Leitfaden für IT-Leiter/-innen in öffentlichen Einrichtungen

Transkript

1 Leitfaden für IT-Leiter/-innen in öffentlichen Einrichtungen

2 Grundsätzliche Überlegungen 3 Inhalt 1. Risikoerfassung 1.1 Erfassung der Kernfachverfahren Ihrer Behörde 1.2 Erfassung der IT-Kernfachverfahren und Abbildung der Ausfallszenarien 1.3 Schadensdefinition bei Ausfall der einzelnen Fachverfahren 1.4 Müssen rechtliche Auflagen beachtet werden? Prozessorientierte Notfallplanung 2.1 Personalerfassung zu den Notfallteams und zum Krisenstab 2.2 Zuordnung des Personals zu den jeweiligen Prozessen 2.3 Aufnahme der Dokumente 2.4 Aufnahme der Infrastruktur 2.5 Infrastrukturzuordnung zu den jeweiligen Prozessen Aufrechterhaltung der Aktualität 4. Organisatorische Notfallpläne 5. Analysen 6. Notfallübungen und Notfallhandbuch Zusammenfassung Benefits und aktuelle Referenz Ihre 8 Schritte zum optimalen Notfallmanagement Checkliste Impressum 12 2

3 Bevor Sie beginnen Warum benötige ich eine IT-Notfallplanung? Die IT in unseren Verwaltungen wird immer komplexer. Wir virtualisieren immer mehr Geschäftsprozesse und Services und bilden diese auf unseren IT-Systemen ab. Die Verantwortung der IT wächst ständig. Das politisch und wirtschaftlich erfolgreiche Agieren einer Behörde hängt immer mehr von einer funktionierenden IT ab, die oft personell unterbesetzt ist. Damit wird das Wissen über die Systeme auf wenige Personen verteilt. Zusätzlich kaufen wir externes Know-how zu. Somit entstehen interne und externe Kopfmonopole. Einleitung Da inzwischen fast alle Geschäftsprozesse von IT-Systemen unterstützt und abgebildet werden, müssen wir uns Gedanken über Verfügbarkeiten und geschäftskritische Ausfälle machen. Ab wann stellt der Ausfall unserer Prozesse ein finanzielles Risiko für uns dar, müssen wir bereits bei einem relativ kurzen Ausfall viele Mitarbeiter nach Hause schicken? Ab wann ist eine fehlende Notfallplanung grob fahrlässig? Ist der Aufbau einer Notfallplanung ohne eine Risikoermittlung überhaupt sinnvoll? Wie erstelle ich eine prozessorientierte IT-Notfallplanung? Unsere erste Empfehlung dazu ist: Beschränken Sie sich auf das Notwendige, nutzen Sie ein Tool, erfassen Sie die wichtigsten Prozesse, das notwendige Personal und die Infrastruktur. Dieses Dokument basiert auf der Grundlage des Standards des BSI und ISO Auf den folgenden Seiten wollen wir Ihnen eine Möglichkeit aufzeigen, schnell und strukturiert Ihre Notfallplanung umzusetzen. Eine Notfallplanung zu erstellen heißt: Komplexe Vorgänge einfach und rational abzubilden, ohne auf Informationen zu verzichten. Dazu definieren Sie als Erstes, was für Sie eine Störung, einen Notfall und eine Krise darstellt. Wir hoffen, dieses Dokument hilft Ihnen weiter. Wir freuen uns über Anregungen und Kritik. Ihr CONTECHNET-Consulting Team 3

4 Kernfachverfahren 1.1 Erfassung der Kernfachverfahren Ihrer Behörde Dieses ist ein sehr umfangreiches und abteilungsübergreifendes Verfahren. Normalerweise kann man die Informationen bei der Behördenleitung erfragen. Teilweise ist es so, dass man darauf keine Antwort bekommt. Diese drei Fragen helfen Ihnen, die Kernprozesse zu ermitteln: Welche Fachverfahren sind die Hauptaufgabe meiner Behörde? Welcher Ausfall von Verfahren meiner Behörde zieht starken Reputationsverlust, finanziellen Schaden oder politische Unruhen nach sich? Welche IT-Verfahren sind wichtig zur Erfüllung unserer Aufgaben? Da die Fachverfahren in der Behörde oft noch nicht definiert sind, ist der einfachste Ansatz, die Prozesse aus der Verfahrensbeschreibung heranzuziehen. Risikoerfassung Selektieren Sie die zehn bis zwanzig Verfahren, die für Ihre Behörde wirtschaftlich am wichtigsten sind. Für diese Verfahren setzt die IT eine realisierbare Wiederherstellungszeit bei Ausfall fest. Sollten Sie diese Zeiten nicht ermitteln können, dann erarbeiten Sie die Wiederanlaufpläne pro Verfahren und erhalten somit eine realistische Wiederanlaufzeit für das Verfahren. Diese können Sie mit den Referats- oder Abteilungsleitern abgleichen. Betrachten Sie dabei den Ausfall mit und ohne Wiederbeschaffung von defekten Komponenten. Die sich ergebende maximale Ausfallzeit kommunizieren Sie an die entsprechenden Referatsleiter und die Behördenleitung. Sie haben damit eine realistische Ausgangslage für die kommende Diskussion geschaffen. Das Ergebnis aus dieser Diskussion ergibt dann die maximal tolerierbare Ausfallzeit für den entsprechenden Kernprozess. WICHTIG: Arbeiten Sie mit Vorgaben, um der Diskussion eine Grundlage zu geben. Sonst wird diese meist endlos und oft leider auch ergebnislos. 4

