Dr. Wolfgang Mahr, MBCI, CISA.

Transkript

1 IT-SeCX 2014 Fachtagung der FH St. Pölten Dr. Wolfgang Mahr, MBCI, CISA governance & continuuuity gmbh Page 1

2 Aus Sicht Information Security stellt Business Continuity Management (BCM) die Verfügbarkeit der IT sicher. IT Service Continuity Management umfasst dabei ein Notfallkonzept für die IT-Belange. Dies sind notwendige Massnahmen, die allerdings durch den Einsatz eines unternehmensweiten Business Continuity Managements komplementiert werden müssen. Erst dann ergibt sich ein umfassender Nutzen im Fall einer über die IT hinausreichenden Störung, da andere als IT-Risiken mit betrachtet werden. Das Unternehmen verfügt dann über einen höheren Schutzgrad, der für Mitarbeitende, die Geschäftsleitung, Eigentümer und Kunden einen Mehrwert bietet und die Wettbewerbsposition verbessert. Page 2

3 Physische Krisen - Feuer - Erdbeben - Stromunterbruch - Bomben - Pandemie - etc. Auswirkung auf Personen Gebäude und die IT Logische Krisen - Virus - Hacker Attacken - Denial of Serivce - Ausfall einer Applikation oder Schnittstelle - Performance Probleme - etc. Auswirkung auf die IT Systeme Krisenmanagement Business Krisen - Arbeitskämpfe - Transportprobleme - Ausfall Schlüssellieferanten - Ausfall Schlüsselmitarbeitende - etc. Finanzielle Auswirkungen Page 3

4 Prozess Business Continuity Management (BCM) is an holistic process Bedrohungen that identifies potential threats to an organization and the impacts to business operations that those threats, if realized, might cause. Widerstandsfähigkeit Gesamtunternehmen It provides a framework for building organizational resilience with the capability for an effective response that safeguards the interests of key stakeholders, reputation, brand and value-creating activities. Schutz Page 4

5 Könnte sich ihre Organisation, ihr Management oder die Mitarbeitenden von einer Krise erholen? Wie lange würde es dauern, Sie und Ihre Mitarbeitenden in den Zustand vor der Katastrophe zu bringen? Wie viel Umsatz oder Gewinn werden Sie während der Unterbrechung verlieren? Sind wichtige geschäftliche und kommerzielle Daten, Unterlagen, Aufträge, Rechnungen geschützt? Sind Ihre Mitarbeiter geschützt? Verlangen Ihre Kunden von Ihnen, einen BCM Plan zu haben? Page 5

6 IT: Backups IT: Bereitstellung von Reservekapazitäten IT: Notfallübungen IT Service Continuity Management Page 6

7 Totalausfall des Rechenzentrums bzw. Telekommunikationsinfrastruktur aus beliebigem Grund dabei wird ein Schaden angenommen, der den Betrieb über einige Tage bis Wochen verunmöglichen würde. Page 7

8 Rechnerräume Telefonanlagen Verbindungsleitungen zwischen Gebäuden Daten, die sich auf von Dritten betriebenen Systemen befinden Hausanschlüsse (Daten- und Versorgungsleitungen, Sprache, ). Hausverteilerräume der Netzwerk-Infrastruktur Page 8

9 Handbooks Process Info ICT Provider Resources Business Processes Crisis Management Processes LAN (WAN) IT Data Telco Data IT Clients Telco Clients IT Apps Telco Apps Work Area (User) Resources IT Server Telco Server WAN Furniture Environment Building Environment Building Seite 9 Page 9

10 8 1 2 Wintel iseries Mietleitung Zu ASP Filer 2TB Filer 2TB Wintel 5 PRI ADSL 6 TVA Hauptsitz Nebengebäude Page 10

11 Page 11

12 Was ist mit den anderen Risiken und Bedrohungen? Unbenützbarkeit von Arbeits- und Produktionsstätten? Es geht um die Fähigkeit, die Kernaufgaben der Unternehmung zu erfüllen! Ausfall/Verlust von Mitarbeitenden? Es geht um Menschen! Ausfall von kritischen Lieferanten und/oder Outsourcing-Partnern? Was tun, wenn mir wichtige Teile oder Dienstleistungen fehlen? Verlust von unersetzlichen Dokumenten? Habe ich meine Aufbewahrungspflichten wahrgenommen? Was tun, wenn es keine Kopien gibt? Page 12

