Effiziente Business Continuity dank professioneller IT-Notfallplanung

Das vielgefürchtete Szenario ist eingetreten: Die IT-Systeme sowie die gesamte IT-Infrastruktur versagen ihre Dienste. Was ist zu tun? Gibt es Ausweichmöglichkeiten? Wie wird und wann ist die IT-Funktionalität wieder vollständig hergestellt?

Diese Fragen beschäftigen Unternehmen und Geschäftsführer, wenn der Notfall eingetreten ist. Die Planung und Prävention sollte viel früher ansetzten, nämlich schon beim Planen und Bauen eines Rechenzentrums. Die gesamte Geschäftstätigkeit eines jeden Unternehmens ist mehr denn je von einer IT-Hochverfügbarkeit abhängig. Deshalb sollten effiziente Sicherheitskonzepte und Notfallstrategien zu Standard-Maßnahmen in Betrieben gehören und nicht erst nach einer Katastrophe entwickelt werden.

Was zudem unterschätzt wird: verstärkte gesetzliche Sicherheitsrichtlinien, wie KonTraG oder Basel II, fordern die Umsetzung eines umfangreichen Sicherheitskonzepts. In diesem Zusammenhang sind ein individuell abgestimmtes und effizientes IT-Sicherheitssystem sowie ein genau definiertes Krisenmanagement Pflicht. Dabei geht es nicht nur um die logische und technische Sicherheit der IT. Im Sinne eines ganzheitlichen Sicherheitsmanagements muss auch die physikalische Komponente berücksichtigt werden, um Totalausfälle zu verhindern. Relevant ist neben einer raschen Wiederherstellung des Betriebsablaufs die Reduzierung von Ausfallzeiten auf ein Minimum. Um Business Continuity im Notfall zu sichern, sollten IT-Notfallpläne strategisch entwickelt und umgesetzt werden.

Drei Schritte zur erfolgreichen IT-Notfallplanung

Schritt 1: Business Impact Analyse und Risikoanalyse

Basis für die IT-Notfallplanung ist eine Business Impact Analyse (BIA) und eine Risikoanalyse für Rechenzentrum und Serverraum. Mittels dieser werden Korrelationen einzelner Unternehmensbereiche aufgedeckt sowie Konsequenzen bei Prozessausfällen aufgeführt. Die Entwicklung geeigneter Konzepte sowie die fachkundige Implementierung festgelegter Sicherheitslösungen bilden weitere Stationen einer erfolgreichen IT-Notfallplanung.

Die BIA eruiert die Empfindlichkeiten wichtiger IT-Prozesse. Die Gefahrenanalyse knüpft daran an und erfasst die bestehenden physikalischen Risikofaktoren und fragt, welche Konsequenzen eine IT-Beeinträchtigung für das Unternehmen haben kann bzw. welche Schutzziele sich daraus ableiten lassen. Ferner müssen während der Analyse folgende Fragen beantwortet werden:

Wer wird im Notfall informiert?
Welche Personen sitzen im Krisenmanagement und welche Funktionen übernehmen sie?
Wie werden die unternehmenskritischen Geschäftsfunktionen fortgeführt?

Informationen über Umfang möglicher Schäden, einzelne Risikoarten (höhere Gewalt: Feuer, Überschwemmung; technisches Versagen: Netzwerkausfall; menschliches Versagen: fehlende Sensibilisierung; vorsätzliches Handeln: Spionage) und deren Eintrittswahrscheinlichkeit (unrealistische Fälle, Problemfälle, kritische Fälle) vervollständigen die Analyse und klären den Handlungsbedarf. Die gewonnenen Daten definieren den Soll-Zustand für die Notfallplanung und den maximal tolerierbaren Datenverlust nach zuletzt erfolgter Sicherung.

Schritt 2: Disaster-Recovery-Strategie

Es folgt im zweiten Schritt die Disaster-Recovery-Strategie (DRS). Diese bestimmt die Vorkehrungen die zur Rekonstruktion der Datenbestände nach einem Katastrophenfall nötig sind und die zu einer Wiederaufnahme der Geschäftstätigkeit innerhalb kürzester Zeit beitragen.

Aus den definierten Soll- und Mindestanforderungen für die Aufrechterhaltung des Geschäftsbetriebs, resultieren Wiederanlaufzeiten, die sog. Recovery Points Objective, und Wiederanlaufdauer, auch Recovery Time Objective genannt, die auf einen minimalen Wert reduziert sein müssen. Damit dies gewährleistet ist, sind eventuelle bauliche, technische oder organisatorische Modifikationen von Relevanz. Back-up-Konzepte, Storagesysteme, Hard- und Software-Lösungen sowie eine unterbrechungsfreie Stromversorgung (USV) müssen ebenfalls berücksichtigt werden.

Darüber hinaus zählt zu den obligatorischen Vorkehrungen einer erfolgreichen Business Continuity die Datensicherung. Ob Bänder, Ausweichräume, Server-Cluster oder räumlich getrennte Rechenzentren nötig sind, orientiert sich an dem Verfügbarkeitsanspruch der geschäftskritischen Daten der einzelnen Unternehmen. In diesem Zusammenhag sollten die Sicherheitskategorien überprüft und gegebenenfalls Zugriffregelungen implementiert werden. Abschließend wird der Umfang der Service-Levels in Absprache mit dem Kunden definiert.

Schritt 3: Planung, Umsetzung und Optimierung

Die Planung und Umsetzung der Strategie in einem dritten Schritt geht mit der Optimierung der bisherigen IT-Infrastruktur einher. Dabei ist eine gut organisierte Projektkoordination wichtig, damit Sanierung, Umbau und/oder Auslagerung von IT-Komponenten zügig und erfolgreich durchgeführt werden können.

Im Optimalfall sollten die entwickelten Strategien in einem Notfallhandbuch zusammengefasst werden, damit Alarm- und Ablaufpläne für das beteiligte Personal jederzeit verfügbar sind und Handlungsanweisungen im Notfall umgesetzt werden können. Kontinuierliche Notfallübungen runden einen professionellen Notfallplan ab und sichern damit den reibungslosen Ablauf im Ernstfall.

Höchste Ansprüche an Planungs-Spezialisten

Erfolgreiches Business Continuity zeigt sich, wenn detaillierte Risikoanalyse, Planungsprozesse für die Aufrechterhaltung der Geschäftaktivität und Implementierung nahtlos ineinander greifen.

Kompetente Spezialisten sind gefragt, die interdisziplinär die Zusammenhänge von Planung, Durchführung und Dokumentation erkennen. Für die ganzheitliche Sicherheitslösung und -umsetzung steht in der Regel nur ein Ansprechpartner zur Verfügung. Dabei wird branchenunabhängig ein individuelles IT-Konzept entwickelt, welches den gesetzlichen Anforderungen nicht nur gerecht wird, sondern auch mittelfristig absehbare Änderungen berücksichtigt.

Zusatzinformation

Neben der IT-Notfallplanung für erfolgreiche Business Continuity ist auch die professionelle Rechenzentrumsplanung der Schlüssel zum Erfolg eines IT-Unternehmens.