5 Erfassung der IT-Struktur und Abbildung der Ausfallszenarien 1.2 Erfassung der IT-Kernfachverfahren und Abbildung der Ausfallszenarien Wir empfehlen hier, unabhängig von Ihrer IT-Struktur, als Erstes den IT-Totalausfall abzubilden. Danach können weitere Services abgebildet werden, wie die Domäne, SAP, Telefonanlage oder die DMZ. Der Vorteil dabei ist, dass Sie beim IT-Totalausfall einen beschränkten Wiederanlaufplan erstellen, der Ihnen bei normalen Schadensereignissen, wie Strom- oder Hardwareausfall von Kernkomponenten, einen schnellen Wiederanlauf ermöglicht. Selbst wenn nur einzelne Komponenten ausfallen, sehen Sie dann auf einen Blick, welche Komponenten funktionieren müssen, damit ein Wiederanlauf geordnet stattfinden kann. Beispiele möglicher Ausfallszenarien: intern extern Ausfall des kommunalen Finanzmanagements Ausfall des kommunalen Personalmanagements (Sozialhilfe-/Personalabrechnung) Ausfall der kommunalen Bürgerdienste (Einwohner-/Kfz-Wesen) Ausfall des Rechenzentrums Ausfall des automatischen Bestellsystems Ausfall von wichtigen Services (File-Service, -Service, Telefonie) Bombendrohung Stromausfall Ausfall der Infrastruktur (Gebäude, Aufzüge) Feuer Hochwasser Risikoerfassung Ihre Notizen 5

6 Schadensdefinition und rechtliche Auflagen 1.3 Schadensdefinition bei Ausfall der einzelnen Kernprozesse Dies ist einer der beliebtesten Punkte innerhalb einer Risikobewertung. Gern werden hier Unternehmensberater und Consultants herangezogen, um mit Checklisten und wochenlangen Befragungen ein Ergebnis zu produzieren. Wir schlagen Ihnen vor, sich über die folgende Vorgehensweise Gedanken zu machen. Als Erstes stellen wir wieder eine Frage: Kann die Arbeit trotz Ausfalls der IT fortgesetzt werden? Risikoerfassung Ja In diesem Falle sollten Sie organisatorische Maßnahmen vorbereiten. Zum Beispiel Checklisten und Laufzettel für Bürger, um die erbrachten Leistungen zu dokumentieren und später nachpflegen und abrechnen zu können. Sie errechnen den Schaden, indem Sie schätzen, welche zeitlichen, personellen und finanziellen Ressourcen Sie benötigen, um diese Daten nachträglich in das entsprechende System einzupflegen. Je nach Länge des Ausfalls steigt dieser Aufwand, und es gehen auch mehr Daten verloren. Nein In diesem Falle sollten Sie den Jahresumsatz des Prozesses auf den Stundenumsatz herunterbrechen und zum Ansatz bringen. Beachten Sie dabei, dass Sie das Wochenende mit einem anderen Ansatz belegen, da hier oft vermindert oder gar nicht gearbeitet wird. Empfehlung: Betrachten Sie hier nicht nur die IT, sondern auch die einzelnen Prozesse. Insgesamt gesehen, ist dies eine riesige Aufgabe. Zerlegen Sie diese in die einzelnen Prozesse, und Sie werden erstaunt sein, wie schnell Sie fertig sind. Entsprechende Checklisten-Vorlagen bekommen Sie von uns. Idealerweise unterstützt Sie dabei eine spezielle Software, die Sie strukturiert durch diese Abläufe leitet Müssen rechtliche Auflagen beachtet werden? Diese Frage können nur Sie selbst beantworten: Wenn Ihre IT längere Zeit ausfällt, sind dann für Ihr Unternehmen rechtliche Konsequenzen zu erwarten? Dies können Klagen von Bürgern, Angestellten, Firmen oder Institutionen sein, die dadurch geschädigt wurden. Wichtig ist dieses, um im Notfall Folgeschäden vermeiden zu können. Kurze, prägnante Informationen sind hier für den Notfallverantwortlichen wichtig. Gehen Sie immer davon aus, dass der Verantwortliche nicht die Zeit hat, umfangreiche Dokumente zu lesen. Gehen Sie konsequent Schritt für Schritt vor. Wenn Sie diese ersten drei Punkte erledigt haben, dann haben Sie die Grundlagen für eine prozessorientierte Notfallplanung gelegt. 6

