Disaster-Recovery: Risiko- und Business-Impact-Analyse

Disaster-Recovery-Risiko- und Business-Impact-Analyse sind wichtige Teile des DR-Plans, die feste Plätze im Gesamtprozess der Planung haben.

Die Disaster-Recovery-Risiko-Analyse und Business-Impact-Analyse (BIA) sind wichtige Schritte bei der Entwicklung eines Disaster-Recover-Plans. Bevor wir diese jedoch im Detail betrachten, gilt es feststellen, wo sie sich im Gesamtprozess befinden.

Dafür sollten wir uns die allgemeinen Ziele des Disaster-Recovery-Plans in Erinnerung rufen, die darin bestehen, Strategien und Verfahren bereitzustellen, die dabei helfen können, den IT-Betrieb auf einem akzeptablen Leistungsniveau nach einem Störfall so schnell wie möglich wiederherzustellen. Die Geschwindigkeit, mit der die IT-Einrichtungen wieder in den Zustand normaler oder annähernd normaler Leistung zurückkehren, hat Einfluss darauf, wie schnell das Unternehmen wieder seinen normalen oder zumindest einen rudimentären Geschäftsbetrieb aufnehmen kann.

Nachdem wir das Ziel unserer Mission definiert haben – und vorausgesetzt, wir haben vom Management die Genehmigung und ein Budget für eine Disaster-Recovery-Initiative erhalten – können wir daran gehen, einen Projektplan zu erstellen.

Ein Disaster-Recovery-Projekt hat eine relativ einheitliche Struktur, was es einfach macht, die Aktivitäten zur Planentwicklung zu organisieren und durchzuführen.

Disaster-Recovery-Risiko-Analyse und Business-Impact-Analyse sollten fester Bestandteil eines DR-Plans sein. Quelle: Business Continuity Institute

Wie man in dieser Darstellung des IT-Disaster-Recovery-Lifecycles sehen kann, handelt es sich beim IT-Disaster-Recovery-Prozess um einen Standard-Prozessablauf. Hierin wird die BIA typischerweise vor der Risiko-Analyse vorgenommen. Die BIA identifiziert die wichtigsten Geschäftsfunktionen und die IT-Systeme und -Einrichtungen, die diese unterstützen. Als nächstes untersucht die Risiko-Analyse die internen und externen Bedrohungen und Schwachstellen, die negative Auswirkungen auf die IT-Einrichtungen haben könnten.

Die nächsten Schritte nach der BIA und Risiko-Analyse sind Definition, Aufbau und Test des detaillierten Disaster-Recovery-Plans, der wirksam wird, wenn ein Störfall tatsächlich die kritischen IT-Einrichtungen des Unternehmens schädigt. Solche Pläne stellen in einem Schritt-für-Schritt-Ablauf dar, wie auf einen Störfall reagiert werden sollte, mit einzelnen, leicht durchzuführenden und zu wiederholenden Schritten, um die beschädigten IT-Einrichtungen so schnell wie möglich wieder einsatzbereit zu machen.

Ein ausführlicher Reaktionsplan sowie andere wichtige Teile der Disaster-Recovery-Planung, wie zum Beispiel die Pflege dieses Plans, sind allerdings nicht der Schwerpunkt dieses Artikels, daher beschäftigen wir uns nun weiter detailliert mit der Disaster-Recovery-Risiko-Analyse und der Business-Impact-Analyse.

Disaster-Recovery-Risiko-Analyse

Im Bereich des IT-Disaster-Recovery fokussieren wir uns üblicherweise auf eines oder mehrere der folgenden Risiko-Szenarien, die negative Auswirkungen auf die Fähigkeit eines Unternehmens hätte, seinen Geschäftsbetrieb aufrecht zu erhalten:

  • Verlust des Standortzugangs;
  • Verlust von Daten;
  • Verlust von IT-Funktionen;
  • Verlust von Fähigkeiten.

Risiko-Analysen beschäftigen sich mit den Risiken, die zu den genannten Ergebnissen führen können.

Peter Barnes, FBCI, Geschäftsführer der in London ansässigen Firma 2C Consulting sagt: „Vom Gesichtspunkt des IT-Risikos ist es am wichtigsten, die Auswirkungen auf das Geschäft einzuschätzen, wenn die Bereitstellung kritischer Anwendungen und Dienste durch ein Feuer oder einen Serverausfall nicht mehr gegeben ist, und einzuschätzen, wie groß das Risiko ist, dass ein solcher Fall eintritt.”

Ein wichtiger Aspekt ist es, zu wissen, welche Dienste auf welchen Teilen der Infrastruktur laufen, so Andrew Hiles, FBCI, Geschäftsführer der in Oxfordshire ansässigen Firma Kingswell International. „Es klingt offensichtlich, aber eine große Versicherungsgesellschaft war durch Übernahmen gewachsen und hatte plötzlich mehrere Rechenzentren”, so Hiles. „Sie hatten keine Ahnung, welche Risiken mit den neuen Übernahmen zusammenhingen.”

