Business Impact Analyse – Genügend vorbereitet auf einen Notfall

Gerade in Krisenzeiten wird die Wichtigkeit einer guten Vorbereitung erkennbar. Tritt eine Krise oder ein grösseres negatives Ereignis ein, gilt es schnell zu reagieren. Zu diesem Zeitpunkt ist es aber zu spät, sich mit allen notwendigen Schritten im Detail auseinanderzusetzen. Nun muss reagiert und nicht mehr diskutiert werden. Die Business Impact Analyse zeigt im Vorfeld, auf was der Fokus bei einem solchen Ereignis gelegt werden muss und welche Massnahmen zur Reduktion der Folgen ergriffen werden müssen. 

© Storyblocks, Registriert auf Andreas Wisler

Das Krisenmanagement ist unabhängig von Unternehmensprozessen und das Ziel besteht darin, Menschen zu retten (z.B. Gebäude-Evakuation in der Schadensbegrenzung (Umwelt /Sachwerte) sowie eine Krisensituation generell zu bearbeiten. Auch die Betreuung von Mitarbeitern und gegebenenfalls Angehörigen sowie der richtige Umgang mit den Medien sind klassische Aufgaben des Krisenmanagements.

Gemäss ISO 22301 (Sicherheit und Ausfallsicherheit - Business Continuity Management-Systeme) und BSI 100-4 (Notfallmanagement) des Deutschen Bundesamts für Sicherheit in der Informationstechnik sieht das Vorgehen bei der Einführung und beim Betrieb eines BCM wie folgt aus:

• 1.Eigene Organisation (Struktur und Prozesse) verstehen (mittels Business Impact Analyse)
• 2.BCM-Strategie entwickeln
• 3.Reaktionsmassnahmen und Notfallpläne entwickeln und implementieren
• 4.BCM-Übungen durchführen
• 5.Reaktionsmassnahmen und Notfallpläne überprüfen und weiterentwickeln

Im nachfolgenden wird der erste Punkt, die Business Impact Analyse (BIA), im Detail angeschaut. Diese dient dazu, kritische Prozesse zu identifizieren und zu bewerten. Dabei werden Prozesse mit hohem Einfluss auf andere Prozesse und auch Abhängigkeiten von Prozessen untereinander erfasst.

In einem ersten Schritt werden die Prozesse in einem Unternehmen angeschaut. Dabei ist wichtig, diese zuerst ohne Bewertung oder grosse Diskussionen anzuschauen. Auch eher triviale Prozesse, wie den Briefkasten leeren, gehören da dazu. Gleichzeitig wird erfasst, ob Prozesse von anderen Prozessen abhängig sind.

Erst wenn alle erfasst sind, werden in den Prozessen auch die beiden Werte RPO und RTO bestimmt.

• RTO (Recovery Time Objective): Wie lange darf ein Geschäftsprozess/System ausfallen? Es ist also der Zeitbedarf, der vom Zeitpunkt des Schadens bis zur vollständigen Wiederherstellung der Geschäftsprozesse reicht.
• RPO (Recovery Point Objective): Welcher Datenverlust kann in Kauf genommen werden? Dies gibt den maximalen Zeitraum an, der zwischen zwei Datensicherungen liegen darf.

 Beispiel für die Festlegung der Prozesskritikalität:

Im zweiten Schritt werden die verarbeiteten Daten angeschaut. Dies können Kundendaten, technische Dokumente und Anleitungen, Strategien, interne Dokumente von Mitarbeitenden, Prozesslisten und vieles weitere sein. Diese Daten werden nach der Kritikalität bewertet. Dazu gehören die Vertraulichkeit, die Integrität und die Verfügbarkeit.

• Vertraulichkeit (Confidentiality): Schutz der Daten vor unberechtigter Offenlegung.
• Integrität (Integrity): Erkennung von Datenmanipulationen (Modifikation, Duplizierung).
• Verfügbarkeit (Availability): Die Daten stehen dann zur Verfügung, wenn sie benötigt werden

Die Bewertung könnte nach folgenden Schema erfolgen:

Beispiel für die Festlegung der Datenkritikalität:

Im dritten Schritt werden die genutzten Anwendungen, Gebäude, involvierten Mitarbeitenden, Lieferanten und weitere Abhängigkeiten erfasst und mit den Prozessen verknüpft. Diese Elemente erben damit die vorher definierte Kritikalität.

Bei elektronischer Verarbeitung wird im vierten Schritt erfasst, auf welchen Systemen die Anwendungen laufen. Dabei wird nicht unterschieden, ob diese Systeme virtuell oder physisch sind. Jedoch muss bei virtuellen Systemen angegeben werden, auf welcher Hardware diese laufen. Je nachdem können nun auch die Netzwerke und die genutzten Räume (z.B. Serverräume, Switch-Schränke, etc.) in einen Zusammenhang gebracht werden.