7 Personal- und Dokumentenerfassung 2.1 Personalerfassung zu den Notfallteams und zum Krisenstab Dies ist eine schnell zu erledigende Aufgabe. Erfassen Sie die Mitarbeiter (auch externe), die Sie benötigen, um Ihre IT-Infrastruktur innerhalb Ihrer Vorgaben wieder instandsetzen zu können. Dabei sind folgende Informationen wichtig: Name und Firmenzugehörigkeit/Referat/Abteilung Kontaktdaten - Telefon (Festnetz- und Mobil-), , auch privat Wo arbeitet oder wohnt der Mitarbeiter? Qualifikation des Mitarbeiters 2.2 Zuordnung des Personals zu den jeweiligen Prozessen Danach teilen Sie die Mitarbeiter den entsprechenden Notfallteams und Prozessen zu. Das Gleiche erarbeiten Sie für die Krisenstäbe. Damit ist auch diese Aufgabe erledigt. Sollten Sie eine Software einsetzen, so beachten Sie bitte, dass Sie eine AD-LDAP- oder outlook-anbindung haben, aus der Sie die Daten importieren und pflegen können. 2.3 Aufnahme der Dokumente Wie oft haben wir bei Notfällen schon erlebt, dass wichtige Dokumente nicht auffindbar waren. Sie lagen in der Buchhaltung oder in Lizenzabteilungen. Noch schlimmer waren die Fälle, in denen wichtige Wartungsverträge mit garantierten Wiederherstellungszeiten abgelaufen waren. Erfassen Sie die wichtigsten Verträge und Lizenzen, fügen Sie diese Ihrer Notfallplanung bei, und überwachen Sie die Aktualität. Ihre Notizen Notfallplanung 7

8 Infrastruktur 2.4 Aufnahme der Infrastruktur Nehmen Sie alle für den beschränkten Wiederanlauf relevanten Systeme auf. Dazu gehören: Klimaanlagen und USVs Server und virtuelle Server Switches, vor allem Core-Switches Router und Firewalls Gebäude, Serverräume und Zutrittskontrollen Telefonanlage, Internetdienst, -Services Erfassen Sie die Daten am besten nach Ihren physikalischen Standorten, damit der Notfallverantwortliche weiß, in welchem Serverraum der entsprechende Server steht. Bedenken Sie - der Notfallverantwortliche muss im Ernstfall eine Ersatzbestellung auslösen können. Dazu muss er die Spezifikation der Systeme kennen. Wir empfehlen hier, die Daten aus den Systemen auszulesen (WMI) oder vorhandene Systeme auszulesen. Denken Sie daran, dass Konfig-Sicherungen und Wartungsverträge wichtig bei der schnellen Wiederherstellung der Systeme sind. Folgende Daten sollten vorhanden sein: Hostname Systemlieferant Hersteller Seriennummer benötigte Leitungskapazität Wert des Systems (hilfreich bei der Wiederbeschaffung) Komponenten des Systems wie CPU, Festplatten und Arbeitsspeicher oder LWL-Module Software und Softwareversion oder Release-Stand Passwörter und Login-Daten IP-Adressen, Mac-Adressen der Netzwerkkarten Datensicherung und Backup Wartungs- und Lizenzverträge Notfallplanung Bei Serverräumen sollten Gebäude- und Lagepläne beigefügt werden. Ihre Hauptarbeit wird die Erstellung der Wiederanlaufpläne pro System sein; es sei denn, Sie haben diese für alle relevanten Systeme schon dokumentiert. Hier gilt es, vor der Erstellung zu überdenken, wie bestimmte immer wiederkehrende Vorgänge standardisiert werden können. Das erleichtert die Arbeit und spart unheimlich viel Zeit. Wenn Sie das geschafft haben, dann ist auch die umfangreichste Aufgabe innerhalb der IT-Notfallplanung erledigt. 2.5 Infrastruktur-Zuordnung zu den jeweiligen Prozessen Erstellen Sie jetzt die Wiederanlaufpläne für die einzelnen Prozesse. Beginnen Sie mit dem IT-Totalausfall. Alle folgenden sind in diesem enthalten, und Sie brauchen diese dann nur noch als Teilprozess abzubilden. 8

