Definition BCM
Notfallmanagement (Business Continuity Management) ist ein Managementprozess mit dem Ziel, gravierende Risiken für eine Institution, die das Überleben gefährden, frühzeitig zu erkennen und Maßnahmen dagegen zu etablieren
Definition Incident Management
Vorfallsmanagement beschäftigt sich mit den Prozessen, die in Kraft treten, nachdem es zu einem Vorfall gekommen ist
Definition Notfall
Schadensereignis, bei dem Prozesse oder Ressourcen einer Institution nicht wie vorgesehen funktionieren
Ziele BCM
- Verbesserung der Belastbarkeit
- Reduzierung von Kosten
- Behandlung von Risiken
- Schutz von Leben/Eigentum/Umwelt
Standards/Richtlinien BCM
- ISO 22301, BSI: BCMS Anforderungen
- ISO 27002, BSI: Bezug auf IS
- NIST SP 800-34: Methodik zur Organisation einer Notfallvorsorge mit eher technischer Perspektive
Business Continuity Management System (BCMS) nach ISO 22301 (PDCA)
- Act: Ständige Verbesserung auf Grundlage qualitativer und quantitativer Messungen
- Plan: Erstellung von Leitlinien, Zielsetzungen und Prozessen
- Do: Umsetzung der geplanten Prozesse
- Check: Überwachung und Überprüfung der Leistung und der Effektivität des BCMS
Leistungsbewertung und Verbesserung des BCMS
- Kennzahlensystem: Messung des BCMS-Zustandes mithilfe von Kennzahlen
- Interne Audits: Überprüfung des BCMS auf Konformität durch eine unabhängige Partei
- Management-Review: Überprüfung der Wirksamkeit des BCMS durch die oberste Leistung
BCM Anforderungen nach ISO 27002
- Planen der Kontinuität der Informationssicherheit
-> Formulieren von Anforderungen an die Kontinuität von Informationssicherheit - BCM-Ziele/Anforderungen an Systemen planen, umsetzen und testen
-> Etablierung von Prozessen und Maßnahmen, zur Sicherstellung der Informationssicherheit während Krisenzeiten
-> Erstellung von Plänen und Prozessen, um auf Notfälle zu reagieren
-> Regelmäßige Überprüfung der Maßnahmen
-> Managementprozesse und Personal etablieren - Redundanz
-> wichtige Systeme der Verfügbarkeit sollten redundant ausgelegt werden
-> Beachtung von negativen Effekten auf Vertraulichckeit und Integrität
BCM nach BSI Standard 200-4: Ablauf der Bewältigung eines Vorfalls : Organisation
- Allgemeine Aufbauorganisation (AAO)
-> Ständige Organisationsform der Institution für die Aufgaben des täglichen Service- bzw. Geschäftsbetriebes
-> Bewältigt üblicherweise Schadensereignisse im Geschäftsbetrieb/Normalbetrieb
-> Schadensereignis kann so gravierend sein, dass es nicht durch AAO bewältigt werden kann - Besondere Aufbauorganisation (BAO)
-> zeitlich begrenzte Organisationsform, um auf außergewöhnliche Situationen angemessen und schnell zu reagieren
-> es gelten zeitlich begrenzte Zuständigkeiten, Hierarchien sowie Kommunikations- und Entscheidungswege
BCM nach BSI Standard 200-4: Ablauf der Bewältigung eines Vorfalls: Prozess
1) Eintritt eines Schadensereignisses
2) Sofortmaßnahmen
3) Alarmierung und Eskalation zu einem Notfall
4) Ausrufen des Notfalls
-> ab da Wiederherstellung ausgefallener Ressourcen
5) Wiederanlauf in den Notbetrieb
6) Notbetrieb
7) Nacharbeiten
8) Analyse der Notfallbewältigung
Stufenmodell Definition
Das Stufenmodell soll es ermöglichen, den unterschiedlich Bedürfnissen von kleinen und größeren Unternehmen stärker gerecht zu werden
Stufenmodell - Reaktiv BCMS
- Schnelle Notfallbewältigung für ausgewählte, sehr geschäftskritische Prozesse
- Nur besonders kritische Geschäftsprozesse und Ressourcen werden priorisiert abgesichert
