeutend genug erachten, um den Katastropheneinsatz zu tätigen.

Diese Entscheidung, insbesondere in größeren Unternehmen, wird in der Regel von einem Ausschuss und nicht von einer einzelnen Führungskraft getroffen, sagte Thomann. Der Ausschuss könne aus dem CEO, dem CFO, dem CIO und anderen Führungskräften der C-Managementebene bestehen, fügt er hinzu.

Wie man einen BC/DR-Plan aufbaut

Organisationen können einen BC/DR-Plan in BC- und DR-Komponenten unterteilen.

Laut BC/DR-Berater Kirvan enthält ein Business-Continuity-Plan (BCP) insbesondere Kontaktinformationen, Änderungsmanagementverfahren, Richtlinien zur Verwendung des Plans, Schritt-für-Schritt-Verfahren und einen Zeitplan für Überprüfung, Test und Aktualisierung. Ein Disaster-Recovery-Plan (DRP) enthält eine Zusammenfassung der wichtigsten Aktionsschritte und Kontaktinformationen, die festgelegten Zuständigkeiten des DR-Teams, Richtlinien für die Verwendung des Plans, die DR-Richtlinienerklärung, die Ziele des Plans, die Reaktions- und Wiederherstellungsschritte bei Zwischenfällen, Authentifizierungswerkzeuge, geographische Risiken und die Planhistorie. Der DRP sollte auch die Personalbesetzung berücksichtigen und sicherstellen, dass Personal, das in der Lage ist, die verschiedenen Schritte eines DR-Plans auszuführen, immer verfügbar ist, um kritische Wiederherstellungsaufgaben zu übernehmen.

Gute BC- und DR-Pläne sind sich der unterschiedlichen Risiken für das Unternehmen bewusst; sie bieten klar definierte und umsetzbare Schritte für Widerstandsfähigkeit und Wiederherstellung; sie schützen die Mitarbeiter, Einrichtungen und die Marke des Unternehmens; sie enthalten einen Kommunikationsplan und sind umfassend in der Detaillierung der Maßnahmen von Anfang bis Ende.

Eine BC/DR-Richtlinie ist ein wichtiger erster Schritt. Die Richtlinie bildet die Grundlage für den Prozess und deckt in der Regel den Umfang des Business-Continuity-Management-Systems, die dafür verantwortlichen Mitarbeiter und die durchgeführten Aktivitäten wie Planentwicklung und BIA ab. Eine Richtlinie kann auch einen gemeinsamen Satz von Metriken festlegen, wie zum Beispiel Leistungskennzahlen und Hauptrisikoindikatoren. Der Aspekt der Richtlinie wird oft übersehen, aber er ist ein wichtiger Punkt bei der Prüfung der Geschäftskontinuität.

Die Entwicklung des BCP und DRP beginnt in der Regel damit, dass die Mitglieder des BC/DR-Teams zusammenkommen und eine Risikoanalyse und BIA durchführen. Die Organisation identifiziert die kritischsten Aspekte des Geschäfts und legt fest, wie schnell und in welchem Umfang sie nach einem Vorfall durchgeführt werden müssen. Nachdem die Organisation die Schritt-für-Schritt-Verfahren festgelegt hat, sollten die Dokumente konsequent getestet, überprüft und aktualisiert werden.

Obwohl an bestimmten Aspekten des Verfahrens ausgewählte Mitglieder der Organisation beteiligt sind, ist es wichtig, dass jeder den Plan versteht und irgendwann einbezogen wird. Der Plan sollte auch Dritte und die von ihnen erbrachten Dienstleistungen einbeziehen. Eine Bank könnte sich zum Beispiel auf Daten verlassen, die eine Drittfirma zur Verfügung stellt, daher sollte die Beziehung im BC/DR-Plan dokumentiert werden. Solche externen Unternehmen müssen auf dem Laufenden gehalten werden, damit sie verstehen, wie der Plan funktionieren wird.

Weitere Schritte in einer BC/DR-Planungscheckliste sind die Risikominderung und ein Notfall-Kommunikationsplan. Letzterer beschreibt im Einzelnen die Methode(n), die eine Organisation zur Verbreitung von Informationen über einen Notfall an die Mitarbeiter anwenden wird.

