Security 2020 - Wenn das Internet ausfällt
Guest User
Plötzlich war das Internet weg
Plötzlich ging nichts mehr. Ab 22:30 Uhr in der Nacht vom 11. auf den 12. Februar gab es eine grossflächige Störung bei den internetbasierten Diensten. Vor allem die Westschweiz sowie grosse Teile der Deutschschweiz waren betroffen. Zwischenzeitlich war auch das Telefonnetz von der Störung betroffen, selbst Notrufnummern funktionierten in einigen Kantonen mehr als eine Stunde lang nicht mehr. Polizei und Sanität waren teilweise nur noch via Mobilkommunikation erreichbar. Nach rund eineinhalb Stunden konnten mehrere Behörden Entwarnung geben. Die Kantonspolizei Zürich meldete um 00:41 Uhr, dass die Nummern 117, 118 und 144 wieder erreichbar seien. Die Swisscom selbst meldete um 01:43 Uhr, dass die Dienste sich weitestgehend «erholt» hätten.
Quelle: Screenshot/allestörungen.ch - Übersicht der Ausfälle schweizweit
Was wäre passiert, wenn das am Tag geschehen wäre?
Bei einem Ausfall während des Tages geschehen, hätten die Auswirkungen sich aus dem privaten Leben mitten ins Business verlagert.
a) Cloud Services
Unabhängig davon, ob die genutzten Cloudsysteme oder die Leitung nicht verfügbar sind: Die Auswirkungen auf die Geschäftsprozesse dürften erheblich, wenn nicht sogar betriebsverhindernd sein. Die meisten der Unternehmungen, KMUs wie auch «grosse», die ihre IT zukunftsorientiert ausrichten und auf Cloud- und Internet-Services setzen, würden einen Stillstand erleben, wenn sie nicht mehr auf Daten oder in der Cloud laufende Applikationen zugreifen könnten. Files in Sharepoints können zwar mit Synchronisationsfunktionen auch auf der Festplatte verfügbar gemacht werden, aber oft ist genau das, was man gerade braucht, nicht auf der Sync-List.
b) Bezahlsysteme
Die Erfahrung zeigt, dass auch Bezahlsysteme eine erhebliche Achillesferse im Bereich des Tagesgeschäfts darstellen. Der Trend zur bargeldlosen Zahlung aller nur erdenklichen kleinen wie grossen Güter und Dienstleistungen ist ungebrochen. Das reicht vom EC-Terminal an der Supermarktkasse, im Restaurant oder an vielen Automaten bis zur Travel-App, die für Streckenerfassung und -Abrechnung auf GPS und Internet angewiesen ist. Auch der Kontrolleur im Zug kann mit seiner App nicht mehr auf die im Server-System hinterlegten Kundendaten zugreifen und muss wohl oder übel zumindest einen Teil der Fahrgäste im Zug unkontrolliert ziehen lassen.
c) Kommunikation
Auch andere wesentliche Aspekte sind vom Ausfall betroffen. Telefone gehen nicht mehr, ebenso Chat Apps und logischerweise auch Internet-Zugänge. Es gibt somit praktisch keine Möglichkeit, auf sich aufmerksam zu machen oder mit Anderen zu kommunizieren.
Sitzungen können nicht abgesagt, Verspätungen nicht kommuniziert werden. Die Kunden sind praktisch isoliert.
d) Blaulichtorganisationen
Nicht nur die ausgehende Kommunikation, sondern auch die eingehende für diejenigen, die wissen müssen, wohin eilen, um zu retten und zu helfen, ist nicht mehr möglich. Ordnungskräfte, Feuerwehren, Helfer und Ärzte sind nicht erreichbar. In der Stadt Zürich sind es im Durchschnitt 77 Einsätze von Schutz & Rettung pro Tag (Laut Statistik aus dem Jahr 2018). Untereinander können sie zwar allenfalls noch mit Funkgeräten kommunizieren, aber eine geordnete Entgegennahme und Bewertung von Hilferufen ist erheblich erschwert. Dies ist bei Nacht wie bei Tag kritisch, nur fallen bei Tag naturgemäss noch viel mehr Notrufe an.
e) Der Provider
Und schliesslich wird auch der Imageschaden für den Telecom-Provider, der den Ausfall erlebt, deutlich grösser ausfallen. Dies einfach, weil dem einzelnen Kunden bei tatsächlichem Erleben der Betroffenheit einer solchen Panne ein viel stärkerer negativer Service-Eindruck widerfährt
als bei reinem Hörensagen aus Erzählungen Anderer.
Business Continuity
Da die wesentlichen Prozesse einer Unternehmung oder Organisation auf IT-Services abgestützt sind, müssen Vorkehrungen für den Ausfall dieser IT Services getroffen werden, damit es zumindest nicht zum Stillstand der allerwichtigsten Geschäftsfunktionen kommt. Die folgende Abbildung verdeutlicht das Zusammenspiel zwischen dem Business mit seinen Prozessen, den
unterstützenden Services der IT und deren benötigte IT-Assets.
