Notfall im Rechenzentrum

Transkript

1 Notfall im Rechenzentrum Schäden Risiken - Versicherung Köln,

2 Aktivitäten AXA in der Welt der IT Pressearbeit Messeauftritt Produktentwicklung Cyber-Team Vorträge Kundenveranstaltungen AXA Versicherung AG Seite 2 - Dirk Kalinowski

3 Ein Gedankenexperiment Was wäre, wenn Sie morgen früh Ihr Unternehmen betreten und kein Computer fährt hoch, keine Kasse funktioniert, Sie können keine s senden oder empfangen, keine Lagersysteme bedienen, die Produktion läuft nicht, die Webseite ist offline? Was, wenn dies nicht nur ein oder zwei Stunden anhält, sondern auch nach drei Tagen die Systeme nicht wiederhergestellt sind? Was, wenn danach die Systeme langsam wieder anlaufen, aber alle Daten gelöscht sind: Bestellungen, Kundendatenbanken, Entwürfe, CAD-Daten, Lagerlisten etc.? Was, wenn das Rückspielen der Datensicherung nun nicht mehr funktioniert? Und wenn Sie dann Ihre Versicherung fragen: Ist das denn versichert? AXA Versicherung AG Seite 3 - Dirk Kalinowski

4 Klassische Schäden AXA Versicherung AG Seite 4 - Dirk Kalinowski

5 Feuer im RZ von Samsung : Brand in RZ von Samsung in Gwacheon, Südkorea Weltweite Auswirkung bei Nutzern von Samsung Geräten Twitter-Bilder und koreanisches Fernsehen zeigen heftiges Feuer mit starker Rauchentwicklung Keine Personenschäden Ursache vermutlich in USV-Anlage Meldungen über Brände in RZ sehr selten! AXA Versicherung AG Seite 5 - Dirk Kalinowski

6 (Kein) Feuer im RZ , 11 Uhr: Ausfall von Host-Systemen eines RZ eines großen Versicherers Ursache: Fehlalarm, der Feuerlöschung auslöste Automatisch wurde Löschgas mit hohem Druck in das RZ geleitet Dadurch 10 % der Festplatten zerstört Gegen Mittag wurde entschieden, auf Ausweich-RZ umzuschalten Wegen plötzlichem Ausfall mussten Datenbanken repariert werden Nach Tests wurden die Systeme am nächsten Tag um 7.30 Uhr wieder zur Verfügung gestellt Notfallplan hat schlimmeres verhütet muss aber weiter verbessert werden! AXA Versicherung AG Seite 6 - Dirk Kalinowski

7 Auswirkung eines IT-Schadens Beispiel: Blitz legt Rechenzentren lahm Situation Zwei große RZ mit optimalen Vorsorgemaßnahmen Verfügbarkeit von 99,95 Prozent garantiert! Schadenereignis Gewitter mit Blitzeinschlag: Blitz traf Transformator in der Nähe der RZ Explosion als Folge umfassende Sachschäden Notfall-Generatoren, die automatisch einspringen sollten, konnten nicht genutzt werden Komponente, die für Synchronisation zwischen Stromversorgung und Notstromgenerator verantwortlich war, wurde durch Explosion beschädigt Ohne Synchronisation ist eine Übernahme durch die Generatoren nicht möglich Auswirkung Teile einer Cloud-Computing-Plattform sowie eines Online Service nicht erreichbar Durch den kompletten Stromausfall Dienste für 2 h vollständig nicht erreichbar. Nach rund 12 h erst 60 % der Server wieder erreichbar AXA Versicherung AG Seite 7 - Dirk Kalinowski

8 Schadenbeispiele Planungsfehler Klimaanlage Situation Klimaanlage mit redundanter Pumpensteuerung für 2 Pumpen Schadenereignis Trotz Defekts einer Pumpe sprang die zweite Pumpe (als Redundanz) nicht an Planungsfehler der Pumpensteuerung Auswirkung Temperaturerhöhung im RZ mit Ausfall von Festplatten Schadenhöhe: Hardware Software (Kunde wollte keine Software-Versicherung abschließen) AXA Versicherung AG Seite 8 - Dirk Kalinowski

