Wichtige Geschäftsprozesse selbst bei Störungen aufrechterhalten
Vom Disaster Recovery zur Business Continuity
Weltweit agierende Unternehmen müssen ihre Netze permanent verfügbar halten, und dies ungeachtet unvorhersehbarer Ereignisse wie beispielsweise Naturkatastrophen oder Hacker-Attacken. Statt nur auf ein ereignisabhängiges Disaster Recovery zu vertrauen, setzen Unternehmen zunehmend auf einen Business-Continuity-Management-Ansatz. Dabei steht die dauerhafte Aufrechterhaltung aller wichtigen Geschäftsprozesse im Vordergrund.
Bislang sahen Unternehmen Betriebsunterbrechungen als ein Disaster-Recovery-Problem an und
reagierten lediglich mit einem Plan zur Wiederherstellung nach Ausfällen. Dieser Ansatz bezog auch
Außendienststellen mit weniger geschäftskritischen Systemen ein, damit eine Sicherungskopie der
letzten Geschäftsdaten immer verfügbar war. Im Falle eines kritischen Ereignisses wurde das Backup
eingespielt, und das System konnte wieder arbeiten. Durchschnittlich dauerte dies 24 bis 48
Stunden, manchmal sogar bis zu 72 Stunden, je nach Schadensgröße und Komplexität der Umgebung.
Dieses Modell allein funktioniert in der heutigen "Echtzeit-Kultur" nicht mehr. Seit E-Mails und
die elektronische Zusammenarbeit ("Collaboration") die Kommunikation im Tagesgeschäft bestimmen,
wächst auch die unabdingbare Verfügbarkeit des Unternehmensnetzwerks. Bei möglichen Störungen oder
Ausfällen müssen kritische Systeme in kürzester Zeit wiederhergestellt werden. Mit einem
Business-Continuity-Management (BCM) überprüfen Unternehmen laufend ihre Geschäfts-anforderungen,
bestimmen dafür jeweils ein akzeptables Risikoniveau sowie kritische Prozesse und passen diese
stets der aktuellen Situation an. Dieser Ansatz konzentriert sich auf den Aufbau eines
leistungsfähigen Notfall- und Krisenmanagements, um systematisch auf die Bewältigung von
Schadensereignissen vorbereitet zu sein. Im Vordergrund stehen dabei die Prozesse und weniger die
Technik. Dies soll verhindern, dass wichtige Geschäftsprozesse in kritischen Situationen
unterbrochen werden.
Business-Continuity-Ansätze sind immer speziell auf die Bedürfnisse eines Unternehmens
zugeschnitten und abhängig von unterschiedlichen Faktoren wie beispielsweise der Branche. Je
stärker die Abhängigkeit von der IT ist, umso ausgefeilter muss die BCM-Strategie sein. Doch die
Risiken und möglichen Auswirkungen eines Ausfalls und die Kosten für Business-Continuity-Maßnahmen
müssen im Verhältnis stehen. BCM-Strategien basieren in der Regel auf folgenden
Schlüsselkomponenten:
Die Unternehmensbewertung wirft einen klaren Blick auf alle
geschäftskritischen Informationsflüsse.
Um das Ausmaß eines BCM zu ermitteln, müssen alle Prozesse, Systeme und
Mitarbeiter des Unternehmens in die Überlegungen mit einfließen. Dabei werden alle internen und
externen Informationsflüsse des Unternehmens überprüft.
Anhand der gewonnenen Informationen lässt sich eine Risikobewertung vornehmen.
Sie bestimmt potenzielle Risiken und die Toleranz des Unternehmens im Hinblick auf
Unsicherheiten.
Das BCM-Team, das im Unternehmen das Business-Continuity-System aufbauen und
betreuen soll, kommt aus verschiedenen Bereichen des Unternehmens und ist am Prozess zur
Identifizierung der wichtigsten zu erhaltenden Prozessflüsse beteiligt. Es geht dabei also nicht
vorrangig um eine technische Lösung aus dem IT-/Netzwerkbereich.
BCM ist eine dynamische Disziplin, bei der regelmäßige Prüfungen und
Erneuerungen nötig sind. Denn mit dem Unternehmen entwickelt sich auch die jeweilige BCM-Lösung
weiter und muss an veränderte Geschäftsumgebungen angepasst werden.
Dabei ist die Business Continuity mittlerweile in zweifacher Hinsicht eng mit dem Thema
Compliance verbunden. Zum einen haben eine Reihe von Industrieverordnungen Business-Continuity-
oder Disaster-Recovery-Anforderungen aufgenommen. Dazu gehören beispielsweise Verordnungen wie
Sarbanes-Oxley, Basel II, FISMA (Federal Information Security Management Act) oder HIPAA (Health
Insurance Portability and Accountability Act). Und zum anderen müssen Unternehmen bestimmte
Zertifizierungen (beispielsweise SAS-70 oder FIPS) und die ordnungspolitische Compliance
aufrechterhalten, um die in vielen Branchen benötigten Genehmigungen zu bekommen.
Relevante Ereignisse
Für die Einschätzung der wichtigsten zu erhaltenden Prozessflüsse muss das BCM-Team zunächst
alle Ereignisse eruieren, die Auswirkungen auf den Geschäftsbetrieb haben könnten. Diese lassen
sich in die drei Kategorien einrichtungs-, mitarbeiter- und auf die IT-Infrastruktur bezogen
einteilen.
