Checkliste für den Business Continuity Plan
& & Eine Störung oder Katastrophe kann eintreten, wenn man es am wenigsten erwartet. Tatsächlich haben 80 % der Manager der Rechenzentren in den letzten drei Jahren einen Ausfall erlebt. Ob Cyberangriff, Ransomware-Infektion, menschliches Versagen oder Naturkatastrophe – längere Ausfallzeiten können sich nachteilig auf den Betrieb Ihres Unternehmens auswirken.
Mit einem robusten Business Continuity Plan (BCP) als Teil Ihrer Risikomanagementstrategie können Sie im Falle einer Störung kritische Funktionen aufrechterhalten oder schnell wiederherstellen. Ein BCP schützt auch die Infrastruktur des Unternehmens und dient als Leitfaden, an den Sie sich halten können, um angemessen auf einen Vorfall zu reagieren.
Dieser Beitrag listet die wesentlichen Elemente der Checkliste für einen Business Continuity Plan auf. Lesen Sie weiter, um zu erkennen, wie Sie am besten vorgehen sollten, um den Betrieb mit minimalen Auswirkungen erfolgreich wieder aufzunehmen.
Warum Sie einen Business Continuity Plan benötigen
Ein Business Continuity Plan (BCP) legt fest, wie ein Unternehmen auch bei unvorhergesehenen Störungen weiterhin Produkte und Dienstleistungen liefern kann. Der BCP ist eine detaillierte Strategie, die dazu beiträgt, die Auswirkungen einer Katastrophe auf die täglichen Aktivitäten zu mindern und gleichzeitig die Produktionsumgebung aufrechtzuerhalten.
Ein umfassender BCP sollte alle potenziellen Bedrohungen abdecken, die Ihre Mitarbeiter, Ressourcen und Betriebsabläufe gefährden könnten, sei es ein Stromausfall, eine Malware-Infektion oder eine Naturkatastrophe. Dies ist besonders wichtig, da all diese Ereignisse zu Ausfallzeiten führen können, die wiederum finanzielle Verluste, Reputationsschäden oder eine dauerhafte Schließung zur Folge haben können.
Der Hauptzweck des Business Continuity Plans besteht darin, die Notfallvorsorge sicherzustellen, indem Ihr Reaktionsteam aktiviert wird, die notwendigen Schritte vor, während und nach einem Störungsszenario methodisch durchzuführen. Unternehmen ohne diese Checkliste können Schwierigkeiten haben, normale Geschäftsprozesse aufrechtzuerhalten, und riskieren den Verlust von Daten, Systemen oder Kunden, oft irreparabel.
Der 7-stufige Business-Continuity-Plan
Die 7-stufige Checkliste hilft Ihnen dabei, einen allgemeinen Rahmen mit Prioritäten zu formulieren, auf dem Sie einen auf Ihr Unternehmen zugeschnittenen Business-Continuity-Plan aufbauen können. Sie können alle Verfahren einbeziehen, die Sie zur Aufrechterhaltung des Geschäftsbetriebs während einer Krise benötigen. Beachten Sie, dass die genauen Details von Unternehmen zu Unternehmen variieren, je nach Größe des Unternehmens, Branche und Art der Bedrohungen.
Der Standard-Geschäftskontinuitätsplan umfasst in der Regel die folgenden Schritte:
- Ein Katastrophenschutzteam einrichten
- Wesentliche Geschäftsdienstleistungen identifizieren
- Risikobewertung und Analyse der Auswirkungen auf das Geschäft durchführen
- Entwickeln Sie einen Plan für die Wiederherstellung
- Legen Sie Ziele für die Wiederherstellung fest und bestimmen Sie einen Standort für die Standortwiederherstellung
- Stellen Sie sicher, dass alle geschäftskritischen Workloads geschützt sind
- Testen und aktualisieren Sie Ihren Business Continuity Plan
Schauen wir uns jeden dieser Schritte genauer an, um zu verstehen, warum sie wichtige Elemente jeder BCP-Checkliste sind.
