Eine Notfallwiederherstellungsstrategie konzentriert sich auf die Wiederherstellung kritischer Systeme und Infrastrukturen nach einer Unterbrechung. In diesem Artikel werden wir untersuchen, wie die Bereitschaft spezifischer Systeme oder Vermögenswerte für die Notfallwiederherstellung gemessen werden kann und wie die allgemeine Bereitschaft zur Notfallwiederherstellung durch die Aggregation von Daten aus einzelnen Vermögenswerten berechnet werden kann.
Über IT-Disaster-Recovery Hinaus
Mit durchschnittlich 4,2 datenbezogenen Unterbrechungen pro Jahr1 sehen wir einen wachsenden Trend, die IT-Disaster-Recovery zu skalieren und sie mit der allgemeinen GRC-Funktion in Einklang zu bringen.
Gleichzeitig führt eine zunehmende Zahl von Störereignissen, insbesondere extreme Wetterbedingungen, dazu, dass Organisationen über die grundlegende Geschäftskontinuität hinausblicken und einen breiteren Rahmen2 der Disaster-Recovery in Betracht ziehen, einschließlich Infrastrukturwiederherstellung, Einrichtungswiederherstellung, Betriebswiederherstellung und mehr.
Der Strategieimplementierungsansatz, basierend auf einer abgestimmten Strategie und funktionalen Scorecards, ermöglicht es Organisationen, die Prinzipien einer IT-Disaster-Recovery-Scorecard an diesen breiteren Rahmen anzupassen und in die Gesamtstrategie des Unternehmens zu integrieren.
Schritt 1. Analyse der Geschäftsauswirkungen und Risiken
Beginnen Sie mit der Gestaltung eines Disaster-Recovery-Scorecards mit bestimmten Analysen und Planungsschritten3:
- Analyse der Geschäftsauswirkungen, um kritische Vermögenswerte zu identifizieren
- Risikoanalyse, um potenzielle Auswirkungen von Unsicherheiten auf das Geschäft zu identifizieren
- Szenarienplanung, um zu untersuchen, wie identifizierte Risiken kritische Vermögenswerte beeinflussen könnten
Je nach Komplexität der beteiligten Systeme und Stakeholder kann der Analyseprozess mit funktionalen Scorecards formalisiert werden. Zum Beispiel:
- Geschäftskontinuitäts-Scorecard mit Vermögenszuordnung und Vorfallverfolgung.
- Zentrales Risikoregister mit Risikoidentifikation und -analyse.
- Szenario-Scorecard zur Analyse von Frühindikatoren und Planung von Reaktionsstrategien.
Schritt 2. Festlegen von Recovery Point und Recovery Time Zielen
In diesem Schritt legen wir fest:
- Recovery Point Ziel (akzeptabler Verlust, wie z. B. akzeptabler Datenverlust), und
- Recovery Time Ziel (akzeptable Betriebsunterbrechung).
Für die Scorecard-Berechnungen werden wir zunächst Kennzahlen für ein bestimmtes System oder Asset definieren und sie dann zu einer Gesamt-Compliance-Bewertung kombinieren.
Katastrophenwiederherstellungs-KPIs für ein Spezifisches System
Beim Fokus auf Katastrophenwiederherstellung in der IT können Organisationen Metriken wie Zuverlässigkeit, Wiederherstellungszeit und Wiederherstellungspunkt verfolgen, um ihre Strategien zu bewerten und zu verbessern.
Zuverlässigkeitsmetriken
- Mittlere Zeit zwischen Ausfällen (MTBF): Zeit zwischen reparierbaren Systemausfällen.
- Mittlere Zeit bis zum Ausfall (MTTF): Zeit zwischen nicht reparierbaren Systemausfällen, wie die gesamte Lebensdauer eines Systems.
Wiederherstellungszeit-Metriken
- Mittlere Wiederherstellungszeit (MTTR)
- Wiederherstellungszeit-Ziel (RTO): Maximale zulässige Ausfallzeit nach einer Unterbrechung oder das Ziel-MTTR.
Katastrophenwiederherstellungs-Scorecard-Vorlage. Wiederherstellungspunkt-Metriken
- Tatsächliche Backup-Frequenz
- Wiederherstellungszielpunkt (RPO): Maximale akzeptable Datenverlustzeit oder das Ziel für die Backup-Frequenz.
Berechnung der Leistung: Linear vs. Binär
Es gibt zwei gängige Ansätze zur Berechnung der Leistung von Kennzahlen zur Katastrophenwiederherstellung:
- Lineare Optimierungsfunktion
- Binäre Optimierungsfunktion
Zum Beispiel sind Zuverlässigkeitskennzahlen in unserer Vorlage als lineare Optimierungsfunktionen konfiguriert. Dies bedeutet, dass sich die Leistung allmählich verbessert, wenn der Wert der Kennzahl vom Basiswert in Richtung des Ziels steigt.
