BCM
BCM
BCM
Welche Aufgaben werden in der Konzeptionsphase durchgeführt?
BIA, Risikoanalyse, Entwicklung der Strategie und Erstellung eines Notfallvorsorgekonzepts
Was ist eine Leitlinie
Handbuch mit Angaben zu Zielsetzungen, Strategien, Geltungsbereich, Notfallstrategie und Notfallorganisation
welche Inhalte hat eine Business-Impact-Analyse
Identifikation der Auswirkungen von Störungen ermitteln
- Erfassung von Stammdaten und Geschäftsprozessen
- Auswahl der Organisationseinheiten und Prozesse
- Schadensanalyse
- Wiederanlaufparameter bestimmen
- Abhängigkeiten zwischen den Prozessen berücksichtigen
- Priorisierungen vornemen und die Kritikalität bestimmen.
- Ressourcen erheben für den Normal- sowie Notbetrieb
- Kritikalitäten und Wiederanlaufzeiten der Ressourcen festlegen
Was ist eine Schadensanalyse?
Untersuchung von Einflüssen von Ereignissen auf das Unternehmen. Einzelne Geschäftsprozesse müssen analysiert werden und auf Auswirkungen in den einzelnen Bewertungsperioden hin bewertet werden.
Es müssen ebenfalls Abhängigkeiten zwischen Prozessen ermittelt werden um zu bestimmen, welche Verfügbarkeitsanforderung gegeben sein muss. Es sollte sichergestellt werden, dass vorgelagerte Prozesse und Prozesse mit Abhängigkeiten zueinander auf jedenfall die gleichen Verfügbarkeitsanforderungen erfüllen.
Vorarbeiten der Schadensanalyse
Schadenskategorien definieren
Schadensszenarien festlegen
Ausserdem sollte der Zeitliche Verlauf eines Schadens genauer betrachtet werden.
Und Schwankungen in den Verfügbarkeitsanforderungen sollten ebenfalls Beachtung finden.
Was sind Schadenskategorien? Schadensklassen?
Durch Schadenskategorien werden Ausfälle und deren Auswirkungen messbar gemacht.
Als Beispiel für eine niedrige Auswirkung «Ausfall hat eine geringe, kaum spürbare Auswirkung»
Was sind Schadensszenarien?
Die Szenarien legen fest, welche Auswirkungen die Ereignisse auf Faktoren wie Finanzen, Aufgabenerfüllung, Gesetze und Innen- sowie Aussenwirkung haben können.
Wie wird eine Bewertungsmatrix mit für den zeitlichen Verlauf eines Schadens formuliert?
Der Ausfall eines Prozes-ses führt zu direkten wirtschaftlichen Schäden, die bis 96 Stunden niedrig, bis 168 Stunden normal und ab 720 Stunden hoch sind, während keine Auswirkungen bezüglich Gesetzeskon-formität gegeben sind.
Welche möglichen Wiederanlaufparamete gibt es?
MTA (maximal tolerierbare Ausfallzeit), WAZ (Wiederanlaufzeig), Wiederanlauf-Niveau, MTD (maximal tolerierbarer Datenverlust).
Wozu dient eine Risikoanalyse?
Gefährdungen identifizieren. Es wird sich damit beschäftigt, wie und wodurch Gefährdungen entstehen können.
Nenne 5 Hauptpunkte einer Risikoanalyse gemäss BSI.
Vorarbeiten.
Gefährdungsübersicht.
Zusätzliche Gefährdungen erkennen.
Bewertung der Gefährdungen vornehmen.
Behandlung von Risiken.
Wie werden Risiken behandelt?
nenne 4 Möglichkeiten
Reduzierung
Vermeidung
Akzeptanz
Übertragung (z.b Versicherung)
Was ist die Aufgabe eines Umsetzungsplans?
nenne 4 Aufgaben.
Regelt Verantwortlichkeiten (Wer setzt bis wann welche Massnahmen um?).
Priorisierung der definierten Massnahmen (Geschäftsprozesse mit Single Point of Failure sind zu priorisieren).
Ausserdem müssen Priorisierungen vorgenommen werden, wenn Teilprozesse innerhalb einer Kette nicht über die gleiche Absicherung verfügen.
