BCM Barometer 2015/2016 – Startschuss!

Gerne weisen die BCM-News auf die aktuelle Umfrage zum Business Continuity Management “das BCM Barometer” der BCM Academy GmbH hin:
“Mit über 60 Personen hat sich diese Debutumfrage schon großer Beliebtheit erfreut, auch das Feedback nach der Herausgabe der Ergebnisse war durchweg positiv. Wir haben auch einige Verbesserungsvorschläge aufgenommen und hier und da nochmal “nachgefeilt” und können nun in die nächste Runde starten.
Wir, die BCM Academy GmbH in Hamburg, möchten mit dieser Umfrage die Entwicklungen im BCM im deutschsprachigen Raum festhalten und genau wie im letzten Jahr anschließend allen BCM-Interessierten kostenfrei zur Verfügung stellen. (Das BCM Barometer des Vorjahres finden Sie kostenfrei zum Download hier: http://www.bcmacademy.de/de/bcm-barometer)
Die Erhebung ist auch dieses Mal wieder absolut anonym, es werden keine IP-Adressen ermittelt oder gespeichert – somit ist es wichtig, dass Sie nach dem Beginn der Umfrage diese auch zu Ende bringen. Wenn Sie den Browser geschlossen haben können Sie die Umfrage nicht fortsetzen. Die Umfrage wird maximal 10 Minuten Ihrer Zeit in Anspruch nehmen.
Ihre Teilnahme selbstverständlich freiwillig und wir sind daher auf Sie angewiesen, insofern schon jetzt ein herzliches Dankeschön für Ihr Mitwirken.
Wir lassen die Umfrage bis Ende Februar geöffnet und veröffentlichen die Ergebnisse aufgearbeitet bis Ende April 2016 auf unserer Homepage.”

Die Umfrage finden Sie online unter diesem Link: https://surv.es/5506
Technische Empfehlungen: Neuere Versionen von Internet Explorer, Firefox sowie alle gängigen Mobile Devices.
Für Fragen jeglicher Art sowie Feedback:

Birthe Christiansen
Telefon: 040 – 890 664 62
E-Mail: bchristiansen@bcmacademy.de

Wie eine Krisenstabsübung entsteht

Übungen der Krisenstäbe zählen zu den wichtigsten Maßnahmen der Notfall- und Krisenprävention. Notfallpläne sind wichtig, sie können allerdings nicht alle möglichen Szenarien und Szenariokombinationen abdecken. Statt umfangreicher Notfallpläne – die im Notfall nicht gelesen werden – präferiere ich die Kombination von Notfallkonzepten und Notfallchecklisten. Das Krisenmanagement baut auf dieser präventiven Planung des BCM auf und setzt diese entsprechend der Lage um. Weiterlesen…

Spiegel online erläutert die technischen Hintergründe für den Ausfall am Samstag

Spannungsschwankungen im Netz, womöglich verursacht durch den Test von Netzersatzanlagen, waren die Ursache für die massiven Ausfälle in dem Rechenzentrum in Gütersloh. Die Server liefen, doch waren Geräte für die Netzanbindung durch die Spannungsschwankungen ausgefallen und mussten ersetzt werden. Leider war auch das Mobilfunknetz O2 betroffen, so dass die Mitarbeiter vor Ort kaum mehr kommunizieren konnten. So war der Test sicherlich nicht gedacht.

Auch die Telekom hat in der Vergangenheit bei einem großen Netzausfall die Erfahrung machen müssen, dass es nicht gut ist, wenn die Techniker nur im eigenen Netz telefonieren können. Seitdem sind die Techniker der Telekom redundant ausgestattet.

Hier die Erläuterungen von Spiegel online zum Ausfall. Schön, dass sich die Redaktion so umfangreich zu dem Ausfall äußert.

Elevator Pitch für die BIA-Ergebnispräsentation

Die vorhergehenden Beiträge im Management-Meeting, in dem Sie die Ergebnisse der Business Impact Analyse vorstellen sollen, haben mal wieder überzogen und Ihnen bleiben  noch fünf Minuten bis das Management unwiderruflich das Notizbuch zuklappt. Geht nicht? Geht doch!

BIA Results

Die Ergebnisse der strategischen und taktischen BIA lassen sich kompakt auf einer Seite darstellen. In einer Darstellungsform, die dem Management geläufig ist. Dies fördert zudem die Akzeptanz und damit auch die Awareness beim Management für unser geliebtes BCM.

In der Kürze liegt die Würze – wie Sie sehen auch bei diesem Beitrag 😉

Die Top 20 der finanziell am meisten durch Terror gefährdeten Metropolen

Lloyd’s of London hat gemeinsam mit dem Cambridge Center for Risk Studies die möglichen wirtschaftlichen Einbußen für große Städte durch Katastrophen analysiert:

Lloyds_Terror

In dieser interaktiven Grafik können die Werte für Regionen und Städte angezeigt werden. In Deutschland trägt München, gefolgt von Hamburg und Berlin das höchste wirtschaftliche Risiko.

