ISSS Security Lunch Zürich, 24. Juni Dr. Wolfgang Mahr, MBCI, CISA. governance & continuuuity gmbh.

Transkript

1 ISSS Security Lunch Zürich, 24. Juni 2010 Dr. Wolfgang Mahr, MBCI, CISA governance & continuuuity gmbh Page 1

2 Aus Sicht Information Security stellt Business Continuity Management (BCM) die Verfügbarkeit der IT sicher. IT Service Continuity Management umfasst dabei ein Notfallkonzept für die IT-Belange. Dies sind notwendige Massnahmen, die allerdings durch den Einsatz eines unternehmensweiten Business Continuity Managements komplementiert werden müssen. Erst dann ergibt sich ein umfassender Nutzen im Fall einer über die IT hinausreichenden Störung, da andere als IT-Risiken mit betrachtet werden. Das Unternehmen verfügt dann über einen höheren Schutzgrad, der für Mitarbeitende, die Geschäftsleitung, Eigentümer und Kunden einen Mehrwert bietet und die Wettbewerbsposition verbessert. Page 2

3 Physische Krisen - Feuer - Erdbeben - Stromunterbruch - Bomben - Pandemie - etc. Auswirkung auf Personen Gebäude und die IT Logische Krisen - Virus - Hacker Attacken - Denial of Serivce - Ausfall einer Applikation oder Schnittstelle - Performance Probleme - etc. Auswirkung auf die IT Systeme Krisenmanagement Business Krisen - Arbeitskämpfe - Transportprobleme - Ausfall Schlüssellieferanten - Ausfall Schlüsselmitarbeitende - etc. Finanzielle Auswirkungen Page 3

4 Prozess Business Continuity Management (BCM) is an holistic process Bedrohungen that identifies potential threats to an organization and the impacts to business operations that those threats, if realized, might cause. Widerstandsfähigkeit Gesamtunternehmen It provides a framework for building organizational resilience with the capability for an effective response that safeguards the interests of key stakeholders, reputation, brand and value-creating activities. Schutz Page 4

5 IT: Backups IT: Bereitstellung von Reservekapazitäten IT: Notfallübungen IT Service Continuity Management Page 5

6 Totalausfall des Rechenzentrums bzw. Telekommunikationsinfrastruktur aus beliebigem Grund dabei wird ein Schaden angenommen, der den Betrieb über einige Tage bis Wochen verunmöglichen würde. Page 6

7 Rechnerräume Telefonanlagen Verbindungsleitungen zwischen Gebäuden Daten, die sich auf von Dritten betriebenen Systemen befinden Hausanschlüsse (ADSL, Sprache, ). Hausverteilerräume der Netzwerk-Infrastruktur Page 7

8 Handbooks Process Info ICT Provider Resources Business Processes Crisis Management Processes LAN (WAN) IT Data Telco Data IT Clients Telco Clients IT Apps Telco Apps Work Area (User) Resources IT Server Telco Server WAN Furniture Environment Building Environment Building Seite 8 Page 8

9 8 1 2 Wintel iseries Mietleitung Zu ASP Filer 2TB Filer 2TB Wintel 5 PRI ADSL 6 TVA Hauptsitz Nebengebäude Page 9

10 Page 10

11 Was ist mit den anderen Risiken und Bedrohungen? Unbenützbarkeit von Arbeits- und Produktionsstätten? Es geht um die Fähigkeit, die Kernaufgaben der Unternehmung zu erfüllen! Ausfall/Verlust von Mitarbeitenden? Es geht um Menschen! Ausfall von kritischen Lieferanten und/oder Outsourcing-Partnern? Was tun, wenn mir wichtige Teile oder Dienstleistungen fehlen? Verlust von unersetzlichen Dokumenten? Habe ich meine Aufbewahrungspflichten wahrgenommen? Was tun, wenn es keine Kopien gibt? Page 11

