Home , IT-Security , Audits , Basischeck
Beschreibung des Prüfmoduls
Die vorhandenen und umgesetzten Massnahmen müssen das Ausmass der Schäden soweit begrenzen, so dass die weitere Existenz des Unternehmens meist gewährleistet ist. Bei Vorhandensein einer ausreichenden Notfallvorsorge genügt für den Normalbetrieb IT-Grundschutz. Es gibt verschiedene Eskalationsstufen: Normalbetrieb – Störung – Notfall – Krise – Katastrophe. Bei kritischen Infrastrukturen können weitergehende Massnahmen für den Krisen- und Katastrophenfall zu planen sein.
Prüfthemen der Checkliste
Thematisch zusammenhängende Prüffragen in der Checkliste sind zu Prüfthemen gruppiert. Zur Anzeige der Beschreibung des Prüfthemas tippen Sie bitte auf ein Prüfthema.
Notfälle und Katastrophen als Folge von Grossbränden, Explosionen, Sabotage, Anschlägen, längerfristigem Smogalarm können in der Zerstörung von Gebäuden, Hardware, inkl. Netzwerken oder Versorgungseinrichtungen, in der Zerstörung von Daten oder in der schwerwiegenden Beeinträchtigung des Zugangs bestehen. Neben dem Initialschaden kommt es regelmässig zu Folgeschäden, da die getroffenen Sicherheitsmassnahmen aus Kostengründen für den Normalbetrieb und die Bewältigung von einfachen Notfällen ausgelegt sind.
Einfache Notfälle entstehen aus Sicherheitsvorfällen aufgrund mangelhafter Notfallvorsorge oder Sicherheitsmassnahmen und können meist mit den eigenen Mitteln behoben und auf das Unternehmen ohne Aussenwirkung begrenzt werden.
Katastrophen sind Ereignisse mit Aussenwirkung, die die Existenz des Unternehmens bedrohen. Personen können in Folge ihr Leben oder ihre Gesundheit verlieren. Freiheitsstrafen bei Verantwortlichen oder hohe Schadenersatzklagen gegen das Unternehmen sind möglich.
Katastrophen lassen sich nicht oder kaum im Detail voraussehen und planen. Um so wichtiger ist es, sich frühzeitig gedanklich mit einer solchen Situation auseinanderzusetzen und zumindest die wichtigsten Grundzüge eines Notbetriebes festzulegen.
Beispiel: Die Mitarbeiter haben bei einem Brand fluchtartig das Gebäude verlassen und viele haben ihre Geldbeutel mit Kreditkarten und Fahrausweisen oder ihre Autoschlüssel im Büro gelassen. Die Mitarbeiter müssen nach Hause gebracht werden. Diese Situationen zu beherrschen, ist Aufgabe des Notfall- und Krisenmanagements.
Ein Notfall tritt ein, wenn ein Zustand erreicht wird, bei dem innerhalb der geforderten Zeit eine Wiederherstellung der Verfügbarkeit nicht möglich ist und sich daraus ein untragbarer Schaden ergibt. Ein Katastrophe tritt ein, wenn die Existenz des Unternehmens gefährdet ist und / oder der Schaden über das Unternehmen hinaus spürbar ist.
Notfallvorsorge hat zum Ziel, die Geschäftstätigkeit während eines Ausfalls eines IT-Systems oder einer IT-Anwendung aufrechtzuerhalten und sicherzustellen (Business Continuity) sowie die Betriebsfähigkeit innerhalb einer tolerierbaren Zeitspanne wiederherzustellen (Business Recovery).
Spätestens wenn die Auswirkungen eines Notfalls über die Grenzen des Unternehmens von der Öffentlichkeit hinaus bemerkt oder gar gespürt werden, kann von einem Katastrophenfall gesprochen werden. Der Normalbetrieb kann mit den vorhandenen Massnahmen nicht mehr wieder hergestellt werden. Wichtig ist es, sich vorab Gedanken über mögliche Szenarien zu machen und wie man das Schlimmste abwenden kann.
