Risiko-Auswirkungsanalyse im Katastrophenwiederherstellung: Wo man anfangen soll

Die Bewertung von Risiken ist einer der ersten Schritte, die erforderlich sind, um einen Weg zur Reduzierung derselben zu finden und damit die Sicherheit Ihrer Infrastruktur zu gewährleisten. Die Erstellung eines effektiven Notfallwiederherstellungsplans beginnt mit der Suche nach potenziellen Bedrohungen und Schwachstellen Ihrer Infrastrukturelemente sowie den Möglichkeiten, auf sie zu reagieren. Die Risikobewertung ist kein einmaliger Prozess. Sie sollten Ihre Risikobewertungsrichtlinien regelmäßig aktualisieren, insbesondere wenn Sie eine sich ständig ändernde Infrastruktur betreiben. Unser Artikel zielt darauf ab, die Bedeutung der Bewertung der Risikoauswirkungen bei der Notfallwiederherstellungsplanung zu erläutern und grundlegende Informationen darüber bereitzustellen, wie die Risikobewertung durchgeführt wird.

Risikobewertung: Zusammenhängende Konzepte

Die Bewertung von Risiken ist ein wichtiger Bestandteil sowohl der Notfallwiederherstellung (DR) als auch der Geschäftskontinuitätsplanung (BC). Obwohl die detaillierte Erklärung von DR und BC zwei separate Blogbeiträge erfordern würde, folgt hier eine kurze Übersicht über die beiden Praktiken:

• Notfallwiederherstellungsplan ist ein Dokument, das einen klar definierten Algorithmus von Maßnahmen enthält, die im Falle eines Vorfalls ergriffen werden sollen. Sein Zweck ist es, die Erholung von den negativen Auswirkungen zu vereinfachen, die der Vorfall mit sich gebracht hat. Die in einem DR-Plan festgelegten Anweisungen sollen Ihrem Unternehmen dabei helfen, wichtige Operationen aufrechtzuerhalten oder schnell wieder aufzunehmen und so die Ausfallzeiten auf ein Minimum zu reduzieren.
• Geschäftsfortführungsplan bezieht sich auf eine Reihe von Maßnahmen, die darauf abzielen, potenzielle Bedrohungen zu verhindern und sich von Vorfällen zu erholen, denen Ihr Unternehmen gegenübersteht. Die Hauptidee besteht darin sicherzustellen, dass die Mitarbeiter und Vermögenswerte Ihres Unternehmens geschützt sind und die Betriebsabläufe wieder aufgenommen werden können, wenn ein Katastrophenfall eintritt. Ein BC-Plan ist umfassender als ein DR-Plan: Er soll sicherstellen, dass das Geschäft nach einer Katastrophe weiterbetrieben wird, während ein DR-Plan darauf ausgelegt ist, die negativen Auswirkungen letzterer schnell zu mildern.

Die Bewertung von Risiken und allen potenziellen Schwachstellen, denen Ihr Unternehmen ausgesetzt sein kann, wird vor der Implementierung eines DR-Plans durchgeführt. Eine bewährte Praxis ist es, damit direkt nach Durchführung einer Geschäftsauswirkungsanalyse (BIA) zu beginnen, einem weiteren wichtigen Element einer DR-Strategie, das darauf abzielt, potenzielle Folgen zu identifizieren, wenn eine Ihrer Geschäftsfunktionen oder -prozesse unterbrochen wird.

Die Bewertung des Risikos für die Katastrophenwiederherstellung ist ein Dokument, das eine Beschreibung potenzieller Risiken für die Funktionsweise einer Organisation enthält. Es umfasst sowohl natürliche als auch vom Menschen verursachte Katastrophen und schätzt die Wahrscheinlichkeit des Auftretens jedes Szenarios ab. Die Ergebnisse der Schätzung werden dann mit den Folgen eines Vorfalls multipliziert. Der erhaltene Wert definiert das Schutzniveau Ihrer Organisation gegenüber einer bestimmten Bedrohung. Einige der grundlegenden Themen, die das Dokument hervorheben soll, sind folgende:

• Potentielle Schäden, die der Vorfall verursachen könnte;
• Aufwand und Zeit, die erforderlich sind, um die Auswirkungen des Vorfalls zu mildern, sowie damit verbundene Kosten;
• Vorbeugende Maßnahmen zur Reduzierung von Katastrophenrisiken;
• Anweisungen zur Verringerung der Schwere eines Vorfalls.