9 Schadenbeispiele Überspannung im Festplattenraid Situation Festplattenraid im RZ Schadenereignis Defekt im Netzteil führte zur Überspannung im Raidsystem Auswirkung Alle im Raid befindlichen Festplatten erlitten einen Überspannungsschaden an der Elektronik Kompletter Datenverlust! Schadenhöhe: Hardware enorm* Software (*da keine Datensicherung durchgeführt wurde) AXA Versicherung AG Seite 9 - Dirk Kalinowski

10 Reine Software -Schäden AXA Versicherung AG Seite 10 - Dirk Kalinowski

11 Angriff auf Traveltainment Was war passiert? April 2013: zielgerichteter Angriff auf statische Booking Engine der Amadeus-Tochter Traveltainment (bei vielen Online-Reisebüros eingesetzt) Vermutlich durch Spionage-Software auf einem Web-Server Diese installiert sich dann auch im Web-Browser des Urlaubers Weitere mögliche Schwachstellen könnte Lesen von Kreditkarten-Daten ermöglicht haben Schutzmaßnahmen: Traveltainment nutzt israelische Firewall, deren Wartung /a kostet PCI 1 -Zertifizierung stand kurz vor Abschluss Angriff erfolgte nicht auf das PCI-zertifizierte RZ von Amadeus in Erding - Hierauf greifen stationäre Reisebüros zu 1 PCI = Payment Card Industrie AXA Versicherung AG Seite 11 - Dirk Kalinowski

12 Angriff auf Traveltainment Folge: 60 Lizenznehmer betroffen mit hunderten Online-Präsenzen, die Traveltainment-IBE nutzen Über die Zahl der ausgespähten Kreditkartendaten keine Information Zahlreiche Kreditkarten wurden gesperrt, zum Teil nach Ankunft am Urlaubsort Imageschäden für die Buchungsportale Evtl. Schadenersatzforderungen der Finanzdienstleister AXA Versicherung AG Seite 12 - Dirk Kalinowski

13 Ausfall Webshop Was war passiert? IT-Dienstleister betreut Internetauftritt eines größeren Elektronik-Versandhandels (Web-Hosting) Aufgrund hohen Zugriffs am Ostermontag wurde der Notfallshop aktiviert Fehler bei Download Folge: Verlinkung führte auf falsche Seiten Warenkörbe gehen komplett verloren etc. Ausfallzeitraum bis Uhr, entspricht 85 % der Gesamt-Auftragseingänge Kosten: Entgangener Bruttoumsatz bei ca. 658 T Damit ein Deckungsbeitrag-Ausfall von ca. 152 T Neukundenverluste Kompensationsgeschäft in nachfolgenden Tagen Schaden konnte mit 40 T geschlossen werden AXA Versicherung AG Seite 13 - Dirk Kalinowski

14 Ausfall durch falsches Update Großunternehmen (Kfz-Hersteller) lagert RZ-Betrieb aus Altanlagen werden von neuem Betreiber übernommen und 1:1 weiterbetrieben An einem Switch, der eine Reihe von Festplatten ansteuert, wird nach einiger Zeit ein Leistungsdefizit festgestellt Hardware-Hersteller empfiehlt Aufspielen des Updates (Vorgang war aber nicht freigegeben) Betreiber des RZ war nicht vollständig informiert (ging von Freigabe aus) Risiko falsch eingeschätzt Update erfolgt bei laufendem Betrieb Produktionssystem stürzt beim Aufspielen ab Redundantes System war nicht vorhanden (nicht beauftragt aus Kostengründen) hätte Schaden vermieden Ausfallschaden von 5 Mio. beklagt (für ca. 12 h Nicht-Verfügbarkeit) AXA Versicherung AG Seite 14 - Dirk Kalinowski