Planen von Schulungen- Sensibilisierungsmassnahmen.
Erarbeitung einer Kosten-Nutzen-Analyse.
Was ist ein Notfallkonzept?
Bildet Abschluss der Konzeption
besteht aus zwei elementaren Bausteinen (Notfallvorsorgekonzept und Notfallhandbuch).
Welche Rollen teil des Notfallvorsorgekonzepts?
Proaktive Rollen nehmen ein:
Unternehmensleitung
Notfallbeauftragte
Notfallkoordinatoren
Notfallvorsorgeteam
Welche Rollen gehören zur Notfallbewältigung und werden im Notfallhandbuch definiert?
Krisenentscheidungsgremium
Krisenstab
Notfallteams
Welch Verantwortungsbereiche obliegen den verschiedenen Rollen?
Welche Angaben sind im Notfallhandbuch enthalten?
Allgemeine Informationen zur Organisation
Sofortmassnahmen
Krisenmanagement (Rollen, Zuständigkeiten, Meldewege, Krisenstabsraum, Standorte, Erreichbarkeiten, Krisenstabsarbeit, Lagebeurteilung, Dokumentation Krisenstab, Deeskalation)
Kommunikation und Öffentlichkeitsarbeit im Krisenfall
Wiederherstellung (Bürofläche, Infrastruktur, Kommunikationsanbindungen etc.)
Geschäftsfortführung (Verfügbarkeitsanforderungen, Geschäftsfortführungspläne, Organisationseinheiten, Analyse Wiedernalauf und Wiederherstellung)
Anhang (Erreichbarkeit, Notrufnummern, Ausweich-Rechenzentrum, externes Datenträgerarchiv, externe Telcoanbieter, weitere unterschtützende Pläne)
Ziel von Übungen und Tests
Abläufe trainieren (Notfall Alarmierung, Eskalationswege, organisatorische Abläufe, Dokumentationen, Massnahmen und weitere Elemente)
Welche Voraussetzungen müssen erfüllt sein, damit Notfallübungen geplant, vorbereitet, durchgeführt und nachbereitet werden können?
Es muss sichergestellt sein, dass die notwendigen personellen, finanziellen und technischen Ressourcen bereitgestellt werden.
Beschreibe den PDCA-Kreislauf von Übungen
Welche Schritte werden bei einer Übung durchlaufen?
Vorbereitung mit Output Übungsdrehbuch
Durchführung mit Output Übungsprotokoll
Nachbereitung mit Output Ergebnisbericht
Anpassung mit Output Übungshandbuch
Planung mit Output Übungsplan (als Input gelten Projektinhalte, Sicherheitsvorfälle, Audits und Hinweise aus Bereichen)
Konzeption mit Output Übungskonzept
Nenne 4 mögliche Testarten
Notfallpläne reviewen
Planbesprechung im Plenum
Kommunikations- und Alarmierungsübung
Szenarien simulieren
Was ist ein Eskalationsmodell und wie kann ein solches Aussehen?
1
Grün
Normalbetrieb
Keine Eskalation nötig. Alles in Ordnung.
2
Gelb
Störmeldungen
Ereignisse, welche geprüft werden sollten. Dies können beispielsweise auch Monitoring-Eventmeldungen sein.
3
Orange
Voralarm
Bei dieser Stufe treten bereits erste Gefahren auf. Es müssen erste Massnahmen angewendet werden, welche Risiken reduzieren.
4
Rot
Notfall
Ab Stufe Notfall werden Ereignisse bezeichnet, welche schon starken Einfluss auf die Geschäftstätigkeit der WAGNER AG haben und «nicht mehr innerhalb der geforderten Zeit behoben werden können» (BSI Ⅰ, 2008, S. 66).
5
Rot
Krise
Ereignisse, welche Krisenpotenzial haben. Die Existenz der WAGNER AG kann gefährdet sein. Ebenfalls können lebensgefährliche Umstände vorhanden sein.
6
Rot
Katastrophe
Eine Katastrophe beschränkt sich nicht mehr nur auf die WAGNER AG, sondern hat auch weitreichenden Einfluss auf die Umgebung und die Stakeholder.