Die Bewertung von Risiken ist ein zeitaufwändiger Prozess, der sowohl Fähigkeiten als auch Aufmerksamkeit für Details erfordert. Beim Erstellen dieses Dokuments ist es besser, den Richtlinien zu folgen, auf Risikobewertungswerkzeuge zu achten und ein Beispiel für eine Risikobewertung bei Katastrophenwiederherstellung herunterzuladen, um ein besseres Verständnis zu erhalten.

Wie führt man eine Risikobewertung durch?

Normalerweise umfasst der Prozess der Durchführung einer Risikobewertung für die Katastrophenwiederherstellung die unten aufgeführten Schritte. Je nach den Bedürfnissen Ihrer Organisation können Sie zusätzliche Schritte hinzufügen oder einige der aufgeführten überspringen.

1. Liste der Vermögenswerte

Die Definition der Vermögenswerte, die für Ihre Organisation am wertvollsten sind, ist der erste Schritt, um sie zu schützen. Vermögenswerte sind ein recht breiter Begriff, der Server, Websites und Anwendungen, Kundenbasisinformationen, Datenbanken, Papier- oder elektronische Dokumente usw. und sogar wichtige Teammitglieder umfassen kann.

Um diese Aufgabe zu bewältigen, erwägen Sie die Erstellung eines Fragebogens. Es ist wichtig, Feedback nicht nur von den Schlüsselmanagern und Abteilungsleitern, sondern von allen Mitarbeitern des Unternehmens zu erhalten. Dies kann Ihnen helfen, sich bewusst zu werden, welche Dinge übersehen worden sein könnten. Beginnen Sie mit der Dokumentation spezifischer Risiken und Bedrohungen innerhalb jeder Abteilung.

2. Identifizieren Sie die Risiken

Sie sollten spezifisch definieren, was genau jeden Ihrer Vermögenswerte und auf welche Weise beeinträchtigen kann. Dies umfasst Software, Hardware, Daten und Mitarbeiter. Stellen Sie sicher, dass Sie einen integrierten Ansatz verfolgen, der eine breite Palette von Katastrophenformen und -formen so weit wie möglich anspricht. Diese sind:

• Naturkatastrophen.Auch wenn sich Ihre Infrastruktur in einer Gegend befindet, die voraussichtlich nicht von Hurrikanen oder Erdbeben betroffen ist, können Sie die Möglichkeit von Bränden und Wasserrohrbrüchen nicht ignorieren. Berücksichtigen Sie dies bei der Entscheidung, wo Sie Ihre Server platzieren möchten.
• Systemausfall.Die Wahrscheinlichkeit eines Ausfalls hängt von der Qualität Ihrer Computerausstattung und dem Wartungsaufwand Ihrerseits ab. Es besteht immer das Risiko, dass eine Maschine ohne Vorwarnung oder Fehlermeldungen herunterfährt und nicht mehr funktioniert. Darüber hinaus kann ein Systemausfall durch schwerwiegende Softwareprobleme wie eine fehlerhafte Codezeile resultieren.
• Versehentlicher Fehler. Das Schulen Ihrer Mitarbeiter, ausreichend Ruhezeit zu gewähren, die Implementierung von Sicherheitsprotokollen und andere vorbeugende Maßnahmen beseitigen die Risiken menschlichen Versagens nicht vollständig. Einige Ihrer Mitarbeiter können versehentlich eine wichtige Datei löschen, auf einen Malware-Link klicken oder versehentlich ein Gerät beschädigen.
• Böswillige Aktivitäten. Diese Gruppe von Risiken kommt in verschiedenen Formen vor, von traditionellen Hackerangriffen, die auf Ihre Daten abzielen, bis hin zu Insider-Bedrohungen wie dem Missbrauch von Anmeldeinformationen und der absichtlichen Veränderung oder Beschädigung von Daten.

