Der News Blog zu Business Continuity Management und IT Service Continuity Management
Im BCM werden folgende “klassische” Schadenszenarien betrachtet, die zu Unterbrechungen kritischer Geschäftsprozesse führen können:
Modell der drei Verteidigungslinien für die Governance der Informationssicherheit.
Dieser Artikel beschreibt das Modell sowie die Nutzung dieses Modells für das Business Continuity Management.
Neukonzeption der zivilen Verteidigung des Bundesregierung. Das 70-seitige Konzept geht auf einen Auftrag des Bundestags zurück: der Haushaltsausschuss forderte 2012 die Erstellung eines Gesamtkonzepts.
Als Gefahren für die Sicherheit gelten Angriffe mit konventionellen, biologischen und chemischen Waffen ebenso wie Attacken auf kritische Infrastrukturen wie die Wasser-, Strom- und Gasversorgung. Gerade auch Angriffe im Cyberraum werden als direkte Bedrohung genannt.
Das neue Konzepts befasst sich mit den Aufgaben des Bundes beim Schutz der Bevölkerung. Hierzu gehört die Notversorgungen mit Trinkwasser, Nahrung, Medizin und Energie, bestehende und neue Warnsysteme, Evakuierungsmaßnahmen, Schutz von Kulturgütern. Zu dem Gesamtkonzept gehört auch der Selbstschutz der Bevölkerung durch die Bevorratung von Lebensmitteln und Getränken für zwei Wochen.
Die Konzeption wurde am 24.08.2016 durch das Kabinett verabschiedet.
Link zur Konzeption Zivile Verteidigung
englischer Begriff für Menschen, die sich intensiv durch verschiedene Vorsorgemaßnahmen auf das Eintreffen einer Katastrophe vorbereiten (von “to prepare” – vorbereiten). Prepper legen sich Depots mit Vorräten an Lebensmitteln, Wasser, Medikamente und Ausrüstung zu Hause und an geheimen Orten an. In den USA verfügen Prepper zum Teil über Waffen und eine entsprechende Ausbildung, um sich und ihre Vorräte im Notfall verteidigen zu können. In den USA spricht man von einer Prepper-Bewegung.
Die Lage bezeichnet die Faktoren und Gegebenheiten, die Schadensereignisse und Schadensabwehr beschreiben.
Software zur automatisierten Benachrichtigung von Personen über Ereignisse. Alarmierungstools erlauben die Benachrichtigung definierter Personenkreise für spezifische Szenarien. Dies kann auch ortsabhängig erfolgen. Zudem erlauben Alarmierungstools die Rückmeldung der kontaktierten Personen zu Errreichbarkeit, Gesundheitszustand und anderen Informationen. Der Versand der Nachrichten erfolgt über zuvor definierte Kanäle, wie Telefon, SMS, E-Mail. Provider von Alarmierungstools verfügen über leistungsfähige Rechenzentren zum gleichzeitigen Versand einer großen Zahl an Nachrichten mit einer guten Anbindung an die nationalen und internationalen Carrier.
Temporäre Organisationseinheit zur Bewältigung von Notfällen und Krisen. Der Krisenstab besteht aus dem Leiter und weiteren Verantwortlichen für Fachbereiche.
Im militärischen und polizeilichen Bereich hat sich die Struktur für “command and control”auf drei Ebenen durchgesetzt:
Die Regierungsebene ist “Platinum”.
Der Krisenstab besteht aus festen und optionalen Mitgliedern. Unterstützt wird der Krisenstab durch ein Unterstüzungsstab, der die Lageaufbereitung, Lagedarstellung und Aufgabenverfolgung verantwortet.
Aufgaben, Kompetenzen und Verantwortungen des Krisenstabs, isb. gegenüber der Linie, sind in der Geschäftsordnung des Krisenstabs festzulegen.
Da sich Krisen über einen längeren Zeitraum von mehreren Wochen hinziehen können, ist auf eine mehrfache Besetzung der Rollen zu achten.
Für die Treffen des Krisenstabs sind entsprechend ausgestattete Räumlichkeiten vorzusehen.
Die Erreichbarkeit der Mitglieder des Krisenstabs ist sicherzustellen, um eine schnelle Entscheidungsfähigkeit zu gewährleisten.
Als Entscheidungsmodell für den Krisenstab hat sich FORDEC aus der Lauftfahrt bewährt.
Geltungsbereich des Business Continuity Management Systems. Der Geltungsbereich kann definiert werden durch
Der Scope erlaubt eine begrenzte Implementierung des BCM. Für alle Produkte und Services im Scope müssen jedoch auch alle notwendigen Ressourcen wie Vorgänger-, und Unterstützungsprozesse, IT, Personal, Dienstleister etc. betrachtet werden, damit die Notfallvorsorge für die Produkte und Services auch funktionsfähig ist.
Risiken, die zu keinen Geschäftsunterbrechungen durch physische Schäden führen (Feuer, Erdbeben etc.), aber trotzdem dem Unternehmen hohe finanzielle Schäden zum Beispiel in Folge von Reputationsverlusten zufügen können. Beispiel: Cyber-Attacken, geo-politische Risiken, Produktrückrufe.
Business Continuity Management beinhaltet alle Vorsorgemaßnahmen für Notfälle und Katastrophen, mit dem Ziel das Unternehmen bzw. die Organisation vor Schäden durch Geschäftsunterbrechungen zu schützen. Die Implementierung erfolgt auf Basis des BCM Lebenszyklus. Die Steuerung erfolgt im Rahmen des Business Continuity Management System BCMS. Eine Zertifizierung des BCMS kann auf Basis des Standard ISO 22301 erfolgen.
Direktive für Netz- und Informationssicherheit (Network and Information Security Directive) der EU. Die Vertreter der EU-Kommission, des Europaparlaments und der Mitgliedstaaten haben sich im Dezember 2015 auf das erste europäische Gesetz zur Cybersicherheit geeinigt. Unternehmen der Kritischen Infrastrukturen müssen nach dieser Direktive Hackervorfälle melden und Mindestsicherheitsmaßnahmen umsetzen. Die EU-Mitgliedsländer müssen die Direktive in nationalen Gesetzen umsetzen. In Deutschland wurde im Sommer bereits das IT-Sicherheitsgesetz als Sammlung von Gesetzesänderungen beschlossen. Die NIS-Richtlinie kann zu Anpassungen im IT-Sicherheitsgesetz führen.
Link zur Pressemitteilung der EU:
http://www.europarl.europa.eu/news/en/news-room/20151207IPR06449/MEPs-close-deal-with-Council-on-first-ever-EU-rules-on-cybersecurity
Produkt aus Eintrittswahrscheinlichkeit und Schadensausmaß eines unerwünschten Ereignisses.