Seit Jahren dreht sich die Diskussion um Ausfallsicherheit vor allem um Technologie. Haben Sie Sicherungskopien? Verfügen Sie über einen Notfall-Recovery-Plan? Haben Sie Schutzmaßnahmen getroffen, um Angriffe zu verhindern?
Das sind nach wie vor wichtige Fragen. Aber zunehmend sind es nicht mehr diese Fragen, die mir Führungskräfte stellen.
Stattdessen höre ich eine viel einfachere Frage:Wenn wir morgen Opfer eines Cyberangriffs werden, können wir uns davon erholen – und können wir das auch nachweisen?
NeuIDC-Studie, basierend auf einer Umfrage unter 539 Entscheidungsträgern aus den Bereichen IT und Ausfallsicherheit in den USA und Kanada, zeigt eine sich immer deutlicher abzeichnende Tatsache: Der Besitz von Recovery-Technologie bedeutet nicht automatisch, dass ein Unternehmen für die Recovery gerüstet ist.
Vor kurzem habe ich mich mit Jason Cray vom Product Experience-Team von Commvault getroffen, um diese Studie von IDC zu besprechen. Das Ergebnis unseres Gesprächs war nicht einfach nur eine Diskussion über Datensicherung, Recovery oder Cyber-Resilienz.
Es ging um das Thema Vertrauen. Genauer gesagt darum, warum so viele Unternehmen davon überzeugt sind, dass sie im Falle eines Ausfalls wiederherstellbar sind, aber Schwierigkeiten haben, nachzuweisen, dass sie tatsächlich auf Recovery vorbereitet sind.
Sehen Sie sich dasWebinar „Readiness für die Recovery“ – Auf Abruf.
Die wichtigsten Erkenntnisse
- Der Unterschied zwischen „wiederherstellbar“ und „Recovery-bereit“ ist wie der Unterschied zwischen Theorie und Beweis.
- IDC hat festgestellt, dass 57,7 % der Unternehmen ihr „Minimum Viable Business“ noch nicht vollständig definiert haben. Wenn Sie nicht wissen, was Sie wiederherstellen müssen, wie können Sie dann Prioritäten setzen, was zuerst wieder in Betrieb genommen werden muss?
- Alles wiederherzustellen, ist keine sinnvolle Strategie. Eine erfolgreiche Recovery-Aktion hängt von der Priorisierung und dem geschäftlichen Kontext ab.
- Damit die Recovery-Prozesse nach einem Cyberangriff erfolgreich sind, ist ein teamorientierter Ansatz erforderlich.
- Der grundlegende Unterschied zwischen Cyber-Recovery und Disaster Recovery liegt in der Notwendigkeit von Vertrauen.
- Die Geschwindigkeit ist möglicherweise nicht der beste Maßstab für die Recovery, insbesondere wenn Sie Ihren Backups nicht vertrauen können.
- Unternehmen schaffen Vertrauen durch Tests, nicht allein durch Planung.
- ResOps bietet einen Rahmen, um Resilienz zu einer operativen Disziplin zu machen.
Was ist der Unterschied zwischen „wiederherstellbar“ und „wiederherstellungsbereit“?
Vor einigen Jahren endeten viele Diskussionen zum Thema Resilienz mit einer Checkliste.
- Backups? Siehe.
- Recovery-Plan? Siehe.
- Tests der Notfallwiederherstellung? Siehe
Heute reicht dieses Maß an Sicherheit nicht mehr aus.
Während des Webinars brachte Jason eine Sichtweise zum Ausdruck, die ich häufig von Kunden höre: Unternehmen können in der Regel genau sagen, wie viel sie in Sicherheits- und Schutztechnologien investieren, aber weitaus weniger können mit Sicherheit erklären, wie sie sich wieder erholen würden, falls diese Kontrollmaßnahmen versagen sollten.
Der Unterschied mag subtil klingen, ist aber wichtig.
