Testen und Üben –Sisyphusarbeit im Business Continuity Management

Abgelegt in: 1 Antwort

Die Novellierungen der MaRisk und BAIT stellen hohe Anforderungen an die Durchführung von Tests und Übungen

Am 26. August 2021 hat das BaFin die Novellierungen der Mindestanforderungen an das Risikomanagement (MaRisk) und der Bankaufsichtlichen Anforderungen an die IT (BAIT) nach der Konsultationsphase final veröffentlicht.

Für das Business Continuity- und IT-Notfallmanagement gibt es insbesondere hinsichtlich der Durchführung von Übungen und Tests konkretisierte Anforderungen, die für die betroffenen Finanzdienstleister erhebliche Mehraufwände im Testen und Üben nach sich ziehen.

Für so manchen BCM- und ITSCM-Verantwortlichen wird die Umsetzung der Anforderungen wie eine nie enden wollende Sisyphusarbeit erscheinen.

Es gibt jedoch Stellschrauben, um die Aufwände für die nachzuweisenden Tests und Übungen zumindest zu verringern, ohne an Qualität zu verlieren.

In meinem aktuellen Beitrag auf 3GRC stelle ich mehrere dieser Stellschrauben vor.

Das Handwerkszeug für den Krisenmanager im Online-Shop

Abgelegt in: 1 Antwort

Aus der eigenen praktischen Erfahrung aus Notfällen, Tests und Übungen sowie aus durchgeführten Trainings für BCM und Krisenmanagement hat haemmerle-consulting erste Hilfsmittel für den Krisenmanager entwickelt. Hierzu zählt ein speziell konfiguriertes hochwertiges Alu-Klemmbrett mit spezieller FOR-DEC-Ausstattung sowie FOR-DEC-Flipcharts für die Visualisierung im Krisenstab und Lagezentrum mit adhäsiver Schutzfolie zur mehrfachen Verwendung. Die Produkte sind praxiserprobt und auf die speziellen Bedürfnisse im BCM und Krisenmanagement zugeschnitten. Sie sind sowohl bei Übungen als auch für echte Lagen von praktischem Nutzen.

Die Produkte sind im Online-Shop bei haemmerle-Consulting bestellbar. Weitere Produkte sind in der Entwicklung und werden folgen.

Krisenstabstraining: Nur Training macht den Meister

Abgelegt in: 1 Antwort

Lesen Sie meinen aktuellen Beitrag auf 3GRC zur Durchführung eines Krisenstabstrainings bei einem Energiedienstleister der kritischen Infrastruktur.

Regelmäßige Krisenstabs sind eine elementare Voraussetzung, um in Notfällen und Krisen handlungsfähig zu bleiben und schnell “vor die Lage” zu kommen.

Die Vorbereitung von Krisenstabstrainings ist aufwändig und anspruchsvoll. Die Teilnehmer sollen mit einer realistischen Lageeinspielung und wenig Übungskünstlichkeit konfrontiert werden. Gar nicht so einfach, wenn es um komplexe technische Themen geht, die mit den am Training teilnehmenden Fachexperten nicht zuvor abgestimmt werden können. Da ist dann detektivische Recherchearbeit im Feld und in den Weiten des Internets erforderlich. Der Aufwand lohnt jedoch immer und alle Beteiligte haben ein Erfolgserlebnis, wenn die Herausforderungen gemeistert sind. Den Abschluss bildet die etwas trockenere Pflichtaufgabe der Dokumentation. Aber auch das muss sein.

Banken-Erpressergruppe DD4BC geschnappt

Abgelegt in: Antworten

Die Hackergruppe DD4BC hatte unter anderem auch deutsche Banken erpresst. Die Masche  der Hacker war immer gleich: bei den Opfern gingen Erpresserschreiben per Mail ein, in denen ein Betrag in der Cyberwährung Bitcoins gefordert wurde. Sollte der benannte Betrag nicht auf dem beschriebenen Weg transferriert werden, drohten die Erpresser einen DDoS-Angriff an. zur Untermauerung der Ernsthaftigkeit wurde schon einmal vorab ein kürzerer DDoS-Angriff verübt.