Auch wenn es keinen Prototypen für die eintretende Katastrophe gibt, gibt es bewährte Verhaltensregeln, die über die ersten Stunden hinweghelfen. Viele Katastrophen beginnen als einfacher Notfall, der mit den vorhandenen Mitteln am Anfang zu beheben gewesen wäre. Folgeschäden können so vielleicht vermieden werden, die durch Addition erst zu dem katastrophalen Ausmass führen, welches viele Unternehmen am Ende die Existenz kostet.
Ein "Notfall" sollte formal durch einen Notfall-Verantwortlichen ausgerufen werden, da schnelle Entscheidungen unabhängig von Hierarchieebenen getroffen und Mitarbeiter vielleicht ausserhalb der normalen Arbeitszeit verständigt werden müssen.
Das K-Fallteam besteht aus Personen aus allen Hierarchiestufen. Es kann sein, dass der Untergebene zum Chef wird. Daher ist eine sorgfälltige Auswahl der Mitglieder erforderlich. Die Mitglieder müssen sich untereinander vertragen und sich praktisch auf Zuruf verständigen können. Autoritätsgehabe ist fehl am Platze. Dennoch müssen die Mitarbeiter und sogar auch die Mitglieder der Geschäftsleitung den Anweisungen des K-Fallteams Folge leisten. Nur so kann der Weg aus der Krise bewältigt werden.
Eine grosse Bedeutung kommt auch der Absicherung der Teammitglieder bei Fehlentscheidungen zu.
Jeder Mitarbeiter muss im Notfall wissen, welche Rolle er besitzt. Sofern er Weisungsempfänger ist, hat er den Anweisungen der Notfallverantwortlichen Folge zu leisten.
Die ersten Minuten oder gar Sekunden sind oft entscheidend, ob es ein Sicherheitsvorfall bleibt oder ein Notfall wird. Für einige typische Fälle müssen Sofortmassnahmen definiert und bekannt gemacht werden.
Die verantwortlichen Stellen, die aktiv handeln oder Verantwortung übernehmen müssen, sind zu alarmieren (z. B. Feuerwehr, Pförtner, Administrator, IT-Sicherheitsbeauftragter).
Sicherheitsmassnahmen kosten viel Geld. Schäden durch Notfälle können noch mehr Geld kosten. Katastrophen gefährden die Existenz des Unternehmens. Um abzuschätzen was Massnahmen wert sind, ist es wichtig zu wissen was mögliche Schäden kosten und wie wahrscheinlich deren Eintritt ist. Diese Abschätzung wird Risikoanalyse genannt. Damit bei Eintritt des Schadensfalls ein Vorfall bewertet werden kann, müssen im Vorfeld Informationen verfügbar sein und Kriterien für die Bewertung erarbeitet werden.
Unter Umständen müssen Stellen mit grösserer Kompetenz und höherer Verantwortung benachrichtigt werden.
Sobald der Notfall Auswirkungen auf den Geschäftsbetrieb hat, können Kunden, Lieferanten oder Mitarbeiter beunruhigt oder vertragliche Verbindlichkeiten nicht mehr fristgerecht befriedigt werden. Es muss untersucht werden, welche Geschäftsprozesse von Systemausfällen direkt oder indirekt betroffen sein könnten und welche Konsequenzen dies hat.
Bei der Behebung von Schäden sind verschiedene Aspekte zu berücksichtigen, wenn unterschiedliche Vorfälle, mehrere IT-Komponenten oder verschiedene Geschäftsprozesse betroffen sind und eine Wiederanlaufreihenfolge festgelegt werden muss.
Um im Schadensfall Probleme möglichst schnell lösen zu können, müssen rechtzeitig Vorbereitungen getroffen werden.