15 Auswirkung eines IT-Schadens Datenverlust / Kosten 2010 kostete ein verlorener Datensatz durchschnittlich 138, in 2011 bereits 146 Nach Datenpannen mussten deutsche Firmen im Jahr 2011 durchschnittlich 3,4 Mio. * aufwenden, um den Schaden zu beseitigen Für die Entdeckung und De-Eskalation bei Datenpannen gaben Unternehmen in 2011 durchschnittlich aus * Zu den Kosten werden gerechnet: Aufdeckung, Rufschädigung, Aktienkursverluste, gestohlene Werte, Schadenbeseitigung, Systemausfälle) Quelle: Ponemon Institut für Symantec 2011 Cost of Data Breach Study AXA Versicherung AG Seite 15 - Dirk Kalinowski

16 Auswirkung eines IT-Schadens Ausfallzeit / Kosten Ursache Ausfallzeit Kosten Durchschnitt max. Durchschnitt max. Virus 17 h 400 h Mio. Fehlalarm 9 h 150 h Gezielter Angriff 130 h h Quelle: <kes>/microsoft-sicherheitsstudie 2010 AXA Versicherung AG Seite 16 - Dirk Kalinowski

17 Zum Umgang mit IT-Risiken AXA Versicherung AG Seite 17 - Dirk Kalinowski

18 Vielfältige und neuartige Bedrohungen für RZ-Betreiber Manipulation / Betrug Schutzgesetze IT-Ausfall Spionage Datenverlust Schadsoftware Haftpflichtansprüche AXA Versicherung AG Seite 18 - Dirk Kalinowski

19 Risikomanagement vermeiden vermindern versichern AXA Versicherung AG Seite 19 - Dirk Kalinowski

20 Risikoidentifikation Der Risiko-Check IT Leitfaden für die Identifizierung von IT-Risiken im Unternehmen Konkretisierung durch Abschätzung der möglichen Schadenhöhe Gesprächsleitfaden Download unter AXA Versicherung AG Seite 20 - Dirk Kalinowski

21 AXA Versicherung AG Seite 21 - Dirk Kalinowski RISIKOMATRIX für Rechenzentren

22 Zur Versicherbarkeit von IT-Risiken AXA Versicherung AG Seite 22 - Dirk Kalinowski

23 Klassische Versicherungsmöglichkeiten Potentielles Risiko Versicherungsmöglichkeit Ausfall der IT durch einen Sachschaden (z. B. Brand, Fehlbedienung, Vandalismus) Sachversicherung, z. B. Elektronikversicherung inkl. Betriebsunterbrechungsversicherung Zielgerichtete DoS- bzw. Hacker-Attacke Geheimnisverrat VertrauensschadenV: Kosten für Wiederherstellung und Mehrkosten sowie unmittelbarer Schaden (Beispiel: Telefonhacking) Löschung oder Veränderung von Daten Elektronik- (bzw. Software-)V Bei Vorsatz: VertrauensschadenV Verstoß gegen Datenschutzgesetz RechtsschutzV HaftpflichtV (auf Ausschlüsse achten!) AXA Versicherung AG Seite 23 - Dirk Kalinowski

24 Übersicht Versicherungen BetriebshaftpflichtV: Internet-Zusatzbaustein IT-Haftpflichtversicherung (RZ für Dritte / IT-Dienstleistung) Feuerversicherung / Inhaltsversicherung ElektronikV, inklusive: Softwareversicherung Betriebsunterbrechung VertrauensschadenV (enthält Online-Betrug ) RechtsschutzV: Rechtsverfolgungskosten, Strafrechtsschutz NEU! Cyber-Versicherung AXA Versicherung AG Seite 24 - Dirk Kalinowski

25 Übersicht Versicherung RZ eigenes extern Cyber-Versicherung Eigene Fremde Eigene Daten Daten Daten ElektronikV BU Datenschutz Löschung HaftpflichtV ByteProtect Haftpflicht BU Datenschutz AXA Versicherung AG Seite 25 - Dirk Kalinowski