13 Page 13

14 Normal K R I S E Das Eintreffen einer Krisensituation ist meist unerwartet und unvorbereitet, dementsprechend sind die Auswirkungen unberechenbar Page 14

15 Alarm Normal K R I S E Normal?? Vorbereitung Kontrolle Reparieren Wiederaufbau Vorbereitung Business und IT Manager Chief Risk Officer Krisenmanager Interner Security Service Krisenmanager Business und IT Manager Business und IT Manager Chief Risk Officer Lokale Krisen Manager Page 15

16 Was ist die Mission, oder der Daseinszweck der Unternehmung? Was sind die Ziele der Organisation? Wie werden die Ziele erreicht? Welche sind Produkte und Dienstleistungen der Organisation, so dass diese Ziele erreicht werden können? Was sind die Pläne für Wachstum, Downsizing, Restrukturierung, und zwar kurz-, mittel-und langfristig? Sind neue Produkte oder Dienstleistungen in Entwicklung, und wenn ja, mit welchen Fristen? Was ist der geografische Aktionsradius? Wie weit kann die geografische Auswirkung von Störungen gehen? Wie lange können Störungen dauern? Welche Ressourcen sind nötig, um der Unternehmung ein langfristiges Überleben zu ermöglichen? Page 16

17 Gibt es für die Bereitstellung der Produkte der Unternehmung viele Anbieter (Lieferanten), nur wenige oder sogar nur einen? In welchem Zeitraum könnten alternative Anbieter gefunden werden? Gibt es viele Kunden, wenige oder sogar nur einen? Sind die Kunden bereit, für ein Schutzkonzept einen gewissen Aufpreis zu zahlen? Was sind die gegenwärtigen und zu erwartenden Marktbedingungen in denen die Unternehmung tätig ist? Welche sind die Konkurrenten, und wie funktioniert der Wettbewerb? Page 17

18 Was sind die wahrscheinlichen Reaktion von Kunden und Wettbewerbern, falls der Betrieb gestört wird? Würden Konkurrenten innerhalb der Branche davon Nutzen ziehen, oder würden sie das Unternehmen unterstützen, um die Reputation der Branche zu schützen? Operiert die Unternehmung in einem regulierten Umfeld, und wenn ja, welche Vorschriften gibt es (Compliance)? Gibt es für die Produkte der Unternehmung viele Anbieter, nur wenige oder sogar nur einen? In welchem Zeitraum, könnten alternative Anbieter gefunden werden? Gibt es viele Kunden, wenige oder sogar nur einen? Sind die Kunden bereit, für ein Schutzkonzept einen gewissen Aufpreis zu zahlen?. 18

19 Lebenszyklusmodell Das Unternehmen verstehen BCM Strategie entwickeln BCM-Reaktion implementieren BCM-Kultur aufbauen Übung, Pflege und Audits durchführen Verankerung in der Unternehmung erzielen Page 19

20 20

21 21

22 Risk in % Erfassung (möglichst) aller geschäftsrelevanten Risiken: Physische Risiken Gebäude, Betriebseinrichtungen, Verkehr, Transport, Einbruch, Absichtliche Störungen Sabotage, Terrorismus, Unabsichtliche Störungen Unwissenheit, Unachtsamkeit, Lieferanten und Outsourcing-Partner Kundenverhalten Märkte, Konkurrenten Management, Schlüsselmitarbeitende Ausfallklima Risk Portfolio KlimaRZ 07USVRZ 18Hausanschl. 15WasserTVA 14WasserRZ 14WasserRZ 15WasserTVA 13BrandTVA 05BrandlastRZ kchf 01 BrandRZ 02 EinbruchRZ 03 BrandRZ400 04EinbruchRZ400 05BrandlastRZ 06KlimaRZ 07USVRZ 08DiscoRZ 09VerbLeitung 10Ausfallklima 11BrandRack 12BrandRack 13BrandTVA 16WasserRackBach 17Outsourcing 18Hausanschl. Page 22

23 Ermittlung und Auswahl der Strategien Identifizieren und Auswählen von taktischen Optionen Bestimmung der benötigten Ressourcen Kosten-Nutzen-Überlegungen Quelle: BSI Page 23

