View
214
Download
1
Category
Preview:
Citation preview
UNIVERSITT KOBLENZ
FACHBEREICH INFORMATIK
Diplomarbeit
Business Continuity Planning
vorgelegt von
Sascha Rutenbeck
zur Erlangung des akademischen Grades einesDiplom-Informatikers
im Studiengang Informatik
Erstgutachter:
Prof. Dr. Rdiger GrimmInstitut fr Wirtschafts- und Verwaltungsinformatik
Fachbereich 4: Informatik
Zweitgutachter:
Anastasia MeletiadouInstitut fr Wirtschafts- und Verwaltungsinformatik
Fachbereich 4: Informatik
Koblenz, 24. September 2008
Erklrung
Hiermit versichere ich, dass ich die vorliegende Diplomarbeit selbststndig und ohnefremde Hilfe verfasst habe und keine als die angegebenen Quellen und Hilfsmittel ge-nutzt habe. Alle Ausfhrungen der Arbeit, die wrtlich oder sinngem bernommenwurden, sind als solche kenntlich gemacht.
Mit der Einstellung dieser Diplomarbeit in die Bibliothek bin ich einverstanden.
Der Verentlichung dieser Arbeit im Internet stimme ich zu.
Koblenz, 24. September 2008
ii
Inhaltsverzeichnis
Abbildungsverzeichnis v
Abkrzungsverzeichnis vi
1 Einfhrung ins Business Continuity Planning (BCP) 1
2 Denition und Abgrenzung 62.1 Business Continuity Planning und Disaster Recovery . . . . . . . . . . . 102.2 Business Continuity Planning und Business Continuity Management . . . 122.3 Business Continuity Planning und Notfallmanagement . . . . . . . . . . 132.4 Contingency Planning und Risk Management . . . . . . . . . . . . . . . 142.5 Schlussfolgerung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
3 Forderung nach Contingency Planning in Gesetzen und Standards 223.1 Sarbanes-Oxley Act . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253.2 Zweite Basler Eigenkapitalverordnung (Basel II) . . . . . . . . . . . . . . 293.3 Weitere Regularien . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
3.3.1 Weitere Vorschriften in Amerika . . . . . . . . . . . . . . . . . . . 323.3.2 Weitere Vorschriften in Europa . . . . . . . . . . . . . . . . . . . 33
4 Aspekte des BCP 374.1 Personal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 394.2 Technik . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 424.3 Organisation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
5 Der Business Continuity Plan 485.1 Aufbau und Inhalt . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 495.2 Erstellung des Plans innerhalb des Notfallmanagement-Prozesses . . . . . 51
6 Tools zur Untersttzung im BCP Prozess 536.1 Tools der Notfallvorsorge . . . . . . . . . . . . . . . . . . . . . . . . . . . 536.2 Tools der Notfallbehandlung . . . . . . . . . . . . . . . . . . . . . . . . . 55
7 BCP in der Anwendung 607.1 Real Fiction GbR: Szenariobeschreibung . . . . . . . . . . . . . . . . . . 61
iii
Inhaltsverzeichnis
7.2 Lsungen im Business Continuity Planning . . . . . . . . . . . . . . . . . 637.2.1 Welche Daten und Funktionen mssen gesichert werden? . . . . . 637.2.2 Welche Vorbereitungen sind fr Hardware und Struktur zu treen? 647.2.3 In welchen Zeitabstnden wird die Sicherung vorgenommen? . . . 707.2.4 Wie kann bertragungssicherheit beim Backup hergestellt werden? 73
7.3 Umsetzung der Disaster Recovery . . . . . . . . . . . . . . . . . . . . . . 797.3.1 Auf welche Weise kann eine rechtzeitige und authorisierte Aktivie-
rung des Notfallplans erzielt werden? . . . . . . . . . . . . . . . . 797.3.2 Welche Faktoren beeinussen einen mglichst ezienten Notbetrieb? 837.3.3 Wie knnen Fehler bei der Rckspielung aller Daten vermieden
werden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86
8 Folgerung und Ausblick 89
Literaturverzeichnis 91
iv
Abbildungsverzeichnis
1.1 Geschftsrisiken eines Unternehmens . . . . . . . . . . . . . . . . . . . . 21.2 Unternehmensinsolvenzen in Deutschland . . . . . . . . . . . . . . . . . . 3
2.1 Aufbau des Notfallmanagements im BSI-Standard 100-4 . . . . . . . . . 92.2 Zeitliche Anordnung im Notfallmanagement . . . . . . . . . . . . . . . . 102.3 Die Stellung von BCM zu BCP . . . . . . . . . . . . . . . . . . . . . . . 132.4 Gegenberstellung englischer und deutscher Begrie des Notfallmanage-
ments . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142.5 BCP als Teil des Contingency Planning . . . . . . . . . . . . . . . . . . . 152.6 Die relative Stellung des Contingency Planning . . . . . . . . . . . . . . 152.7 Vergleich von Risk Management und Contingency Planning . . . . . . . . 172.8 IT Contingency Planning als Teil des IT Risk Managements . . . . . . . 182.9 Taxonomie des Business Continuity Planning . . . . . . . . . . . . . . . . 192.10 Zusammenspiel von IR-, DR-, und BC-Plnen . . . . . . . . . . . . . . . 202.11 Die Einzeldisziplinen des Notfallmanagements . . . . . . . . . . . . . . . 21