Eine Beschreibung des Vorgehens und der beeindruckenden “Einnahmenentwicklung” der Hackergruppe wurde vom Frankfurter Unternehmen Link11 GmbH erstellt.

Das Angriffsszenario von DD4BC habe ich im vergangen Jahr auch als Grundlage für Drehbücher von Krisenstabsübungen herangezogen. Das realitätsgetreue Szenario hat sich sehr gut für Krisenstabsübungen geeignet und war eine Herausforderung für die Krisenstabsmitglieder.

Europol hat nun, wie heise berichtet, mit Polizeikräften aus mehreren europäischen Staaten Verdächtige der Hackergruppe DD4BC in Bosnien und Herzegowina gefasst.

Jetzt ist diesem Spuk von DD4BC hoffentlich ein Ende gesetzt, doch das bestens funktionierende Geschäftsmodell  der Cyber-Erpressung wird uns weiter in Atem halten. Die neue Bedrohung firmiert mit gleichem Geschäftsmodell unter “Armada Collective”. Gerade kleine und mittlere Unternehmen können dieser Bedrohung kaum etwas entgegensetzen und viele werden im Gefühl der Machtlosigkeit zähneknirschend die Bitcoins auf den elektronischen Weg bringen, um schnell wieder mit dem Online-Shop Geld verdienen zu können. Genauso wie Privatanwender für die Entschlüsselung ihrer Daten auf dem PC nach einer Malware-Attacke zum Portemonnaie greifen, weil die letzte Datensicherung doch schon etwas länger zurückliegt.

Wie eine Krisenstabsübung entsteht

Abgelegt in: Antworten

Übungen der Krisenstäbe zählen zu den wichtigsten Maßnahmen der Notfall- und Krisenprävention. Notfallpläne sind wichtig, sie können allerdings nicht alle möglichen Szenarien und Szenariokombinationen abdecken. Statt umfangreicher Notfallpläne – die im Notfall nicht gelesen werden – präferiere ich die Kombination von Notfallkonzepten und Notfallchecklisten. Das Krisenmanagement baut auf dieser präventiven Planung des BCM auf und setzt diese entsprechend der Lage um. Weiterlesen…

Nicht “ob”, sondern “wann” ist die Frage

Abgelegt in: 1 Antwort

Schaut man sich die Liste der erfolgreichen Hacks der jüngsten Vergangenheit an, wird schnell klar, dass es jedes Unternehmen irgendwann treffen kann. Eine hundertprozentige Sicherheit kann kein Unternehmen auch nicht mit immensem personellem und finanziellem Aufwand sicherstellen. Der normale Geschäftsbetrieb muss ja noch gewährleistet bleiben und die Unternehmen werden weiter Menschen beschäftigen, die das schwächste Glied in der Abwehrkette darstellen. Wie schnell ist auf einen Link in einer Mail geklickt …

Auf der anderen Seite ist der Business Case für Cyber-Kriminelle hochattraktiv. Mit der Verschlüsselungssoftware Cryptowall Ransomware hat eine Hackergruppe alleine in diesem Jahr rund 325 Millionen US-Dollar an Erpressungsgeldern eingenommen, das sind nahezu eine Million US-Dollar täglich. Neben der Erpressung des Unternehmens winken mit dem Verkauf der erbeuteten Daten weitere lukrative Einnahmen. Für einen Kreditkartendatensatz aus der EU sind dies immerhin 25 bis 45 US Dollar, wie McAfee Labs in seiner Analyse “The Hidden Data Economy” ermittelte. Wenn das kein attraktives Geschäftsmodell ist! Wir müssen daher davon ausgehen, dass dieses Geschäftsmodell der Cyber-Erpressung weiter wachsen wird, denn auch Cyber-Kriminelle denken und handeln streng ökonomisch. Betroffen von diesem “Geschäftsmodell” sind gerade auch kleine und mittelständische Unternehmen.  Die eingeforderten Beträge sind für die Betroffenen verkraftbar kalkuliert und so ist es auch für viele Unternehmen betriebswirtschaftlich sinnvoller der Erpressung nachzugeben und das Geld zu bezahlen. Das ökonomische Kalkül der Erpresser geht also auf. Sogar das FBI kapituliert vor diesen Methoden und empfiehlt, das Lösegeld an die Erpresser zu bezahlen.