„Recovery-fähig“ zu sein bedeutet, dass Sie über Mechanismen verfügen, die die Wiederherstellung unterstützen können. „Recovery-bereit“ zu sein bedeutet, dass Sie nachgewiesen haben, dass diese Mechanismen kritische Geschäftsabläufe unter realen Bedingungen erfolgreich wiederherstellen können.
Da Resilienz zunehmend zu einem Thema auf Vorstandsebene wird, weichen Annahmen zunehmend der Faktenlage. Führungskräfte wollen die Gewissheit, dass Recovery-Pläne auch dann tatsächlich funktionieren, wenn der Druck am größten ist.
Wenn es hart auf hart kommt – weiß Ihr Unternehmen, worauf es wirklich ankommt?
Eines der auffälligsten Ergebnisse aus derIDC-Studieist das57,7 % der Unternehmen haben ihr „Minimum Viable Business“ noch nicht vollständig definiert.
Ein „Minimum Viable Business“ ist nicht einfach nur eine Liste kritischer Anwendungen. Es ist die Kombination aus Mitarbeitern, Prozessen, Systemen und Daten, die erforderlich ist, um den Betrieb des Unternehmens auch bei Störungen aufrechtzuerhalten. Es gibt Antwort auf eine entscheidende Frage:
Was muss unbedingt als Erstes wiederkommen?
An dieser Stelle beginnen viele Strategien zur Recovery zu scheitern.
Ich habe mit Unternehmen zusammengearbeitet, die zwar wissen, welche Anwendungen wichtig sind, aber die sie stützenden Abhängigkeiten nicht erfasst haben. Andere betrachten weiterhin fast jede Arbeitslast als geschäftskritisch. Dieser Ansatz mag zwar umsichtig erscheinen, führt jedoch bei Recovery zu praktischen Problemen.
Wenn alles entscheidend ist, ist nichts entscheidend
Recovery braucht Zeit. Die Infrastruktur hat ihre Grenzen. Abhängigkeiten spielen eine Rolle.
Unternehmen können realistischerweise nicht erwarten, dass sie eine gesamte Umgebung im Multi-Petabyte-Bereich unmittelbar nach einem groß angelegten Cybervorfall wiederherstellen können. Daher ist eine Priorisierung unerlässlich.
Die Unternehmen, die sich am effektivsten erholen, wissen in der Regel genau, was zuerst wieder in Gang kommen muss, was warten kann und welche geschäftlichen Ergebnisse von diesen Entscheidungen abhängen. Genau das ermöglicht die Definition eines „Minimum Viable Business“.
Vorschau: Webinar zum Thema „Readiness für die Recovery“
Eines der Themen, mit denen Jason und ich uns im Laufe des Webinars beschäftigt haben, ist die Tatsache, dass Cyber-Resilienz eine gemeinsame Verantwortung ist. In vielen Unternehmen herrscht die falsche Vorstellung, dass die Readiness zur Recovery eine infrastrukturelle Herausforderung sei. Das ist jedoch nicht der Fall; es handelt sich vielmehr um eine organisatorische Herausforderung. Es erfordert eine Abstimmung zwischen den Teams aus den Bereichen Sicherheit, IT, Recht, Kommunikation und Geschäft, um sicherzustellen, dass kritische Anwendungen, Prozesse und Prioritäten bei der Recovery klar verstanden werden, bevor es zu einer Störung kommt.
Recovery Pläne scheitern in Silos
Viele Unternehmen gehen das Thema Resilienz nach wie vor mit voneinander isolierten Teams an. Infrastrukturteams konzentrieren sich auf Systeme. Sicherheitsteams konzentrieren sich auf Bedrohungen. Führungskräfte aus dem operativen Geschäft konzentrieren sich auf die Geschäftskontinuität. Rechts- und Kommunikationsteams werden oft erst nach dem Eintreten eines Vorfalls einbezogen.
Das Problem ist, dass Disruptionen keine organisatorischen Grenzen kennen.