Nicht immer kann jedes Problem in einer tolerierbaren Zeitspanne behoben werden, z.B. kann die Reparatur eines IT-Systems zu lange dauern. In diesen Fällen ist es erforderlich, die wichtigsten Geschäftsprozesse provisorisch aufrecht zu erhalten.
Wenn ein Gebäude abgebrannt oder aufgrund eines Umwelteinflusses nicht mehr benutzbar ist, muss der Betrieb an anderer Stelle wieder aufgenommen werden. Die eigenen Mitarbeiter können nicht gleichzeitig im eigenen und im fremden Hause sein. Für diesen Fall ist eine Mehrkapazität erforderlich.
Unter Umständen müssen betroffene interne und externe Stellen über den Vorfall informiert werden.
Durch die Nachbereitung der Sicherheitsvorfälle kann ein stabiler Normalzustand wiederhergestellt werden und es lassen sich vielleicht Verbesserungspotentiale für vorhandene Sicherheitsmassnahmen erkennen.
Eine Dokumentation des Sicherheitsvorfalls ist notwendig, um für zukünftige Vorfälle zu lernen und Veränderungen an IT-Systemen und IT-Anwendungen nachvollziehen zu können. Auch forensische Spuren und Beweise müssen ggf. gesichert werden.
Datensicherungen sind zu erstellen, um Datenverlust vorzubeugen und Ersatz-Systeme schnell in Betrieb nehmen zu können.
Der grösste Schatz, den die IT für das Unternehmen verwaltet sind die gespeicherten Daten und Informationen über die vergangene, gegenwärtige und zukünftige Geschäftstätigkeit. Wenn dieses Wissen verloren geht, ist die Existenz des Unternehmens stark bedroht.
Neben den Daten der Geschäftstätigkeit sind auch die automatischen Verfahren von herausragender Bedeutung. Dieser Wert steckt in den Applikationen, die das Unternehmen zugekauft oder teilweise sogar selbst entwickelt hat. Diese Applikationen laufen auf bestimmten Betriebssystemen mit bestimmten Versionsständen auf bestimmten Maschinen, die teilweise nicht mehr in dieser Form gekauft werden können.
Ohne gesicherte Backup-Verfahren ist die Wiederherstellung eines grösseren Betriebes meist nicht schnell genug möglich.
Notfallvorsorge muss Bestandteil von Verträgen mit externen Dienstleistern sein. Ausserdem kann es erforderlich sein, bei Notfällen auf die Dienste von Spezialisten zurückzugreifen.
Wenn zentrale Komponenten ausfallen muss auf Ersatzsysteme umschaltbar sein.
Aktiven und passiven Netzwerkkomponenten ist besondere Aufmerksamkeit zu widmen.
Verbleibende Restrisiken sollten möglichst unter Beachtung von Kosten- Nutzen-Aspekten durch Versicherungen abgedeckt werden.
Es gibt eine Reihe von Sicherheitsvorfällen, die mit entsprechender technischer Unterstützung automatisiert und daher frühzeitig erkannt werden können. Zu diesem Zweck sollen Detektionsmassnahmen installiert werden.
Basis für alle Sicherheitsmassnahmen im IT-Bereich ist eine sichere Infrastruktur. Was nützt eine Firewall, wenn durch einen Blitzschlag die gesamte IT beschädigt worden ist oder durch einen Wasserschaden der Serverraum unterwassersteht oder bei einem Brand das Gebäude von der Feuerwehr zwar rechtzeitig gelöscht wurde, infolge der Raucheinwirkung aber wichtige Speichersysteme unbrauchbar werden (Feinstaub).
Ein qualitativ hochwertiges Notfall- und Krisenmanagement umfasst auch die Schulung und Sensibilisierung der Mitarbeiter.
Notfallvorsorgekonzepte können nutzlos sein, wenn sie erst in einem Notfall aus der Schublade geholt werden. Das Management und das Personal müssen im Notfall wissen, was sie zu tun haben.
