IT-Notfall-Management erfolgreich ins Tagesgeschäft integrieren

Fragen bezüglich Datensicherheit und des Notfall-Managements bekommen im Kontext der übergreifenden Vernetzung in der Industrie ein ganz neues Gewicht: wie kann ich die Prozess- und Datensicherheit, Produktivität und Handlungsfähigkeit im Unternehmen und in meinem Netzwerk sicherstellen? Und wie lassen sich betriebswirtschaftliche Auswirkungen und Risiken minimieren, wenn Datenflüsse oder IT-Systeme plötzlich ausfallen?

Einer aktuellen Befragung des Branchenverbandes Bitkom zufolge können 52 Prozent der deutschen Unternehmen auf Datenverluste und IT-Ausfälle nicht adäquat reagieren, da ein entsprechendes Notfallmanagement fehlt. Wie die mittelständische J. Schmalz GmbH, Industrie 4.0-Lieferant und Preisträger des Sicherheitspreises Baden Württemberg 2015, den Spagat zwischen Business, Sicherheitskultur und Compliance schaffte, erläutert Schmalz's Datenschutz- und Notfallmanagementbeauftragter Hermann Huber.

"Führten die Themen IT-Sicherheit, Datenschutz und Notfallmanagement bei Schmalz bis vor zwei Jahren neben dem Tagesgeschäft gewissermaßen noch ein Schattendasein, kamen die Themen aufgrund diverser "Beinahe-Katastrophen" im nahen Unternehmensumfeld schließlich auf die Management-Agenda", beschreibt Hermann Huber die Ausgangssituation.

Damit rückte erstmals konkret die Frage in den Fokus, inwieweit man im eigenen Unternehmen auf Störungen des Betriebsablaufes oder Ausfälle vorbereitet und welche betriebswirtschaftlichen Schäden zu befürchten seien. Eine Awareness-Kampagne, in dessen Rahmen u.a. die prozessbeteiligten Administratoren dazu befragt wurden, wie gut man heute auf den IT-Notfall vorbereitet ist, offenbarte latente Schwächen und trug zugleich zur Sensibilisierung dieses wichtigen Themas bei.

Für Sicherheit gibt es häufig kein Budget

Dass sich integrierte Konzepte für das IT-Notfallmanagement trotz ihrer Notwendigkeit in komplexen IT-Netzwerken in Deutschland noch nicht umfänglich durchgesetzt haben, führt Hermann Huber auf ein mangelndes Verantwortlichkeits-Bewusstsein und dominierende Kosten-Nutzen-Überlegungen zurück: Warum sollte ich trotz "akuter" Baustellen in ein Konzept investieren, das keinen sichtbaren ROI einbringt?

Die Antwort auf diese selbstkritische Frage fiel bei dem Weltmarktführer von Vakuum-Technologie in der Handhabungs- und Automatisierungstechnik eindeutig aus: Tritt heute ein Systemausfall ein, so wäre hiervon nicht nur das Headquarter in Deutschland betroffen, auch das operative Geschäft der weltweit 17 angebundenen Tochtergesellschaften würde quasi still stehen.

Geschäftsführung in das Industrie 4.0-Sicherheitskonzept involviert

Viele Unternehmen, insbesondere die mittlere Führungsebene, sind sich der Notwendigkeit eines IT-Notfallmanagements aufgrund ähnlicher Konstellationen zwar durchaus bewusst, wissen jedoch häufig nicht, wie sie dieses Thema strategisch angehen und Befürworter auf der Management-Ebene gewinnen sollen.

"Denn ohne das Commitment der Geschäftsführung ist ein solch komplexes, bereichsübergreifendes Projekt, zum Scheitern verurteilt", mahnt Hermann Huber, der bereits über viele Jahre große Konzerne im Bereich der IT-Sicherheit und dem IT-Notfallmanagement begutachtet, auditiert und betreut hat.