12 Page 12

13 Normal K R I S E Das Eintreffen einer Krisensituation ist meist unerwartet und unvorbereitet, dementsprechend sind die Auswirkungen unberechenbar Page 13

14 Alarm Normal K R I S E Normal?? Vorbereitung Kontrolle Reparieren Wiederaufbau Vorbereitung Business und IT Manager Chief Risk Officer Krisenmanager Interner Security Service Krisenmanager Business und IT Manager Business und IT Manager Chief Risk Officer Lokale Krisen Manager Page 14

15 Was ist ihre Mission, oder ihr Daseinszweck? Was sind die Ziele der Organisation? Wie werden die Ziele erreicht? Welche sind Produkte und Dienstleistungen der Organisation, so dass diese Ziele erreicht werden können? Was sind die Pläne für Wachstum, Downsizing, Restrukturierung, und zwar kurz-, mittel-und langfristig? Sind neue Produkte oder Dienstleistungen in Entwicklung, und wenn ja, mit welchen Fristen? Was ist der geografische Aktionsradius? Wie weit kann die geografische Auswirkung von Störungen gehen? Wie lange können Störungen dauern? Welche Ressourcen sind nötig, um der Unternehmung ein langfristiges Überleben zu ermöglichen? Page 15

16 Gibt es für die Produkte der Unternehmung viele Anbieter, nur wenige oder sogar nur einen? In welchem Zeitraum, könnten alternative Anbieter gefunden werden? Gibt es viele Kunden, wenige oder sogar nur einen? Sind die Kunden bereit, für ein Schutzkonzept einen gewissen Aufpreis zu zahlen? Was sind die gegenwärtigen und zu erwartenden Marktbedingungen in denen die Unternehmung tätig ist? Welche sind die Konkurrenten, und wie funktioniert der Wettbewerb? Page 16

17 Was sind die wahrscheinlichen Reaktion von Kunden und Wettbewerbern, falls der Betrieb gestört wird? Würden Konkurrenten innerhalb der Branche davon Nutzen ziehen, oder würden sie das Unternehmen unterstützen, um die Reputation der Branche zu schützen? Operiert die Unternehmung in einem regulierten Umfeld, und wenn ja, welche Vorschriften gibt es (Compliance)? Gibt es für die Produkte der Unternehmung viele Anbieter, nur wenige oder sogar nur einen? In welchem Zeitraum, könnten alternative Anbieter gefunden werden? Gibt es viele Kunden, wenige oder sogar nur einen? Sind die Kunden bereit, für ein Schutzkonzept einen gewissen Aufpreis zu zahlen?. 17

18 Lebenszyklusmodell Das Unternehmen verstehen BCM Strategie entwickeln BCM-Reaktion implementieren BCM-Kultur aufbauen Übung, Pflege und Audits durchführen Verankerung in der Unternehmung erzielen Page 18

19 19

20 Risk in % Erfassung (möglichst) aller geschäftsrelevanten Risiken: Physische Risiken Gebäude, Betriebseinrichtungen, Verkehr, Transport, Einbruch, Absichtliche Störungen Sabotage, Terrorismus, Unabsichtliche Störungen Unwissenheit, Unachtsamkeit, Lieferanten und Outsourcing-Partner Kundenverhalten Märkte, Konkurrenten Management, Schlüsselmitarbeitende Ausfallklima Risk Portfolio KlimaRZ 07USVRZ 18Hausanschl. 15WasserTVA 14WasserRZ 14WasserRZ 15WasserTVA 13BrandTVA 05BrandlastRZ kchf 01 BrandRZ 02 EinbruchRZ 03 BrandRZ400 04EinbruchRZ400 05BrandlastRZ 06KlimaRZ 07USVRZ 08DiscoRZ 09VerbLeitung 10Ausfallklima 11BrandRack 12BrandRack 13BrandTVA 16WasserRackBach 17Outsourcing 18Hausanschl. Page 20

