Ein umfassender IT-Wiederherstellungsplan (Disaster Recovery Plan) ist ein wichtiger Teil des Risiko-Managements als Teil der Cyber Security eines Unternehmens. Bei der Erstellung des Wiederherstellungsplans bewertet die Risikoanalyse die Auswirkungen der verschiedenen Störungs- und Krisenszenarien, mit denen ein KMU konfrontiert sein könnte. Ein wichtiger Teil der Risikoanalyse sind die beiden Parameter RTO und RPO – doch was bedeuten sie?
Mit einem Disaster Recovery Plan ist eine Organisation in der Lage, in IT-Krisensituationen ihre Geschäftskontinuität aufrecht zu erhalten. In gewissen Fällen kann die rasche Wiederherstellung der Betriebsbereitschaft gar das Überleben des Unternehmens sichern.
Ein Wiederherstellungsplan gehört zum Konzept der Cyber Security eines Unternehmens und er unterstützt das KMU bei der Vorbereitung einer strukturierten Vorgehensweise für den Fall, dass die IT ausfallen sollte oder ein Datenverlust vorliegt.
Was gehört in einen Disaster Recovery Plan?
- Inventarisierung: Sämtliche Komponenten erfassen
- Risikoanalyse: Gefahren bewerten und Ziele festlegen
- Effizient durch die IT-Krise: Bilden eines Disaster-Recovery-Teams
- Information: Kommunikationsplan erstellen
- Anleitung zur Vorgehensweise: Abläufe dokumentieren
- Tests: Wiederherstellungsplan testen und aktualisieren
Die Details zu den 6 Themenbereichen des Wiederherstellungsplans sind im Beitrag 6-Punkte-Plan, um IT-Ausfälle rasch zu beheben beschrieben.
IT-Risikoanalyse
Ein wichtiger Teil zur professionellen Vorbereitung eines Disaster Recovery Plans ist die unter Punkt 2 beschriebene Risikoanalyse.
Bei der Erstellung des Wiederherstellungsplans bewertet die Risikoanalyse die Auswirkungen der verschiedenen Störungs- und Krisenszenarien, mit denen ein KMU konfrontiert sein könnte. Dabei wird eingeschätzt, welche Teile der IT-Infrastruktur oder Software ausfallen können.
Im Rahmen der Risikoanalyse ist es wichtig, die relative Eintrittswahrscheinlichkeit der verschiedenen Bedrohungen abzuwägen und aufzulisten. Mittels dieser Risikobewertung ist es einfacher, den Sicherheitsbedarf für kritische Ressourcen zu bestimmen. Dabei sind die verschiedenen Geschäftsstandorte sowie essenzielle betriebliche Leistungen, die zwingend eine Datenverbindung benötigen, zu berücksichtigen. Insbesondere sind auch die aktuellen Backupprozesse im Kontext des jeweils möglichen Zwischenfalls zu bewerten – so hat etwa ein breit angelegter Malware-Angriff eine andere Bedeutung für die Datensicherungsstrategie als ein Wasserschaden oder ein Brand an einem einzelnen Standort.
Mit einer solchen Liste der möglichen Krisenszenarien und der Risiko-Bestandsaufnahme soll das Unternehmen anschliessend die Auswirkungen auf die geschäftlichen Abläufe und die Geschäftsentwicklung einschätzen (Analyse des Business Impacts). Dies dient als Grundlage, um zwei wichtige Ziele des Wiederherstellungsplans festzulegen: RTO und RPO.
Was bedeuten RTO und RPO?
- Recovery Time Objective RTO
Der RTO drückt aus, wie lange die maximale akzeptable Zeitdauer für ein Unternehmen ist, in der bestimmte Anwendungen, Systeme oder Daten nicht zur Verfügung stehen. Diese Zielsetzung beantwortet die Frage, wie lange ein Geschäftsprozess ausfallen darf. Je nach Geschäftsmodell erzeugen bestimmte Anwendungen bereits bei Ausfallzeiten von wenigen Minuten immense Kosten – ist dies der Fall, muss die Zielsetzung für den RTO der jeweiligen Applikation tief angesetzt werden. Im Extremfall ist dieser Wert Null und es muss ein redundantes Ersatzsystem bereitstehen. Dieses sorgt in einer Krisensituation für eine unterbrechungsfreie Funktionsfähigkeit des jeweiligen Prozesses. In weniger kritischen Geschäftsmodellen oder Teilprozessen kann der Wert auch mehrere Stunden oder Tage betragen. - Recovery Point Objective RPO
Ein RPO zeigt auf, wieviel maximaler Datenverlust ein Unternehmen tolerieren kann. Dieser wird als maximale Zeitdauer, die zwischen zwei Datensicherungen liegen darf, angegeben. Darf unter keinen Umständen ein Datenverlust in Kauf genommen werden, beträgt der RPO Null.
Die Werte von RTO und RPO haben unmittelbare Konsequenzen auf den Wiederherstellungsplan und den Umfang der dazu notwendigen Sicherheitsinfrastruktur. Bei bestimmten Anwendungen oder Geschäftsmodellen können bereits Ausfallzeiten von wenigen Minuten sehr kostspielig sein. Im Rahmen des Risiko-Managements sind daher die Anforderungen an die Geschäftskontinuität (RTO- und RPO-Werte) den damit verbundenen Investitionen oder laufenden Kosten gegenüberzustellen und abzuwägen.
Titelbild: Dietmar Becker on Unsplash
.png){kind=icon}