Auf allen Ebenen ist das Continuity Management gefragt und nur zusammen bilden sie eine effektive Verteidigungslinie im Notfall.
a) BCM - Business Continuity Management
Im BCM muss die Führungsriege der Organisation oder Unternehmung festlegen, welche Geschäftsprozessbereiche bei einem Ausfall der unterliegenden Technologie noch wie lange weitergeführt werden müssen. Hier wird festgelegt, was für das Überleben der Unternehmung wirklich kritisch ist. Um die Resilienz der Prozesse und damit der Unternehmung wahren zu können, ist es absolut unerlässlich, dass das Management sich dieser Aufgabe stellt und sie ernst nimmt, bevor der Schadensfall eintritt.
b) SCM – Service Continuity Management
Das SCM leitet aus den Vorgaben der Führungsebene ab, welche Services mit welchen Massnahmen der Fortführung im Eventualfall zu versehen sind. Da die Businessprozesse auf den «Rädern» der Business Services laufen, ist relativ einfach abzuleiten, welche Services weiterlaufen müssen, um die kritischen Geschäftsprozess fortzuführen.
c) ITSCM – IT Service Continuity Management
Letztlich bestehen alle Services, ob business oder technisch, direkt oder indirekt aus Leistungen der IT-Assets. Erst die Kombination aus Daten, Applikationen, Hardware, Räumen, Netzen und auch Fachmitarbeitern leistet das, was wir IT-Services nennen. So ist es enorm wichtig, festzustellen, welche Assets an der Erbringung der Service-Leistungen beteiligt sind. Sind also die wesentlichen Prozesse von der Führungsriege benannt und daraus der Bedarf an Services abgeleitet, kann schnell und sicher identifizieren werden, welche Gerätschaften (Assets) der technischen IT entsprechend der Bedürfnisse um- oder ausgebaut werden müssen.
Zusammenfassend kann also gesagt werden, dass es die Aufgabe des Managements ist, die kritischsten Bereiche zu identifizieren, die es vor einem Ausfall zu schützen gilt. Die SCM-Service-Schicht wirkt als Vermittler für das ITSCM, das dann die technische Ausgestaltung und Absicherung, gemäss der übergeordneten Anforderungen sicherstellt.
Dem Ausfall auf verschiedenen Ebenen
begegnen
Es gibt mehrere Stossrichtungen und Ebenen, um sich im Fall eines Internet-Ausfalls zu schützen und zumindest lokal
weiterzuarbeiten.
Auf der Ebene der Geschäftsprozesse gilt es, sich zu überlegen, wie diese Prozesse auch ohne Computerunterstützung fortgeführt werden können. Hier seien Ersatzmassnahmen auf Papierebene genannt, die beispielsweise in einem Spital den Betrieb und die Prozesse in der Notfallaufnahme durchaus aufrechterhalten können.
Dazu muss man vorab Notfallpläne erstellen, ausprobieren und immer wieder üben, damit es im Notfall auch mit dem Notfall klappt. Neben den Aufwänden in der Vorbereitung muss hier sicher auch daran gedacht werden, im Eventualfall mehr Personal aufbieten zu können, um kompensatorisch die manuelle Fortführung der Kernprozesse im Notbetrieb aufrecht zu erhalten.
In Notfallkonzepte gehören also auch vorbereitende Massnahmen, wie z.B. die Festlegung, wann und unter welchen Umständen sich das Personal selbständig im Spital einzufinden hat, da damit gerechnet werden muss, dass ein Aufbieten in der Notsituation nicht möglich sein könnte, wenn die Kommunikationswege ausgefallen sind.
Wenn festgestellt wird, welche Systeme als kritisch gelten, könnte man das Outsourcing solcher Systeme überdenken und allenfalls neu strukturieren. Hier gilt es abzuwägen, ob das Outsourcing mit seiner Kostenersparnis die Risiken und deren Folgekosten aufwiegt.
Kritische Systeme oder Komponenten (Daten, Applikationen, Computer) können trotz Outsourcing auch als fall-back lokal bereitgehalten werden. Auch hier ist die Kostenfolge im Sinne der Kostenwahrheit mit den Risiken und deren Folgekosten abzuwägen.
Die einfachste Variante ist z.B. die Synchronisation des Computers mit den Daten in der Cloud. So stehen bei Ausfall von Leitung oder Cloud-Service wenigstens die Synchronisierten Daten zur Verfügung. Wenn die Fortführung der als kritisch festgelegten Geschäftsprozesse damit möglich ist, stellt dies eine elegante und kostengünstige Lösung dar.
