Revision as of 14:36, 28 September 2023

Zweck

„Ausnahmesituationen (z. B. Naturkatastrophen, physische Angriffe, Cyber-Angriffe, gesellschaftliche Ausnahmesituationen, Unfälle oder Infrastrukturausfälle mit erheblichen Auswirkungen) stellen eine große Herausforderung für die Organisation dar. Eine gute Vorbereitung dient dazu, dass Informationssicherheitsrisiken auch in Ausnahmesituationen angemessen berücksichtigt werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Die BCM-Richtlinie soll Informationen zum Umgang mit Notfällen aufzeigen, um eine möglichst reibungslose Weiterführung oder Wiederaufnahme des Geschäftsbetriebes zu gewährleisten. Dazu gehören nicht nur die technischen und organisatorischen Maßnahmen, die im Falle eines Notfalls zu beachten sind, sondern insbesondere auch die Planung im Vorfeld, um Notfälle zu verhindern oder zumindest die Auswirkungen begrenzen zu können. Zur Vorbereitung gehört die Dokumentation von Verfahren und Maßnahmen sowie organisatorische Regelungen. Im Notfall muss es z. B. Verantwortliche mit klaren Kompetenzen geben. Zu einer guten Vorbereitung gehören ebenso Notfallschulungen und -übungen sowie eine stetige Pflege und Aktualisierung des Notfallvorsorgekonzeptes.

Insbesondere müssen auch während eines Notfalls die Anforderungen an die Informationssicherheit und den Datenschutz gewährleistet sein.

Geltungsbereich

Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Übersicht

Im Folgenden werden die verschiedenen Phasen des Notfallmanagements beschrieben. Grundsätzlich muss davon ausgegangen werden, dass Notfälle auftreten werden. Daher muss man sich kontinuierlich auf diese vorbereiten und dagegen wappnen. Wenn ein Notfall eingetreten ist, gilt es zunächst, diesen zu beheben. Das Beheben der Ursache hat dann größte Priorität. Der Betrieb ist während dieser Zeit (stark) eingeschränkt. Wenn die Ursache behoben ist, kann damit begonnen werden, diesen Notbetrieb wieder in den Normalbetrieb zu überführen.

Betrachten wir als Beispiel ein Feuer im Serverraum. Als Vorbereitung werden Brandschutzmelder installiert, der Raum wird frei von brennbaren Materialien gehalten, ein Feuerlöscher installiert. Wenn es doch zu einem Feuer kommt, so kann schnell auf die direkte Ursache (das Feuer) reagiert werden. Darüber hinaus mag ein Backup-System an einem anderen Ort existieren, so dass dieses für den Notbetrieb verwendet werden kann. Die dafür notwendigen Tätigkeiten und Informationen sind im Notfallkonzept festgehalten, so dass nicht nur schnell auf die Ursache, sondern auch auf die direkten Auswirkungen reagiert werden kann. Das Notfallkonzept sollte dann auch noch die nötigen Schritte enthalten, den Normalbetrieb wiederherzustellen. D.h. z.B. darauf verweisen, wie neue Hardware bestellt wird.

Vorbereitung auf Notfälle

Zur Vorbereitung und zur Prävention von Notfällen und damit verbundenen Ausnahmesituationen ist es essentiell, dass mögliche Ausnahmesituationen bekannt sind. Das können z.B. Brände, Wasserschäden (durch Starkregen), Überspannungen durch Gewitter, Pandemien (COVID-19), politische oder militärische Konflikte sein. Die Parasol Island führt eine Liste solch bekannter Ausnahmesituationen. Für jede dieser Ausnahmesituationen ist ein verantwortlicher Mitarbeiter benannt und Maßnahmen zur Prävention und zum Umgang mit einem solchen Notfall beschrieben.

Dabei ist insbesondere darauf zu achten, dass die Informationssicherheit und der Datenschutz auch während eines Notfalls berücksichtigt werden.

Viele Maßnahmen zur Prävention und zur Einhaltung eines angemessenen Schutzniveaus ergeben sich bereits aus den Anforderungen an die Informationssicherheit und den Datenschutz bei der Parasol Island. Daher sollte das Business Continuity Management den Fokus auf den Umgang mit dem Notfall und der Wiederherstellung des Normalzustandes legen. Maßnahmen zur Prävention sollten dann betrachtet werden, wenn sie bislang nicht berücksichtigt werden. Es bietet sich aber an, diese dann in das ISMS zu integrieren, um solche Maßnahmen nicht an mehreren Stellen zu verwalten.