Ein einfacher Weg zur Erstellung einer Risiko-Analyse wird in dieser Tabelle gezeigt:

Bei der Arbeit mit IT Managern, den Mitgliedern Ihres Gebäudemanagements und den Mitgliedern des Risikomanagements – sofern vorhanden – können Sie Ereignisse identifizieren, die einen möglichen Einfluss auf den Betrieb des Rechenzentrums haben.

Basierend auf Erfahrung und den vorhandenen Statistiken können Sie die Wahrscheinlichkeit eines spezifischen Ereignisses auf einer Skala von 0 bis 1 ermitteln (0.0 = wird niemals auftreten und 1.0 = wird immer auftreten). Das gleiche können Sie auch mit den Auswirkungen der Ereignisse machen, ebenfalls mit einer Skala von 0 bis 1 (0.0 = überhaupt kein Einfluss und 1.0 = völliger Betriebsausfall). In der letzten Spalte wird das Produkt aus Wahrscheinlichkeit und Auswirkung dargestellt, dies entspricht dem Risikofaktor. Die Ereignisse mit dem höchsten Risikofaktor sollten von Ihrem Risikoplan mit Vorrang adressiert werden.

Ein anderer Weg, um Risiko-Informationen zu erfassen und darzustellen, ist eine Risiko-Matrix. Jeder Wert der oben gezeigten Tabelle kann innerhalb einer Vier-Quadranten-Matrix dargestellt werden, wie hier zu sehen ist.

Eine Risiko-Matrix, mit Genehmigung übernommen und angepasst aus „Principles und Practice of Business Continuity: Tools und Techniques“ von Jim Burtles, Copyright 2007 by Rothstein Associates; ISBN 1-931332-39-8

In Hinblick darauf, wie wir diese Risiken behandeln, können wir die folgende Kategorisierung verwenden: 

  • Verhindern: Hohe Wahrscheinlichkeit / große Auswirkungen des Ereignisses (aktiv daran arbeiten, diese Risiken zu entschärfen);
  • Akzeptieren: Geringe Wahrscheinlichkeit  / geringe Auswirkungen des Ereignisses (Wachsamkeit beibehalten);
  • Eingrenzen: Hohe Wahrscheinlichkeit  / geringe Auswirkungen des Ereignisses (Wahrscheinlichkeit des Auftretens minimieren);
  • Planen: Geringe Wahrscheinlichkeit / große Auswirkungen des Ereignisses (Schritte planen, die durchgeführt werden, falls das Ereignis eintritt).

Risikotypen, die es zu beachtet gilt

Im vorherigen Abschnitt haben wir eine grundlegende Risiko-Analyse beschrieben. Aber es gibt eine Vielzahl verschiedener Risikotypen. Welche sind also die wichtigsten, die man aus der IT-Perspektive berücksichtigen sollte?

Störungen in der Lieferkette stellen ein Schlüsselrisiko dar, sagt Susan Young von MBCI, Risk Management Professional bei einer in London ansässigen Versicherungsgesellschaft. „Vom Standpunkt der IT aus gesehen, stellt die Abhängigkeit von externen Anbietern nicht nur ein reines IT-Risiko dar, sondern auch ein Risiko für die Lieferkette. Zum Beispiel hängen beim Lloyds Versicherungsmarkt in London alle Unternehmen von einer Firma namens Xchanging ab, die die Verarbeitung von Zahlungen und Schadensmeldungen abwickelt. Dies ist eine große Abhängigkeit mit signifikanten Risiken für den Markt als Ganzes.”

Das Versagen von Hardware ist eine andere ernste Gefahr für Unternehmen. Andrew Hiles von Kingswell International sagt, „Ein IBM-Report aus dem Jahr 2010 über die Ausfallzeiten von Email in Großbritannien hat gezeigt, dass Ausfälle von Hardware (Server und SAN), Verbindungsabrisse und beschädigte Datenbanken (in dieser Reihenfolge) die häufigsten Gründe für Ausfallzeiten waren. Ein Bericht der Firma SunGard aus 2010 besagt, dass die häufigste Ursache von Ausfällen die Hardware war, gefolgt von Strom und Kommunikation.”

Wasserschäden sind auch ein großes Risiko für Unternehmen, und manchmal ist die Ursache so offensichtlich, dass sie übersehen wird, so Barnes von 2C. „Vor kurzem sind mir Server aufgefallen, die auf Fußbodenhöhe in einem Rack im Keller installiert waren”, so Barnes. „Dieser Platz ist natürlich ‚toter Raum’ für viele Büros, es ist aber die Stelle, an der sich das Wasser sammelt, wenn jemand den Wasserhahn in der Toilette zwei Stockwerke darüber laufen lässt und dann jeder am Freitagabend nach Hause geht.”