Zusammenfassend lässt sich sagen, dass der Prozess der Erstellung eines BCDR-Plans in der Regel die folgenden Aktivitäten umfasst:

• Risikoermittlung
• Überprüfung der Infrastruktur
• Business Impact Analyse
• Planentwurf
• Planumsetzung
• Testen

BC/DR-Test

Das Testen eines Geschäftskontinuitäts- und Notfallwiederherstellungsplans bietet die Gewissheit, dass die eingeführten Wiederherstellungsverfahren erwartungsgemäß funktionieren, um den Geschäftsbetrieb aufrechtzuerhalten. Die Testphase könnte auch Bereiche für Verbesserungen aufzeigen, die die Organisation in Angriff nehmen und in die nächste Version des Plans aufnehmen kann.

Die Tests können von einfach bis komplex reichen. Ein diskussionsbasierter Simulationstest bringt die Teilnehmer zusammen, um die Planschritte durchzugehen. Diese Art von Test hilft Mitarbeitern mit BC/DR-Rollen, sich mit dem Antwortverfahren besser vertraut zu machen, während die Administratoren die Wirksamkeit des BC/DR-Plans beurteilen können.

Am anderen Ende des Testspektrums werden die Teilnehmer in einer umfassenden Testsimulation aufgefordert, ihre BC/DR-Funktionen wahrzunehmen, anstatt sie in einer zu diskutieren. Diese Übungen können den Einsatz von Backup-Systemen und Wiederherstellungsstandorten enthalten.

Das Testen erfordert jedoch Zeit, Finanzierung, Unterstützung durch das Management und Beteiligung der Mitarbeiter. Der Testprozess umfasst auch die Planung von Vortests, die Schulung der Testteilnehmer und die Berichterstattung über den Test.

Die Häufigkeit der Tests variiert je nach Organisation. Größere Unternehmen sollten mindestens vierteljährlich Tests durchführen, während kleinere Organisationen weniger häufig testen können, sagte Thomann von Insight Enterprises. Ein vollständiger BC/DR-Test, der zeit- und ressourcenintensiver ist, kann jährlich durchgeführt werden, fügt er hinzu.

BC/DR-Kostenmanagement

Veränderungen in den potentiellen Bedrohungen oder neue Geschäftsvorhaben können eine Organisation dazu zwingen, ihre BC/DR-Abdeckung zu erweitern. Diese Änderung des Geltungsbereichs könnte Ausgaben für Beratungsdienste oder Backup- und Disaster-Recovery-Technologien erforderlich machen.

Die Manager des BC/DR müssen sich möglicherweise um neue Mittel für den erweiterten BC/DR-Plan und für Technologien zur Wiederherstellung der Widerstandsfähigkeit bemühen, wenn das Geld im aktuellen Haushalt nicht verfügbar ist.

Ein Investitionsvorschlag sollte auf einem Business Case aufbauen, der die positiven Ergebnisse hervorhebt, die die neuen BC/DR-Fähigkeiten für die Organisation bringen werden. Der Finanzierungsvorschlag sollte auch bestimmen, ob sich der überarbeitete BC/DR-Plan auf andere Bereiche, wie beispielsweise die Cybersicherheit, auswirken wird. Weitere Schritte zur Erlangung der Finanzierung sind laut BC/DR-Berater Kirvan die Überprüfung von Produkten und Dienstleistungen, die die erweiterten Anforderungen unterstützen, und die Vorbereitung eines Beschaffungsantrags mit ausreichender Dokumentation.

Ton sagte, dass die Organisationen ein Gleichgewicht zwischen der Höhe der Investitionen in BC/DR-Ansätze und den erwarteten finanziellen Auswirkungen eines gegebenen Katastrophenszenarios finden sollten. „Sie wollen keine Lösung finden, die 200 Mal mehr kostet, als die Katastrophe hätte“, sagt er.

Die Aufforderung an Führungskräfte aus verschiedenen Unternehmensbereichen, die zu erwartenden Kosten für verschiedene Arten von Ereignissen abzuschätzen, kann Organisationen helfen, eine Basislinie zu erstellen, von der aus sie fundierte BC/DR-Investitionsentscheidungen treffen können.