Der Mensch ist hier in aller Regel die größte zu überwindende Hürde, da Widerstände bei Veränderungsprojekten aufgrund menschlicher Ängste nicht immer offen kommuniziert werden, sondern vielfach unterschwellig in Reaktionen zutage treten. Insofern ist die Überzeugungsarbeit im Top-Down-Ansatz zu leisten, um das gemeinsame Ziel und gleichzeitig den persönlichen Nutzen für jeden einzelnen Prozessbeteiligten herauszustellen und Widerstände frühzeitig abzubauen.

Erster Schritt war die Anpassung eines auf theoretischen Erkenntnissen basierenden Projektplans an die Gegebenheiten im Unternehmen und die Formulierung von konkreten Zielen. Ein erstes Matching von Anforderungen mit dem Angebot des Marktes wurde genutzt, um kleinste gemeinsame Nenner und einen Projektsteckbrief samt Zeit- und Budgetplan zu definieren.

Abbildung der Notfall-Prozesse über Ticketsystem

Kritische IT-Systeme müssen innerhalb von vier Stunden wieder lauffähig sein - so die Theorie. Was dies konkret für die IT und die Notfallprozesse bedeutet und wie schnell Ersatzsysteme sowie Dokumentationen bereitgestellt werden müssen, war Gegenstand einer anschließenden, kurzen Konzeptionsphase. "Wichtig war uns dabei, die Grundüberlegungen und das Projekt schnell in eine operative Phase mit greifbaren Fortschritten zu überführen", erläutert Huber.

"Daher haben wir unser bestehendes Service Managementsystem Echolon dazu genutzt, unsere kritischen IT-Systeme als Business Services anzulegen, die zugehörigen Notfallprozesse abzubilden und Dokumentationen durch unsere Administratoren zu ergänzen." Die gesamte Initialisierungsphase dauerte insgesamt fünf Monate, bis schließlich die gut 200 Notfallprozesse systemseitig abgebildet, den verantwortlichen Prozessbeteiligten, Stellvertretern oder Dienstleistern zugeteilt und schließlich in die Linienfunktion übergeben wurden.

Dokumentation der IT-Prozesse in das Tagesgeschäft integrieren

Eine wesentliche Herausforderung für den nachhaltigen Projekterfolg lag daher insbesondere darin, die Dokumentation von IT- und Kernprozessen in das Tagesgeschäft zu integrieren. Denn die häufigste Ursache für missglückte Notfall-Szenarien liegt in veralteten Dokumentationen, die ein externer Dienstleister oder Notfallmanagement-Beauftragter nur unvollständig nachstellen kann. Diese zentrale Herausforderung löste Schmalz über einen kleinen Eingriff mit großer Wirkung:

Indem man den Echolon-Hersteller mIT solutions GmbH damit beauftragte, eine Funktion zu designen, die die Administratoren alle sechs Monate dazu auffordert die Notfallprozesse und Dokumentationen zu aktualisieren, konnten die Notfallprozesse im Ticketsystem nie "geschlossen" werden. "Das hat hervorragend funktioniert. So konnten wir sicherstellen, dass unser IT-Notfallmanagementsystem stets aktuell bleibt und "lebt". Wenn man diese Aufgaben gleichmäßig über das Jahr verteilt, hat man das Ziel erreicht, das IT-Notfallmanagement erfolgreich in das Tagesgeschäft zu integrieren", schildert Huber.

Sämtliche bearbeitete Vorgänge ermöglichen seither auch eine Qualitätsdokumentation: wurde in einem Vorfall schon etwas unternommen, wurde es richtig gemacht oder sind noch Schritte notwendig? Bevor also ein Vorgang wieder für sechs Monate "ruht", erhält der Notfallbeauftragte Hermann Huber die Vorgänge im System zur Überprüfung und kann im Bedarfsfall sofort reagieren - in Ergänzung zu den bereits vorhandenen Eskalationsroutinen.