3.1 Hierarchie der Kontrolltypen . . . . . . . . . . . . . . . . . . . . . . . . . 223.2 Titelseite des Sarbanes-Oxley Act . . . . . . . . . . . . . . . . . . . . . . 26
4.1 Ausma vs. BCP Status . . . . . . . . . . . . . . . . . . . . . . . . . . . 384.2 Grnde zur Einfhrung von BCP . . . . . . . . . . . . . . . . . . . . . . 424.3 Kosten vs. Nutzen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
5.1 Auszug eines Teamplans . . . . . . . . . . . . . . . . . . . . . . . . . . . 505.2 Der Notfallmanagement-Prozess des BSI . . . . . . . . . . . . . . . . . . 51
6.1 Phasen der Notfallvorsorge . . . . . . . . . . . . . . . . . . . . . . . . . . 54
7.1 Ablauf des Backupprozesses . . . . . . . . . . . . . . . . . . . . . . . . . 657.2 Aufbau der DR-Lsung bei der Real Fiction GbR . . . . . . . . . . . . . 697.3 Zeitlicher Ablauf der Sicherung . . . . . . . . . . . . . . . . . . . . . . . 727.4 Gefahrenquellen der Disaster Recovery Lsung . . . . . . . . . . . . . . . 747.5 Die Archivoptionen im berblick . . . . . . . . . . . . . . . . . . . . . . 767.6 Stufen der Disaster Recovery . . . . . . . . . . . . . . . . . . . . . . . . . 807.7 Phasenmodell bei Eintreten eines Notfalls . . . . . . . . . . . . . . . . . 817.8 Baumstruktur alternativer Wege des Wiederanlaufs . . . . . . . . . . . . 86
v
Abkrzungsverzeichnis
BC Business Continuity
BCI Business Continuity Institute
BCM Business Continuity Management
BCP Business Continuity Planning
BR Backup and Restore
BRP Business Resumption Planning
BS Betriebssystem
BSI Bundesamt fr Sicherheit in der Informationstechnik
BSI (brit.) British Standards Institute
CDP Continous Data Protection
CP Contingency Planning
DPC Draft for Public Comment
DR Disaster Recovery
DRP Disaster Recovery Planning
DRII Disaster Recovery Institute International
E/I/C Emergency, Incident, Crisis
GbR Gesellschaft brgerlichen Rechts
IR Incident Response
IT Information Technology
ITCP IT Contingency Planning
ITDR IT Disaster Recovery
vi
Abbildungsverzeichnis
ITRM IT Risk Management
IS Information Security
KMU Kleine und mittlere Unternehmen
RAID Redundant Array of Independent Disks
RM Risk Management
RPO Recovery Point Objective
RTO Recovery Time Objective
SFTP Secure File Transfer Protocol
SLA Service Level Agreement
SOX Sarbanes Oxley Act
TIE Workstation True Image Echo Workstation, Produktbezeichnung derWorkstation-Software von Acronis
TIE Server True Image Echo Server, Produktbezeichnung der Server-Softwarevon Acronis
VBM Value Based Management
VHD Virtual HD, virtuelle Festplatte
VSS Volume Shadow Copy Service
vii
1 Einfhrung ins BusinessContinuity Planning (BCP)
Business Continuity Planning und eine Berufsunfhigkeitsversicherung haben zwei Dingegemeinsam: Beide erkennen potentielle Risiken proaktiv und verfgen ber festgelegteManahmen fr den Fall eines ungeplanten Notfalls. Der Unterschied ist, das BusinessContinuity Planning setzt sich auch ber das 67. Lebensjahr hinaus kontinuierlich fort.
Notflle passieren stndig. Meist huger als man denkt. Privat und geschftlich. Wennnamenhafte Unternehmen wie die Gartner Group belegen, dass zwei von fnf Unterneh-men, deren Systeme als Folge einer Katastrophe zerstrt werden oder lngere Zeit nichtverfgbar sind, innerhalb von fnf Jahren Konkurs anmelden, dann liegt hier ein ernstzu nehmendes Problem vor. Liegen zustzlich Zahlen auf dem Tisch, die die Kosten vonIT-Ausfallzeiten westeuropischer Unternehmen auf fnf Milliarden jhrlich summieren,dann besteht sogar groer Handlungsbedarf.
Die Bedrohung der Berufsunfhigkeit eines ganzen Unternehmens (Geschftsfortfh-rung) kommt zudem von zahlreichen weiteren Stellen neben der IT. Abbildung 1.2 zeigteine einfache bersicht, wo diese Gefahren liegen. Dabei wird eines ganz deutlich: DerAufwand der betrieben werden muss und damit die Anforderungen an das Risiko-management eines Unternehmens sind enorm. So wird es passieren, dass ein Fehler,eine Nachlssigkeit oder eine schleichende Zuspitzung der Ereignisse die goldene Regeldes Business Continuity Plannings besttigt: Es ist nicht die Frage ob, sondern wannein Notfall eintreen wird. Hurricanes im Sdosten der USA, berschwemmungen inder Outsourcing-Metropole Indien, politische Produktionsstilllegungen in China oderundichte Atomkraftwerke in Frankreich: nur einige Beispiele, die in jngster Zeit denTrend zur Vorsorgeplanung vorangetrieben haben.
Der Druck zur Kostenoptimierung fhrt dabei zu wirtschaftlichen Verpechtungen, dieviele Bereiche eines Unternehmens in interne und externe Abhngigkeiten stellen. EinResultat dieser Entwicklung zeigt der Weltkatastrophenbericht 2008: Innerha
Recommended