Beispiel
Der MTBF für ein Customer Relationship Management (CRM)-System hat ein Ziel von 10.000 Stunden, mit einem tatsächlichen Wert von 8.000 Stunden.
Disaster Recovery Scorecard Template. - Mit einer linearen Funktion wird die Leistung als 80 % berechnet (= 8.000 / 10.000).
- Mit einer binären Funktion beträgt die Leistung 0 %, da das Ziel von 10.000 Stunden nicht erreicht wurde.
Disaster Recovery Scorecard Template. Binäre Leistungsfunktionen werden oft für MTTR verwendet:
- Wenn MTTR kleiner oder gleich dem RTO ist, beträgt die Leistung 100 %.
- Wenn MTTR den RTO überschreitet, beträgt die Leistung 0 %.
Wiederherstellungszeit-Ziel als Separater Indikator
MTTR hat einen aktuellen Wert und einen Zielwert. Der Zielwert entspricht dem aktuellen „Wiederherstellungszeit-Ziel (RTO)“-Indikator.
Obwohl es möglich ist, den RTO-Indikator zu entfernen und das Ziel direkt für MTTR festzulegen, erfordern Compliance- und Berichterstattungsanforderungen oft, dass sie separat verfolgt werden. Daher wird der RTO als eigenständiger Indikator beibehalten.
Risikodefinitionen
Die Formulierung einer Strategie zur Katastrophenwiederherstellung beginnt mit einer Business-Impact- und Risikoanalyse. Einige Risiken werden in einem zentralen Risikoregister erfasst, während spezifischere Risiken mit der Katastrophenwiederherstellungs-Scorecard für einzelne Vermögenswerte verknüpft werden können.
Disaster Recovery Scorecard Template. Der Schlüssel ist, eine klare Verbindung zwischen den Ergebnissen der Impact- oder Risikobewertung und den Wiederherstellungsmetriken für spezifische Geschäftssysteme sicherzustellen. Zum Beispiel wurden für die Vermögenswerte Webserver die Risiken „Ausgenutzte Schwachstellen“ und „DDoS-Angriffe“ lokal definiert.
Kontinuierliche Überwachung der Notfallwiederherstellungsstrategie
Metriken zur Notfallwiederherstellung entwickeln sich im Laufe der Zeit:
- Ziele können basierend auf aktualisierten Risikomodellen angepasst werden.
- Ist-Werte werden mit historischen Leistungsdaten aktualisiert.
Wichtige Überlegungen umfassen:
- Die Häufigkeit der Aktualisierung oder Überarbeitung der Metriken.
- Umgang mit Zeiträumen ohne Daten, z. B. ob Daten geerbt oder nur explizit eingegebene Daten angezeigt werden sollen.
Gesamtkonformitätsberechnung
Um die allgemeine Bereitschaft zu beurteilen, kombinieren wir die Leistung einzelner Anlagen. Falls erforderlich, können Gewichte angewendet werden, um die relative Bedeutung jeder Anlage widerzuspiegeln.
Alternativ kann die Gesamtkonformität mithilfe des kritischen Pfadansatzes berechnet werden, wobei der Fokus auf der Leistung kritischer Systeme liegt.
Zum Beispiel in unserer Vorlage:
- RPO-Konformität (Kritischer Pfad) umfasst Anlagen mit Wiederherstellungspunktzielen (RPOs) von 24 und 12 Stunden. Das gesamte RPO ist das Minimum dieser Werte, d.h. 12 Stunden.
- Wenn auch nur eine Anlage ihr RPO nicht erfüllt (z. B. „RPO für Bestandsverwaltung“), wird das gesamte RPO nicht erreicht.
Die gesamten Scorecards für Wiederherstellungszeit- und Wiederherstellungspunktmetriken können als Datenquelle für die Compliance-Scorecard und andere GRC-bezogene funktionale Scorecards verwendet werden.
Dashboard für Katastrophenwiederherstellungsbereitschaft
Wichtige Kennzahlen aus der Katastrophenwiederherstellungs-Scorecard können auf einem Dashboard zusammen mit Risikodiagrammen und Verbesserungsinitiativen visualisiert werden.
Disaster Recovery Scorecard Template. Eine Strategiekarte bietet eine klare Sicht auf spezifische Systeme und deren aggregierte Leistung und liefert einen umfassenden Überblick.