Standards, Vorlagen, Software und Services für die BC/DR-Planung

Organisationen, die sich auf einen Planungsprozess für Geschäftskontinuität und Notfallwiederherstellung einlassen, können auf zahlreiche Ressourcen zurückgreifen. Dazu gehören Standards, Werkzeuge, die von Vorlagen bis zu Softwareprodukten reichen, und Beratungsdienste.

„Um einen Plan zu erstellen, gibt es viele Vorlagen, viele bewährte Verfahren und viele Berater“, erklärt Bertrand von ESG. „Es gibt keinen Grund, keinen starken DR-Plan zu haben.“

BC/DR-Normen

Staatliche und privatwirtschaftliche Normungsgremien, darunter das National Institute of Standards and Technology (NIST) und die International Organization for Standardization (ISO), haben BC/DR-Richtlinien veröffentlicht. Die Normen, die die Themen vom Krisenmanagement bis zur Risikobewertung abdecken, bieten einen Rahmen, auf dem Unternehmen ihre BC/DR-Pläne aufbauen können.

Im Folgenden finden Sie eine Auswahl von Standards:

• ISO 22301:2019: Sicherheit und Resilienz – Business-Continuity-Management-Systeme – Anforderungen
• ISO 22313:2012: Gesellschaftliche Sicherheit – Business-Continuity-Management-Systeme – Leitfaden
• ISO 22320:2018: Sicherheit und Belastbarkeit – Notfallmanagement – Richtlinien für das Vorfallmanagement
• ISO/IEC 27031:2011: Informationstechnologie – Sicherheitstechniken – Richtlinien für die Bereitschaft der Informations- und Kommunikationstechnologie für die Geschäftskontinuität (wird als ISO/IEC WD 27031 neu entwickelt)
• ISO 31000:2018, Risikomanagement – Leitlinien
• ISO-Leitfaden 73:2009: Risikomanagement – Vokabular
• IEC 31010:2019: Risikomanagement – Techniken der Risikobewertung
• ISO/TS 22317:2015: Gesellschaftliche Sicherheit – Business-Continuity-Management-Systeme -- Leitfaden für Business Impact Analysis (BIA) (wird ersetzt durch ISO/AWI TS 22317)
• FINRA-Regel 4370: Geschäftskontinuitätspläne und Notfallkontaktinformationen
• National Fire Protection Association 1600: Standard für Kontinuität, Notfall- und Krisenmanagement (neuer konsolidierter Entwurf in Vorbereitung)
• NIST-Sonderveröffentlichung 800-34 Rev. 1: Leitfaden zur Notfallplanung für föderale Informationssysteme
• American National Standards Institute/ASIS ORM.1.201 Sicherheit und Resilienz in Organisationen und ihren Versorgungsketten

Vorlagen für Business-Continuity- und Disaster-Recovery-Pläne

Vorlagen bieten vordefinierte Formulare, die Organisationen ausfüllen können, um BCDR-Planungsdokumente zu erstellen. Einige Vorlagen decken den BCDR-Plan als Ganzes ab oder behandeln bestimmte Aspekte der BCDR-Planung.

Dieser allgemeine BCP umfasst zum Beispiel Vorkehrungen für Naturkatastrophen, Brände, Ausfälle von Netzwerkdienstleistern und Überschwemmungen oder andere Wasserschäden. Eine Planungsvorlage kann auch KMUshelfen, was den Prozess je nach Größe und Komplexität der Organisation vereinfachen könnte.

Ein BC/DR-Plan könnte ein Service-Level-Agreement (SLA) erfordern, das Standards für die Qualität des BC/DR-Wiederherstellungsprogramms einer Organisation festlegt. Sie können auch dazu beitragen, dass Dienstleistungen, die über Dritte, wie beispielsweise DR-Hot-Sites, bezogen werden, auf einem akzeptablen Niveau durchgeführt werden. Diese Vorlage befasst sich mit SLAs für BC/DR-Programme.