1. Ein Katastrophenschutzteam bilden
Der erste Schritt bei der Erstellung eines Business Continuity Plans besteht darin, ein Team zusammenzustellen, das dafür verantwortlich ist, den Betrieb des Unternehmens im Notfall aufrechtzuerhalten. Das BCP-Team sollte Mitglieder aus allen Abteilungen umfassen, die am Tagesgeschäft beteiligt sind, und es sollte einen Manager geben, der für die Leitung der Business Continuity Planning-Maßnahmen zuständig ist.
Bei der Ermittlung der wichtigsten BCP-Mitarbeiter müssen Sie eine umfassende Liste der Katastrophen erstellen, die die größte Gefahr für Ihr Unternehmen darstellen, damit Sie die richtigen Personen rekrutieren können. Verschiedene Arten von Notfällen wie IT-Systemausfälle, Stromausfälle oder Schäden an Einrichtungen erfordern Mitarbeiter mit spezifischen Kenntnissen und Fachwissen, um sie richtig und schnell zu bewältigen.
Erstellen Sie eine Tabelle, um die erforderlichen Informationen über die Mitglieder des Reaktionsteams festzuhalten, damit Sie sie bei Bedarf leicht erreichen können. Ihre Tabelle kann den Namen, die Position, die Rolle im Reaktionsteam und die Kontaktinformationen enthalten. Denken Sie daran, dass Sie für jede Rolle im Team mindestens einen Stellvertreter benennen sollten. So können Sie Engpässe vermeiden, falls die primären Beauftragten ihre Aufgaben nicht erfüllen können.
2. Identifizieren Sie wichtige Unternehmensdienstleistungen
Einer der Hauptzwecke des Business Continuity Plans besteht darin, Ihnen Hilfe bei der Identifizierung der Prozesse, Geräte und Ressourcen zu bieten, die für das Funktionieren Ihres Unternehmens von entscheidender Bedeutung sind. Dies sind die wichtigen Funktionen und Dienstleistungen der Infrastruktur, auf denen Sie Ihren BCP aufbauen sollten.
Zu diesen wichtigen Dienstleistungen und Elementen der Infrastruktur gehören höchstwahrscheinlich:
- Stromversorgungssysteme und Generatoren
- Telekommunikationsgeräte – WAN, LAN, Telefone, Computer
- IT-Systeme und Server
- Infrastruktur und -einrichtungen
- Spezialausrüstung oder geschäftskritische Verbrauchsmaterialien
Es ist von entscheidender Bedeutung, diese Elemente im Falle einer Störung so schnell wie möglich wiederherzustellen, um Ihren Betrieb wieder aufzunehmen und Ihre Vermögenswerte zu schützen.
3. Risikobewertung und Analyse der Auswirkungen auf das Geschäft durchführen
Nach der Identifizierung der wichtigsten Geschäftsdienstleistungen sollten Sie eine Risikobewertung durchführen, um die Schwachstellen im Zusammenhang mit wichtigen Systemen, Aktivitäten und Ressourcen zu erkennen. Die Risikobewertung schätzt die Wahrscheinlichkeit jeder Bedrohung und spiegelt die Wahrscheinlichkeit des Eintretens einer Katastrophe wider.
Die Business Impact Analysis (BIA), die in der Regel zusammen mit der Risikobewertung durchgeführt wird, ermöglicht es Ihnen, die Kritikalität und Schwere der Auswirkungen auf Ihre Geschäftsabläufe zu bewerten. Das Hauptziel der BIA ist die Analyse der finanziellen und betrieblichen Kosten, die Ihnen im Falle des Eintretens des Risikos entstehen würden. Sie bietet Ihnen Hilfe bei der Bestimmung der Toleranzschwelle wichtiger Prozesse und Abhängigkeiten, wie z. B. Kunden und Partner, wenn wichtige Geschäftsfunktionen beeinträchtigt, gestört oder vollständig unterbrochen werden.