Bei der Vererbung werden drei Arten unterschieden:

• Maximumprinzip: dabei wird die höchste Kritikalität übernommen (bezogen auf die Vertraulichkeit, die Integrität und die Verfügbarkeit).
• Verteilungseffekt: wenn genügend Redundanzen vorhanden sind, kann zum Beispiel die Verfügbarkeit reduziert werden. Dies ist beispielsweise dann der Fall, wenn Systeme in zwei redundanten Rechenzentren betrieben werden. Damit kann eines ausfallen, ohne dass der Prozess davon negativ beeinflusst wird.
• Kumulationseffekt: die Kritikalität wird erhöht. Typisch ist dies bei Hardware-Systemen, auf denen eine grosse Anzahl von virtuellen Maschinen betrieben werden. Die einzelnen virtuellen Systeme sind unkritisch, da aber bei einem Hardware-Ausfall viele gleichzeitig ausfallen, wird die Anforderung an die Verfügbarkeit des Servers erhöht.

Beispiel

Das nachfolgende Beispiel zeigt, wie dies in Jira mit dem Plugin "Insight - Asset Management" umgesetzt werden kann.

Erläuterungen:

• in der Mitte ist der Prozess "Mail-Versand" sichtbar. Er hat die Kritikalität 3 (hoch).
• Der Prozess nutzt "Mails". Die E-Mails sind wie folgt bewertet:
  • Klassifikation: Interne Nutzung
  • Verfügbarkeit: Mittel (Uhr-Symbol)
  • Vertraulichkeit: Mittel (Schloss-Symbol)
  • Integrität: Gering (Hand-Symbol)
• Der Prozess verarbeitet zudem Patienten-Daten. Diese sind wie folgt bewertet:
  
  • Klassifikation: Vertraulich
  • Verfügbarkeit: Hoch (Uhr-Symbol)
  • Vertraulichkeit: Hoch (Schloss-Symbol)
  • Integrität: Hoch (Hand-Symbol)
    
• Der Prozess nutzt die Anwendung "Microsoft Exchange Server 2019"
  
• Die Software läuft auf dem Server "Mail-Server"

Risiko-Analyse

Mit dieser Vererbung, und allenfalls Anpassung der Kritikalität, können Massnahmen geplant werden. Braucht es mehr Redundanzen? Müssen weitere Mitarbeitende oder externe Lieferanten involviert werden?

Dazu wird idealerweise eine Risiko-Analyse durchgeführt. Schauen wir uns den Fall eines Systemausfalls an. Die Eintrittswahrscheinlichkeit ist eher gering, aber die Auswirkung kann schnell kritisch werden. Als (Gegen-) Massnahme kann das System redundant aufgebaut, eine Offline-Sicherung mit kurzen Abständen oder eine Anpassung des Prozesses, z.B. auf Papier, geprüft werden.

Kontrollen und KPIs

Aus der vorherigen Massnahme «Offline-Sicherung» sollte anschliessend eine Kontrolle abgeleitet werden. So sollte das Backup wöchentlich überprüft werden, um festzustellen, ob alle notwendigen Daten korrekt gesichert wurden. Eine weitere Kontrolle könnte ein Wiederherstellungstest alle drei Monate, das heisst quartalsweise, sein. Damit wird überprüft und geübt, dass in einem Notfall die Daten auch schnell und vollständig wiederhergestellt werden können. Zudem werden allfällige Stolpersteine identifiziert und können frühzeitig behoben werden. Aus Kontrollen können KPIs (Key Performance Indicator) definiert und gemessen werden. In Bezug auf das Backup könnten dies «Anzahl nicht überprüfter Backup-Jobs» oder «Anzahl nicht erfolgreicher Wiederherstellungstests» sein. Zu jedem KPI sollten auch die Messgrössen definiert werden. So bedeutet 0: «Alles in Ordnung», 1: «Tolerierbar», 2: «Nicht tolerierbar». Diese KPIs dienen als Information für Management-Bewertungen und allfällig notwendiger Korrekturen.

Fazit

Wird die Business Impact Analyse mit genügend Zeit und mit der entsprechenden Tiefe durchgeführt sowie regelmässig den sich ändernden Anforderungen angepasst, kann ein möglicher Notfall zwar nicht verhindert, aber die Folgen davon stark verringert werden. Durch das konsequente Weiterführen werden Massnahmen, Kontrollen und Messgrössen definiert und damit eine Rückmeldung zur Qualität der getroffenen Schritte ermöglicht. Die Business Impact Analyse kann damit ein Unternehmen ideal vorbereiten und vor einem grossen Schaden schützen.