Auch Backups für Leitungen können eine valide Massnahme darstellen. Es ist dabei wichtig, darauf zu achten, dass eine Ersatzlösung technisch unabhängig von der ausgefallenen Infrastruktur ist. Beim Ausfall beispielsweise einer Swisscom Grundversorgung sollte also ein Umschalten auf einen Anbieter erfolgen, der seinerseits nicht auf Swisscom-Leitungen aufsetzt. Grundsätzlich ist es im Ausnahmefall möglich, einen Notbetrieb für eine überschaubare Mitarbeitergruppe im Falle eines Provider-Ausfalls mit aus Mobiltelefonen gebildeten Access-Points aufrecht zu erhalten. Hier empfiehlt es sich ein Handy für fünf Mitarbeitende als Ersatz einzusetzen
Ihre Sicherheit im sieber&partners 3i Transformation Model®
Das sieber&partners 3i Transformation Model® reicht von der Strategieebene über die Unternehmensprozesse bis hinunter zur Technologie. Es bildet somit auch für die Sicherheit den Gestaltungsbereich ab, in dem die Analyse, Auslegung und Umsetzung der notwendigen Massnahmen zum Schutz Ihrer Organisation stattfindet.
Grundlegende Sicherheit
Die Fähigkeit, die eigenen Dienstleistungen mit angemessenen Massnahmen der Sicherheit zu schützen ist eine oft verkannte
Grundvoraussetzung für nachhaltigen wirtschaftlichen Erfolg und sicherlich ein wesentlicher Schutz vor Image-Schäden in der Wahrnehmung der Öffentlichkeit. Die transparente Kenntnis über den Stand der Sicherheit hilft, an den entscheidenden Stellen gezielt Massnahmen zu ergreifen, die kostenwirksam und ergebnisorientiert den gewünschten Stand der Sicherheit herstellen und auch beibehalten.
Wir zeigen Ihnen mit transparenten und verlässlichen Analysen auf, wo Verbesserungen nötig und sinnvoll sind. Wir planen mit Ihnen Massnahmen, begleiten Sie in der organisatorischen und technischen Umsetzung, bilden Ihr Personal aus und begleiten und unterstützen Sie während der Umsetzung der Massnahmen. Sicherheit ist mehr als nur die Summe technischer Massnahmen. Wir bieten Ihnen und Ihren Mitarbeitern Hilfestellung beim Erreichen einer allgemeinen Sicherheitskultur, die zu Ihrem Unternehmen und
Ihrer Kultur passt.
ISO 27001 Zertifizierung
Um den nach aussen sichtbaren Nachweis angemessenen
Schutzes einer Organisation erbringen zu können, ist eine Sicherheits-Zertifizierung oft unverzichtbar. Ohne diese ist der Markt oft nicht mehr bereit, Dienstleistungen bei IT-Servicedienstleistern und technischen Zulieferern einzukaufen.
Eine ISO 27001-Zertifizierung ist in solchen Fällen das Aushängeschild der Zuverlässigkeit und Wirksamkeit des Sicherheitsmanagements. Das Informations-Sicherheits-Management System (ISMS) bildet hierbei die Basis, auf der Massnahmen zur Steigerung der Wertschöpfung und gegebenenfalls sogar zur Gestaltung neuer Leistungsbereiche nachhaltig sicher umgesetzt werden.
Ihr Nutzen und Gewinn
Objektive professionelle Einschätzung der Situation
Vertrauenswürdige Standortbestimmung
Erkennen von Optimierungspotentialen und Planung von Massnahmen zur Erreichung des ISO 27001-Zertifikats
Direkte Unterstützung bei der Umsetzung der Massnahmen zum erfolgreichen Zertifizierungsaudit
Auf die Organisation zugeschnittenes ISMS mit klarer Aussen- und Innenwirkung
Systematische Minderung der operativen und strukturellen Risiken der Organisation
Überwachung und Kontrolle der Restrisiken
Wettbewerbsvorteile
Hohe Awareness in der Organisation
Unterstützung des IKS
Entlastung interner Kräfte
Unsere Methode
Wir führen ein Standort-Bestimmungs-Audit nach ISO 27001 durch und nutzen in allen Aspekten die langjährige Erfahrung von sieber&partners. Wir erfassen alle Dimensionen Ihres ISMS, vom Mitarbeiter über Prozesse und Organisation bis hin zu den technischen Aspekten. Dabei werden Ihre firmenspezifischen Bedürfnisse individuell berücksichtigt.
Weitere Optionen
Standort-Bestimmungs-Audits als Health Check für einzelne Bereiche oder das gesamte ISMS
Neutrale Zweitmeinungen
Awareness-Analysen und Sicherheits-Trainings um den Sinn und Zweck der Sicherheits- und Verhaltens-Vorschriften
bleibend zu vermittelnLangfristige Begleitung mit wiederkehrenden Bereichs-Audits zur Wirkungskontrolle und kontinuierlichen Verbesserung der
SicherheitUnsere Fachexperten Victoria Koppehele und Michael Wolfensberger sind für Sie da, beantworten gerne Ihre Fragen und tauschen sich gerne mit Ihnen aus. Wir freuen uns über Ihre Kontaktaufnahme!
Michael Wolfensberger
Victoria Koppehele