Wie bereits erwähnt, kann die Durchführung einer BIA Organisationen bei der Planung der Geschäftskontinuität helfen. Diese BIA-Berichtsvorlage bietet einen Mechanismus zur Dokumentation des übergeordneten Prozesses, der Teilprozesse und der finanziellen und betrieblichen Auswirkungen im Falle einer Unterbrechung.

Organisationen können auch von der hier verlinkten Planung von BC/DR-Aktivitäten für die laufende Pflege und Wartung der Business-Continuity-Strategie profitieren. Die Aktivitäten reichen von der Planung einer BIA bis hin zur Überprüfung eines Wiederherstellungsplans für eine Technologie-Katastrophe.

BC/DR-Software

Spezialisierte BC/DR-Software bietet ein weiteres Werkzeug für Organisationen, die bereit sind, einen Plan zu erstellen. BC/DR-Produkte, manchmal auch als Business-Continuity-Software oder Business-Continuity-Managementsoftware bezeichnet, zielen darauf ab, Organisationen bei der Erstellung von Business-Continuity- und Notfallwiederherstellungsplänen zu unterstützen. Sie decken in der Regel eine Reihe von Planungsaktivitäten ab, wie zum Beispiel BIA und Risikobewertung, und bieten Fähigkeiten zur Reaktion auf Vorfälle.

Zu den Anbietern auf dem Markt gehören Assurance Software, Avalution Consulting, Continuity Logic, Dell Technologies (RSA Security), eBRP-Lösungen, Fusion Risk Management und SAI Global.

BC/DR-Planungsservices

Eine andere Möglichkeit besteht darin, den BC/DR-Bedarf der Organisation an eine Drittfirma auszulagern, die Risikoanalysen, Planentwicklung und -pflege sowie Schulungen anbieten kann. Es obliegt dem Unternehmen, seine Bedürfnisse zu analysieren, bevor es eine BC/DR-Firma auswählt, und dabei Informationen darüber zu sammeln, wie viel es investieren will, welche Dienstleistungen es vom Verkäufer erwartet, welche Risiken ein Outsourcing-Vertrag birgt und wie viel es auszugeben gedenkt.

Zu den potenziellen Quellen für Planungsunterstützung gehören Buchhaltungsfirmen, die BIAs als Teil des Business-Continuity-Planungsprozesses durchführen können. Buchhaltungsfirmen sollten in der Regel in der Lage sein, ihren Kunden bei der Bestimmung der Kosten von Arbeitsausfällen zu helfen, aber Käufer sollten idealerweise eine Firma mit Erfahrung in Business Continuity oder IT-Ressourcenplanung wählen, so der Autor und ehemalige CIO Brien Posey. Beratungsfirmen können auch bei der BC/DR-Planung helfen, fügt Posey hinzu.

Managed Service Provider (MSPs) fungieren oft als virtuelle CIOs für ihre SMB-Kunden. In dieser Rolle können MSPs bei der Planung helfen. Da ihr Geschäft darin besteht, die IT-Assets eines Kunden zu verwalten, können sie einen Plan für den Umgang mit Technologieausfällen entwickeln.

Unterstützende Technologien und Strategien

Die technologischen Optionen für die Ausführung des DR-Teils eines BC/DR-Plans haben sich in den letzten Jahren durch das Aufkommen von Cloud Computing erweitert. Traditionell bauten oder vermieteten Organisationen eine externe Einrichtung, um ihre Notfallwiederherstellungsanforderungen zu erfüllen. Solche Disaster-Recovery-Standorte erfordern eine Duplizierung der internen Produktionssysteme, so dass sie sich für viele KMUs als nicht finanzierbar erweisen könnten. Cloud-basierte Angebote wie Disaster Recovery as a Service (DRaaS) haben DR jedoch für kleinere Organisationen leichter zugänglich gemacht.

Andere Angebote zur Ausfallsicherheit umfassen Notfallbenachrichtigungssysteme, Cybersicherheitssysteme und Systeme zur Reaktion auf Vorfälle, die in Business-Continuity-Management-Produkte integriert werden könnten. Organisationen könnten auch Anbieter von Work Area Recovery nutzen, die alternative Arbeitsorte für Mitarbeiter anbieten.