Tagesaktueller Notfallprozess-Ordner auf Knopfdruck

Auch mit der Frage, wie sich ein Notfallprozess-Ordner in Papierform tagesaktuell erstellen lässt, der auch den Anforderungen eines Wirtschaftsprüfers genügt, hat Schmalz sich auseinandergesetzt. "Da wir ohnehin regelmäßig die Dokumentation unserer 200 Prozess- Vorgänge im System aktualisieren, sind wir über den im System integrierten Reportgenerator in der Lage, auf Knopfdruck eine tagesaktuelle Übersicht zu generieren. Auch die Erstellung von Notfallmanagement-Reports für die Geschäftsführung oder Auswertungen zur Qualitätsprüfung kann dank standardisierter Reports mit wenigen Klicks erzeugt werden", führt Hermann Huber aus.

Zwar steht die technische beziehungsweise systemseitige Unterstützung der Notfallprozesse nach der Konzeption und Sensibilisierung in den eigenen Reihen erst an zweiter Stelle, dennoch sollte das zugrundeliegende System bestimmte Eigenschaften erfüllen.

"Der Markt bietet viele Notfall-Management-Systeme, die Dokumentationen und die Verknüpfung mit Ressourcen erlauben und darüber hinaus auch SLAs abbilden können. Diese sind jedoch in aller Regel Standalone-Systeme, die getrennt vom Ticketsystem arbeiten und zumeist noch um Sharepoint-Systeme für die Anlage von Dokumentationen erweitert werden. Nur die wenigsten sind in der Lage, alle Prozesse in einem durchgängigen System abzubilden und über eine Oberfläche zentral zu steuern", gibt Huber zu bedenken.

"Tritt ein Notfall ein, sollte ich nur ein einziges System außerhalb meines bestehenden Netzwerkes lauffähig halten müssen. So sind wir etwa in der Lage, unser System täglich samt aller Notfallvorgänge und Dokumentationen per Snapshot von einer virtuellen Maschine komplett auf eine andere zu übertragen und etwa als Notebook, das in einer ganz anderen Brandschutzzone steht, unter den Arm zu nehmen zur weiteren Bearbeitung durch einen beliebigen Administratoren."

Hinzu kommt, dass man im Notfall mit Ängsten und Zeitdruck konfrontiert wird. Umso wichtiger ist dabei die Sicherheit und das Vertrauen im Umgang mit einem System, das man bereits aus dem Tagesgeschäft kennt.

Notfallprozesse in Anlehnung an den IT-Grundschutz des BSI

Die Notfallvorgänge von Schmalz sind organisatorisch und konzeptionell an das Notfallmanagement-Kapitel des IT-Grundschutz-Handbuches des BSI (Bundesministerium für Sicherheit in der Informationstechnik) angelehnt. Mit dem Aufbau eines ISMS (Information Security Management System, englisch für "Managementsystem für Informationssicherheit") hat Schmalz bereits heute die Voraussetzung für eine spätere Zertifizierung nach dem ISO 27001 Standard geschaffen, die das Unternehmen als nächsten Schritt plant.

Ziel ist es, die Zertifizierung nach ISO/IEC 27001 aus dem Tagesgeschäft heraus für Wirtschaftsprüfer und Auditoren direkt im Ticketsystem abzubilden. Darüber hinaus soll das bestehende Notfallmanagement global ausgerollt und zentral über das Echolon-System gesteuert werden - und zwar nicht mehr nur fokussiert auf die IT. Denn mit dem bestehenden Notfallsystem und seiner konsequenten Prozessorientierung lassen sich bei Schmalz alle Arten von Vorgängen und Dokumentationen wie u.a. Gebäudepläne, Kabelverteilpläne, Lagepläne, Stromnetze, Wasseranschlüsse komfortabel abbilden - was schließlich die Basis für ein globales Business Continuity Management bildet. (rw)