Leitfaden für IT-Leiter/-innen in der Energiewirtschaft

Transkript

1 Leitfaden für IT-Leiter/-innen in der Energiewirtschaft

2 Grundsätzliche Überlegungen 3 Inhalt 1. Risikoerfassung 1.1 Erfassung der Kernprozesse des Unternehmens 1.2 Erfassung der IT-Services und Abbildung der Ausfallszenarien 1.3 Schadensdefinition bei Ausfall der einzelnen Kernprozesse 1.4 Müssen rechtliche Auflagen beachtet werden? Prozessorientierte Notfallplanung 2.1 Personalerfassung zu den Notfallteams und zum Krisenstab 2.2 Zuordnung des Personals zu den jeweiligen Prozessen 2.3 Aufnahme der Dokumente 2.4 Aufnahme der Infrastruktur 2.5 Infrastrukturzuordnung zu den jeweiligen Prozessen Aufrechterhaltung der Aktualität 4. Organisatorische Notfallpläne 5. Analysen 6. Notfallübungen und Notfallhandbuch Zusammenfassung Benefits und aktuelle Referenz Ihre 8 Schritte zum optimalen Notfallmanagement Checkliste Impressum 12 2

3 Bevor Sie beginnen Warum benötige ich eine IT-Notfallplanung? Die IT in einem Unternehmen, egal welcher Branche, wird immer komplexer. Wir virtualisieren immer mehr Geschäftsprozesse und Services und bilden diese auf unseren IT-Systemen ab. Wir betreiben Handelsräume, um an der Börse Strom und Gas zu erwerben. Bilanzkreisläufe müssen zu bestimmten Zeiten geschlossen und abgewickelt werden. Zum Teil gehören wir zu den kritischen Infrastrukturen in Deutschland. Wir tragen die Verantwortung gegenüber den Kunden, dauerhaft und zuverlässig Energie zu liefern, und das 24/7, an 365 Tagen im Jahr. Dies stellt uns vor die Herausforderung, unsere Infrastruktur sauber zu dokumentieren, um im Störfall schnell und effektiv handeln zu können. Einleitung Dies stellt uns vor die Fragen: Wie lange können wir ohne unsere Steuerungs- und IT-Systeme auskommen? Wann bricht die Energieversorgung zusammen? Ist Ihr Service überhaupt arbeitsfähig, wenn keine Kundendaten mehr abrufbar sind? Wie ermöglichen wir den zumindest eingeschränkten weiteren Ablauf wichtiger Prozesse und Services, wenn die gewohnten Arbeitsmittel nicht mehr zur Verfügung stehen? Die Verantwortung der IT wächst ständig. Das wirtschaftlich erfolgreiche Agieren eines Unternehmens hängt immer mehr von einer funktionierenden IT ab, die oft personell unterbesetzt ist. Damit wird das Wissen über die Systeme auf wenige Personen verteilt. Zusätzlich kaufen wir externes Know-how zu. Somit entstehen interne und externe Kopfmonopole. Da inzwischen fast alle Geschäftsprozesse von IT-Systemen unterstützt und abgebildet werden, müssen wir uns Gedanken über Verfügbarkeiten und geschäftskritische Ausfälle machen. Ab wann stellt der Ausfall unserer Prozesse ein finanzielles Risiko für uns dar, müssen wir bereits bei einem relativ kurzen Ausfall viele Mitarbeiter nach Hause schicken? Ab wann ist eine fehlende Notfallplanung grob fahrlässig, mit rechtlichen Konsequenzen? Ist der Aufbau einer Notfallplanung ohne eine Risikoermittlung überhaupt sinnvoll? Wie erstelle ich eine prozessorientierte IT-Notfallplanung? Unsere erste Empfehlung dazu ist: Beschränken Sie sich auf das Notwendige, nutzen Sie ein Tool, erfassen Sie die wichtigsten Prozesse, das notwendige Personal und die Infrastruktur. Dieses Dokument basiert auf der Grundlage des Standards des BSI, ISO 27001, SOX, BASEL II und anderen Standards. Auf den folgenden Seiten wollen wir Ihnen eine Möglichkeit aufzeigen, schnell und strukturiert Ihre Notfallplanung umzusetzen. Eine Notfallplanung zu erstellen heißt: Komplexe Vorgänge einfach und rational abzubilden, ohne auf Informationen zu verzichten. Dazu definieren Sie als Erstes, was für Sie eine Störung, einen Notfall und eine Krise darstellt. Wir hoffen, dieses Dokument hilft Ihnen weiter. Wir freuen uns über Anregungen und Kritik. Ihr CONTECHNET-Consulting Team 3

