Mit Disaster Recovery Tests überprüfen KMU die Funktionstüchtigkeit ihres Wiederherstellungsplans und bereiten sich auf den IT-Ernstfall vor. Die Tests dienen dem zuständigen Team als Schulung und sie erlauben es, frühzeitig Fehler zu beheben sowie den Plan an aktuelle Begebenheiten anzupassen. Ein regelmässiges Disaster Recovery Testing ist für die IT-Sicherheit im Unternehmen zentral.
Mit einem Plan zur IT-Wiederherstellung oder einem Disaster Recovery Plan (DRP) bereitet sich ein Unternehmen auf IT-Zwischenfälle wie Cyberattacken, Fehlmanipulationen oder Wasserschäden vor. Als wichtiger Bestandteil des Business Continuity Plans, ist der DRP in erster Linie auf die Unternehmens-IT ausgerichtet. Bei einem IT-Ausfall beschreibt der DRP die Vorgehensweise zur Wiederherstellung der IT-Infrastruktur und der betriebsnotwendigen Daten. Doch damit der Plan seinen Zweck entfalten kann, ist es wichtig, ihn regelmässig zu testen und zu aktualisieren – und zwar im Rahmen eines Disaster Recovery Testings.
Gründe für den Disaster Recovery Test
Ein wirkungsvoller Disaster Recovery Plan besteht aus mehreren Teilen, die ideal aufeinander abgestimmt sein müssen: Von der Inventarliste über die Zuständigkeiten im Recovery Team, den Kommunikationsplan bis hin zu den erstellten Anleitungen ist es wichtig, sämtliche Prozesse und Informationen verständlich und aktuell zu halten. Sobald ein Zwischenfall in der IT auftritt, ist rasches, unverzügliches Handeln gefragt –regelmässig durchgeführte Disaster Recovery Tests sind die Basis dazu.
Erhöhte Cybersicherheit dank regelmässiger Disaster Recovery Tests
Die internen und externen Rahmenbedingungen von KMU können sich im Laufe der Zeit verändern: Neue Softwareprogramme, Updates, personelle Wechsel im Unternehmen oder eine Verschiebung der Risikoeinschätzung können die Umsetzung des DRP erheblich beeinflussen. Regelmässige Disaster Recovery Testings dienen dazu, den Wiederherstellungsplan zu prüfen, zu überarbeiten und ihn fit für die aktuellen Begebenheiten zu machen.
Mit vordefinierten und in periodischen Abständen angelegten Tests fordert das Disaster Recovery Team die Mitarbeitenden des Unternehmens auf, verschiedene sichere, aber realistische Krisenszenarien durchzuspielen. Gefundene Schwachstellen notiert das Team, um den Plan anschliessend an die aktuellen Entwicklungen der IT-Infrastruktur anzupassen und die Dokumentation auf den neuesten Stand zu bringen.
Da sich die einzelnen Bestandteile des Disaster Recovery Plans unabhängig voneinander und oft unbemerkt weiterentwickeln, bieten periodische Tests die einzige Möglichkeit, um die entstandenen Sicherheitslücken aufzudecken und zu schliessen. In folgenden Bereichen kann sich ein DRP verändern:
- Inventar der IT-Hardware und Software: Durch Updates, Wachstum oder zunehmende Automatisierung verändert sich die IT-Infrastruktur eines Unternehmens ständig. Für die Sicherheitsverantwortlichen ist es wichtig, jegliche Neuerungen stets auch im DRP einfliessen zu lassen.
- Risikoanalyse: Ob Wasserschaden, Cyberangriff oder Programmabstürze: Die Art und die Anzahl an möglichen Krisenszenarien sowie deren Eintretenswahrscheinlichkeit ändern sich im Laufe der Zeit – genauso wie der DRP.
- Disaster Recovery Team: Im DRP sind alle Mitglieder des Disaster Recovery Teams sowie weitere bei einem Krisenszenario eingebundene Mitarbeitende mit der jeweiligen Verantwortlichkeit aufgeführt. Kommt es zu personellen Änderungen innerhalb des Teams oder des Unternehmens, so ist die neue Rollenverteilung auch im Plan anzupassen.
- Kommunikationsplan: Ein klarer Kommunikationsplan sorgt im Krisenfall für den zeitnahen Informationsfluss an die verschiedenen Anspruchsgruppen. Ob die entsprechenden Vorlagen die Bedürfnisse der Stakeholder noch erfüllen, lässt sich im Rahmen des Tests überprüfen.
- Dokumentation der Anleitungen: Schriftlich dokumentierte Prozessschritte und Anleitungen gehören zum Kern eines Disaster Recovery Plans. Es ist daher von grosser Bedeutung, im Rahmen der Disaster Recovery Tests zu prüfen, ob diese Dokumente nach wie vor zielführend und korrekt sind.
Bestimmung der Periodizität
Mit welcher Periodizität ein KMU das Disaster Recovery Testing durchführen soll, ist von verschiedenen Faktoren abhängig: Die Grösse, die Exponiertheit und die Rolle der IT sowie die eingesetzte Software beeinflussen den optimalen Zyklus.
Generell gilt, dass KMU ihren Wiederherstellungsplan lieber zu oft als zu selten testen sollten. Ziehen zwei aufeinanderfolgende Tests keine Anpassungen am DRP nach sich, so ist eine Verringerung der Testfrequenz möglich. Doch spätestens wenn veränderte Rahmenbedingungen die IT-Infrastruktur beeinflussen, sollte das Unternehmen erneut einen Disaster Recovery Test durchführen.
Gefahren vermeiden mit externer Expertise
Eine zentrale Voraussetzung für die Ausarbeitung sowie das Testen des Disaster Recovery Plans ist ein vertieftes Know-How und ein Gesamtüberblick über die IT-Infrastruktur des KMU. Ein Anbieter von Managed IT Services (Managed Service Provider oder MSP) kann kleine und mittlere Unternehmen dabei unterstützen, den notwendigen Erneuerungsbedarf sowie den optimalen Zeitplan für die Tests auszuarbeiten. Weiter unterstützt der MSP das Disaster Recovery Team bei der Planung von realistischen Testkonfigurationen und sorgt mit zusätzlichen präventiven Vorkehrungen für eine hohe IT-Sicherheit. Damit lässt sich die Wahrscheinlichkeit eines schwerwiegenden IT-Zwischenfalls minimieren. Gleichzeitig sind die KMU-Mitarbeitenden damit in der Lage , situationsgerecht auf eine IT-Unterbrechung zu reagieren und die Betriebskontinuität aufrecht zu erhalten.
Titelbild: Unsplash
.png){kind=icon}