Die BIA

Eine BIA versucht, die spezifischen Risiken und deren mögliche Auswirkungen auf den Geschäftsbetrieb, die finanzielle Leistungsfähigkeit, den Ruf, die Angestellten und die Lieferkette in Relation zu setzen. Die folgende Tabelle zeigt die Beziehung zwischen bestimmten Risiken und Geschäftsfaktoren.

Risiken können das ganze Unternehmen oder auch nur kleine Teilbereiche betreffen. Die Verluste im betrieblichen und finanziellen Bereich können erheblich sein, und die Auswirkung dieser Ereignisse kann zum Beispiel die Wettbewerbsfähigkeit und den Ruf des Unternehmens beeinflussen.

Verluste im betrieblichen und finanziellen Bereich können erheblich sein, und die Aus- wirkung kann die Wettbewerbs- fähigkeit und den Ruf des Unternehmens beeinflussen.

BIAs sind auf einer Reihe von Fragen aufgebaut, die den wichtigsten Mitarbeitern jeder Abteilung des Unternehmens, inklusive der IT, gestellt werden sollten.  Die Fragen sollten mindestens die folgenden Themen adressieren:

  • Verständnis, wie jede einzelne Abteilung arbeitet;
  • Identifizierung wichtiger Abteilungen, die auf die IT angewiesen sind;
  • Finanzieller Wert geschäftskritischer Prozesse  (zum Beispiel : erwirtschafteter Ertrag pro Stunde);
  • Abhängigkeiten von internen Abteilungen;
  • Abhängigkeiten von externen Organisationen;
  • Daten-Anforderungen;
  • Minimale Zeit, die benötigt wird, um die Daten auf den vorherigen Status zu bringen;
  • System-Anforderungen;
  • Minimale Zeit, die benötigt wird, um nach einem Störfall zum normalen oder nur geringfügig eingeschränkten Geschäftsbetrieb zurückzukehren;
  • Minimale Anzahl von Mitarbeitern, die benötigt wird, um den Geschäftsbetrieb zu gewährleisten;
  • Minimum an Technik, die benötigt wird, um den Geschäftsbetrieb zu gewährleisten.

Das Resultat der BIA sollte ein klares Bild über die Einflüsse auf den Geschäftsbetrieb ergeben, sowohl was die möglichen Probleme als auch die wahrscheinlichen Kosten angeht. Die Ergebnisse einer BIA sollten bei der Festlegung helfen, welche Bereiche welches Niveau an Schutz benötigen, den Umfang, zu welchem ein Unternehmen mit einem Störfall fertig werden kann und welcher IT-Service-Level mindestens nötig ist, um den Geschäftsbetrieb aufrecht zu erhalten.

Barnes von 2C Consulting sagt, dass es ein wichtiges Ziel der BIA sein sollte, festzustellen, wie lange ein Unternehmen höchstens ohne IT überleben kann. „Als erstes messen Sie den Spielraum für einen Ausfall von kritischen Anwendungen oder Infrastruktur-Leistungen,” so Barnes. „Als nächstes untersuchen Sie mögliche Optionen, die Widerstandsfähigkeit zu erhöhen und das Risiko eines Verlustes an IT-Leistungen zu reduzieren, sodass Sie geschäftskritische Dienste in einem akzeptablen Zeitrahmen wiederherstellen können.”

Über den Autor:
Paul Kirvan ist ein unabhängiger Berater und IT-Prüfer mit mehr als 22 Jahren Erfahrung in Business-Continuity, Disaster-Recovery, Sicherheit, Unternehmens-Risiko-Management und Telekommunikations/IT-Überprüfung.

Folgen Sie SearchStorage.de auch auf Facebook, Twitter und Google+!

Artikel wurde zuletzt im Oktober 2014 aktualisiert

Pro+

Premium-Inhalte

Weitere Pro+ Premium-Inhalte und andere Mitglieder-Angebote, finden Sie hier.

Erfahren Sie mehr über Disaster Recovery

Diskussion starten

Schicken Sie mir eine Nachricht bei Kommentaren anderer Mitglieder.

Mit dem Absenden dieser Daten erklären Sie sich bereit, E-Mails von TechTarget und seinen Partnern zu erhalten. Wenn Ihr Wohnsitz außerhalb der Vereinigten Staaten ist, geben Sie uns hiermit Ihre Erlaubnis, Ihre persönlichen Daten zu übertragen und in den Vereinigten Staaten zu verarbeiten. Datenschutz

Bitte erstellen Sie einen Usernamen, um einen Kommentar abzugeben.

- GOOGLE-ANZEIGEN

SearchSecurity.de

SearchNetworking.de

SearchEnterpriseSoftware.de

SearchDataCenter.de

Close