Quelle: Lloyds

Aktuelles zum IT-Sicherheitsgesetz

Am 25.07.2015 ist das IT-Sicherheitsgesetz in Kraft getreten. Bereits die ersten Entwürfe des Gesetzes wurden heftigst diskutiert. Die Spannungskurve ist nach der Verabschiedung allerdings nicht abgesunken, da viele Fragen erst durch Rechtsverordnungen geklärt und festgelegt werden müssen. Hierzu gehören die betroffenen Unternehmen und Dienstleistungen wie auch die konkreten Anforderungen aus dem Gesetz. Dass das IT-Sicherheitsgesetz keine langweilige und trockene Angelegenheit wird, zeigte die Veranstaltung der Gesellschaft für Informatik zu diesem Thema am vergangenen Freitag in Frankfurt. Trotz Streiks bei der Lufthansa war die Veranstaltung sehr gut besucht. Den Gastgeber Bahn hat dies natürlich auch sehr gefreut ;-). Weiterlesen…

Nicht “ob”, sondern “wann” ist die Frage

Schaut man sich die Liste der erfolgreichen Hacks der jüngsten Vergangenheit an, wird schnell klar, dass es jedes Unternehmen irgendwann treffen kann. Eine hundertprozentige Sicherheit kann kein Unternehmen auch nicht mit immensem personellem und finanziellem Aufwand sicherstellen. Der normale Geschäftsbetrieb muss ja noch gewährleistet bleiben und die Unternehmen werden weiter Menschen beschäftigen, die das schwächste Glied in der Abwehrkette darstellen. Wie schnell ist auf einen Link in einer Mail geklickt …

Auf der anderen Seite ist der Business Case für Cyber-Kriminelle hochattraktiv. Mit der Verschlüsselungssoftware Cryptowall Ransomware hat eine Hackergruppe alleine in diesem Jahr rund 325 Millionen US-Dollar an Erpressungsgeldern eingenommen, das sind nahezu eine Million US-Dollar täglich. Neben der Erpressung des Unternehmens winken mit dem Verkauf der erbeuteten Daten weitere lukrative Einnahmen. Für einen Kreditkartendatensatz aus der EU sind dies immerhin 25 bis 45 US Dollar, wie McAfee Labs in seiner Analyse “The Hidden Data Economy” ermittelte. Wenn das kein attraktives Geschäftsmodell ist! Wir müssen daher davon ausgehen, dass dieses Geschäftsmodell der Cyber-Erpressung weiter wachsen wird, denn auch Cyber-Kriminelle denken und handeln streng ökonomisch. Betroffen von diesem “Geschäftsmodell” sind gerade auch kleine und mittelständische Unternehmen.  Die eingeforderten Beträge sind für die Betroffenen verkraftbar kalkuliert und so ist es auch für viele Unternehmen betriebswirtschaftlich sinnvoller der Erpressung nachzugeben und das Geld zu bezahlen. Das ökonomische Kalkül der Erpresser geht also auf. Sogar das FBI kapituliert vor diesen Methoden und empfiehlt, das Lösegeld an die Erpresser zu bezahlen.

Das objektive Risiko Opfer einer solchen Cyber-Erpressung zu werden ist hoch. Nicht “ob” ist die Frage, sondern “wann”. Doch was können Unternehmen tun, um auf den “Tag X” vorbereitet zu sein. Sich auf die IT-Security zu verlassen ist zu wenig. Die Kollegen machen einen tollen Job, doch einen Rundum-Schutz für ein sorgloses Leben und Arbeiten können sie nicht gewähren. Im Zweifel sind die kriminellen besser ausgestattet und technisch überlegen.

Daher müssen die Verteidigungslinien im Unternehmen mehrfach gestaffelt werden:

  • 1. Verteidigungslinie: Awareness bei den Mitarbeitern
  • 2. Verteidigungslinie: Technische Maßnahmen durch die IT-Security
  • 3. Verteidigungslinie: Business Continuity Pläne für diese Szenarien (Bsp. Nicht-Verfügbarkeit kritischer Daten und Anwendungen)
  • 4. Verteidigungslinie: IT Service Continuity Management für die Wiederherstellung kritischer Daten und Systeme
  • 5. Verteidigungslinie: Krisenmanagement für die planvolle Steuerung durch die Krise.

Dies zeigt, Cyber-Kriminalität mit seinen potentiellen Auswirkungen auf kritische Geschäftsprozesse ist nicht nur ein Thema der IT-Security. Mitarbeiter, IT-Security, BCM, ITSCM und Krisenmanagement müssen “Hand in Hand” funktionieren, um ein solches herausforderndes Szenario bewältigen zu können.