- Stark vereinfachte Einstiegsstufe
Stufenmodell - Aufbau BCMS
- Erweitert die Betrachtung um zusätzliche Geschäftsprozesse
- Ergänzt das Reaktiv BCMS um weitere Prozessschritte im PDCA-Zyklus
- Methodik wird formal und vollständig eingeführt
Stufenmodell - Standard BCMS
- Alle Geschäftsprozesse, die sich im Geltungsbereich des BCMS befinden, werden anslysiert
- Das Unternehmen kann für die notwendige Reife für eine Zertifizierung nach ISO-Standard 22301 erreichen
Vorteile/Nachteile Reaktiv BCMS
+ Schnelle Fähigkeit zur Notfallbewältigung
- Es gibt Lücken in der Absicherung und Bereichen, die nicht betrachtet werden
Vorteile/Nachteile Aufbau BCMS
+ Schrittweiser und damit ressourcenschonender Aufbau des BCMS
- Es gibt Bereiche, die in der Absicherung der Institution nicht betrachtet werden
Vorteile/Nachteile Standard BCMS
+ Vollständige Absicherung und damit Resilienz der Institution
- Erhöhter Ressourcenbedarf gegenüber Einsteigsstufen
BCM im Rahmen von Outsourcing und Lieferketten
Relevante Ressourcen und Prozesse des Dienstleisters müssen in die eigene Notfallbewältigung eingebunden und aufeinander abgestimmt werden
1. Identifikation der zeitkritischen Leistungsbezüge
2. Festlegung der BCM-Grundanforderungen
3. Überprüfung der Eignung des Dienstleisters
4. Entwicklung einer Exitstrategie
5. Definition der Vertragsanforderungen
6. Eingliederung der Leistungserbringung in die gesamte Lieferkette
7. Steuerung des Dienstleisters während der Leistungserbringung
Information System Contingency Planning Process
- Entwicklung der Notfallplanungspolitik
- Durchführung der Business Impact Analyse
- Identifizierung von Präventivkontrollen
- Entwicklung von Strategien für unvorhergesehene Ereignisse
- Planung von Tests, Schulungen und Übungen
- Plan-Pflege
ISCP - Entwicklung der Notfallplanungspolitik
- Benennung eines Prozessverantwortlichen
- Erstellung eines Rahmenwerkes
-> Festlegen von Rollen und Verantwortlichkeiten
-> Scope
-> Benötigte Ressourcen
-> Pläne für Übungen, Tests, Instandhaltung
-> Häufigkeiten von Backups und Aufbewahrung von Backup-Speichermedien - Zusammenstellung von Teams
-> z.B. Server Recovery Team, Legal Affairs Team, …
ISCP - Durchführung der Business Impact Analyse
- Verfügbarkeit steht bei der BIA im Fokus
- Redundante Systeme eine der wichtigen Maßnahmen der Contingency
- Ergebnisse der BIA werden vom ISCP-Koordinator als Basis genommen, um Anforderungen an den ISCP zu formulieren
ISCP - Identifizierung von Präventivkontrollen
- Prüfung, ob nicht Präventivmaßnahmen die Auswirkung abmildern können
- Präventivmaßnahmen sind Recovery-Maßnahmen vorzuziehen
ISCP - Entwicklung von Strategien für unvorhergesehene Ereignisse
- wirksame Maßnahmen zur Datensicherung und -wiederherstellung ermöglichen ein schnelles Wiederherstellen von Servicefunktionen
- Methode und Art der Backups sollten in Anlehnung an die maximale Downtime ausgewählt werden
- Erstellung regelmäßiger Backups von Systemdaten sowie Festlegung von Häufigkeiten und Umfang
- Bei Auslagerung an Dienstleister sind Standort, Erreichbarkeit, Security, Umwelt und Kosten zu berücksichtigen
ISCP - Planung von Tests, Schulungen und Übungen
- regelmäßige Tests der Maßnahmen sind zum Training und zur Überprüfung der Maßnahmen wichtig
- Arten von Tests:
-> Table Top Exercise: Rollen und Aufgaben werden anhand eines Beispielszenarios besprochen
-> Functional Exercise: simulierter Vorfall, wo Personen Fähigkeiten testweise ausüben können