Im Folgenden wird kurz auf mögliche organisatorische und technische Maßnahmen eingegangen, die zur Prävention von und zum Umgang mit Notfällen wichtig sein können.

Organisatorische Maßnahmen

Die Organisation innerhalb der Parasol Island kann entscheidend zum Umgang mit Notfällen beitragen. Je besser die organisatorische Vorbereitung, desto effizienter kann in einem Notfall gehandelt werden.

Ausbildung und Training der Mitarbeiter

Ein qualitativ hochwertiges Notfall- und Kontinuitätsmanagement greift nur dann optimal, wenn die Mitarbeiter zum einen für sicherheitsrelevante Vorfälle sensibilisiert sind und zum anderen bestmöglich für sicherheitsrelevante Vorfälle geschult werden.

Ersatzbeschaffungsplan

Ein allgemein gültiger Ersatzbeschaffungsplan ist aufgrund der stark variierenden Projektanforderungen, Deadlines und Hard- wie auch Softwareausstattung nicht möglich. Im Notfall wird eine Gruppe aus IT-Fachkräften und Projektleitern bestimmen, welche Maßnahmen zu ergreifen sind, um eine möglichst reibungslose Fortführung oder Wiederaufnahme der aktuell laufenden Projekte zu erreichen.

Versicherungsschutz

Verbleibende Restrisiken sollten möglichst unter Beachtung von Kosten-Nutzen-Aspekten durch Versicherungen abgedeckt werden. Beispiele sind:

Sachversicherungen
Feuerversicherung
Einbruchdiebstahlversicherung
Transportversicherung
Datenträgerversicherung
Elektronik-Versicherung

Die Leiter der Departments sind dafür verantwortlich, dass für ihre Prozesse der Abschluss von Versicherungen untersucht wird.

Ausweichmöglichkeiten

Angaben zu Ausweichmöglichkeiten sollten der Dokumentation der IT-Systeme beigefügt werden. Das Ausweichen auf alternative Standorte, IT-Systeme, Arbeitsplätze etc. sollte in Notfallübungen ausreichend geprobt werden.

Interne Ausweichmöglichkeiten

Alle Leiter der Departments sollten prüfen, ob bei Problemen mit den standardmäßig genutzten IT-Systemen ein Ausweichen auf andere IT-Systeme möglich ist. Bei der Untersuchung von Ausweichmöglichkeiten ist insbesondere auf die technischen Anforderungen an das Ausweich-IT-System zu achten. Kompatibilität und ausreichende Kapazitätsreserven des Ausweich-IT-Systems sind Grundvoraussetzung für dessen Benutzung.

Zusätzlich kann erwogen werden, die Niederlassung Berlin in die Ausweichplanung mit einzubeziehen.

Externe Ausweichmöglichkeiten

Externe Ausweichmöglichkeiten sind dann heranzuziehen, wenn mit internen Ausweichmöglichkeiten die Verfügbarkeitsanforderungen nicht mehr, oder nicht wirtschaftlich erfüllt werden können. Ausweichmöglichkeiten für nicht IT-spezifische Komponenten sind auch zu berücksichtigen. Beispielsweise im Bereich der Infrastruktur sind Ausweichmöglichkeiten für Serverräume in Betracht zu ziehen.

Ausweicharbeitsplätze, -Räume, -Rechenzentren etc. sind so vorzubereiten, dass im Notfall die Wechselzeit tolerierbar ist.

Größere Mengen an IT-Equipment kann über Miet- und Leasingpartner geordert werden. Diese werden über die allgemeinen Wege (IT-Leiter und ein Geschäftsführer) organisiert, wie sie auch für normale Veranstaltungsprojekte für Kunden der Parasol Island GmbH zum Teil im Einsatz sind.

Für zusätzliche Rechenleistung sind mehrere Renderfarmen bekannt, die in der Vergangenheit bereits eingesetzt wurden.

Für die externen Ausweichmöglichkeiten ist immer auch eine Risikoeinschätzung erforderlich, um sicherzustellen, dass Informationen gemäß ihrer Sicherheitsklassifizierung behandelt werden.