9 Notfallpläne 3. Aufrechterhaltung der Aktualität Definieren Sie Revisions-Zeiträume, in denen die IT-Notfallplanung überarbeitet werden soll. Bedenken Sie, dass die IT-Notfallplanung sehr dynamische Systeme beinhaltet. Wir empfehlen hier ein System einzusetzen, das die Möglichkeiten einer Log-Funktion und einer entsprechenden Dokumentation bietet. Wichtig dabei ist, dass Sie die Aktualität regelmäßig überprüft haben und dieses nachweisbar ist. 4. Organisatorische Notfallpläne Erstellen oder dokumentieren Sie bereits vorhandene Notfallpläne (wie Feuer oder Hochwasser) in Ihrer IT-Notfallplanung. Danach erstellen Sie Ihre individuellen Notfallpläne. 5. Analysen Analysieren Sie danach, ob die Wiederanlaufzeiten der einzelnen Systeme nicht die vorgegebene Gesamtwiederanlaufzeit der einzelnen Kernprozesse übersteigt. 6. Notfallübungen und Notfallhandbuch Fügen Sie, wie bisher beschrieben, die Daten strukturiert zusammen und fertig ist der IT-Notfallplan. Testen Sie mit ausgewählten Notfallszenarien, ob die erfassten Daten realistisch sind. Gerade Backup-Übungen ergeben, dass hier oft zu optimistisch herangegangen wurde. Sie können Ihre Notfallplanung mit Office-Programmen (wie Excel oder Word) erstellen oder eine Software anschaffen, die Sie bei dieser Arbeit unterstützt. Wir empfehlen dafür unsere Softwarelösung INDART Professional. Entscheidend ist jedoch, dass Sie dank einer aktuellen IT-Notfallplanung reagieren können. Wir wünschen Ihnen bei dieser Aufgabe viel Erfolg. Ihr CONTECHNET-Team Ihre Notizen Notfallplanung 9

10 Unsere Kunden setzen auf Qualität und Erfahrung aus Deutschland Software-gestützte Lösung IT-Notfallmanagement mit INDART Professional Erfüllung der gesetzlichen Anforderungen, der Sorgfalts- und Nachweispflicht bei Ausfall der Systeme: Vermeidung von Reputationsverlusten und politischen Turbulenzen Erfüllung der Standardvorgaben des BSI, ISO und der Wirtschaftsprüfer im Ernstfall kann nachgewiesen werden, dass nicht grob fahrlässig gehandelt wurde, dadurch Vermeidung von rechtlichen Konsequenzen finanzielle und politische Risiken werden minimiert und beziffert Ergebnisse nach Durchführung: Notfallplan IT-Betriebshandbuch Datensicherungsbericht Zusammenfassung Notfallplanung gemäß BSI 100-4? Mit INDART Professional innerhalb kürzester Zeit kein Problem. Sprechen Sie uns an - wir beraten Sie gern und für Sie kostenfrei und unverbindlich. Wir freuen uns auf Ihre Anfrage unter info@contechnet.de oder über ein persönliches Gespräch unter

11 Ihre 8 Schritte zum optimalen Notfallmanagement Risikoerfassung Aufnahme der Kernprozesse (KP), Services und Ausfallszenarien Monetäre Bewertung pro KP Rechtliche Auflagen pro KP Notfallplanung Aufnahme des Personals (intern und extern) Zuordnung Krisenstäbe zum KP Zuordnung Notfallteams zum KP Aufnahme der Infrastruktur Erstellung Wiederanlaufpläne für Kernprozesse und Services Erstellung Wiederanlaufpläne für ausgewählte Schadensszenarien... fertig! 11

12 Ihr Partner bei der Umsetzung SK-Consulting Group GmbH Osterweg Bad Oeynhausen Tel.: Fax: info@sk-consulting.com Web: IMPRESSUM Dieser IT-Leitfaden ist für Sie persönlich bestimmt und eine kostenlose Publikation (c) Sie können ihn gern weiterleiten - eine Nachahmung, gewerbliche Vervielfältigung und Veröffentlichung ist jedoch nur mit vorheriger Genehmigung und Nennen des Copyrights gestattet. Die im Leitfaden veröffentlichten Tipps und Hinweise sind Ergebnisse jahrelanger Erfahrung aus der Praxis; die Herausgeber übernehmen jedoch keinerlei Haftung für die unter Verwendung des Leitfadens erstellten individuellen Notfallplanungen, sondern empfehlen bei Bedarf eine professionelle Unterstützung.