3/22/2010. Was ist Business Continuity? Business Continuity (Vollversion) Interface to other operational and product processes

Transkript

1 Business Continuity Management für KMUs Hagenberg, 24 März 2010 Dr. L. Marinos, ENISA Was ist Business Continuity? Business Continuity ist die Fähigkeit, die Geschäfte in einer akzeptablen Form fortzuführen. Preisgünstig Verständlich Praktisch Auf längere Sicht leistbar Business Continuity (Vollversion) Interface to other operational and product processes Adapted Risk Management Activities Define BCM Framework Initiate BCM Programme Conduct Business Impact Analysis Assess Risks and Impacts Analyze Results Prioritize Recovery Define Critical Resource Requirements Design BCM Approach Determine Recov. Options Agree Recovery Strategy Design BCP Deliver BCP Incident Response Plan Identify the Organisation Assign BCM and Incident Responsibilities Define BCM Policy Recurrence Long term Middle term Short term Test BCP Determine Type of Test Write Test Plan Conduct Test Deliver Debrief/Test Report Sustain BCM Programme Train Staff Maintain and Review BCP Develop Awareness Incident Management Plan Business Recovery Plan Recovery Support Plan Communications and Media Plan IT Service Continuity Plan Business Resumption Plan 1

2 Vor /Nachteile Detailliert und genau Gut integrierbar Spezielle Schnittstellen zum Management Ressource intensiv Schwer zu beherrschen Overkill für kleine Organisationen KMU Arbeitshypothese KMUs sind aus Geschäftstüchtigkeit entstanden und haben oft sehr wenig Mittel zur Verfügung Die meisten KMU Manager (i.d.r. Besitzer) haben ein geringes Kenntnis zum BC. KMUs sind nicht in der Lage, BC Funktionen in vollem Umfang umzusetzen. Auch wenn IT Erfahrung vorliegt, Sicherheits und Verfügbarkeitskonzepte sind unbekannt. Sie nutzen standardisierte IT Komponenten. Die Verbreitung von BC Konzepten durch Verbände/Multiplikatoren wird die Akzeptanz erhöhen. Business Continuity Light Geringe Expertise im Fachgebiet Klar strukturiert Balance aa zwischen Vereinfachung ee gund Ergebnis Nachvollziehbare Beziehung zwischen den Ergebnistypen Gute Basis zum Wissenstransfer 2

3 ENISA Ansatz Phase 1: Ermittlung des Risikoprofils Risk Areas High Medium Low Legal and Regulatory The organization handles The organization handles personal The organization does not sensitive/personal customer customer information as defined handle personal data of information as defined by the EU by the EU Data Protection Law. individuals other than those Data Protection Law. employed by the organization. Retention of the aforementioned Loss and / or destruction of the aforementioned data will lead to Retention of the data is mandatory by Government legal fines from Regulatory Bodies. aforementioned data is not Regulations. Loss and / or mandatory by Government destruction of this data will lead to Failure to meet agreed SLAs with Regulations. Loss and / or significant legal fines from corporate customers regarding destruction of the data will not Regulatory Bodies. availability of product and / or lead to legal fines from Failure to meet agreed SLAs with service offerings may result in nonfrivolous lawsuits. Regulatory Bodies. corporate customers regarding Fil Failure to meet agreed SLAs availability of product and / or with corporate customers service offerings will result in nonfrivolous regarding availability of product lawsuits. and / or service offerings may result in frivolous lawsuits. Productivity Financial Stability Reputation and Loss of Customer Confidence Unavailability of service has direct Unavailability of service has direct Unavailability of service cannot impact on reputation, resulting impact on reputation, resulting have impact on reputation, thus in significant loss of thus in considerable loss of remaining thus unnoticed or customers using products and customers using products and marginally noticed by services though automated services though automated customers. interfaces. interfaces. Phase 1 in der Doku 3

4 Phase 2: Identifikation kritischer Werte Kritische Geschäftsfunktionen Ermittlung der Wiederherstellungspriorität Funktion nutzt Komponente Kritische Komponenten Beziehung Funktion/Komponente Phase 2 in der Doku Phase 3: Auswahl der Maßnahmen Klassifikation aus dem Risikoprofil Nutze Klassifikation Maßnahmen pro Klasse pro Wertetyp Für Wertetyp finde Maßnahmen für Klassifikation Maßnahmenstärke pro Wiederherstellungspriorität Für Maßnahme finde Stärke nach Priorität 4

5 Phase 3 in der Doku Phase 4: Umsetzung und Management Soll-Ist-Vergleich Welche von den Maßnahmen sind bereits vorhanden? Umsetzungsentscheidung Wie soll die Umsetzung erfolgen? Wie itdi ist die Pi Priorisierung? ii Erstellung Business Continuity Plan BCP als Gesamtdokumentation für den Notfall Phase 4 in der Doku 5

6 Bestandteile der Dokumentation Mit jeder Phase liefern wir Detaillierte Ablaufdiagramme Templates zur Erfassung der Daten pro Phase/Schritt Maßnahmenkataloge Struktur eines BCP und Ein Beispiel Weitere kollateralle Inhalte (I) Herleiten eines detaillierten Risikoprofils: Das Risikoprofil ist entscheidend für das Gesamtkonzept Nicht Experte sollten in der Lage sein, ihr Risikoprofil in einfacher Weise zu erzeugen Das Risikoprofil sollte keine Trockenübung sein Es sollte als Input zur Erzeugung von Continuity Anforderungen dienen Es sollte zur Auswahl von Werkzeugen dienen Weitere kollateralle Inhalte (II) Verfolgung eines modularen Ansatzes: Business Continuity ist Teil eines Sicherheitsmanagements Es hat Überschneidungen mit Risikomanagement Der Ansatz sollte sich leicht als Werkzeug umsetzen lassen Einzelne Bestandteile sollten leicht adaptierbar sein Der Ansatz sollte Freiheitsgrade enthalten Angesteuert durch Aktivitäten von Herrn Neudorfer 6

7 Wie geht es weiter? Publikation des Ansatzes Auslotung der Möglichkeiten einer Pilotierung Auslotung der Möglichkeit einer Werkzeugentwicklung (wie security.eu) Integration aller relevanter Bestandteile Fortsetzung der Zusammenarbeit i.s. von Trainees Eingehen von Partnerschaften mit Multiplikatoren Danke für Ihre Aufmerksamkeit. ENISA Risk Management Web Pages: 7