Eine erfolgreiche Recovery-Aktion hängt von einer koordinierten Entscheidungsfindung über alle diese Bereiche hinweg ab. Recovery-Prioritäten, Kundenkommunikation, Geschäftsabläufe, gesetzliche Verpflichtungen und technische Wiederherstellungsmaßnahmen müssen in Echtzeit aufeinander abgestimmt werden.
Ein Kunde beschrieb kürzlich seine Bemühungen um die Resilienzplanung als den Aufbau eines Teams von Superhelden. Auch wenn dies scherzhaft gemeint war, traf es doch genau den Kern der heutigen Readiness zur Recovery. Unternehmen stellen den Betrieb als Teams wieder her, nicht durch Technologien.
Warum sich Cyber-Recovery grundlegend von Disaster Recovery unterscheidet
Ein Missverständnis, das wir im Rahmen des Webinars erörtert haben, ist die Annahme, dass herkömmliche Pläne für die Disaster Recovery einfach für die Cyber-Recovery angepasst werden können.
Tatsächlich lösen sie unterschiedliche Probleme.
Herkömmliche Recovery-Maßnahmen basierten oft auf vorhersehbaren Ausfallszenarien: ein Ausfall eines Standorts, ein Ausfall der Infrastruktur – eine bekannte Störung, die eine dokumentierte Reaktion auslöste. Cybervorfälle unterscheiden sich davon grundlegend.
Unternehmen müssen ermitteln, welche Systeme kompromittiert wurden, welche Daten vertrauenswürdig sind und ob Recovery-Maßnahmen versehentlich erneut Risiken mit sich bringen könnten. Die Herausforderung besteht nicht einfach in der Wiederherstellung, sondern in der Validierung.
Was man nicht vertrauen kann, lässt sich nicht wiederherstellen. Diese Unsicherheit führt zu einem ganz anderen Recovery-Prozess.
Wenn Unternehmen kompromittierte Systeme oder infizierte Daten wiederherstellen, laufen sie Gefahr, das Problem erneut in die Produktionsumgebung einzuschleusen. Da Angriffe immer raffinierter werden, gewinnt die Überprüfung der Integrität wiederhergestellter Umgebungen zunehmend an Bedeutung.
Bei Recovery geht es nicht mehr nur darum, Systeme wieder in Betrieb zu nehmen. Es geht darum, das Vertrauen wiederherzustellen.
Warum Vertrauen wichtiger ist als Schnelligkeit: Eine schnelle Recovery kann dennoch eine fehlgeschlagene Recovery sein
Damit kommen wir zu einem der wichtigsten Punkte unserer Diskussion. Jahrelang wurde der Erfolg der Recovery vor allem an der Geschwindigkeit gemessen.
- Wie schnell lassen sich Systeme wiederherstellen?
- Wie schnell kann der Betrieb wieder aufgenommen werden?
Diese Fragen sind nach wie vor wichtig. Aber Geschwindigkeit allein reicht nicht mehr aus.
Eine Recovery, bei der Malware, kompromittierte Identitäten oder nicht vertrauenswürdige Daten wieder in die Produktionsumgebung gelangen, ist nicht wirklich erfolgreich. Aus diesem Grund investieren immer mehr Unternehmen in isolierte Recovery-Umgebungen, Validierungsmaßnahmen und Recovery-Tests, mit denen die Integrität der wiederhergestellten Ressourcen überprüft wird, bevor diese wieder in die Produktionsumgebung zurückgeführt werden.
Eine schnelle Wiederherstellung ist nur dann von Bedeutung, wenn Sie Daten wiederherstellen, denen Sie vertrauen können.
MTCR: Der neue Maßstab für das Vertrauen in die wirtschaftliche Recovery
Da Unternehmen ihre Methoden zur Messung der Ausfallsicherheit überdenken, gehen viele über die herkömmlichen Wiederherstellungszeitziele (RTOs) und Wiederherstellungspunktziele (RPOs) hinaus.