4 Kernprozesse 1.1 Erfassung der Kernprozesse Ihres Unternehmens Dieses ist ein sehr umfangreiches und abteilungsübergreifendes Verfahren. Normalerweise kann man die Informationen bei der Geschäftsführung erfragen. Teilweise ist es so, dass man darauf keine Antwort bekommt. Diese drei Fragen helfen Ihnen, die Kernprozesse zu ermitteln: Welche Prozesse sind die Hauptaufgabe meines Unternehmens? Der Ausfall welcher Prozesse meines Unternehmens zieht starken Reputationsverlust, finanziellen Schaden oder politische Unruhen nach sich? Mit welchen Prozessen erwirtschaften wir unseren Umsatz? Da oft die Kernprozesse im Unternehmen noch nicht definiert sind, ist der einfachste Ansatz, die Prozesse aus der Verfahrensbeschreibung heranzuziehen. Risikoerfassung Selektieren Sie die fünf bis zehn Prozesse, die für Ihr Unternehmen wirtschaftlich am wichtigsten sind. Für diese Prozesse setzt die IT eine für Sie realisierbare Wiederherstellungszeit bei Ausfall fest. Betrachten Sie dabei den Ausfall mit und ohne Wiederbeschaffung von defekten Komponenten. Die sich ergebende maximale Ausfallzeit kommunizieren Sie an die entsprechenden Abteilungsleiter und die Geschäftsführung. Sie haben damit eine realistische Ausgangslage für die kommende Diskussion geschaffen. Das Ergebnis aus dieser Diskussion ergibt dann die maximal tolerierbare Ausfallzeit für den entsprechenden Kernprozess. WICHTIG: Arbeiten Sie mit Vorgaben, um der Diskussion eine Grundlage zu geben. Sonst wird diese meist endlos und oft leider auch ergebnislos. 4

5 Erfassung der IT-Services und Ausfallszenarien 1.2 Erfassung der IT-Struktur und Abbildung der Ausfallszenarien Wir empfehlen hier, unabhängig von Ihrer IT-Struktur, als Erstes den IT-Totalausfall abzubilden. Danach können weitere Services abgebildet werden, wie die Domäne, SAP, Telefonanlage oder die DMZ. Der Vorteil dabei ist, dass Sie beim IT-Totalausfall einen beschränkten Wiederanlaufplan erstellen, der Ihnen bei normalen Schadensereignissen, wie Strom- oder Hardwareausfall von Kernkomponenten, einen schnellen Wiederanlauf ermöglicht. Selbst wenn nur einzelne Komponenten ausfallen, sehen Sie dann auf einen Blick, welche Komponenten funktionieren müssen, damit ein Wiederanlauf geordnet stattfinden kann. Beispiele möglicher Ausfallszenarien: intern extern Ausfall der Warenwirtschaftssysteme Ausfall des Rechenzentrums Ausfall der Steuerungssysteme Ausfall der Versorgungssysteme Ausfall des Tradings Ausfall von wichtigen Services (File-Service, -Service, Telefonie) Bombendrohung Stromausfall Ausfall der Infrastruktur (Gebäude, Aufzüge) Feuer Hochwasser Risikoerfassung Ihre Notizen 5

6 Schadensdefinition und rechtliche Auflagen 1.3 Schadensdefinition bei Ausfall der einzelnen Kernprozesse Dieses ist einer der beliebtesten Punkte innerhalb einer Risikobewertung. Gern werden hier Unternehmensberater und Consultants herangezogen, um mit Checklisten und wochenlangen Befragungen ein Ergebnis zu produzieren. Wir schlagen Ihnen vor, sich über die folgende Vorgehensweise Gedanken zu machen. Als Erstes stellen wir wieder eine Frage: Kann die Arbeit trotz Ausfalls der IT fortgesetzt werden? Risikoerfassung Ja In diesem Falle sollten Sie organisatorische Maßnahmen vorbereiten. Zum Beispiel Checklisten, um die erbrachten Leistungen zu dokumentieren und später nachpflegen und abrechnen zu können. Sie errechnen den Schaden, indem Sie schätzen, welche zeitlichen, personellen und finanziellen Ressourcen Sie benötigen, um diese Daten nachträglich in das entsprechende System einzupflegen. Je nach Länge des Ausfalls steigt dieser Aufwand, und es gehen auch mehr Daten verloren. Nein In diesem Falle sollten Sie den Jahresumsatz des Prozesses auf den Stundenumsatz herunterbrechen und zum Ansatz bringen. Beachten Sie dabei, dass Sie das Wochenende mit einem anderen Ansatz belegen, da hier oft vermindert oder gar nicht gearbeitet wird. Empfehlung: Betrachten Sie hier nicht nur die IT, sondern auch die einzelnen Prozesse. Insgesamt gesehen, ist dies eine riesige Aufgabe. Zerlegen Sie diese in die einzelnen Prozesse, und Sie werden erstaunt sein, wie schnell Sie fertig sind. Entsprechende Checklisten-Vorlagen bekommen Sie von uns. 1.4 Müssen rechtliche Auflagen beachtet werden? Diese Frage können nur Sie selbst beantworten: Wenn Ihre IT längere Zeit ausfällt, sind dann für Ihr Unternehmen rechtliche Konsequenzen zu erwarten? Dieses können Klagen von Kunden, Zulieferern, Angestellten, Bürgern, Firmen oder Institutionen sein, die dadurch geschädigt wurden. Wichtig ist dieses, um im Notfall Folgeschäden vermeiden zu können. Kurze, prägnante Informationen sind hier für den Notfallverantwortlichen wichtig. Gehen Sie immer davon aus, dass der Verantwortliche nicht die Zeit hat, umfangreiche Dokumente zu lesen. Gehen Sie konsequent Schritt für Schritt vor. Wenn Sie diese ersten drei Punkte erledigt haben, dann haben Sie die Grundlagen für eine prozessorientierte Notfallplanung gelegt. 6