26 AXA Versicherung AG Seite 26 - Dirk Kalinowski ElektronikV

27 Elektronikversicherungen Überblick Elektronik- Sachversicherung Datenversicherung Softwareversicherung Mehrkostenversicherung Betriebsunterbrechungsversicherung AXA Versicherung AG Seite 27 - Dirk Kalinowski

28 Elektronikversicherung - Sachkosten Versicherte Sachen Hardware Klimaanlage Betriebssystem Versicherungssumme Neuwert (Listenpreis) AXA Versicherung AG Seite 28 - Dirk Kalinowski

29 Elektronikversicherung Sachkosten Versicherte und nicht versicherte Schäden Versichert: Feuer, Blitzschlag, Explosion Einbruchdiebstahl Leitungswasser Wasser jeglicher Art, inklusiv Überschwemmung Unsachgemäße Handhabung Bedienungsfehler Vorsatz Dritter Überspannung jeglicher Art Konstruktions-, Material- oder Ausführungsfehler Einbruchdiebstahl Diebstahl einfacher Raub Plünderung Nicht versichert: Vorsatz des Versicherungsnehmers Vorsatz der Repräsentanten Kriegsereignisse Innere Unruhen Erdbeben AXA Versicherung AG Seite 29 - Dirk Kalinowski

30 Elektronik- Daten- und Softwareversicherung Datenversicherung TK 1911 Softwareversicherung TK 1928 Entschädigung, sofern der Verlust, die Veränderung oder die Nichtverfügbarkeit von Daten oder Programmen eingetreten ist infolge: Schaden am Datenträger Schaden an der EDVA Blitzeinwirkung Schaden am Datenträger Schaden an der EDVA Blitzeinwirkung Ausfall oder Störung der Hardware, der Stromversorgung oder der Klimaanlage Bedienungsfehler Vorsatz Dritter Überspannung Elektrostatische Aufladung Elektromagnetische Störung aber nicht durch Malware AXA Versicherung AG Seite 30 - Dirk Kalinowski

31 Elektronik- Mehrkostenversicherung Versichert sind die im Versicherungsvertrag bezeichneten zeitabhängigen Mehrkosten, zeitunabhängigen Mehrkosten, insbesondere für die Benutzung anderer Anlagen die Anwendung anderer Arbeitsverfahren die Inanspruchnahme von Lohn-Dienstleistungen insbesondere für einmalige Umprogrammierung Umrüstung behelfsmäßige Wiederinstandsetzung vorläufige Wiederinstandsetzung AXA Versicherung AG Seite 31 - Dirk Kalinowski

32 Elektronik- Betriebsunterbrechungsversicherung Entschädigung für fortlaufende (umsatzunabhängige) Kosten und entgangenen Gewinn als Folge eines Sachschadens AXA Versicherung AG Seite 32 - Dirk Kalinowski

33 Cyber-Versicherung ByteProtect AXA Versicherung AG Seite 33 - Dirk Kalinowski

34 Cyber-Versicherung Deckungsumfang Welche Deckungsbestandteile beinhalten heutige Cyber- Versicherungen? Ertragsausfall und Mehrkosten Sachverständigenkosten (z. B. Forensik) Datenwiederherstellung Krisen- und Reputationsmanagement Informationskosten bei Datenschutzverletzungen Lösegeld bei Erpressung Betrugsschaden (Vertrauensschaden) Vermögensschaden-Haftpflicht aufgrund benannter Gefahren AXA Versicherung AG Seite 34 - Dirk Kalinowski

35 Deckungsumfang ByteProtect Beispiel: Ertragsausfall Versichert sind Ertragsausfall Mehrkosten aufgrund Unterbrechung oder Beeinträchtigung der technischen Einsatzmöglichkeit externer Netze sowie Daten und Programme Aufgrund folgender Ereignisse DoS-Attacke Zielgerichteter Hacker-Angriff Bedienungsfehler eigener Mitarbeiter Vorsätzliche Manipulation durch eigene Mitarbeiter Ausfall Telekommunikation oder Webseite Ausfall des IT-Dienstleisters (bzw. des Zugangs) AXA Versicherung AG Seite 35 - Dirk Kalinowski