BC/DR-Management

Das Team, das einen BC/DR-Plan aufbaut, verwaltet und im Falle einer Katastrophe ausführt, sollte funktionsübergreifend sein und sich auf mehrere Interessengruppen und Fachbereiche in der gesamten Organisation stützen.

Die Führung des Teams variiert je nach Organisation etwas. In einem großen Unternehmen zum Beispiel führt der Risikomanagementbeauftragte oft den Vorsitz im BC/DR-Team mit einem Vertreter der IT-Abteilung als stellvertretendem Vorsitzenden, sagt Ton. Kleinere Organisationen, die keine Risikomanagementabteilung haben, könnten den CFO mit der Leitung des Teams beauftragen, stellt Ton fest. Und in einigen Fällen könnte der Leiter der IT-Abteilung das BC/DR-Team leiten.

Andere Mitglieder des Teams setzen sich in der Regel aus Vertretern der wichtigsten Geschäftsfunktionen der Organisation zusammen: Finanz- und Rechnungswesen, Einrichtungen, Rechtsabteilung - einschließlich interner und externer Berater -, Marketing und Öffentlichkeitsarbeit, zum Beispiel.

Die Aufgabe, mehrere Interessengruppen zusammenzubringen, um einen BC/DR-Plan zu entwickeln - und die erforderlichen Wirkungs- und Risikoanalysen durchzuführen - kann sich als Herausforderung erweisen. Projektmanagement wird so zu einem wichtigen Aspekt. Organisationen sollten darüber nachdenken, einen Projektmanager zu ernennen, der den Prozess der Erstellung eines BC/DR-Plans begleitet, betont Ton.

Das BC/DR-Team sollte auch die Aufgabe des laufenden Business-Continuity-Managements übernehmen und sicherstellen, dass die Pläne auf dem neuesten Stand sind. Geschäftsinitiativen und Rechenzentrumstechnologien ändern sich häufig, so dass die BC/DR-Pläne regelmäßig gewartet werden müssen, um auf dem neuesten Stand zu bleiben. In einem ersten Schritt sollte eine Organisation beurteilen, ob der aktuelle Plan aktualisiert werden kann oder ob ein völlig neuer Plan in Ordnung ist, so George Crump, Präsident von Storage Switzerland, einer IT-Analystenfirma. Organisationen sollten BC/DR-Tests durchführen, um festzustellen, inwieweit ein Plan überholt werden muss.

Zusätzlich zu den Tests könnte ein BCDR-Team auch eine Prüfung (Audit) des Business-Continuity-Plans in Betracht ziehen, bei der die Wirksamkeit eines Plans beurteilt wird. Die Prüfung sollte die Risiken, die den Erfolg des Plans gefährden könnten, im Einzelnen aufzeigen und die derzeit vorhandenen Kontrollen testen, um festzustellen, ob diese Risiken für die Organisation akzeptabel sind. Eine Prüfung der allgemeinen IT-Kontrollen kann laut BC/DR-Berater Kirvan auch dazu verwendet werden, Risiken für die Infrastruktur zu bewerten und verbesserungswürdige Bereiche zu ermitteln.

Die verschiedenen Rollen und Verantwortlichkeiten der BC/DR-Teammitglieder - von der Planung bis zum Testen - können in der Business-Continuity-Richtlinie einer Organisation detailliert beschrieben werden. Eine solche Richtlinie könnte auch für externes Personal, wie zum Beispiel Lieferanten und Kunden, gelten.

Ein weiterer Aspekt der BC/DR-Teamentwicklung besteht darin, Einzelpersonen mit den besten Praktiken des BC/DR vertraut zu machen. Zu diesem Zweck können die Mitglieder des BC/DR-Teams an Business-Continuity-Schulungen und Zertifizierungsprogrammen teilnehmen.

Das Business Continuity Institute, eine weltweite Organisation, bietet das Zertifikat des Business Continuity Institute an, das den Prozess und die Praxis des Business-Continuity-Managements abdeckt. Das Institut bietet auch ein Business-Continuity-Management-BCI-Diplom für Personen an, die zusätzliche Einblicke in das Business-Continuity-Management suchen.