Die Angriffe sind mittlerweile so ausgeklügelt, dass eine Verteidigungslinie bei weitem nicht ausreichend ist. So sind Mails mit Links zu Malware mittlerweile täuschend echt gebaut. Die Adressaten der Mails werden namentlich angesprochen und der Inhalt der Mails passt perfekt in den Arbeitskontext der Adressaten. Die technischen Möglichkeiten der Cyber-Kriminellen sind durch den Business Case nahezu unerschöpflich. Damit im Fall der Fälle das Business weiter läuft benötigt es die Verteidigungslinien BCM, ITSCM und Krisenmanagement. Allerdings sind gerade für diese Szenarien Pläne nicht ausreichend. Gerade hier gilt üben, üben, üben. Denn die Bedrohungsszenarien ändern sich laufend genauso wie sich elektronische Vertriebskanäle und schützenswerte Daten ändern. Wofür die IT-Security Penetrations-Tests einsetzt, nutzen BCM, ITSCM und Krisenmanagement Tests und Übungen. Schnelles und richtiges Handeln in diesen Bedrohungsszenarien muss ständig geübt werden, so wie Piloten im Simulator regelmäßig die Notfallverfahren üben bis sie tief im Gehirn verankert sind und im Notfall automatisiert abgespult werden können.

be prepared

Ihr Matthias Hämmerle

BCI Horizon Scan – welche Risiken sehen Sie für ihr Unternehmen?

Auch dieses Jahr führt das Business Continuity Institute BCI gemeinsam mit Zurich die internationale Umfrage “BCI Horizon Scan” zur Risikolandschaft durch.

Hier geht es zur Umfrage:

https://www.surveymonkey.com/r/BCI-Horizon-Scan-2016

Das Ergebnis der letzten Umfrage kann hier abgerufen werden:

http://www.thebci.org/index.php/obtain-the-horizon-scan-2015-document

Sackgasse BIA?!

Sackgasse BIA? – was für eine Frage, wo doch gerade dieser schöne neue ISO-Standard für die BIA veröffentlicht wurde (ISO/TS 22317:2015). Um es gleich vorwegzuschicken, ich gehöre nicht zu der Fraktion, die die BIA als Zeitverschwendung betrachten. Im Gegenteil, ich halte die Business Impact Analyse für die wesentliche Phase im BCM-Lebenszyklus, um die nachfolgenden Phasen Taktik / Strategie, Notfallplanung sowie Tests und Übungen effektiv und effizient durchführen zu können. Ob eine BIA zum Katalysator oder Bremsklotz im BCM-Lebenszyklus wird, entscheidet der Anwender und nicht die BIA selbst. Weiterlesen…

BCM-Übungen und die Peanuts

BCM-Übungen werden gut vorbereitet. Es wird ein Drehbuch erstellt, Notfalldokumentationen zuvor noch einmal aktualisiert und versucht Unwägbarkeiten so gut es geht auszuschließen bis hin zum passenden Wetter. Die Übung soll ja schließlich reibungslos verlaufen und alle Beteiligten nach der Übung zufrieden sein. Das Management soll für die Investitionen in die Übung mit einem Erfolg belohnt werden. Je mehr Investitionen in eine “glänzende Übung” gesteckt werden, umso größer wird jedoch auch die Übungskünstlichkeit. Und irgendwann wird die Übung zur Farce. Die Realität im Notfall ist ungeschönt. Eine geschönte Übung bereitet keineswegs auf die hässliche Realität vor. Es ist daher wichtig zu akzeptieren, dass Dinge in der Übung misslingen. Oft sind es Kleinigkeiten – die Peanuts – die im realen Notfall den Notbetrieb erschweren. Ungepatchte Netzwerkdosen, fehlende Verlängerungskabel und Mehrfachsteckdosen, leere Batterien, vergessene Ladekabel für das Smartphone – legendäre Klassiker für Hänger in der Übung. Ich habe immer einen ganzen Koffer an Adaptern und Ladekabeln dabei. Der wird aber erst ausgepackt, wenn verzweifelt begonnen wird, dieses Cent-Teil irgendwo aufzutreiben oder einem Kollegen zu “entleihen”. Scheitern ist Teil einer Übung und jeder identifizierte Optimierungspunkt sollte ein Erfolgserlebnis sein. Schlimm werden in der Realität die Optimierungspunkte, die unentdeckt bleiben. Diese Fehlerkultur widerspricht uns eigentlich im Herzen. Daher ist die Einübung dieses Verständnisses auch ein elementarer Teil jeder Übung. Die Übungsleitung sollte dies vor, während und nach der Übung immer im Auge behalten und die Teilnehmer für jeden gefundenen Fehler loben. Natürlich soll kein Fehlschlag einer kompletten Übung damit provoziert werden – auch wenn dies vorkommen kann. Die Kunst ist, die Balance zwischen Übungskünstlichkeit und Realitätsnähe zu bewahren, wobei mit zunehmendem Reifegrad die Übungskünstlichkeit immer wieder weiter zurückgefahren werden sollte. Aus der angekündigten Übung wird die unangekündigte Übung. Die Zahl der internen und externen Parteien nimmt zu wie auch die Dauer der Übung. Bis zur Übung des Schichtwechsels zwischen Krisenstabsbesetzungen und Unterstützungsteams. Notfälle halten sich nicht an Tages- und Arbeitszeiten.

Ich wünsche Ihnen viele identifizierte Optimierungspotentiale in Ihren Übungen!

… und machen Sie was daraus.