Stattdessen konzentrieren sie sich aufdurchschnittliche Zeit bis zur Wiederherstellung der Betriebsbereitschaft
Der Wert des MTCR liegt darin, dass er die Realitäten der modernen Cyber-Recovery widerspiegelt. Es geht nicht nur darum, wie schnell eine Organisation Daten wiederherstellt. Er umfasst auch die Zeit, die benötigt wird, um Systeme zu validieren, zu bewerten und sicher wieder in den Betrieb zu überführen.
Diese Unterscheidung ist wichtig, da Unternehmen nicht einfach nur ihre Infrastruktur wiederherstellen. Sie stellen vielmehr ihre Geschäftsabläufe wieder her. Der MTCR spiegelt besser wider, wie schnell das Unternehmen sicher zu einem vertrauenswürdigen Betriebszustand zurückkehren kann.
Vertrauen kommt vom Testen
Wenn es eine Erkenntnis gibt, die ich aus der Zusammenarbeit mit Organisationen in verschiedenen Phasen der Resilienz-Reife gewonnen habe, dann diese: Vertrauen entsteht nicht durch Dokumentation.
Vertrauen kommt vom Testen.
Statische Recovery-Übungen bestätigen oft bekannte Abläufe unter idealen Bedingungen. Störungen in der Praxis sind jedoch selten so vorhersehbar.
Unternehmen, die auf eine Recovery-Wiederherstellung vorbereitet sind, führen kontinuierlich Tests durch. Sie simulieren realistische Bedingungen. Sie bauen Unsicherheiten ein. Sie identifizieren Abhängigkeiten. Sie decken Schwachstellen auf, bevor Angreifer dies tun.
Vor allem aber bauen sie ein organisatorisches Muskelgedächtnis auf.
Während des Webinars brachte Jason eine Sichtweise zum Ausdruck, die ich schon immer überzeugend fand: Unternehmen haben die Wahl, sich in einer Phase der Stabilität mit bestimmten Themen auseinanderzusetzen oder dies erst mitten in einer Krise zu versuchen. Welche Option die bessere ist, liegt auf der Hand.
Beim Testen geht es nicht nur darum, die Technologie zu überprüfen. Es geht darum, Menschen, Prozesse, Kommunikation, Prioritäten und Annahmen zu überprüfen. Und genau dadurch entsteht echtes Vertrauen.
ResOps – das ist das Ergebnis, wenn Recovery zu einer operativen Disziplin wird
Im Verlauf unserer Diskussion führte fast jede von uns identifizierte Herausforderung auf denselben Bedarf zurück: Unternehmen benötigen eine Methode, um Prioritäten einheitlich festzulegen, die Interessengruppen aufeinander abzustimmen, die Wiederherstellbarkeit zu überprüfen und sich im Laufe der Zeit kontinuierlich zu verbessern.
Genau aus diesem Grund gewinnen Resilience-Maßnahmen – auch „ResOps“ genannt – zunehmend an Bedeutung.
Bei ResOps geht es nicht darum, ein weiteres Tool oder einen weiteren Prozess einzuführen. Es geht darum, Resilienz in die Praxis umzusetzen. ResOps vereint Menschen, Prozesse und Technologie unter einem gemeinsamen Rahmenkonzept für kontinuierliche Überprüfung und Verbesserung.
Denn letztendlich ist die Readiness zur Recovery kein Projekt. Es ist eine Disziplin.
Die Unternehmen, die sich in den kommenden Jahren von der Masse abheben werden, sind nicht einfach nur diejenigen, die über Recovery-Technologien oder dokumentierte Pläne verfügen. Es werden vielmehr jene Unternehmen sein, die nachweisen können, dass diese Pläne funktionieren:
- Sie werden wissen, worauf es am meisten ankommt.
- Sie werden wissen, wie man es wiederherstellt.
- Sie werden sicherstellen, dass eine Entlassung ohne Risiko einer erneuten Infektion möglich ist.