Wenn geeignet, kann die Firma Capture Media GmbH als Ausweichmöglichkeit einbezogen werden.

Technische Maßnahmen

Die organisatorischen Maßnahmen können technisch unterstützt werden.

Physische Sicherheit

Die Infrastruktur (Gebäude und Räume) ist durch geeignete Maßnahmen zu sichern. Dazu gehören beispielsweise die Bereiche Zugangsschutz, Diebstahlschutz, Schutz vor Naturereignissen, Stromversorgung, Klimatisierung.

Durch eine unterbrechungsfreie Stromversorgung ist sicherzustellen, dass für hochverfügbare IT-Systeme ein kurzzeitiger Stromausfall keinen Schaden verursacht.

Automatische Erkennung von Vorfällen

Es gibt eine Reihe von Sicherheitsvorfällen, die mit entsprechender technischer Unterstützung automatisiert und daher frühzeitig erkannt werden können. Zu diesem Zweck sollen Detektionsmaßnahmen installiert werden.

Beispiele für solche technischen Detektionsmaßnahmen sind:

Gefahrenmeldeanlage
Rauchmelder
Fernanzeige von Störungen
Schadsoftware-Schutzprogramme
Intrusion Detection und Intrusion Response Systeme
Kryptographische Checksummen und digitale Signaturen

Die technischen Detektionsmaßnahmen müssen durch zusätzliche organisatorische Maßnahmen ergänzt werden (z. B. Meldewege, regelmäßige Aktualisierung und Überprüfung).

Bei der Auswahl von Detektionsmaßnahmen ist immer eine Kosten-Nutzen-Berechnung vorzulegen und die Wirksamkeit kritisch zu hinterfragen.

Datensicherungsplan

Datensicherungen sind zu erstellen, um Datenverlust vorzubeugen und Ersatz-Systeme schnell in Betrieb nehmen zu können.

Mit Hilfe eines Datensicherungsplans muss ein sachverständiger Dritter in der Lage sein, sämtliche für den Wiederanlauf einer IT-Anwendung erforderliche Software (Betriebssystemsoftware, Anwendungssoftware) und deren Daten in angemessener Zeit beschaffen und installieren zu können. Ein Datensicherungsplan muss Auskunft geben können über:

Datum der Datensicherung
Datensicherungsumfang (welche Dateien/Verzeichnisse wurden gesichert)
Datenträger, auf dem die Daten im operativen Betrieb gespeichert sind
Datenträger, auf dem die Daten gesichert wurden
für die Datensicherung eingesetzte Hard- und Software (mit Versionsnummer)
bei der Datensicherung gewählten Parameter (Art der Datensicherung usw.)
Ort der Aufbewahrung

Es ist ein Datensicherungskonzept zu erstellen und zu beachten, in dem die Datensicherung explizit geregelt wird (ISMS, 02_09).

Wiederanlaufreihenfolge

Technische oder ablaufbedingte Abhängigkeiten der IT-Systeme und IT-Anwendungen sowie deren Wichtigkeit beeinflussen die Wiederanlaufreihenfolge nach einem Ausfall eines IT-Systems oder dem Abbruch einer Anwendung. Entsprechende Zusammenhänge sind zu dokumentieren.

Verhalten in Notfällen

Ein Notfall sollte formal durch die Geschäftsführung ausgerufen werden, da schnelle Entscheidungen unabhängig von Hierarchieebenen getroffen und Mitarbeiter vielleicht außerhalb der normalen Arbeitszeit verständigt werden müssen. Auch könnten Maßnahmen, die vom normalen Arbeitsablauf abweichen und Sonderberechtigungen erfordern, notwendig werden. In Notfällen müssen unter Umständen Beschränkungen und Sicherheitsvorkehrungen außer Kraft gesetzt werden, um ein Problem schneller lösen zu können. In den entsprechenden Arbeitsanweisungen (z.B. (ISMS, 03_10), (ISMS, 03_18), (ISMS, 03_19)) muss daher festgelegt werden, welche Aufgaben einzelne Personen im Notfall übernehmen und welche Rechte sie haben. Die beteiligten Personen und Organisationseinheiten sind dann im Notfall befugt, die ihnen übertragenen Aufgaben eigenverantwortlich durchzuführen.