Hier finden Sie eine vereinfachte Tabelle, die Sie als Vorlage für die Erstellung Ihrer eigenen Analyse verwenden können:
| Geschäftsprozess | Auswirkungskategorie | Schweregrad | Maximal tolerierbare Ausfallzeit (MTD) | Geschätzte Kosten | Abhängigkeiten |
Beachten Sie, dass Unternehmen mit mehreren Standorten für jeden Standort eine separate Risikobewertung und eine BIA durchführen müssen. Wenn diese Standorte geografisch weit voneinander entfernt sind, können die Herausforderungen und Risiken unterschiedlich sein. Ein robuster Business-Continuity-Plan berücksichtigt auch die Beziehungen und Abhängigkeiten zwischen den verschiedenen Standorten.
4. Entwickeln Sie einen Plan für die Wiederherstellung
Nachdem Sie die vorherigen Schritte abgeschlossen haben, ist es an der Zeit, einen Plan für die Wiederherstellung zu erstellen, der sich auf die Wiederherstellung Ihres Betriebs nach einer Katastrophe konzentriert. Geschäftskontinuität und Disaster Recovery gehen Hand in Hand, zumal der Disaster Recovery-Plan (Disaster Recovery, DR) ein wesentlicher Bestandteil des Geschäftskontinuitätsplans ist. Für detailliertere Vorlagen zur Disaster Recovery laden Sie unser kostenloses White Paper herunter: Handbuch und Vorlagen zur Disaster Recovery.
Der Disaster Recovery-Plan beschreibt die technischen Schritte, die Sie durchführen müssen, um Ihre Kerndienste so schnell wie möglich wiederherzustellen. Beachten Sie, dass sich der Disaster Recovery-Plan nicht nur auf Daten beschränkt, sondern auch Maschinen, Workloads und Prozesse umfassen sollte.
Ihr Plan für die Wiederherstellung kann unter anderem die folgenden Strategien nutzen:
- Alternative Geschäftsabläufe – zum Beispiel manuelle Workarounds für mechanisierte oder automatisierte Prozesse, bis die Systeme gesichert sind
- Ein sekundärer oder alternativer Standort zur Wiederaufnahme des Geschäftsbetriebs
- Netzwerk- und Server-Failover auf Standortebene
- Wiederherstellung von externen Backups geschäftskritischer Daten
- „Hot-Spare”- oder Standby-Ressourcen, die sofort in Betrieb genommen werden können, wenn die primären Komponenten ausfallen
Das folgende Video erklärt, wie Sie mit NAKIVO Backup & Replikation eine vollständige Disaster Recovery durchführen können.
5. Festlegen von Wiederherstellungszielen und Benennung eines DR-Standorts
Wiederherstellungszeit-Ziele bestimmen, wie viel Ausfallzeit des IT-Systems ein Unternehmen vernünftigerweise tolerieren kann, bevor Prozesse oder Dienste wiederhergestellt werden. Ziele der Wiederherstellungspunkte (RPO) definieren, wie viel Datenverlust ein Unternehmen tolerieren kann. Sowohl Wiederherstellungszeit-Ziele (RTO) als auch Ziele der Wiederherstellungspunkte (RPO) sind wichtige Kennzahlen in jedem Business-Continuity-Plan.
Die Festlegung eines Disaster-Recovery-Standorts (DR) für Netzwerk-/Daten-Failover ist von entscheidender Bedeutung, da dieser im Falle eines Ausfalls Ihres primären Produktionsstandorts einen sofortigen Ersatz bietet. Darüber hinaus hilft es Ihnen, sicherzustellen, dass Ihre Wiederherstellungsziele erreicht werden.