- Und sie werden Beweise dafür haben.
Mit anderen Worten: Sie werden nicht nur wiederherstellbar sein, sondern auch für die Recovery bereit sein.
Mehr erfahren
Der IDC-Bericht kam zudem zu dem Ergebnis, dass die allgemeine Widerstandsfähigkeit der befragten Unternehmen sowohl durch Lücken bei einzelnen Technologien als auch durch das Fehlen eines koordinierenden Rahmens beeinträchtigt wird, der Geschäfts-, Infrastruktur- und Sicherheitsfunktionen unter einem gemeinsamen Ziel der Recovery zusammenführt.
Für einen tieferen Einblick in die Forschungsergebnisse:
- Das Webinar ansehen: Webinar „Readiness für die Recovery“ – Auf Abruf
- Den Bericht herunterladen: IDC-Bericht zu Resilienzmaßnahmen
FAQs
F: Was ist ResOps?
A:ResOps (Resilience Operations) ist ein operativer Ansatz, der Organisationen dabei unterstützt, ihre Fähigkeit zur Recovery nach Störungen kontinuierlich zu überprüfen und zu verbessern. Er vereint Menschen, Prozesse und Technologie, um die Readiness zur Recovery messbar und nachweisbar zu machen.
F: Was ist ein „Minimum Viable Business“?
A:Ein „Minimum Viable Business“ ist die Kombination aus Systemen, Prozessen, Mitarbeitern und Daten, die erforderlich ist, um den Betrieb während einer Störung aufrechtzuerhalten. Es hilft Unternehmen dabei, Prioritäten bei den Recovery-Maßnahmen zu setzen, wenn nicht alles gleichzeitig wiederhergestellt werden kann.
F: Inwiefern unterscheidet sich die Cyber-Recovery von der Notfall-Recovery?
A:Bei der herkömmlichen Disaster-Recovery-Recovery wird von vorhersehbaren Ausfallszenarien ausgegangen. Da Cyberangriffe jedoch von Natur aus unvorhersehbar sind, müssen Unternehmen bei der Cyber-Recovery ihren Fokus darauf verlagern, zu ermitteln, welchen Systemen sie vertrauen können, wiederhergestellte Daten zu validieren und sicherzustellen, dass keine Bedrohungen erneut in die Produktionsumgebungen gelangen.
F: Was bedeutet „Mean Time to Clean Recovery“ (MTCR)?
A:MTCR misst, wie lange eine Organisation benötigt, um wieder einen verifizierten, vertrauenswürdigen Betriebszustand zu erreichen. Dabei werden Maßnahmen zur Recovery, Validierung und Vertrauensbildung einbezogen, anstatt sich ausschließlich auf die Geschwindigkeit der Wiederherstellung zu konzentrieren.
F: Warum sind Recovery Tests wichtig?
A:Durch Tests können Unternehmen versteckte Abhängigkeiten aufdecken, Annahmen überprüfen, Routine entwickeln und Recovery-Prozesse verbessern, bevor es zu einer tatsächlichen Störung kommt. Das Vertrauen in die Recovery-Fähigkeit entsteht durch Übung, nicht durch Papierkram.
F: Warum ist Identitätsresilienz wichtig?
A:Identitätssysteme spielen bei Recovery eine grundlegende Rolle. Wenn Benutzer keinen Zugriff auf Produktionssysteme, Wiederherstellungsumgebungen oder kritische Daten haben, lassen sich selbst die besten Recovery-Pläne möglicherweise nur schwer erfolgreich umsetzen.
F: Wie können Unternehmen ihre Readiness für Recovery messen?
A:Unternehmen können damit beginnen, ihr „Minimum Viable Business“ zu definieren, Recovery-Prozesse regelmäßig zu testen, wiederhergestellte Umgebungen zu validieren und die Ergebnisse anhand von Kennzahlen wie der „Mean Time to Clean Recovery“ (MTCR) zu messen.
Vidya Shankaranist Field CTO bei Commvault.