Das BCM-Institut bietet unterdessen seine Akkreditierung als Business Continuity Certified Planner (BCCP) an. Die BCCP-Zertifizierung zielt darauf ab, das Verständnis eines Business-Continuity-Fachmanns für zentrale Business-Continuity-Management-Konzepte anzuerkennen.

Weitere Organisationen, die professionelle Business-Continuity-Zertifizierungen vergeben, sind DRI International, das National Institute for Business Continuity Management und das International Consortium for Organizational Resilience. Solche Zertifizierungsstellen arbeiten in der Regel mit einer internen oder externen Ausbildungsgruppe zusammen, die die Studenten auf die Teilnahme an Prüfungen vorbereiten, erklärt Kirvan.

Konferenzen bieten auch die Gelegenheit, die Mitglieder des BC/DR-Teams weiterzubilden. Ton nannte Veranstaltungen des DRI und des Disaster Recovery Journal als hilfreich für Menschen, die mehr über Business Continuity erfahren wollen.

Fallstricke bei BC/DR: Achten Sie auf die Lücke

Der Wandel ist vielleicht die größte Nemesis eines BCDR-Plans. Da sich der technologische Wandel immer schneller vollzieht, müssen Unternehmen ihre IT-Ausrüstung - von Speichern und Servern bis hin zu Netzwerken und den dazugehörigen Geräten - immer wieder auf den neuesten Stand bringen. Einige IT-Ressourcen wandern in die Cloud ab. Es ist unwahrscheinlich, dass ein 5 Jahre alter BC/DR-Plan den aktuellen IT-Bestand widerspiegelt - und sich als ausreichend erweist, um ihn zu schützen.

Der Änderungsmanagementprozess eines Unternehmens kann bei der Bewältigung dieses Problems helfen. Das Änderungsmanagement überwacht die Anpassungen von Systemen, Netzwerken, Infrastruktur und Dokumenten. Es befasst sich mit ähnlichen Situationen wie BC/DR-Planung und -Tests, so dass eine Organisation beschließen könnte, Business Continuity und Disaster Recovery in den Änderungsmanagementprozess einzubeziehen.

Der Änderungsmanagementprozess umfasst sechs Hauptaktivitäten, so Kirvan:

• Identifizierung einer potenziellen Änderung
• Analyse der Änderungsanforderung
• Bewertung der Änderung
• die Änderung planen
• die Änderung implementieren
• den Veränderungsprozess überprüfen und abschließen

Eine Organisation ist natürlich auch Veränderungen unterworfen. Unternehmen machen Akquisitionen, veräußern Nicht-Kerngeschäfte und schaffen beispielsweise neue Geschäftszweige. Ein effektiver BC/DR-Plan muss regelmäßig aktualisiert werden, um diesen Entwicklungen Rechnung zu tragen. Regelmäßig geplante BC/DR-Prüfungen können Lücken im Plan aufdecken, in denen dieser nicht den technologischen oder geschäftlichen Veränderungen Rechnung getragen hat.

Wahrnehmungslücken können BC/DR-Pläne auch untergraben. Bertrand von der ESG sagt, dass viele Organisationen, die Software-as-a-Service (SaaS)-Angebote annehmen, ein falsches Sicherheitsgefühl in Bezug auf den Datenschutz haben. Ein Drittel der Befragten einer ESG-Umfrage gab an, dass SaaS-Anwendungen wie Microsoft 365 und Salesforce nicht gesichert werden müssen. Bertrand erläutert, das dies einfach nicht der Fall sei. Er nannte das Beispiel der Wiederherstellung von E-Mails, die die Benutzer eines Unternehmens in den Papierkorb verschoben haben. Er sagte, dass Office 365, abhängig von der Abonnementstufe des Kunden, gelöschte E-Mails für eine begrenzte Zeit aufbewahrt.