Die DR-Einrichtung an einem anderen geografischen Standort fungiert als „Warm-Standby”-Kopie Ihrer Ressourcen, wie z. B. Virtuelle Maschinen (VMs). Im Falle eines standortweiten Ausfalls, der Ihr Produktionsnetzwerk lahmlegt, kann der Datenverkehr auf den DR-Standortumgeleitet werden. Die „Warm-Standby”-VMs werden im Wesentlichen zu Produktions-Workloads, die den Geschäftsbetrieb wiederherstellen und die Geschäftskontinuität effizient gewährleisten.
Sie können fortschrittliche Lösungen für die Datensicherheit von Drittanbietern verwenden, um Produktions-VMs an einen Standort außerhalb des Standorts zu replizieren und das Replikationsintervall entsprechend Ihrem RPO festzulegen. Die Replikat-VM ist eine exakte Kopie der Originalmaschine und kann bei der Umsetzung Ihres Disaster-Recovery-Plans in einem Automatisierten Failover-Prozess verwendet werden.
6. Stellen Sie sicher, dass alle geschäftskritischen Workloads geschützt sind
Die Auswirkungen einer Katastrophe können durch den richtigen Schutz Ihrer geschäftskritischen Daten erheblich gemindert werden. Machen Sie Ihre Backups widerstandsfähig, indem Sie die 3-2-1-Regel anwenden: Sie sollten mindestens 3 Backups auf 2 verschiedenen Arten von Speichermedien haben, wobei mindestens 1 Kopie außerhalb des Standorts gespeichert sein sollte.
Führen Sie Backups Ihrer Geschäftsdaten gemäß der 3-2-1-Backup-Methodik durch, um möglichst kurze RPOs und RTOs zu erreichen. Auf diese Weise können Sie auch sicherstellen, dass dieselbe Katastrophe, die Ihr Produktionsnetzwerk beeinträchtigt hat, keine Auswirkungen auf Ihre Backup-Daten hat.
7. Testen und aktualisieren Sie Ihren Business-Continuity-Plan
Sobald Ihr Business-Continuity-Plan fertiggestellt ist, muss er rigoros getestet werden. Am besten schulen Sie Ihre Mitarbeiter, um sicherzustellen, dass sie ihre Rollen und Verantwortlichkeiten vollständig verstehen. Ohne regelmäßige Schulungen und Übungen können Sie keine Notfallbereitschaft garantieren. Noch wichtiger ist, dass Sie durch vollständige Simulationen Schwachstellen in Ihrem Plan identifizieren und beheben können.
Stellen Sie sicher, dass Sie alle Verfahren durchführen, um den Ablauf eines tatsächlichen Katastrophenszenarios nachzuahmen. Diese Art von Tests sollten am besten vierteljährlich durchgeführt werden, damit die wichtigsten Teammitglieder mit dem Prozess vertraut bleiben. Darüber hinaus können Änderungen an Ihrer Infrastruktur, Ihrer Umgebung, Ihren Protokollen, Ihren Workloads und/oder Ihrer Belegschaft zu Komplikationen im Plan führen. Diese potenziellen Probleme werden oft erst im Laufe vollständiger Durchläufe erkannt.
Die Simulationen sollten von einem unabhängigen Beobachter überwacht werden, der alle Schwachstellen notieren kann. Nach jedem Durchlauf sollte eine Nachbesprechung stattfinden, anschließend können Sie einen Bericht erstellen, der die festgestellten Schwachstellen und die vorgeschlagenen Aktualisierungen dokumentiert. Die Berichte sowie der aktualisierte Business Continuity Plan sollten allen Teammitgliedern geteilt werden.
Die Checkliste für den Business Continuity Plan
Hier finden Sie eine vereinfachte BCP-Checkliste, mit der Sie die notwendigen Phasen durchlaufen können, um die Notfallvorsorge sicherzustellen.