Welches Vorgehensmodell wird durch das BSI verwendet?
Das Stufenmodell
Aufbauend in 3 Stufen der Umsetzung.
Es gibt eine einfache- sowie vollständige Methodik zur Umsetzung.
Wie werden die Stufen des Vorgehensmodells unterschieden?
Stufe 1: Basis Notfallmanagement fokussiert sich auf die Notfallreaktion
Stufe2: Erweitert die Stufe 1 um die Etablierung eines Notfallmanagements mit Notfallvorsorge und Notfallreaktion Es werden eine Risikoanalyse erhoben und eine Business-Impact-Analyse erstellt. Ausserdem eine strukturierte Konzeption der Notfallvorsorge.
Stufe 3: Nun werden Stufe 1 und 2 erweitert und ein ganzheitlicher Prozess des Notfallmanagements eingeführt. Es besteht ein Qualitätsniveau und die Kontinuierliche Verbesserung.
Welche Ziele hat eine BIA?
Prioritäten bestimmen.
Kritikalität definieren.
Wiederanlaufzeit definieren.
Ressourcenbedarf ermitteln.
Abhängigkeiten ermitteln.
Was sind Schadensklassen?
Festlegen von Schadenverlauf mit (kein, mittel gravierend)
Zuteilung von Punktzahlen.
Was sind Handlungsoptionen?
Diese gehen über die Sofortmassnahmen hinaus und enthalten weitere Pläne wie Wiederanlauf-, Geschäftsfortführungs- und Kommunikationspläne
Wer sollte die Schadensanalyse durchführen?
Notfallkoordina-toren, Prozessverantwortliche und die Leiter der Organisationseinheiten. Personen, welche gute Kenntnisse über die Prozesse haben.
Was sind mögliche Wiederanlaufparameter?
Maximal tolerierbare Ausfallzeit (MTA)
Wiederanlaufzeit (WAZ)
Wiederanlauf-Niveau
Maximal tolerierbare Notbetriebszeit (MTN)
Maximal tolerierbare Wiederherstellungszeit (MTW)
Maximal zulässiger Datenverlust
-
- 1 / 31
-
Lernkarten
Welche Aufgaben werden in der Konzeptionsphase durchgeführt?
BIA, Risikoanalyse, Entwicklung der Strategie und Erstellung eines Notfallvorsorgekonzepts
Was ist eine Leitlinie
Handbuch mit Angaben zu Zielsetzungen, Strategien, Geltungsbereich, Notfallstrategie und Notfallorganisation
welche Inhalte hat eine Business-Impact-Analyse
Identifikation der Auswirkungen von Störungen ermitteln
- Erfassung von Stammdaten und Geschäftsprozessen
- Auswahl der Organisationseinheiten und Prozesse
- Schadensanalyse
- Wiederanlaufparameter bestimmen
- Abhängigkeiten zwischen den Prozessen berücksichtigen
- Priorisierungen vornemen und die Kritikalität bestimmen.
- Ressourcen erheben für den Normal- sowie Notbetrieb
- Kritikalitäten und Wiederanlaufzeiten der Ressourcen festlegen
Was ist eine Schadensanalyse?
Untersuchung von Einflüssen von Ereignissen auf das Unternehmen. Einzelne Geschäftsprozesse müssen analysiert werden und auf Auswirkungen in den einzelnen Bewertungsperioden hin bewertet werden.
Es müssen ebenfalls Abhängigkeiten zwischen Prozessen ermittelt werden um zu bestimmen, welche Verfügbarkeitsanforderung gegeben sein muss. Es sollte sichergestellt werden, dass vorgelagerte Prozesse und Prozesse mit Abhängigkeiten zueinander auf jedenfall die gleichen Verfügbarkeitsanforderungen erfüllen.
Vorarbeiten der Schadensanalyse
Schadenskategorien definieren
Schadensszenarien festlegen
Ausserdem sollte der Zeitliche Verlauf eines Schadens genauer betrachtet werden.
Und Schwankungen in den Verfügbarkeitsanforderungen sollten ebenfalls Beachtung finden.
Was sind Schadenskategorien? Schadensklassen?
Durch Schadenskategorien werden Ausfälle und deren Auswirkungen messbar gemacht.