7 Personal- und Dokumentenerfassung 2.1 Personalerfassung zu den Notfallteams und zum Krisenstab Dies ist eine schnell zu erledigende Aufgabe. Erfassen Sie die Mitarbeiter (auch externe), die Sie benötigen, um Ihre IT-Infrastruktur innerhalb Ihrer Vorgaben wieder instandsetzen zu können. Dabei sind folgende Informationen wichtig: Name und Firmenzugehörigkeit/Abteilung Kontaktdaten - Telefon (Festnetz- und Mobil-), , auch privat Wo arbeitet oder wohnt der Mitarbeiter? Qualifikation des Mitarbeiters 2.2 Zuordnung des Personals zu den jeweiligen Prozessen Danach teilen Sie die Mitarbeiter den entsprechenden Notfallteams und Prozessen zu. Das Gleiche erarbeiten Sie für die Krisenstäbe. Damit ist auch diese Aufgabe erledigt. 2.3 Aufnahme der Dokumente Wie oft haben wir bei Notfällen schon erlebt, dass wichtige Dokumente nicht auffindbar waren. Sie lagen in der Buchhaltung oder in Lizenzabteilungen. Noch schlimmer waren die Fälle, in denen wichtige Wartungsverträge mit garantierten Wiederherstellungszeiten abgelaufen waren. Erfassen Sie die wichtigsten Verträge und Lizenzen, fügen Sie diese Ihrer Notfallplanung bei, und überwachen Sie die Aktualität. Ihre Notizen Notfallplanung 7

8 Infrastruktur 2.4 Aufnahme der Infrastruktur Nehmen Sie alle für den beschränkten Wiederanlauf relevanten Systeme auf. Dazu gehören: Klimaanlagen und USVs Server und virtuelle Server Switches, vor allem Core-Switches Router und Firewalls Serverräume und Zutrittskontrollen Telefonanlage und Internetdienst Erfassen Sie die Daten am besten nach Ihren physikalischen Standorten, damit der Notfallverantwortliche weiß, in welchem Serverraum der entsprechende Server steht. Bedenken Sie - der Notfallverantwortliche muss im Ernstfall eine Ersatzbestellung auslösen können. Dazu muss er die Spezifikation der Systeme kennen. Wir empfehlen hier, die Daten aus den Systemen auszulesen (WMI) und zu dokumentieren. Denken Sie daran, dass Konfig-Sicherungen und Wartungsverträge wichtig bei der schnellen Wiederherstellung der Systeme sind. Folgende Daten sollten vorhanden sein: Hostname Systemlieferant Hersteller Seriennummer benötigte Leitungskapazität Wert des Systems (hilfreich bei der Wiederbeschaffung) Komponenten des Systems wie CPU, Festplatten und Arbeitsspeicher oder LWL-Module Software und Softwareversion oder Release-Stand Passwörter und Login-Daten IP-Adressen, Mac-Adressen der Netzwerkkarten Datensicherung und Backup Wartungs- und Lizenzverträge Notfallplanung Bei Serverräumen sollten Gebäude- und Lagepläne beigefügt werden. Ihre Hauptarbeit wird die Erstellung der Wiederanlaufpläne pro System sein; es sei denn, Sie haben diese für alle relevanten Systeme schon dokumentiert. Hier gilt es, vor der Erstellung zu überdenken, wie bestimmte immer wiederkehrende Vorgänge standardisiert werden können. Das erleichtert die Arbeit und spart unheimlich viel Zeit. Wenn Sie das geschafft haben, dann ist auch die umfangreichste Aufgabe innerhalb der IT-Notfallplanung erledigt Infrastruktur-Zuordnung zu den jeweiligen Prozessen Erstellen Sie jetzt die Wiederanlaufpläne für die einzelnen Prozesse. Beginnen Sie mit dem IT-Totalausfall. Alle folgenden sind in diesem enthalten, und Sie brauchen diese dann nur noch als Teilprozess abzubilden. 8