Bilden Sie ein Katastrophenschutzteam
- BCP-Senior-Manager ernennen
- Ein Business-Continuity-Komitee einrichten
- Mitglieder für das Notfallteam auswählen
- Rollen und Verantwortlichkeiten festlegen
- Stellvertretende Delegierte für jedes Teammitglied auswählen
- Klare Kommunikation zwischen allen Mitgliedern herstellen
Identifizieren Sie wichtige Unternehmensdienstleistungen
- Erstellen Sie eine Übersicht über alle Stromversorgungssysteme
- Identifizieren Sie Telekommunikationsgeräte
- Identifizieren Sie IT-Systeme und Server
- Identifizieren Sie Einrichtungen und Spezialausrüstung
- Identifizieren Sie die gegenseitige Abhängigkeit zwischen Diensten
- Notfalldienste überprüfen
Risikobewertung und Analyse der Auswirkungen auf das Geschäft durchführen
- Identifizieren Sie Bedrohungen und Schwachstellen
- Legen Sie die Risikotoleranz fest
- Bestimmen Sie kritische Geschäftsprozesse
- Berechnen Sie die maximal tolerierbare Ausfallzeit für jeden Dienst
- Analysieren Sie die finanziellen, rechtlichen, regulatorischen und kundenbezogenen Auswirkungen
- Identifizieren Sie die gegenseitige Abhängigkeit zwischen kritischen Geschäftsfunktionen
Entwickeln Sie einen Plan für die Wiederherstellung.
- Erstellen Sie Ihren Plan zur Aufrechterhaltung des Betriebs (COOP).
- Entwerfen Sie manuelle Workarounds für automatisierte Prozesse.
- Vorbereitung auf Netzwerk- und Server-Failover auf Standortebene
- Testen des Wiederherstellens von Backups außerhalb des Standorts für kritische Daten
- Sicherstellen, dass Standby-Ressourcen verfügbar sind
Legen Sie Wiederherstellungsziele fest und bestimmen Sie einen DR-Standort
- Bestimmen Sie einen sekundären Standort für die Wiederaufnahme des Geschäftsbetriebs
- Festlegen der Ziele der Wiederherstellungspunkte (RPO)
- Festlegen der Wiederherstellungszeit-Ziele (RTO)
- Verwalten von Disaster-Recovery-Prozessen
Geschäftskritische Daten schützen
- Backups für geschäftskritische Daten durchführen
- Daten auf lokalen und außerhalb des Standorts liegenden Speichergeräten speichern
- Speichern Sie air-gapped Backups
- Aktivieren Sie die Unveränderlichkeit für bestimmte Backups
Testen und aktualisieren Sie Ihren Business-Continuity-Plan
- Führen Sie jährliche, halbjährliche und vierteljährliche Tests durch
- Führen Sie jährlich vollständige BCP-Simulationen durch
- Erstellen Sie einen Auditprozess
- Identifizieren Sie Schwachstellen und aktualisieren Sie den Plan
- Schulen Sie Ihre Mitarbeiter
Fazit
Eine Checkliste für den Business Continuity Plan ist unerlässlich, um sicherzustellen, dass die Dienste reibungslos weiterlaufen können, während Sie die betroffenen Workloads nach einem Ereignis wiederherstellen. Unternehmen, die keinen BCP erstellen, riskieren erhebliche Ausfallzeiten und Datenverluste, die zu irreparablen finanziellen Schäden und Reputationsverlusten führen können.
Diese Checkliste bietet einen Rahmen für einen effektiven Business Continuity Plan, mit dem Sie selbst die schlimmsten Szenarien überstehen können. Beachten Sie, dass ein BCP ohne eine fortschrittliche Lösung für die Datensicherheit wie NAKIVO Backup & Replikation nicht vollständig sein kann. Die NAKIVO-Lösung umfasst alle Tools, die Sie für die Durchführung von Backups und Wiederherstellungsprozessen, die Automatisierung von DR-Workflows und die Durchführung von nicht störenden DR-Tests benötigen, um sicherzustellen, dass Ihre Wiederherstellungsziele erreicht werden.