„Die Belastbarkeit von SaaS-Anwendungen wird mit der Verfügbarkeit von SaaS-Daten zusammengeführt“, sagt Bertrand. „SaaS-basierte Anwendungen werden heute nicht angemessen geschützt.“

Unternehmen, die solche Cloud-basierten Anwendungen nutzen, sollten sich mit den SLAs ihrer Anbieter für Data Protection und Wiederherstellung vertraut machen und sicherstellen, dass die BC/DR-Pläne SaaS-Anwendungen und deren Verfügbarkeitsanforderungen abdecken. Bertrand erklärt, der Prozentsatz der Personen, die die SLAs der SaaS-Anbieter kennen, verbessere sich, aber nicht alle seien auf dem Laufenden. Er sagt, dass 58 Prozent der Befragten der ESG-Umfrage angaben, dass sie mit den Datenschutz- und Wiederherstellungsbestimmungen der SaaS-Anbieter vertraut seien.

Eine Organisation kann eine BCDR-Checkliste oder eine Reihe von Checklisten verwenden, die Pläne, Richtlinien und Wiederherstellungsstrategien abdecken, um potenzielle Probleme aufzudecken und BC/DR-Schwachstellen aufzuzeigen. Das BC/DR-Team sollte sich auch über die sich verändernde Bedrohungslandschaft auf dem Laufenden halten, um sicherzustellen, dass ihre Pläne aufkommende Bedrohungen widerspiegeln. Die Risiken für die Geschäftskontinuität, die Unternehmen überwachen sollten, reichen von sich entwickelnden Cybersicherheitsangriffen bis hin zu Zwischenfällen mit kriminellem Hintergrund.

Die Zukunft des BC/DR   

Planung und Ausführung des BC/DR werden sich mit der sich verändernden Natur der Bedrohungen weiterentwickeln. Hier sind einige Entwicklungen zu berücksichtigen:

Das Zusammentreffen von Cybersicherheit und Geschäftskontinuität. Die Rolle von Cyberattacken, wie zum Beispiel Ransomware, bei der Unterbrechung von Geschäftsabläufen scheint sich fortzusetzen, wenn nicht sogar zu beschleunigen. Cybersicherheit und Geschäftskontinuität sind in der Regel getrennte und unterschiedliche Funktionen in einer Organisation. Kirvan, der über die Zukunft der Geschäftskontinuität spricht, meint, er sei der Meinung, dass diese Disziplinen „unter einem gemeinsamen Dach sein sollten“.

Zurück in die Zukunft mit Bandspeicherung. Backup-Dateien könnten bei einem Ransomware-Angriff verschlüsselt werden. Unternehmen können jedoch die Dateien, die sie für die Wiederherstellung benötigen, aus dem Unternehmensnetzwerk isolieren, wodurch was einen Medienbruch erzeugt. An dieser Stelle kommt die Bandspeicherungins Spiel. Bertrand sagt, dass die Bandspeicherung als eine Möglichkeit für Unternehmen, eine „Goldkopie“ ihrer Daten offline und außerhalb des Standorts aufzubewahren, wieder auftaucht. „Die Technologie kommt zurück“, sagt er über Tape-Systeme.

Der Einfluss von KI auf die BC/DR-Planung. KI und ihre kognitiven Funktionen könnten BC/DR-Teams dabei helfen, Entscheidungen über die Organisation ihrer Pläne zu treffen und könnten auch bei der Durchführung von BIAs und Risikobewertungen eine Rolle spielen, so Kirvan. Die KI könnte auch die Reaktion auf Vorfälle unterstützen, indem sie auf der Grundlage der Einzelheiten sich entfaltender Katastrophenszenarien Maßnahmen empfiehlt.

Service Provider spielen eine größere Rolle für den BC/DR. Ein großer Prozentsatz der MSPs ist an der Sicherung und Wiederherstellung im Katastrophenfall beteiligt. Der MSP-Sektor wird sich wahrscheinlich zu einer zentralen Anlaufstelle für Business Continuity-Dienste entwickeln, insbesondere für KMUs, denen es an internem Fachwissen fehlt. MSPs können in ihrer Rolle als vertrauenswürdige Berater Kunden bei der BCDR-Planung beraten und Technologieempfehlungen aussprechen. Einige bieten ihre eigene Notfallwiederherstellung als Dienstleistung an, während andere mit Anbietern zusammenarbeiten, die dieses Tool anbieten.