Das objektive Risiko Opfer einer solchen Cyber-Erpressung zu werden ist hoch. Nicht “ob” ist die Frage, sondern “wann”. Doch was können Unternehmen tun, um auf den “Tag X” vorbereitet zu sein. Sich auf die IT-Security zu verlassen ist zu wenig. Die Kollegen machen einen tollen Job, doch einen Rundum-Schutz für ein sorgloses Leben und Arbeiten können sie nicht gewähren. Im Zweifel sind die kriminellen besser ausgestattet und technisch überlegen.

Daher müssen die Verteidigungslinien im Unternehmen mehrfach gestaffelt werden:

  • 1. Verteidigungslinie: Awareness bei den Mitarbeitern
  • 2. Verteidigungslinie: Technische Maßnahmen durch die IT-Security
  • 3. Verteidigungslinie: Business Continuity Pläne für diese Szenarien (Bsp. Nicht-Verfügbarkeit kritischer Daten und Anwendungen)
  • 4. Verteidigungslinie: IT Service Continuity Management für die Wiederherstellung kritischer Daten und Systeme
  • 5. Verteidigungslinie: Krisenmanagement für die planvolle Steuerung durch die Krise.

Dies zeigt, Cyber-Kriminalität mit seinen potentiellen Auswirkungen auf kritische Geschäftsprozesse ist nicht nur ein Thema der IT-Security. Mitarbeiter, IT-Security, BCM, ITSCM und Krisenmanagement müssen “Hand in Hand” funktionieren, um ein solches herausforderndes Szenario bewältigen zu können.

Die Angriffe sind mittlerweile so ausgeklügelt, dass eine Verteidigungslinie bei weitem nicht ausreichend ist. So sind Mails mit Links zu Malware mittlerweile täuschend echt gebaut. Die Adressaten der Mails werden namentlich angesprochen und der Inhalt der Mails passt perfekt in den Arbeitskontext der Adressaten. Die technischen Möglichkeiten der Cyber-Kriminellen sind durch den Business Case nahezu unerschöpflich. Damit im Fall der Fälle das Business weiter läuft benötigt es die Verteidigungslinien BCM, ITSCM und Krisenmanagement. Allerdings sind gerade für diese Szenarien Pläne nicht ausreichend. Gerade hier gilt üben, üben, üben. Denn die Bedrohungsszenarien ändern sich laufend genauso wie sich elektronische Vertriebskanäle und schützenswerte Daten ändern. Wofür die IT-Security Penetrations-Tests einsetzt, nutzen BCM, ITSCM und Krisenmanagement Tests und Übungen. Schnelles und richtiges Handeln in diesen Bedrohungsszenarien muss ständig geübt werden, so wie Piloten im Simulator regelmäßig die Notfallverfahren üben bis sie tief im Gehirn verankert sind und im Notfall automatisiert abgespult werden können.