3. Finden Sie die Schwachstellen

Es ist wichtig, Schwachstellen zu identifizieren, die ausgenutzt werden können, um Ihre Unternehmenswerte zu erhalten oder zu schädigen. Um eine nicht autorisierte Aktion durchzuführen, benötigt ein Angreifer einen Angriffsvektor (d. h. eine Methode), der angewendet werden kann, um eine Schwachstelle im System auszunutzen. Die Summe dieser Angriffsvektoren in Ihrer IT-Infrastruktur wird als Angriffsfläche bezeichnet. Die Schlüsselidee besteht darin, die Angriffsfläche auf ein Minimum zu reduzieren.

Stellen Sie sicher, die Wahrscheinlichkeit der Ausnutzung von Schwachstellen zu bewerten. Dies ist der erste Schritt zur Priorisierung von Sicherheitslücken und zur Zuweisung von Ressourcen zu ihrer Beseitigung. Gemäß den Statistiken, die auf dem Common Vulnerability Scoring System (CVSS) basieren, einem branchenüblichen Bewertungssystem für die Schwere von Schwachstellen, werden hochgradig schwerwiegende Mängel in den meisten Fällen ausgenutzt. Es gibt jedoch Ausnahmen von dieser Regel.

4. Bewerten Sie mögliche Konsequenzen

Führen Sie eine Risiko-Impakt-Analyse durch, um die finanziellen Verluste zu bestimmen, mit denen Ihr Unternehmen konfrontiert sein könnte, wenn eines Ihrer Vermögenswerte beschädigt wird. Neben Umsatzeinbußen können potenzielle Konsequenzen Datenverlust, Schäden an Ihrer IT-Umgebung aufgrund von Ausfallzeiten, Rufschädigung und rechtliche Probleme umfassen. Beachten Sie, dass oberflächliche Verluste nur der Anfang sein können. Ein Vorfall kann verborgene Kosten mit sich bringen, die mit PR- und Untersuchungen, erhöhten Versicherungsprämien und Rechtskosten verbunden sind.

5. Priorisieren Sie die Risiken

Definieren Sie das Risikoniveau für jedes Paar von Bedrohung und Schwachstelle. Stützen Sie Ihre Bewertung auf eine Kombination von zwei Faktoren: die Wahrscheinlichkeit der Ausnutzung der Schwachstelle und die potenziellen Konsequenzen, die dieser Vorfall mit sich bringen kann. Versuchen Sie abzuschätzen, wie viel Umsatz Ihr Unternehmen aufgrund des Risikovorfalls verlieren könnte.

Die Priorisierung sollte auf der Korrelation zwischen dem Ausmaß der Auswirkungen und der Wahrscheinlichkeit eines bestimmten Vorfalls basieren. Wenn der Vorfall zu schwerwiegenden negativen Auswirkungen führen kann und wahrscheinlich ist, sollte ihm höchste Priorität eingeräumt werden. Jede der Bedrohungen sollte einen entsprechenden Wert zugewiesen bekommen, von „sehr hoch“ (hohe Risikowahrscheinlichkeit in Kombination mit signifikanten monetären Verlusten) bis „sehr niedrig“ (geringe Wahrscheinlichkeit und unbedeutender Schaden).

6. Dokumentieren Sie die Ergebnisse

Der letzte Schritt bei der Durchführung einer Risikobewertung ist die Erstellung eines Berichts oder Dokuments, das alle oben genannten Einschätzungen umfasst. Später kann Ihnen dieses Dokument bei der Budgetplanung, Ressourcenzuweisung, Umsetzung von Sicherheitsrichtlinien usw. helfen. Das Dokument soll die Schwachstellen, potenziellen Auswirkungen und die Wahrscheinlichkeit des Auftretens für jede Bedrohung beschreiben. Zur besseren Veranschaulichung finden Sie unten ein Beispiel:

Bedrohung	Schwachstelle	Vermögenswert	Auswirkung	Wahrscheinlichkeit	Risiko	Vorsichtsmaßnahmen
Überhitzung im Serverraum (Systemausfall) – Hoch	Klimaanlage ist alt und schlecht gewartet – Hoch	Server – Kritisch	Dienste, Websites, Anwendungen usw. sind für einige Stunden nicht verfügbar – Kritisch	Temperatur in Serverräumen beträgt 40 °C – Hoch	Erhebliche finanzielle Verluste pro Stunde Ausfallzeit – Hoch	Kauf einer neuen Klimaanlage & sicherstellen, dass sie besser gewartet wird

Kurz nach Beginn werden Sie ein besseres Verständnis für die Betriebsabläufe und -prozesse Ihrer Organisation sowie die Möglichkeiten zur Optimierung gewinnen. Basierend auf der Risikobewertung erstellen Sie eine Richtlinie, die den Umfang der Maßnahmen regelt, die Ihr Unternehmen monatlich, quartalsweise oder jährlich ergreifen soll. Versuchen Sie herauszufinden, wie jede Bedrohung angegangen und gemildert werden sollte und wann die anschließende Risikobewertung durchgeführt werden soll.

Bereiten Sie sich im Voraus vor

Die Bedeutung der Erstellung eines umfassenden Risikobewertungsberichts zu ignorieren, ist eines der häufigsten Risiken für die Katastrophenwiederherstellung. Dieser Bericht ist ein bewährter Helfer, um die Wahrscheinlichkeit eines Vorfalls zu verringern, seine negativen Auswirkungen zu mildern und die Ausfallzeiten minimal zu halten.

Als Beispiel ist es eine kluge Praxis, regelmäßige Backups zu erstellen und Sicherungskopien extern zu speichern, um die Wiederherstellbarkeit Ihrer Daten in einer Vielzahl von Szenarien, vom versehentlichen Löschen bis zur totalen Zerstörung eines Serverraums, zu gewährleisten. Mit einer gültigen Replik können Sie auch nach einem Desaster mit nur wenigen Klicks wiederherstellen.

NAKIVO Backup & Replication bietet eine Vielzahl von Tools und Funktionen, um Ihre Workloads zu sichern und zu replizieren. Nachfolgend finden Sie eine kurze Übersicht über unsere Funktionalität:

Datensicherung

• Sichern Sie virtuelle, physische und Cloud-Workloads.
• Stellen Sie Dateien, Ordner und Anwendungsobjekte direkt aus komprimierten und deduplizierten Backups wieder her. Sie können Daten zurück an den Ursprungsort oder an einen benutzerdefinierten Speicherort wiederherstellen. Die Funktion funktioniert sowohl im LAN als auch im WAN, wobei alle Dateiberechtigungen wiederhergestellt werden.
• Senden Sie Kopien Ihrer Backups extern, um sicherzustellen, dass sie niemals aufgrund versehentlichen Löschens, Korruption, Festplattenausfalls, Cyberangriffs oder eines anderen unvorhergesehenen Ereignisses verloren gehen.

VM-Replikation

• Erstellen Sie identische Kopien, auch bekannt als Repliken, von VMware-, Hyper-V- und AWS EC2-basierten VMs.
• Nehmen Sie Ihre geschäftskritischen Operationen nahezu sofort wieder auf, indem Sie auf eine VM-Replik fehlschalten. Anders ausgedrückt können Sie eine von Software- oder Hardwarefehlern betroffene VM mit nur wenigen Klicks wiederherstellen.
• Performen Sie Replikation aus Backups, um Ihre Produktionsumgebung zu entlasten und Zeit zu sparen, was besonders wichtig ist in großen IT-Infrastrukturen.

Um minimalen Datenverlust sicherzustellen und Ausfallzeiten zu reduzieren, bereiten Sie sich im Voraus vor. Zusammen können NAKIVO Backup & Replication und ein angemessener Risiko-Impact-Assessment-Bericht Ihnen helfen, Ihre Umgebung vor einer Vielzahl unerwarteter Szenarien zu schützen.