Resilience Maturity Von Krisenreaktionen zur ganzheitlichen IT-Resilienz-Strategie

Anbieter zum Thema

FTAPI Software GmbH

Cohesity GmbH

TXOne Networks

Unternehmen mit einer hohen digitalen Resilienz sind nicht nur auf unvorhergesehene Ereignisse besser vorbereitet, sondern verfügen auch über Wettbewerbsvorteile wie Umsatzwachstum, Time-to-Market, Produktqualität, Kundenzufriedenheit und Kosteneffizienz.

Resilienz ist unerlässlich, um in einer Welt voller Risiken zu leben. Resilienz wurde historisch als die Fähigkeit definiert, nach einem beunruhigenden Ereignis nahezu unbehelligt zum Status quo zurückkehren zu können. Wobei Resilienz jedoch nicht auf die Fähigkeit reduziert werden darf, Katastrophen möglichst unbeschadet zu überstehen und sich davon schnell zu erholen. Vielmehr geht es hier darum, dass Ressourcen aufgebaut werden, um Schäden zu vermeiden, mit denen wir in Zukunft rechnen müssen.

Einsicht in potenzielle Risiken

Wenn das Ziel eine nachhaltige Zukunft sein soll, müssen Unternehmen eventuelle Risiken verstehen, und sich durch Anpassungs- und Minderungsmaßnahmen auf diese Risiken vorbereiten. Resilienz ist bei diesem Unterfangen von Bedeutung, da es die Fähigkeit beschreibt, sowohl mit zu erwartenden Ereignissen als auch mit Überraschungen fertig zu werden. Zu diesem Zweck ist es entscheidend, Risiken, die die Zukunft mit sich bringen, zu identifizieren, bewerten, kommunizieren und zu planen.

Proaktive Resilience-Strategien

Die Herausforderung besteht nun für viele Unternehmen darin, aus einem reaktiven Krisenmodus herauszukommen und Risiken dauerhafter mit anderen Instrumenten zu bewältigen. Dabei fällt auf, dass Unternehmen, die in der digitalen Transformation weiter fortgeschritten sind, Krisensituationen signifikant besser meistern als andere. Hinzu kommt, dass die Organisationen mit einer hohen digitalen Resilienz überdies von Wettbewerbsvorteilen in Bezug auf Leistungsindikatoren wie beispielsweise Umsatzwachstum, Time-to-Market, Kosteneffizienz, Produktqualität und Kundenzufriedenheit profitieren. Unternehmen mit geringer digitaler Resilienz haben jedoch Mühe, diese Vorteile überhaupt zu erzielen. Angesichts des anhaltenden Beitrags der Digitalisierung zur Unternehmensleistung dürfte die Kluft zwischen digitalen Vorreitern und Nachzüglern zusehends größer werden.

Herausforderungen beim Einsatz von Resilience-Modellen

Für die Implementierung von Resilience-Modellen ist darauf zu achten, dass jedes Unternehmen über seine eigenen Risiken nachdenken muss, und daher kein Modell als Einheitsansatz für IT-Resilienz dienen kann. So kann ein bewertungsorientiertes Resilience-Maturity-Tool, das lediglich auf Punktzahlen basiert, zu einer eher weniger zielführenden Vorgehensweise des Abhakens von Kästchen führen. Denn bei dem Thema IT-Resilienz geht es im Grunde nicht um Vergleiche, sondern um einen speziellen Messrahmen, der sich auf Menschen, Prozesse und Technologien eines Unternehmens oder einer Wertschöpfungskette konzentriert.

Best Practices für Resilience Maturity

Die folgende Auswahl bewährter Best Practices ermöglicht es Unternehmen, hochgradig anpassungsfähige und reaktionsschnelle Resilienz-Maturity-Prozesse anzuwenden.

Resilienz als Management-Tool

Das Thema IT-Resilienz wird von der Geschäftsführung als ein entscheidendes Management-Tool angesehen, um den jeweils aktuellen Risiko-Status zu verstehen und wichtige Investitionsentscheidungen in Bezug auf IT-Risiken zu treffen. Hierzu werden Szenarien antizipiert und Schutzmaßnahmen gegen sie aufgebaut, um Marktchancen zu sichern und zu nutzen.

Asset-, Änderungs- und Konfigurations-Management

Verwaltung der IT- und OT-Assets der Organisation, einschließlich Hardware und Software, entsprechend dem Risiko für die kritische Infrastruktur und den Unternehmenszielen.

Identitäts- und Zugriffsverwaltung

Erstellung und Verwaltung von Identitäten für logische oder physische Zugriffe auf Assets der Organisation.

Kontinuierliches Überwachung

Kontroll-Systeme, in der Regel organisationsweit, werden implementiert, um Ereignisse im Netzwerk und in den Systemen der Unternehmung mithilfe von Security-Lösungen wie beispielsweise SIEM-Technologien (Security Information and Event Management) zu überwachen.

SIEM-Technologien ermöglichen die Erkennung und Warnung vor anormalem User-Verhalten wie dem Zugriff auf Anwendungen oder Dateien sowie anormalen Informationsbewegungen über die Netzwerke hinweg, gemessen an einer Basisreferenz „normaler“ Aktivität.

Bedrohungs- und Schwachstellen-Management

Erstellung und Pflege von Plänen, Verfahren und Technologien zur Erkennung, Identifizierung, Analyse und Verwaltung von Bedrohungen und Schwachstellen. Verwendung von Datenanalysen, um Unternehmen in die Lage zu versetzen, Bedrohungsquellen und damit verbundene Risiken in Echtzeit in eine einzige Ansicht der Bedrohungslandschaft zu integrieren. Von der Organisation erkannte Bedrohungen werden zusätzlich zu den durch Zusammenarbeit und Informationsaustauschkanäle gesammelten Daten analysiert, um die Reaktionsfähigkeit auf die Vorhersage von Bedrohungen auszurichten.

Reaktions- und Wiederherstellungsplanung

Die Reaktionsplanung für IT-Risiken unterscheidet sich von einer standardmäßigen Geschäftsplanung, da in diesem Fall die Szenarien nicht unbedingt vorhersehbar sind. Zu den bewährten Praktiken gehören routinemäßige und detaillierte Planungen von möglichen Szenarien.

Verwaltung von Lieferketten und externen Abhängigkeiten

Einrichtung von Kontrollen im Hinblick auf das Risiko für kritische Infrastrukturen und organisatorischer Ziele, um Dienste und Assets zu verwalten, die von externen Stellen abhängig sind.

Bewusstsein für IT-Security und Training

Unternehmen haben erkannt, dass ihre Mitarbeiter ihre beste Verteidigung gegen Hacker-Angriffe sind. Entwicklung von Programmen und Strategien, um das Bewusstsein und die Schulung der Mitarbeiter – auch für Auftragnehmer und Partner – sicherzustellen. Das Wissen und Bewusstsein über IT-Security muss kontinuierlich weiterentwickelt werden, damit die Mitarbeiter selbst durch aktive Wachsamkeit zu einem wirksamen Bollwerk gegen Hacker-Angriffe werden.

Stichprobenartige Tests der Mitarbeiter können es den Unternehmen ermöglichen, die Wirksamkeit von Awareness-Programmen für die IT-Security zu messen. So wird beispielsweise eine Test-E-Mail mit Malware an einen Mitarbeiter oder eine Gruppe gesendet, um ihre Reaktion zu testen. Auf der Grundlage der Reaktion lassen sich dann geeignete Maßnahmen ergreifen.

(ID:49036138)