be prepared

Ihr Matthias Hämmerle

Der Erpresserbrief ist geschrieben

Abgelegt in: Antworten

keine Sorge, nur für die anstehende Krisenstabsübung. Mit dem Szenario einer Erpressung sollte sich jedes Unternehmen einmal auseinandersetzen. Suchen Sie im Internet doch einfach einmal nach dem Stichwort “DD4BC” oder schauen Sie sich diese Risikoanalyse an. Betroffen sind bei weitem nicht nur bekannte Großunternehmen. Insbesondere sind auch kleine und mittelständische Unternehmen betroffen. Die Beträge sind relativ klein und viele Unternehmen werden die Publicity und den Gang zur Polizei scheuen und den geforderten Betrag zähneknirschend bezahlen, in der Hoffnung dann Ruhe zu haben. In dieser Situation ist die Zeit knapp und schnelles zielgerichtetes Handeln gefragt. Ohne Vorbereitung und Übung passieren schwerwiegende Fehler. In einer Checkliste sollten die wichtigsten Schritte festgehalten werden und ein Beratungsgespräch bei der Polizei hilft den richtigen Kontakt im entscheidenden Moment zu finden.

Dank Simulation – mit Vorteil in einem fiktiven Unternehmen in einer ganz fremden Branche – souverän (re)agieren im Ausnahmezustand

Abgelegt in: Antworten

Was haben Holz, Notfall- und Krisenmanagement gemeinsam?

Sie stehen für die Premiere einer erfolgreichen Kooperation von Experten für Krisenstabstraining mit denen für softwaregestützte IT-Notfallplanung. Davon profitierten jetzt die Teilnehmer des gemeinsamen Krisenstabseminars.

Sitzungszimmer eines fiktiven Sägewerks: Krisenstimmung. In den kommenden Stunden wird es die Aufgabe der verantwortlichen Teilnehmer sein, die angeschlagene Firma so zu lenken, dass der Schaden möglichst gering gehalten werden kann: Nicht betroffene Unternehmensteile sollen trotz Ereignis einwandfrei produzieren und liefern können sowie die vom Ereignis nicht betroffenen Kunden möglichst wenig Beeinträchtigung erfahren. Außerdem muss die Produktion auch im vom Ereignis betroffenen Prozess bald wieder aufgenommen werden.

 Simulation schult adäquates Reagieren

Eine echte Herausforderung an die Teilnehmer, die beruflich alle nichts mit Holzverarbeitung zu tun haben.
Almut Eger, erfahrene Trainerin im Bereich des Notfall-, Krisen- und Business Continuity Managements und Spielleiterin, sieht exakt darin den größten Vorteil: „Am Beispiel des fiktiven Sägewerks üben die Verantwortlichen Abläufe und Führung, strukturierte Entscheidungsfindung und adäquates Reagieren in verschiedenen Krisenszenarios. Diese Simulation ist flexibel, man kann kundenspezifisch das Szenario auf gewisse Themen oder Abteilungen ausrichten. Hier ist ein nachvollziehbares Übungsumfeld mit einem bekannten Rohmaterial (nämlich Holz) gegeben, um ein herausforderndes und lehrreiches Training gestalten zu können. Es geht um die Methodik und das Funktionieren der Rollen an sich. Und es geht darum, die Personen im Ausfüllen ihrer Rollen zu stärken.“
Mehr noch: „Dank des Trainings in einer völlig fremden Umgebung – nämlich in einem Sägewerk – erhalten die Mitglieder des Einsatzteams die Möglichkeit, sich losgelöst von ihren üblichen Aufgaben vollständig in ihrer «methodischen Rolle» im Ereignismanagement zu bewegen. Aufgrund dieser Methodik können die Funktionsweise der Aufbau- und Ablauforganisation überprüft werden. Zudem erhält jeder Teilnehmer die Möglichkeit, seine eigenen Fähigkeiten zu testen und «fremde» Rollen auszuprobieren“, so die Expertin.