Disaster Recovery Scorecard Template. Schritt 3. Etablierung Interner Kontrollen für die Notfallwiederherstellung
Die Definition von Notfallwiederherstellungsmetriken (Schritt 2) ermöglicht es der Organisation, akzeptable Verlust- und Wiederherstellungsniveaus festzulegen sowie ihre Bereitschaft für störende Ereignisse zu quantifizieren. Diese Metriken beinhalten jedoch keine spezifischen Notfallpläne, Verantwortlichkeitszuordnungen4, oder Validierungs- und Testverfahren. Um dies zu adressieren, müssen geeignete interne Kontrollen entworfen werden.
In früheren Artikeln haben wir den allgemeinen Ansatz zur Einrichtung interner Kontrollen sowie deren praktische Anwendung im Bereich des Geschäftskontinuitätsmanagements diskutiert.
Im Kontext der Notfallwiederherstellung sind die meisten der
Stakeholder und Eigentümer
Die Einbindung wichtiger Stakeholder ist entscheidend für den Erfolg einer Katastrophenwiederherstellungsstrategie 4. Auf praktischer Ebene kann die Verantwortlichkeit durch die Zuweisung von Eigentümern zu Katastrophenwiederherstellungskennzahlen und -initiativen verbessert werden.
Schulungssitzung: 'BSC Designer für Disaster Recovery Scorecard' wird im Rahmen unseres laufenden Lernprogramms angeboten und ist in einem BSC Designer-Abonnement enthalten.
Schulungssitzungen werden wöchentlich über Zoom abgehalten und bieten praktische Einblicke sowie persönliche Anleitung. Nach Abschluss erhalten die Teilnehmer ein Teilnahmezertifikat. Entdecken Sie alle verfügbaren Schulungssitzungen hier.
Schlussfolgerungen
Das IT-Katastrophenwiederherstellungs-Scorecard kombiniert verschiedene Ansätze zur Leistungsbewertung.
Bei der Quantifizierung spezifischer Vermögenswerte oder Systeme stützen wir uns auf:
- Mittlere Zeit zwischen Ausfällen (MTBF) und Mittlere Zeit bis zum Ausfall (MTTF), um die Zuverlässigkeit zu schätzen.
- Wiederherstellungszeit-Ziel (RTO), welches das Ziel für die Mittlere Wiederherstellungszeit (MTTR) festlegt.
- Wiederherstellungspunkt-Ziel (RPO), welches das Ziel für die Backup-Frequenz festlegt.
Die Leistung dieser Metriken wird typischerweise als binäre Funktion berechnet, wobei die Leistung 0 % beträgt, bis der tatsächliche Wert das Wiederherstellungsziel erreicht.
Die Wiederherstellungsmetriken für einzelne Vermögenswerte oder Systeme können kombiniert werden (zum Beispiel mit dem kritischen Pfad-Ansatz), um die allgemeine Bereitschaft oder Konformität zu berechnen.
Nutzen Sie Disaster Recovery Vorlage
BSC Designer hilft Organisationen bei der Implementierung ihrer komplexen Strategien:
- Melden Sie sich für einen kostenlosen Plan auf der Plattform an.
- Verwenden Sie die
Disaster Recovery Vorlage als Ausgangspunkt. Sie finden sie unter Neu > Neue Scorecard > Weitere Vorlagen. - Folgen Sie unserem Strategie-Implementierungssystem, um Stakeholder und strategische Ambitionen in eine umfassende Strategie zu integrieren.
Fangen Sie noch heute an und sehen Sie, wie BSC Designer Ihre Strategieimplementierung vereinfachen kann!
- IDC, The State of Disaster Recovery and Cyber-Recovery, 2024–2025: Factoring in AI, 2024, IDC ↩
- Disaster Recovery Framework Guide, 2020, World Bank Group ↩
- Gestalten Sie Ihre Organisation, um zukünftige Katastrophen zu überstehen, M. Reeves, K. Whitaker, Harvard Business Review, 2022. ↩
- Disaster Resilience Scorecard for Cities, UNDRR, 2024. ↩
- Disaster Resilience Scorecard for Cities, UNDRR, 2024. ↩
Alexis ist ein Senior Strategy Consultant und CEO bei BSC Designer mit über 20 Jahren Erfahrung in der strategischen Planung. Alexis hat das „5-Schritte-Strategie-Implementierungssystem“ entwickelt, das Unternehmen bei der praktischen Umsetzung ihrer Strategien unterstützt. Er ist regelmäßiger Redner auf Industriekonferenzen und hat über 100 Artikel über Strategie und Leistungsmanagement veröffentlicht, darunter das Buch „10-Step KPI System“. Seine Arbeit wird häufig in der akademischen Forschung zitiert.