![\"Bedarf](\"https:\/\/www.m-q.ch\/wp-content\/uploads\/2021\/02\/Bedarf-erkennen.jpg\")
<\/p>\n<\/p>\n
<\/p>\n
<\/p>\n
<\/p>\n
D<\/strong><\/em>ie Risiken, die mit dem steigenden Einsatz von IT-Mitteln in jedem Betrieb einhergehen, werden sehr gerne untersch\u00e4tzt. Dies ist nicht zuletzt der Leistung der IT zu verdanken, die gr\u00f6sstenteils im Hintergrund wirkt, ohne dass Anwender es wahrnehmen.<\/p>\n Unterbrechungsfreier IT-Betrieb?<\/strong><\/p>\n <\/p>\n Eine der wichtigsten Aufgaben besteht n\u00e4mlich im Bestreben, Systeme und Applikationen ohne Unterbruch und die darin enthaltenen Daten ohne Datenverlust ge<\/p>\n <\/p>\n Ohne Unterbruch alles im Griff<\/strong><\/em><\/p>\n <\/p>\n setzeskonform verf\u00fcgbar zu halten. Genau in diesen wichtigen Punkten herrscht oft Unklarheit, welche konkreten Sicherungsund Aufbewahrungsanforderungen die Organisation an die ITMittel stellt. Grobe Prozessanforderungen an die IT sind Mitarbeitern in kleinen, \u00fcberschaubaren Unternehmen vielleicht noch bekannt. In mittleren und grossen Organisationen verh\u00e4lt es sich aufgrund der Arbeitsteilung oft ganz anders: Anwender gehen von utopischen Verf\u00fcgbarkeitsanforderungen aus. Ein Ausfall des Computerarbeitsplatzes oder einer einzigen wichtigen Applikation ist noch nie aufgetreten. Die Ursache wird darin gesehen, dass die Informatik solche Szenarien durch Systemauslegung und Produktwahl g\u00e4nzlich ausgeschlossen hat.<\/p>\n Risiken kennen<\/strong><\/p>\n <\/p>\n Will die IT gezielt Ausfallrisiken minimieren und sich auf die Bed\u00fcrfnisse des Unternehmens ausrichten, dann m\u00fcssen die Anforderungen an die Prozesse respektive der darin verwendeten Applikationen und IT-Mittel bekannt sein. Gerade in grossen Unternehmen oder Verwaltungen, wo die Spannweite unterschiedlicher Applikationen und Daten sehr gross ist, ist es wichtig, die Forderungen bez\u00fcglich der Sicherheitsdimensionen zu kennen. Kennzahlen zur Verf\u00fcgbarkeit, Datenexistenz, Integrit\u00e4t und Vertraulichkeit sollte die Informatik systematisch und reproduzierbar erfassen. Dies erm\u00f6glicht es ihr, die Systeme, Prozesse und Notfallszenarien der Informatik den Anforderungen<\/p>\n <\/p>\n Ausfallrisiken gezielt erkennen<\/strong><\/em><\/p>\n <\/p>\n der Organisation entsprechend zu priorisieren. Risiken werden so gezielt minimiert und gesetzliche Vorgaben k\u00f6nnen besser umgesetzt werden. Das Ziel ist es schliesslich, Anforderungen an die Sicherung und Archivierung f\u00fcr die Organisation zu kennen, Folgen von Ausf\u00e4llen und deren zeitliche Auswirkungen zu beziffern und demzufolge an die Schutzbed\u00fcrfnisse angepasste ITDienste anzubieten.<\/p>\n Vorgehen definieren<\/strong><\/p>\n <\/p>\n <\/p>\n Der Schutzbedarf kann auf diverse Arten und in unterschiedlicher Qualit\u00e4t beschafft werden. Der etablierte und vielfach erprobte Risikodialog in Form von Interviews erm\u00f6glicht das Erfragen der Schl\u00fcsselparameter am besten. Es k\u00f6nnen aufgrund der Fragestellungen und Reaktionen der befragten Personen gezielt individuelle Risiken herausgefiltert werden. Die relevanten Gr\u00f6ssen f\u00fcr die IT werden mit den Fragen systematisch ermittelt.