Anzeige

Notfall

Auf den kritischen IT-Vorfall vorbereiten: Verpflichtend ist IT Service Continuity Management (ITSCM) lediglich für Banken, Versicherungen und Betreiber kritischer Infrastrukturen.

Standard sollte es in allen Branchen sein, denn es stellt sicher, dass die durch IT unterstützten zeitkritischen im IT-Notfall funktionieren oder in einer akzeptablen Zeit wiederhergestellt werden können - und kann entscheidend für das unternehmerische Überleben sein. ITSCM leistet einen maßgeblichen Beitrag zur Widerstandsfähigkeit, Kontinuität und Stabilität von Unternehmen. ITSCM ist Teilgebiet des Business Continuity Management (BCM) mit Fokus auf Verfügbarkeit der IT-Infrastrukturen, IT-Systeme und Anwendungen bei kritischen IT-Vorfällen.

Während sich BCM proaktiv mit den potenziellen Auswirkungen bei Ausfall von Gebäuden, Personal und Dienstleistern auf die zeitkritischen Geschäftsprozesse auseinandersetzt, plant es für den Ausfall IT „nur“ die manuellen Überbrückungsmaßnahmen. Die Planung der Verfügbarkeit und des koordinierten Wiederanlaufs ggfs. Wiederherstellung von Rechenzentren, IT-Infrastrukturen oder IT-Systemen innerhalb der vom BCM vorgegebenen Parameter übernimmt das ITSCM. ITSCM als integraler Bestandteil einer Organisation verschafft ihr somit die Fähigkeit, trotz eines kritischen IT-Vorfalls die benötigten IT-Services auf einem, vom BCM vordefinierten Mindestlevel liefern zu können oder sie in einer akzeptablen Zeit wiederherzustellen. Dafür muss sichergestellt werden, dass bestehende Risiken für die IT-Infrastrukturen und IT-Systeme gemanagt werden, sodass das Unternehmen oder der beauftragte IT Service-Provider immer mindestens die vereinbarten Serviceziele bereitstellen kann. In Abstimmung mit dem BCM-Prozess setzt das ITSCM formale Techniken für die Risikobewertung ein. So werden Risiken reduziert und der Wiederanlauf von IT-Services geplant und vorbereitet.

Rechtzeitig vorbeugen

Beim Aufbau des Systems stimmen Spezialisten ITSCM-Organisation und BCM-Organisation miteinander ab und achten darauf, dass IT-Normalbetrieb und IT-Notbetrieb zusammenpassen. Dafür müssen vor Eintritt des Ernstfalls Regeln in der ITSCM-Policy definiert und die Etablierung der ITSCM Organisation abgestimmt werden. Ein zu erstellendes Handbuch mit taktischen Vorgaben für den Prozess sollte die Methodik beschreiben und Arbeitsanweisungen für den ITSC-Manager und die ITSC-Koordinatoren enthalten.

Kompetenzen aufbauen

Die ITSCM-Policy ist Statement und Freigabe der IT-/ Unternehmens-Leitung zur Umsetzung eines ITSCMS und bildet die Basis für den Prozess, beschreibt mittel- und langfristige Ziele. Sie definiert auch die Schnittstellen und Erwartungen an andere Prozesse und macht das ITSCM bis zu einem bestimmten Grad messbar. Für den Erfolg ist wichtig, dass alle Mitarbeiter mit ITSCM-Aufgaben über entsprechende Kompetenz verfügen – durch Schulung, Training, aber auch durch aktives Handeln.

Soll-Anforderungen Tatsachen gegenüberstellen

Sind die grundsätzlichen Voraussetzungen geschaffen und ein Bewusstsein für die Wichtigkeit eines ITSCMS vorhanden, ist die Gap-Analyse elementarer Schritt - die Auswahl der ITSC-Lösungsoptionen baut hierauf auf. In der jährlich durchzuführenden Gap-Analyse erfolgt unter anderem der Abgleich von Soll und Ist für Kontinuitätsziele der Anwendungen RTO / RTA sowie RPO / RPA. Zudem wird die Frage beantwortet, welche IT-Infrastrukturen,  IT-Systeme und Anwendungen für die ermittelten  zeitkritischen Geschäftsprozesse benötigt werden. Zudem erfolgt ein Vergleich der RTO-/ RPO-Werte (Soll) mit den RTA-/ RPA-Werten (Ist). Erkannte Soll / Ist – Abweichungen können durch Anpassungen in der IT oder durch Verlängern der Überbrückungsmaßnahmen im BCM geschlossen werden.

Was geschieht mit gefundenen Risiken?

Um sich einen Gesamtüberblick zu verschaffen hilft es, sogenannte „Riskocluster“ zu bilden, die jeweils wiederum umfangreiche Fragegruppen umfassen. Für jedes Worst-Case-Szenario - wie Ausfall eines Rechenzentrums (RZ), Nicht-Zugänglichkeit eines Rechenzentrums oder der Ausfall WAN - muss in dem ITSC-Lösungskonzept eine Definition erfolgen. Konkret muss beispielsweise geklärt werden, was der „Ausfall eines RZ“ für die Organisation bedeutet. Für jedes Szenario müssen sinnvolle und umsetzbare Lösungen festgelegt werden.