9 Notfallpläne 3. Aufrechterhaltung der Aktualität Definieren Sie Revisions-Zeiträume, in denen die IT-Notfallplanung überarbeitet werden soll. Bedenken Sie, dass die IT-Notfallplanung sehr dynamische Systeme beinhaltet. Wir empfehlen hier ein System einzusetzen, das die Möglichkeiten einer Log-Funktion und einer entsprechenden Dokumentation bietet. Wichtig dabei ist, dass Sie die Aktualität regelmäßig überprüft haben und dieses nachweisbar ist. 4. Organisatorische Notfallpläne Erstellen oder dokumentieren Sie bereits vorhandene Notfallpläne (wie Feuer oder Hochwasser) in Ihrer IT-Notfallplanung. Danach erstellen Sie Ihre individuellen Notfallpläne. 5. Analysen Analysieren Sie danach, ob die Wiederanlaufzeiten der einzelnen Systeme nicht die vorgegebene Gesamtwiederanlaufzeit der einzelnen Kernprozesse übersteigt. 6. Notfallübungen und Notfallhandbuch Fügen Sie, wie bisher beschrieben, die Daten strukturiert zusammen und fertig ist der IT-Notfallplan. Testen Sie mit ausgewählten Notfallszenarien, ob die erfassten Daten realistisch sind. Gerade Backup-Übungen ergeben, dass hier oft zu optimistisch herangegangen wurde. Sie können dies alles mit Officeprogrammen (wie Excel oder Word) erstellen oder eine Software anschaffen, die Sie bei dieser Arbeit unterstützt. Wir empfehlen dafür unsere Softwarelösung INDART Professional. Entscheidend ist jedoch, dass Sie dank einer aktuellen IT-Notfallplanung reagieren können. Wir wünschen Ihnen bei dieser Aufgabe viel Erfolg. Ihr CONTECHNET-Team Ihre Notizen Notfallplanung 9

10 Unsere Kunden setzen auf Qualität und Erfahrung aus Deutschland Software-gestützte Lösung IT-Notfallmanagement mit INDART Professional pragmatisches Vorgehen sowie schnelle und sichere Projektumsetzung Kosten und Projektumfang klar kalkulierbar Erfüllung der Standardvorgaben des BSI, ISO 27001, SOX, BASEL II und der Wirtschaftsprüfer im Ernstfall kann nachgewiesen werden, dass nicht grob fahrlässig gehandelt wurde, dadurch Vermeidung von rechtlichen Konsequenzen Ergebnisse nach Durchführung: Notfallplan IT-Betriebshandbuch Datensicherungsbericht Zusammenfassung Notfallplanung gemäß BSI 100-4, ISO und Wirtschaftsprüfer-gerecht? Mit INDART Professional innerhalb kürzester Zeit kein Problem. Sprechen Sie uns an - wir beraten Sie gern und für Sie kostenfrei und unverbindlich. Wir freuen uns auf Ihre Anfrage unter info@contechnet.de oder über ein persönliches Gespräch unter

11 Ihre 8 Schritte zum optimalen Notfallmanagement Risikoerfassung Aufnahme der Kernprozesse (KP), Services und Ausfallszenarien Monetäre Bewertung pro KP Rechtliche Auflagen pro KP Notfallplanung Aufnahme des Personals (intern und extern) Zuordnung Krisenstäbe zum KP Zuordnung Notfallteams zum KP Aufnahme der Infrastruktur Erstellung Wiederanlaufpläne für Kernprozesse und Services Erstellung Wiederanlaufpläne für ausgewählte Schadensszenarien... fertig! 11

12 Dieser Leitfaden wird Ihnen zur Verfügung gestellt von: SAC GmbH Robert-Bosch-Straße 7 D Darmstadt Tel.: Fax: vertrieb@sacgmbh.com IMPRESSUM Dieser IT-Leitfaden ist für Sie persönlich bestimmt und eine kostenlose Publikation (c) Sie können ihn gern weiterleiten - eine Nachahmung, gewerbliche Vervielfältigung und Veröffentlichung ist jedoch nur mit vorheriger Genehmigung und Nennen des Copyrights gestattet. Die im Leitfaden veröffentlichten Tipps und Hinweise sind Ergebnisse jahrelanger Erfahrung aus der Praxis; die Herausgeber übernehmen jedoch keinerlei Haftung für die unter Verwendung des Leitfadens erstellten individuellen Notfallplanungen, sondern empfehlen bei Bedarf eine professionelle Unterstützung.