Folgende Verhaltensregeln gelten allgemein für alle Mitarbeiter:

Alle Mitarbeiter haben im Vorfeld die Erstellung des Notfallkonzepten (z. B. Erstellung der Dokumentationen) nach Kräften zu unterstützen.
Unregelmäßigkeiten, die auf einen Sicherheitsvorfall hindeuten, sind gemäß den Alarmierungsplänen unverzüglich zu melden.
Die Handlungsanweisungen für ausgewählte Schadensereignisse sind einzuhalten.
Es sind die Anweisungen der Geschäftsführung und etwaige spezielle Verhaltensregeln zu beachten.
Alle Begleitumstände sind ungeschönt, offen und transparent zu erläutern, um damit Schäden zu mindern, schnell Lösungen zu finden und Erkenntnisse zur Verbesserung des IT-Sicherheitskonzepts zu gewinnen.
Informationen über den Notfall dürfen nicht unautorisiert an Kunden und nicht an unautorisierte externe Dritte weitergegeben werden.
Nach einem Notfall ist der sichere Normalzustand wiederherzustellen und an der Aufarbeitung des Notfalls mitzuarbeiten.
Die betreffenden Arbeitsanweisungen sind stets aktuell zu halten und zu verbessern.

Sofortmaßnahmen

Derjenige, der einen Sicherheitsvorfall bemerkt, leitet umgehend erste Notfallmaßnahmen ein, damit die Gefahrenlage minimiert und eingedämmt wird (z. B.: Alarmierung, Rechner ausschalten, Fenster schließen).

Welche Verhaltensregeln bei Sicherheitsvorfällen gelten, muss in den Arbeitsanweisungen (z.B. (ISMS, 03_10), (ISMS, 03_18), (ISMS, 03_19)) für ausgewählte Schadensereignisse beschrieben werden.

Alarmierung

Die verantwortlichen Stellen, die aktiv handeln müssen, sind zu alarmieren (z. B. Feuerwehr, Administrator, Geschäftsführung). Sie übernehmen dann in der Regel die weitere Untersuchung und Bewertung des Vorfalls und leiten Maßnahmen ein.

Im Vorfeld sind Alarmierungspläne zu erstellen, die die Meldewege für ausgewählte Schadensereignisse beschreiben.

Als Anhang müssen Adress- und Telefonlisten geführt werden. Relevante Telefonnummern externer Dienstleister und Behörden dürfen nicht vergessen werden, z. B.:

Feuerwehr
Polizei
Notarzt
Wasser- und Stromversorger
Ausweichrechenzentrum
Telekommunikationsanbieter
IT-Techniker
Softwarehersteller

Damit allen Mitarbeitern die Ansprechpartner bekannt sind, werden diese Listen im Intranet (z.B. Parasol Wiki) bereitgestellt.

Maßnahmen zur Problemlösung

Reihenfolge der Fehlerbehebung

Bei der Behebung von Schäden sind verschiedene Aspekte zu berücksichtigen, wenn unterschiedliche Vorfälle, mehrere IT-Komponenten oder verschiedene Geschäftsprozesse betroffen sind und eine Wiederanlaufreihenfolge festgelegt werden muss.

Bedeutung einer ausgefallenen IT-Komponente oder des betroffenen Geschäftsprozesses (Schutzbedarfsfeststellung, insbesondere Verfügbarkeitsanforderungen)
Bewertung unterschiedlicher Schadensarten durch die Unternehmensleitung
Entsprechende Vorgaben sollten nach Möglichkeit vorab dokumentiert werden
Technische oder ablaufbedingte Abhängigkeiten der IT-Systeme und IT-Anwendungen voneinander.

Es besteht die Möglichkeit, dass bestimmte Prozesse erst dann wiederhergestellt werden können, wenn andere, die als Grundlage zu sehen sind, bereits wieder funktionsfähig sind.

Entsprechende Dokumentationen sind im Vorfeld anzufertigen.