Führungfähigkeiten trainieren

Inzwischen haben die Teilnehmer ihren Part angenommen. „Es ist spannend, außerhalb der angestammten Rolle die Führungsfähigkeiten im Ereignismanagement zu trainieren. Hinzu kommt, dass alle hier sich hoch engagiert auf dem „dünnen Eis“ bewegen wollen“, sagt eine Seminarteilnehmerin begeistert. „Und dünn ist das Eis tatsächlich, denn Holz kann brennen, wegrollen, aufquellen, sogar schwimmen – es kann sich also in der Übung anders als erhofft verhalten.“

Zielgerichtete Unterstützung durch Notfall-Software

Doch die Teilnehmer trainieren nicht nur den Einsatz in einem Notfall- und Krisenstab und erhalten einen praxisnahen Einblick in die Stabsarbeit und nötigen Arbeitsschritte in einem Ereignis. Jörg Kretzschmar, Consultant, demonstriert anhand zahlreicher Beispiele und wertvoller Tipps, wie mittels des Einsatzes der speziell entwickelten Software  eine zielgerichtete Unterstützung via Notfallplänen und Verantwortlichkeiten aussehen kann. „Durch die strukturierte Aufnahme der Daten, aller Prozesse und Services eines Unternehmens erleichtert die damit zu erreichende Geschwindigkeit die Reaktion im Ernstfall.“

Deshalb sieht der Consultant in der Kooperation mit den Krisenstabstrainings-Experten eine ideale Win-Win-Situation für Kunden aus beiden Geschäftsfeldern: „Wir bauen diesen Schulungszweig 2014 aus und bieten insgesamt vier Krisenstabsschulungen an“, freut er sich auf die Zusammenarbeit.

 Aufgabe gemeistert: professioneller Umgang mit Unerwartetem

 Cornelius Herold, Trainer und u.a. Experte für Krisen- und Notfallmanagement, bringt das Ergebnis des Seminars auf den Punkt: „In dem technischen, berufsspezifischen Training mit der Softwarefür den Wiederanlauf nach einer Krise wendeten alle Teilnehmer die im Sägewerk erworbenen Kenntnisse in der Lageanalyse und der Einsatzführung dann auch in der angestammten fachlichen Rolle an. So konnten die Teilnehmer die Möglichkeiten effizienter Stabsarbeit zur Bewältigung einer dynamisch-komplexen Situation erkennen. Die Führungsarbeit und die effektive Zusammenarbeit des Krisenstabteams in heiklen Situationen konnte zielgerichtet trainiert werden. Die Teilnehmer sammelten Erfahrung in der Strukturierung und Durchführung von Stabsprozessen, unabhängig von fachlichen Aufgaben und Abläufen.“

Bewertung von Teilnehmern:

 „Es war eine Stunde lang Stress und Adrenalin pur.

Auch wenn wir das fiktive Unternehmen letztendlich „versenkt“ haben, war es für uns eine Übung, aus der wir extrem profitieren konnten. Wir haben sehr wichtige Erkenntnisse mitgenommen und ich freue mich auf die Anwendung. Das Seminar war den Tag Aufwand und seinen Preis wert. Uneingeschränkt empfehlenswert.“

  „Sehr gutes praxisbezogenes Seminar mit praktischen und wertvollen Inhalten.

Die ausgewogene Kombination von „theoretischer Einführung“ und „praktischer Übung“ waren interessant und kurzweilig. Auch die Möglichkeit, während des Trainings verschiedene Rollen auszuprobieren, war eine gute Erfahrung. Alles in allem kann ich sagen, dass der Tag nicht nur lehrreich war sondern es auch richtig Spaß gemacht hat.“

Die nächsten Seminare finden statt am 08.05.2014, 06.06.2014, 30.09.2014 und 27.11.2014

Die Termine für weitere Veranstaltungen dieses Krisenstabstrainings finden Sie im BCM-Kalender.
Dort finden Sie auch den Link zum Veranstalter und zur Buchung.

Weitere  Informationen erhalten Sie auf Anfrage gern per E-Mail oder Anruf an und bei den genannten Ansprechpartnern der CONTECHNET Ltd. | 4 Management 2 Security GmbH.