Als Beispiel für eine niedrige Auswirkung «Ausfall hat eine geringe, kaum spürbare Auswirkung»
Was sind Schadensszenarien?
Die Szenarien legen fest, welche Auswirkungen die Ereignisse auf Faktoren wie Finanzen, Aufgabenerfüllung, Gesetze und Innen- sowie Aussenwirkung haben können.
Wie wird eine Bewertungsmatrix mit für den zeitlichen Verlauf eines Schadens formuliert?
Der Ausfall eines Prozes-ses führt zu direkten wirtschaftlichen Schäden, die bis 96 Stunden niedrig, bis 168 Stunden normal und ab 720 Stunden hoch sind, während keine Auswirkungen bezüglich Gesetzeskon-formität gegeben sind.
Welche möglichen Wiederanlaufparamete gibt es?
MTA (maximal tolerierbare Ausfallzeit), WAZ (Wiederanlaufzeig), Wiederanlauf-Niveau, MTD (maximal tolerierbarer Datenverlust).
Wozu dient eine Risikoanalyse?
Gefährdungen identifizieren. Es wird sich damit beschäftigt, wie und wodurch Gefährdungen entstehen können.
Nenne 5 Hauptpunkte einer Risikoanalyse gemäss BSI.
Vorarbeiten.
Gefährdungsübersicht.
Zusätzliche Gefährdungen erkennen.
Bewertung der Gefährdungen vornehmen.
Behandlung von Risiken.
Wie werden Risiken behandelt?
nenne 4 Möglichkeiten
Reduzierung
Vermeidung
Akzeptanz
Übertragung (z.b Versicherung)
Was ist die Aufgabe eines Umsetzungsplans?
nenne 4 Aufgaben.
Regelt Verantwortlichkeiten (Wer setzt bis wann welche Massnahmen um?).
Priorisierung der definierten Massnahmen (Geschäftsprozesse mit Single Point of Failure sind zu priorisieren).
Ausserdem müssen Priorisierungen vorgenommen werden, wenn Teilprozesse innerhalb einer Kette nicht über die gleiche Absicherung verfügen.
Planen von Schulungen- Sensibilisierungsmassnahmen.
Erarbeitung einer Kosten-Nutzen-Analyse.
Was ist ein Notfallkonzept?
Bildet Abschluss der Konzeption
besteht aus zwei elementaren Bausteinen (Notfallvorsorgekonzept und Notfallhandbuch).
Welche Rollen teil des Notfallvorsorgekonzepts?
Proaktive Rollen nehmen ein:
Unternehmensleitung
Notfallbeauftragte
Notfallkoordinatoren
Notfallvorsorgeteam
Welche Rollen gehören zur Notfallbewältigung und werden im Notfallhandbuch definiert?
Krisenentscheidungsgremium
Krisenstab
Notfallteams
Welch Verantwortungsbereiche obliegen den verschiedenen Rollen?
Welche Angaben sind im Notfallhandbuch enthalten?
Allgemeine Informationen zur Organisation
Sofortmassnahmen
Krisenmanagement (Rollen, Zuständigkeiten, Meldewege, Krisenstabsraum, Standorte, Erreichbarkeiten, Krisenstabsarbeit, Lagebeurteilung, Dokumentation Krisenstab, Deeskalation)
Kommunikation und Öffentlichkeitsarbeit im Krisenfall
Wiederherstellung (Bürofläche, Infrastruktur, Kommunikationsanbindungen etc.)
Geschäftsfortführung (Verfügbarkeitsanforderungen, Geschäftsfortführungspläne, Organisationseinheiten, Analyse Wiedernalauf und Wiederherstellung)
Anhang (Erreichbarkeit, Notrufnummern, Ausweich-Rechenzentrum, externes Datenträgerarchiv, externe Telcoanbieter, weitere unterschtützende Pläne)
Ziel von Übungen und Tests
Abläufe trainieren (Notfall Alarmierung, Eskalationswege, organisatorische Abläufe, Dokumentationen, Massnahmen und weitere Elemente)
Welche Voraussetzungen müssen erfüllt sein, damit Notfallübungen geplant, vorbereitet, durchgeführt und nachbereitet werden können?