24 Entsprechende Taktiken für jede Aktivität, zur Abdeckung der Anforderungen aus den Bereichen: Menschen (Kenntnisse und Fähigkeiten) Räumlichkeiten (Gebäude und Anlagen) Ressourcen Informationstechnologie (IT) Telekommunikation Nicht elektronische (Papier-) Informationen Ausrüstungen, Anlagen Lieferanten (Produkte und Dienstleistungen von Dritten) Für produzierende Unternehmen, besondere Aufmerksamkeit auf: Produktionsverfahren Material, Logistik und Lagerbestand Strom-und Versorgungsunternehmen Page 24

25 Szenario Ressource S1 IT Hauptgebäude 1,2,3 S2 Anschluss 5 Hauptgebäude S3 TVA Hauptgebäude 6 S4 IT Nebengebäude 4 S5 Verbindung Gebäude 7 S6 Outsourcing Partner 8 Lösung L1 L2 L3 L4 L5 L6 L7 Neue Datenverbindung IT b Hochsicheres RZ a Hauptgebäude c Nebengebäude Page 25

26 IT IT Reciprocal Front Office Back Office City A Downtown Front Office Back Office City B Downtown xx km Page 26

27 Intranet Corporate Audit BCM HO Site Emergency Site Collection Unit 1 Site Unit 2 Site Unit n Site Page 27

28 BCM Policy BCM Strategy Corporate Level Crisis Management Manual CMM Crisis Management Team CMT External Care Organization Business Unit Level Business Continuity Plan BCP Business Continuity Team BCT Defined Action Responsible Due Date / Status Business Impact Analysis BIA BCM Standards, Guidelines and Recommendations Page 28

29 Technik funktionieren alle Komponenten wie geplant? Verfahren - sind die Verfahren korrekt? Logistik - arbeiten die Verfahren zusammen, in einer logischen und richtigen Art und Weise? Zeitlicher Rahmen - können die Verfahren innert der gewünschten Zeit hochgefahren werden? Administrative Verfahren - sind diese Verfahren überschaubar? Personal - sind die richtigen Leute im Spiel und haben sie die erforderlichen Fähigkeiten, Kompetenzen und Erfahrungen? Page 29

30 Schutz der Mitarbeitenden im Ereignisfall Schutz wertvoller materieller Ressourcen im Ereignisfall (Gross)-Kunden verlangen Liefertreue Überlebensfähigkeit der Firma im Ereignisfall Kürzere Wiederanlaufzeit der Firma im Ereignisfall Lieferfähigkeit im Ereignisfall ergibt Konkurrenzvorteil Schutzkonzept kann zu Imagegewinn umgemünzt werden Schutzkonzept ist Ausdruck einer hohen Professionalität Page 30

31 Schutzkonzept stellt das Unternehmen auf die gleiche Ebene wie erstklassige Grossunternehmen Schutzkonzept kann Versicherungsprämien reduzieren Schutzkonzept kann die Eintrittswahrscheinlichkeit grösserer Schäden reduzieren Schutzkonzept zeugt von (Good) Corporate Governance Im Ereignisfall können GL und Mitarbeitende planmässig und gezielt vorgehen Erhöhung des Unternehmenswerts Page 31

32 ISO EN BCMS - Requirements ISO EN BCMS - Guidance ISO 22300: Vocabulary - Societal Security ISO/IEC 27031: Information Technology Security techniques Guidelines for information and communication technology readiness for business continuity ISO/IEC 2700x: Information Security ISO 31000: Risk management Principles and Guidelines ONR 49000: Risk Management for Organisations and Systems Page 32

33 Page 33

34 BCM ist ein fortlaufender Prozess, der einer Organisation hilft, Ereignisse und Störungen zu antizipieren, diese eventuell zu verhindern, bei Eintreten darauf zu reagieren und sich davon zu erholen Überleben ist rasches Handeln und vorausschauende Planung. Sie schulden es sich und Ihren Kunden eine Organisation zu sein, die schnellstmöglich Back in Business" ist. Stellen Sie sicher, dass Sie nicht eine jener Organisationen sind, die mangels Vorbereitungen nicht in der Lage wären, zu überleben. Page 34

35 Page 35