Zu den einrichtungsbezogenen Ereignissen zählen Naturkatastrophen wie Überschwemmungen,
Schneestürme oder Brände genauso wie durch Menschen verursachte Vorkommnisse (beispielsweise die
Stromunterbrechung) oder auch Einbrüche und Vandalismus. Diese Geschehen fanden bisher immer große
Beachtung, wenn über Disaster Recovery gesprochen wurde. Das liegt daran, dass solche Ereignisse
meist großes Ausmaß haben und ohne große Vorwarnung eintreten.
Unter mitarbeiterbezogene Ereignisse fallen beispielsweise der Verlust von Mitarbeitern durch
Kündigung oder Krankheit. Wenn das Team die Informationsflüsse innerhalb eines Unternehmens
untersucht, sind Mitarbeiter ebenso entscheidend für die Kontinuität der Geschäftsprozesse wie die
Einrichtung selbst. Auch ein einzelner Mitarbeiter kann wichtig für die Aufrechterhaltung des
Geschäftsbetriebs sein, wenn er der einzige ist, der bestimmte wichtige Kenntnisse oder
Qualifikationen besitzt. So sollte ein effizientes BCM zum Beispiel auch dafür Sorge tragen, dass
mehrere Mitarbeiter innerhalb des Unternehmens die gleichen wichtigen Kenntnisse und
Qualifikationen besitzen, damit diese sich im Notfall gegenseitig vertreten können.
IT-infrastrukturbezogene Ereignisse können ebenfalls den reibungslosen Betrieb eines
Unternehmens stören. Man denke dabei an Hardwarefehler, Software Bugs oder IT-Sicherheitsangriffe
(Viren, Würmer, Distributed Denial-of-Services-Attacken, Einbrüche) sowie an
Change-Management-Fehler oder auch menschliche Fehler.
Die IT-Infrastruktur steht schon seit längerem im Mittelpunkt der Diskussion um das Disaster
Recovery: Messaging-Lösungen wie Instant Messaging beispielsweise ermöglichen die Kommunikation in
Echtzeit am Arbeitsplatz. Sie stellen aber auch Sicherheitsrisiken dar und eröffnen neue Wege für
Viren und Würmer. Um dem Wildwuchs von IM-Clients und dem damit verbundenen Sicherheitsrisiko
entgegen zu wirken, drängen sich unternehmensweite Richtlinien zum Umgang mit den
Kommunikationslösungen auf. Neben definierten Policies sollten unternehmensweite
Sicherheitsmaßnahmen alle User-Desktops und somit auch das Unternehmensnetzwerk schützen.
Ein BCM-Konzept berücksichtigt darüber hinaus Veränderungen etwa durch neue Anwendungen,
Fusionen oder Käufe. Da die Unternehmens-IT die Compliance eines Unternehmens beeinflusst, sollte
sie auch in Geschäftsentscheidungen mit einfließen.
BCM als Professional Service
Technisch betrachtet umfassen Business-Continuity-Lösungen traditionelle Sprach- und
Datendienstleistungen bis hin zu in das Netzwerk eingebetteten Applikationen mit hoher
Verfügbarkeit. Das Fundament des BCM-Ansatzes von Verizon Business zum Beispiel liegt auf Sprach-
und Datendiensten, Sicherheitsdienstleistungen, IT-Lösungen und einer Auswahl von in das Netzwerk
eingebetteter Applikationen. Darauf aufbauend lassen sich Managed Services aufsetzen, sodass sich
Firmen auf ihr Kerngeschäft konzentrieren können, anstatt Support für ihre IT-Infrastruktur zu
leisten. So gehören BCM-Lösungen zum Bereich der Professional Services – von der anfänglichen
Planung und Bewertung bis zur Implementierung und Sicherung der Compliance. Entscheidend sind hier
die Service Level Agreements (SLAs), auf deren Grundlage der BCM-Anbieter die vollständige
Ende-zu-Ende-Verantwortung für die wichtigsten Geschäftsapplikationen übernimmt. Zu den Services,
die die wichtigsten Business-Continuity-Anforderungen erfüllen, zählen:
Technology Consulting Services (Hilfe bei der Entwicklung oder Erneuerung von
Business Continuity und ordnungspolitischen Compliance-Plänen),
stabile Sprach- und Datendienste,
Sicherheitsdienstleistungen,
IT-Lösungen,
in das Netzwerk eingebettete Applikationen,
Compliance-Bescheinigung und Prüfung,
Customized Business Outcome,
SLA-Optionen und
Managed Optionen.
Fazit
Die wirtschaftlichen Zwänge des Markts und die "Always-on"-Verfügbarkeit haben die Diskussion
von Disaster Recovery hin zu Business Continuity verlagert. Dabei wird das BCM als eine
fortlaufende Disziplin betrachtetet, die von den individuellen Geschäftsanforderungen,
Risikotoleranzen und den ordnungspolitischen Compliance-Anforderungen jedes Unternehmens
angetrieben wird. BCM unterstützt Unternehmen sowohl bei der Einhaltung von
Compliance-Anforderungen als auch im Ernstfall, wenn IT-Systeme ausfallen und der wirtschaftliche
Schaden schnell ein beträchtliches Ausmaß annehmen könnte.
Lesen Sie mehr zum Thema