36 Nutzenaspekte von ByteProtect Betriebsunterbrechung weil Daten und Programme nicht zur Verfügung stehen: Übernahme der laufende Kosten, Gewinnverlust sowie von Mehrkosten, Sachverständigen- Untersuchung, IT-Beratung Auch bei Ausfall der Telekommunikation Auch bei Fehlern oder bewusster Manipulation eigener Mitarbeiter Auch bei Ausfall externer IT-Dienstleister(Cloud) Befall der EDV mit Schadsoftware: Übernahme der Kosten für Sachverständigen-Untersuchungen und Beratung sowie von Haftpflichtansprüchen Dritter Datenschutzvorfall: Übernahme von Kosten für Forensik, Information von Behörden und betroffenen Personen, Reputationsmanagement, Krisenberatung, Rechtsberatung, Haftpflichtansprüche Betrug oder Erpressung: Übernahme der Vermögensverluste bzw. des Lösegeldes, Kosten für Forensik, Krisen- und Rechtsberatung Datenverlust/-inkonsistenz durch Aktivität von Schadprogrammen oder Hackern von außen: Übernahme von Kosten für Sachverständige, Beratung zur IT-Sicherheit, Datenwiederherstellung bzw. Erwerb von Lizenzen Spionage: Übernahme von Kosten für Forensik, Rechts- und Krisenberatung Haftpflichtansprüche aufgrund Manipulation von Webseite, Schadcodeübertragung etc.: Übernahme von Abwehrkosten, Ausgleich von Ansprüchen, Kosten für Forensik Auch bei Fällen in den USA! Auch für Urheberrechtsverletzungen! AXA Versicherung AG Seite 36 - Dirk Kalinowski

37 Was erwartet der Versicherer von Ihnen? 1. Schadenminderung ( Stand der Technik ) = Pflicht! - Zur Vorbeugung - Im Schadenfall: z. B. Notfall-/Wiederanlaufplan! 2. Schadenminderung 3. Schadenminderung 4. Obliegenheiten: Datensicherung AV/Firewall Rauchmelder / ED-Schutz 5. Beeinflussung der Prämienhöhe? Unterdurchschnittliche Risikoabsicherung: Versicherbarkeit? Überdurchschnittliche Risikoabsicherung: Prämienreduzierung? AXA Versicherung AG Seite 37 - Dirk Kalinowski

38 Was sollen Sie als RZ-Leiter heute mitnehmen? 1. Betrachten Sie auch die wirtschaftliche Seite des IT-Risikos insbesondere bei Kalkulation des Ausfall-Risikos (eigenes und das Dritter) 2. Unterstützen Sie die kompetente Erstellung eines unternehmerischen RM-Systems (z. B. Risiko-Check IT der AXA, Erstellung einer Risikomatrix) - Suchen Sie den Dialog zwischen kaufmännischer Leitung und IT-Leitung! - Angebot eines moderierten Risiko-Workshops! 3. Beraten Sie die GF bei der angemessenen Auswahl der Risikobewältigungsmaßnahmen, auch des Versicherungsschutzes denken Sie dabei an die neuen Versicherungsmöglichkeiten (Cyber / sachschadenunabhängige BU) 4. Stellen Sie sicher, dass Obliegenheiten und Deckungsvoraussetzungen des Versicherers eingehalten werden, um im Schadenfall die Deckung nicht zu gefährden kennen Sie die Versicherungsbedingungen? 5. Helfen Sie mit, die Risikosituation gegenüber dem Versicherer korrekt und vollständig darzustellen, um Prämie zu sparen AXA Versicherung AG Seite 38 - Dirk Kalinowski

39 Vielen Dank für Ihre Aufmerksamkeit AXA Versicherung AG Seite 39 - Dirk Kalinowski

40 Visitenkarte AXA Versicherung AG Dirk Kalinowski Produktmanager IT und Cyber Colonia-Allee 10 20, Köln Tel.: +49 (0)221 / dirk.kalinowski@axa.de AXA Versicherung AG Seite 40 - Dirk Kalinowski