<\/p>\n <\/p>\n Beim Vorgehen w\u00e4hrend dieses Risikodialoges gibt es viele Stolpersteine. Werden die Befragten zum Beispiel ohne genaueres Hintergrundwissen einzig zu den Schl\u00fcsselindikatoren Sicherung und Aufbewahrung befragt, k\u00f6nnen die erzielten Ergebnisse schlecht nachvollzogen werden. Es k\u00f6nnen keine gesch\u00e4ftskritischen Faktoren ermittelt werden, die eine Umsetzung der erhobenen Anforderung begr\u00fcnden. Der Risikodialog darf also nicht direkt auf die Performanz-Indikatoren zielen, sondern muss mit Fragen nach dem \u00abWas w\u00e4re wenn?\u00bb- Prinzip erfolgen. Fragen zu Folgen von Ausf\u00e4llen oder Fehlern, die auf die Beeintr\u00e4chtigung der Aufgabenerf\u00fcllung, die \u00f6ffentliche Reputation oder rechtliche Konsequenzen zielen, m\u00fcssen angesprochen werden. Dazu ist es vorteilhaft, wenn verst\u00e4ndliche Schadensszenarien gezielt als Beispiele verwendet werden<\/p>\n Umfeld ber\u00fccksichtigen<\/strong><\/p>\n <\/p>\n In kleineren und mittleren Unternehmen k\u00f6nnen Anforderungen mit dem beschriebenen Risikodialog direkt abgeholt werden. Es bietet sich an, bei weniger als sieben Abteilungen pers\u00f6nliche Gespr\u00e4che mit Verantwortlichen und involvierten Mitarbeitern zu f\u00fchren. Sollen in grossen, heterogenen Organisationen Hunderte von Analysen durchgef\u00fchrt werden, kann das nicht mehr mit pers\u00f6nlichen Risikodialogen erfolgen.<\/p>\n <\/p>\n Zu diesem Zweck eignet sich beispielsweise eine elektronische Umfrage besser. Es k\u00f6nnen beliebig viele Adressaten definiert werden. Es beansprucht bedeutend weniger Zeit als die pers\u00f6nlichen Risikodialoge. Eine solche Business-Impact-Analyse erfasst den gesamten Bestand an Applikationen. Nat\u00fcrlich sind auch Nachtei<\/p>\n <\/p>\n le mit einem Fragebogen verbunden. Durch den fehlenden pers\u00f6nlichen Kontakt fehlt das Gesp\u00fcr, bestimmte Aussagen auf ihre Relevanz zu pr\u00fcfen. Im Nachgang der Analyse kann dem gezielt ent<\/p>\n <\/p>\n Pers\u00f6nlicherRisikodialog<\/strong><\/em><\/p>\n <\/p>\n gegnet werden, indem vereinzelt das Gespr\u00e4ch gesucht wird, wo extreme Auspr\u00e4gungen erscheinen oder der Verdacht auf Ungereimtheiten besteht.<\/p>\n Anforderungen erfassen<\/strong><\/p>\n <\/p>\n Die Erfassung der Backup- und Aufbewahrungsanforderungen erfolgte mit einem auf die BackupRichtlinien abgestimmten Multiple-Choice-Fragekatalog, bestehend aus 25 Fragen, eingeteilt in drei Kapitel: Datensicherung, Datenaufbewahrung und Informationssicherheit<\/p>\n <\/p>\n 1. Datensicherung<\/strong> \u2013<\/em> dabei werden die wichtigsten Werte f\u00fcr die Sicherung erfragt. Die maximal akzeptable Unterbrechungszeit oder der maximal tolerierbare Datenverlust sind Werte, die direkt in die Sicherungsrichtlinie einfliessen. Dieses Vorgehen basiert auf der Norm ISO 22301, dem f\u00fchrenden Business-Continuity-Standard. Weil diese Angaben von den Befragten oft verzerrt aus der subjektiven Sicht beantwortet werden, ist es notwendig, auch die Folgen von Systemausf\u00e4llen oder Datenverlust aufzunehmen. Die Folgen werden in Form des zeitlichen Verlaufes des Schweregrades erfasst. Mithilfe dieses Verlaufes k\u00f6nnen die absoluten Angaben verifiziert werden. So erh\u00e4lt die IT auch die wichtigste Stellgr\u00f6sse f\u00fcr die Datensicherung: die mittlere Wiederherstellungszeit eines Systems. Sie wird aus den Resultaten der Befragung bestimmt.