Es muss sichergestellt sein, dass die notwendigen personellen, finanziellen und technischen Ressourcen bereitgestellt werden.
Beschreibe den PDCA-Kreislauf von Übungen
Welche Schritte werden bei einer Übung durchlaufen?
Vorbereitung mit Output Übungsdrehbuch
Durchführung mit Output Übungsprotokoll
Nachbereitung mit Output Ergebnisbericht
Anpassung mit Output Übungshandbuch
Planung mit Output Übungsplan (als Input gelten Projektinhalte, Sicherheitsvorfälle, Audits und Hinweise aus Bereichen)
Konzeption mit Output Übungskonzept
Nenne 4 mögliche Testarten
Notfallpläne reviewen
Planbesprechung im Plenum
Kommunikations- und Alarmierungsübung
Szenarien simulieren
Was ist ein Eskalationsmodell und wie kann ein solches Aussehen?
1
Grün
Normalbetrieb
Keine Eskalation nötig. Alles in Ordnung.
2
Gelb
Störmeldungen
Ereignisse, welche geprüft werden sollten. Dies können beispielsweise auch Monitoring-Eventmeldungen sein.
3
Orange
Voralarm
Bei dieser Stufe treten bereits erste Gefahren auf. Es müssen erste Massnahmen angewendet werden, welche Risiken reduzieren.
4
Rot
Notfall
Ab Stufe Notfall werden Ereignisse bezeichnet, welche schon starken Einfluss auf die Geschäftstätigkeit der WAGNER AG haben und «nicht mehr innerhalb der geforderten Zeit behoben werden können» (BSI Ⅰ, 2008, S. 66).
5
Rot
Krise
Ereignisse, welche Krisenpotenzial haben. Die Existenz der WAGNER AG kann gefährdet sein. Ebenfalls können lebensgefährliche Umstände vorhanden sein.
6
Rot
Katastrophe
Eine Katastrophe beschränkt sich nicht mehr nur auf die WAGNER AG, sondern hat auch weitreichenden Einfluss auf die Umgebung und die Stakeholder.
Welches Vorgehensmodell wird durch das BSI verwendet?
Das Stufenmodell
Aufbauend in 3 Stufen der Umsetzung.
Es gibt eine einfache- sowie vollständige Methodik zur Umsetzung.
Wie werden die Stufen des Vorgehensmodells unterschieden?
Stufe 1: Basis Notfallmanagement fokussiert sich auf die Notfallreaktion
Stufe2: Erweitert die Stufe 1 um die Etablierung eines Notfallmanagements mit Notfallvorsorge und Notfallreaktion Es werden eine Risikoanalyse erhoben und eine Business-Impact-Analyse erstellt. Ausserdem eine strukturierte Konzeption der Notfallvorsorge.
Stufe 3: Nun werden Stufe 1 und 2 erweitert und ein ganzheitlicher Prozess des Notfallmanagements eingeführt. Es besteht ein Qualitätsniveau und die Kontinuierliche Verbesserung.
Welche Ziele hat eine BIA?
Prioritäten bestimmen.
Kritikalität definieren.
Wiederanlaufzeit definieren.
Ressourcenbedarf ermitteln.
Abhängigkeiten ermitteln.
Was sind Schadensklassen?
Festlegen von Schadenverlauf mit (kein, mittel gravierend)
Zuteilung von Punktzahlen.
Was sind Handlungsoptionen?
Diese gehen über die Sofortmassnahmen hinaus und enthalten weitere Pläne wie Wiederanlauf-, Geschäftsfortführungs- und Kommunikationspläne
Wer sollte die Schadensanalyse durchführen?
Notfallkoordina-toren, Prozessverantwortliche und die Leiter der Organisationseinheiten. Personen, welche gute Kenntnisse über die Prozesse haben.
Was sind mögliche Wiederanlaufparameter?
Maximal tolerierbare Ausfallzeit (MTA)
Wiederanlaufzeit (WAZ)
Wiederanlauf-Niveau
Maximal tolerierbare Notbetriebszeit (MTN)
Maximal tolerierbare Wiederherstellungszeit (MTW)
Maximal zulässiger Datenverlust