21 Ermittlung und Auswahl der Strategien Identifizieren und Auswählen taktischen Optionen Bestimmung der benötigten Ressourcen Kosten-Nutzen-Überlegungen Quelle: BSI Page 21

22 Entsprechende Taktiken für jede Aktivität, zur Abdeckung der Anforderungen aus den Bereichen: Menschen (Kenntnisse und Fähigkeiten) Räumlichkeiten (Gebäude und Anlagen) Ressourcen Informationstechnologie (IT) Telekommunikation Nicht elektronische (Papier-) Informationen Ausrüstungen, Anlagen Lieferanten (Produkte und Dienstleistungen von Dritten) Für produzierende Unternehmen, besondere Aufmerksamkeit auf: Produktionsverfahren Material, Logistik und Lagerbestand Strom-und Versorgungsunternehmen Page 22

23 Szenario Ressource S1 IT Hauptgebäude 1,2,3 S2 Anschluss 5 Hauptgebäude S3 TVA Hauptgebäude 6 S4 IT Nebengebäude 4 S5 Verbindung Gebäude 7 S6 Outsourcing Partner 8 Lösung L1 L2 L3 L4 L5 L6 L7 Neue Datenverbindung IT b Hochsicheres RZ a Hauptgebäude c Nebengebäude Page 23

24 IT IT Reciprocal Front Office Back Office City A Downtown Front Office Back Office City B Downtown xx km Page 24

25 Intranet Corporate Audit BCM HO Site Emergency Site Collection Unit 1 Site Unit 2 Site Unit n Site Page 25

26 BCM Policy BCM Strategy Corporate Level Crisis Management Manual CMM Crisis Management Team CMT External Care Organization Business Unit Level Business Continuity Plan BCP Business Continuity Team BCT Defined Action Responsible Due Date / Status Business Impact Analysis BIA BCM Standards, Guidelines and Recommendations Page 26

27 Technik funktionieren alle Komponenten wie geplant? Verfahren - sind die Verfahren korrekt? Logistik - arbeiten die Verfahren zusammen, in einer logischen und richtigen Art und Weise? Zeitlicher Rahmen - können die Verfahren innert der gewünschten Zeit hochgefahren werden? Administrative Verfahren - sind diese Verfahren überschaubar? Personal - sind die richtigen Leute im Spiel und haben sie die erforderlichen Fähigkeiten, Kompetenzen und Erfahrungen? Page 27

28 Schutz der Mitarbeitenden im Ereignisfall Schutz wertvoller materieller Ressourcen im Ereignisfall (Gross)-Kunden verlangen Liefertreue Überlebensfähigkeit der Firma im Ereignisfall Kürzere Wiederanlaufzeit der Firma im Ereignisfall Lieferfähigkeit im Ereignisfall ergibt Konkurrenzvorteil Schutzkonzept kann zu Imagegewinn umgemünzt werden Schutzkonzept ist Ausdruck einer hohen Professionalität Page 28

29 Schutzkonzept stellt das Unternehmen auf die gleiche Ebene wie erstklassige Grossunternehmen Schutzkonzept kann Versicherungsprämien reduzieren Schutzkonzept kann die Eintrittswahrscheinlichkeit grösserer Schäden reduzieren Schutzkonzept zeugt von (Good) Corporate Governance Im Ereignisfall können GL und Mitarbeitende planmässig und gezielt vorgehen Erhöhung des Unternehmenswerts Page 29

30 Ein BCM-Projekt kann in 3-4 Monaten konkrete Resultate zeigen ist nicht nur auf IT und Telekommunikation beschränkt benötigt die Unterstützung der Unternehmensleitung und einen BCM-Manager dient der Corporate Governance, speziell dem Qualitäts- und Risikomanagement des Unternehmens sollte mit Vorteil gemäss Good Practice Guidelines bzw. Standards strukturiert sein ist eigentlich kein Projekt sondern ist ein Prozess, der die Unternehmensentwicklung unterstützt und begleitet erzielt umfassenden Nutzen für die Unternehmung Page 30

31 Page 31