Schritt für Schritt zum Lösungskonzept

Die Gap-Analyse vergleicht die Ergebnisse der Business-Impact-Analyse (BIA) mit der aktuellen Situation und identifiziert die Lücken hinsichtlich geforderter Wiederanlaufzeiten, Mindestlevel des IT-Notbetriebs oder des maximal akzeptierbaren Datenverlustes.. Basierend auf den Ergebnissen der  Gap-Analyse können durch Analyse „Folgeschäden versus Investitionen“ die optimalen ITSC-Lösungsoptionen ermittelt werden. – Aus der Entscheidung ergibt sich das ITSC-Lösungskonzept, in dem alle Lösungen in einem Dokument zusammengefasst werden. Das Konzept dokumentiert die eingesetzten Continuity-Strategien auf Ebene der jeweils eingesetzten Technologie und in Abstimmung mit dem Continuity Management

IT – Zwei Buchstaben, aber eine hohe Komplexität

Oftmals ist in der Praxis von IT-Notfallplan oder ITSC-Plan die Rede. Das könnte darauf schließen lassen, es gäbe nur einen Plan. Richtig ist vielmehr: Es gibt eine Vielzahl an Plänen: Ihre Gesamtheit nennt sich ITSC-Plan.

1. Reaktionsplan

Kompakte Zusammenfassung grundlegender Abläufe: Der Reaktionsplan soll den Krisenstab während eines kritischen IT-Vorfalls unterstützen. Er besteht nicht aus langen Texten über das „Warum“, ist eher eine Sammlung methodischer Hilfsmittel. Er enthält unter anderem die Antwort darauf, wie der kritische IT-Vorfall ausgerufen wird, Sofortmaßnahmen sowie Hilfestellung zu Erstbewertung und Kommunikation.

2. Koordinationspläne

Die Betonung liegt auf dem Plural, es gibt einen ursachenunspezifischen Plan je Ausfallszenario. Diese Pläne begleiten den Wiederanlauf strukturiert bis zum Ende des IT-Notbetriebes und geben einen Überblick über das Zusammenwirken der Pläne während des Wiederanlaufes. Zum Inhalt gehören unter anderem die grafische Darstellung des Wiederanlaufs (Pläne, Blöcke) und eine Checkliste der Aufgaben zum Wiederanlauf bei einem kritischen IT-Vorfall. Die Abläufe sollten unterteilt werden in Pläne mit Blöcken und einzelnen Aufgaben.

3. Recovery-Pläne

Recovery-Pläne beziehen sich auf den Wiederanlauf von den jeweiligen IT-Infrastrukturen, IT-Systemen und IT-Anwendungen.. Alle Recovery-Pläne sollten auf Basis desselben Templates erstellt sein. Die Inhalte werden von IT-Spezialisten gefüllt, die von den ITSC-Koordinatoren und dem ITSC-Manager hierbei unterstützt werden. IT Recovery-Planung erfordert die Zusammenarbeit und Abstimmung aller IT-Fachgruppen

4. Wiederherstellungs-Plan

Dieser Plan beschreibt für die priorisierte Wiederherstellungsoption grob die Aufgaben, die zur Wiederherstellung eines RZ ausgeführt werden müssen. Häufig genügt es, einen Plan zu schreiben, der das grundsätzliche Vorgehen beschreibt und somit auch auf andere Standorte übertragen werden kann.

Aktivierung im Ernstfall

Die Aktivierung des ITSC-Planes erfolgt durch Ausrufen des „kritischen IT-Vorfalls“. Dabei sind Schnittstellen zu Verfahren des BCM und CM zu beachten und ebenso das Deeskalationsverfahren, um die Alarmierung zurückzunehmen. Für adäquates Handeln ist die Pflege und das Testen der Pläne unerlässlich. Als Managementprozess untersteht das gesamte ITSCM-System dem Prinzip der kontinuierlichen Verbesserung. Es muss geprüft werden, ob interne Arbeitsanweisungen umgesetzt und eingehalten werden, ob alle BCM-Anforderungen erfüllt werden.

Fallgruben vermeiden

Damit Unternehmen adäquat vorbereitet sind, unterstützen externe Experten bei Entwicklung und Implementierung von ITSCM-Systemen, Erstellung von ITSCM-Strategien und ITSCM-Plänen und dem Aufbau eines Krisenmanagements. Die Arbeit ist diffizil und erfordert entsprechende Expertise, um Fehler zu vermeiden. Das Ziel muss sein, ITSCM nachhaltig in die alltäglichen IT-Prozesse, die Kultur der IT-Organisation einzubinden. Der optimale Nutzen des ITSCM-Programmes entfaltet sich, wenn ITSCM als integraler Bestandteil des normalen Alltags betrachtet wird und nicht als gesonderte Aktivität.

Jörg Kobeleff, Manager bei Controllit AG

www.controll-it.de
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

RiMatrix Next Generation: die Zukunftsplattform für alle IT-Szenarien

Bei IT-Infrastrukturen ist Veränderung heute eine Konstante. Die digitale Transformation bringt Innovationen in einem noch nie dagewesenen Tempo hervor. IT-Verantwortliche wissen, dass in Zukunft immer neue, noch unbekannte Anforderungen auf sie zukommen…
Datenanalyse

Daten spielen seit COVID-19 eine wichtigere Rolle in Unternehmen

Als Reaktion auf die COVID-19-Pandemie setzen Unternehmen zunehmend auf Datenanalysen, um das volatile wirtschaftliche Umfeld besser zu verstehen und schnell zu reagieren. Dies geht aus einer weltweiten Studie unter IT-Entscheidern hervor, die das unabhängige…
Netzwerk

Corporate-WANs erfüllen Nutzererwartungen nur unzureichend

Laut einer aktuellen Umfrage von Telia Carrier decken Corporate-WANs und ihre Netzwerk-Provider die Anforderungen von Unternehmen nicht ausreichend ab. Die größten Probleme sehen 55% der Befragten in der Sicherheit, 43% in der Serviceflexibilität, 36% in der…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!