<\/p>\n <\/p>\n 2. Datenaufbewahrung<\/strong><\/em> \u2013 diese zielt im Gegensatz zur Sicherung darauf ab, die Aufbewahrungszeit und damit die Vorhaltezeit der Sicherungen auszulegen. Es werden wichtige Compliance-Vorgaben wie die rechtliche Mindestaufbewahrungsfrist erfragt und, wie schon im Kapitel \u00fcber die Datensicherung, zeitliche Auswirkungen bei Nichteinhaltung eruiert. Die Datenaufbewahrung fordert aufgrund der explodierenden Menge an Daten und der unterschiedlichen, aber teilweise langen Aufbewahrungsdauer viel Fingerspitzengef\u00fchl. Wer meint, aus der Befragung 1:1 eine Aufbewahrungsrichtlinie abzuleiten, der wird entt\u00e4uscht. Auf die Frage, wie lange Sicherungen konkret aufbewahrt werden m\u00fcssen, k\u00f6nnen nicht einmal IT-Experten \u2013 bezogen auf ihre eigenen Daten \u2013 eine abschliessend g\u00fcltige Antwort geben. Im Themenbereich der Aufbewahrung spielen neben den theoretischen Anforderungen immer auch wirtschaftliche Aspekte und die strategische Ausrichtung der Informatik eine Rolle.<\/p>\n <\/p>\n 3. Datensicherheit \u2013<\/strong><\/em> Im letzten Teil des Fragebogens werden Aspekte zur Datensicherheit aufgegriffen und zum Beispiel die Folgen von ungewolltem Informationsabfluss aufgenommen. Antworten in diesem Themenbereich geben neben Schutzanforderungen f\u00fcr Sicherungen und Archive auch Hinweise darauf, wie die Informatik mit Informationen aus den Applikationen umgehen sollte.<\/p>\n <\/p>\n Der Fragebogen gibt schliesslich Aufschluss dar\u00fcber, wie die Anforderungen punkto Sicherung und Aufbewahrung aus Sicht des Leistungsbez\u00fcgers sind und wie sich die Folgen von Ausfall, Verlust und Compliance-Verst\u00f6ssen auswirken. Aus den Resultaten werden die Schwerpunkte f\u00fcr Sicherung und Aufbewahrung quantifiziert. Im konkreten Fall wurde anhand der Resultate eine Sicherungsund Aufbewahrungsrichtlinie erstellt und ein Backup-Konzept erarbeitet, das auf Anforderungen von \u00fcber 100 Applikationen aufbaut.<\/p>\n Fazit<\/strong><\/p>\n <\/p>\n Gerade f\u00fcr mittlere und grosse IT-Organisationen ist der geschilderte Ansatz der Anforderungserhebung sehr attraktiv. Mit \u00fcberschaubarem Aufwand f\u00fcr die IT wird abgetastet, was f\u00fcr Bed\u00fcrfnisse die Leistungsbez\u00fcger an die Applikationen stellen. Die Methode verschafft dem Sicherungsverantwortlichen einen \u00dcberblick \u00fcber die Erwartungen an das Krisenmanagement (BCM) und eine effiziente Sicherung. Dem Sicherheitsverantwortlichen stehen An<\/p>\n <\/p>\n Effiziente Sicherung als Ziel<\/strong><\/em><\/p>\n <\/p>\n forderungen an Compliance und Gerichtsfestigkeit ganzheitlich zur Verf\u00fcgung. Der CIO wiederum verf\u00fcgt mit den gewonnenen Angaben \u00fcber eine nachvollziehbare und wiederholbare Auswirkungsanalyse, basierend auf den Standards ISO 27001 sowie ISO 22301. Best\u00fcckt mit diesen Erkenntnissen, weiss die IT, was in puncto Sicherung und Aufbewahrung effektiv von ihr gefordert wird. Der Umsetzung steht nichts mehr im Wege.<\/p>\n","protected":false},"excerpt":{"rendered":" Die Risiken, die mit dem steigenden Einsatz von IT-Mitteln in jedem Betrieb einhergehen, werden sehr gerne untersch\u00e4tzt. Dies ist nicht zuletzt der Leistung der IT zu verdanken, die gr\u00f6sstenteils im Hintergrund wirkt, ohne dass Anwender es wahrnehmen. Unterbrechungsfreier IT-Betrieb? Eine der wichtigsten Aufgaben besteht n\u00e4mlich im Bestreben, Systeme und Applikationen ohne […]<\/p>\n","protected":false},"author":66,"featured_media":12713,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[4],"tags":[4804],"class_list":["post-12710","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-risikomanagement","tag-9-2013"],"acf":[],"yoast_head":"\n