Voraussetzungen für kurze Wiederanlaufzeiten

Um im Schadensfall Probleme möglichst schnell lösen zu können, müssen rechtzeitig Vorbereitungen getroffen werden:

Erstellung von eigenen Dokumentationen und sorgfältige Archivierung von externen Dokumenten
Datensicherung (ISMS, 02_09)
Verträge mit externen Dienstleistern, Herstellern und Lieferanten
Ersatzbeschaffungsplan für Hardware
Ausweichstandort vereinbaren (z.B. bei Capture Media GmbH)

Notbetrieb

Nicht immer kann jedes Problem in einer tolerierbaren Zeitspanne behoben werden (Beispiel: Reparatur eines IT-Systems dauert zu lange). In diesen Fällen ist es erforderlich, die wichtigsten Geschäftsprozesse provisorisch aufrechtzuerhalten. Verschiedene Möglichkeiten bieten sich je nach Vorfall an:

Einschränkung des IT-Betriebs

Um bei einem eingeschränkten IT-Betrieb die geschäftskritischen Prozesse betreiben zu können, müssen diese priorisiert bearbeitet werden, um eingeschränkte IT-Kapazitäten bestmöglich zu nutzen. Manuelle Ersatzverfahren sind im Vorfeld zu definieren und bei einem eingeschränkten IT-Betrieb zu nutzen, um den Bearbeitungsrückstand (Backlog) gering zu halten, bis der Normalzustand wiederhergestellt ist. Des Weiteren sind dafür auch interne oder externe Ausweichmöglichkeiten an Ressourcen zu definieren und zu nutzen.

Informationspolitik

Unter Umständen müssen betroffene interne und externe Stellen über den Vorfall informiert werden. Dies sind insbesondere diejenigen Stellen, die direkt durch den Sicherheitsvorfall Schäden erleiden könnten, Gegenmaßnahmen ergreifen müssen oder solche, die Informationen über Sicherheitsvorfälle aufbereiten und bei der Vorbeugung oder Behebung helfen können. In Einzelfällen kann es auch notwendig sein, die Öffentlichkeit zu informieren.

Anweisungen für bestimmte Schadensszenarien mit den nötigen Kontaktdaten sind vorab zusammenzustellen.

Dokumentation

Eine Dokumentation des Notfalls ist notwendig, um für zukünftige Vorfälle zu lernen und Veränderungen an IT-Systemen und IT-Anwendungen nachvollziehen zu können. Dies ist besonders wichtig, wenn unter Zeitdruck oder mit Sonderrechten gearbeitet wurde.

Protokoll- und Log-Dateien können im Nachhinein eine wertvolle Hilfe sein und sollten daher gesichert werden (ISMS, 02_02).

Bei der Dokumentation sollte auch an eine mögliche Strafverfolgung gedacht werden.

Das ISMS-Logbuch sollte zur Dokumentation genutzt werden, um eine Nachverfolgbarkeit der Notfälle zu erreichen.

Wiederherstellung eines stabilen Normalzustandes

Nach einem Notfall ist dafür zu sorgen, dass möglichst schnell der sichere Normalzustand wieder erreicht wird. Zur Behebung des Notfalls sind unter Umständen Anwendungen, IT-Systeme oder Konfigurationen verändert oder elektronische Abläufe durch manuelle ersetzt worden.

Es kann z. B. auch erforderlich sein, Passwörter neu zu vergeben und zu verändern.

Nachbereitung von Notfällen

Eine Nachbereitung von Notfällen hat aus zwei Gründen zu erfolgen:

Verbesserungspotentiale erkennen

Dazu sind z. B. folgende Fragen zu klären:

Waren die Reaktionszeiten ausreichend?
Hat die Alarmierung funktioniert oder gab es Probleme bei der Eskalation des Vorfalls?
Wurde die Ursache des Vorfalls schnell gefunden und wurden die Auswirkungen richtig eingeschätzt?
Waren alle Dokumentationen brauchbar und aktuell?
Wenn es einen Täter gab: Was hat ihn motiviert?
Was muss in Zukunft verbessert werden?

Revision des Notfallvorsorgekonzeptes

Das Managementsystem zur Behandlung von Sicherheitsvorfällen, und damit auch das Notfallvorsorgekonzept, muss regelmäßig auf seine Aktualität und Wirksamkeit geprüft werden. Die Notfallübungen können dabei wertvolle Erkenntnisse liefern. Alle Maßnahmen müssen regelmäßig daraufhin überprüft werden, ob sie:

wirksam und effektiv sind,
den betroffenen Mitarbeitern bekannt sind,
unter Stress umsetzbar sind und
in den Betriebsablauf integrierbar sind.