Nach dem möglicherweise weitreichendsten globalen Ausfall der Informationstechnologie in der Geschichte konzentrieren sich Unternehmen nun verstärkt auf die Bekämpfung alter Schwachstellen, die kaskadenartige Auswirkungen haben können.
Es ist nicht der einzige IT-Ausfall, der für Schlagzeilen sorgt, aber es könnte der größte in der jüngeren Geschichte sein - und alles begann damit, dass eine routinemäßige Softwareaktualisierung dazu führte, dass ein Systemupdate, das die Benutzer vor Cyberschwachstellen schützen sollte, fehlschlug.
Microsoft Windows-Nutzer konnten erst letzte Woche nicht auf verschiedene Anwendungen und Dienste zugreifen, was zu erheblichen Unterbrechungen von Geschäftsprozessen in allen Branchen führte, von Flughafenterminals und Einkaufszentren bis hin zu Banken in aller Welt. Sogar die Londoner Börse und das New Hampshire Department of Safety meldeten Unterbrechungen ihrer Dienste.
Für die meisten PC-Benutzer wird der Ausfall wahrscheinlich durch ein neues Software-Update behoben werden, das einige automatisch und andere manuell durchführen werden müssen. Aber für alle ist der Microsoft-Ausfall ein deutlicher Weckruf für die Notwendigkeit robusterer Strategien zur Gewährleistung der Geschäftskontinuität und für das Risikomanagement für Dritte (TPRM).
Die anhaltenden globalen Auswirkungen des Microsoft-Ausfalls
Das Ausmaß und der Umfang der Auswirkungen des Ausfalls waren weitreichend, einschließlich, aber nicht beschränkt auf:
- Unterbrechungen der 911-Leitung
- Sendeunterbrechungen
- Geerdete Flüge
Der kaskadenartige Effekt eines einzigen Software-Updates hat die miteinander verknüpften Risikofaktoren und die zunehmende Komplexität von Drittanbietern noch deutlicher gemacht. Oder, wie Ciaran Martin, der ehemalige Leiter des britischen National Cyber Security Center und Professor an der Blavatnik School of Government der Universität Oxford, es in einem Artikel der New York Times ausdrückte: "Dies ist eine sehr, sehr unangenehme Illustration der Zerbrechlichkeit der weltweiten Internet-Kerninfrastruktur".
Und wenn es sich nicht nur um externe Cyberangriffe handelt, sondern um eine interne Code-Störung, ist es oft schwer zu wissen, wo man zuerst suchen soll. Die Anrufe kommen von innen und außen - aber es ist nicht an der Zeit, aufzulegen oder sich in einer Ecke zu verstecken. Stattdessen ist es an der Zeit, sich einen besseren Überblick über das Risikomanagement von Drittanbietern, betriebliche Abhängigkeiten, Abhilfestrategien und den Plan zur Aufrechterhaltung des Geschäftsbetriebs zu verschaffen.
Mahnungen und Lehren aus der Geschäftskontinuitätsplanung (BCP)
Das Ziel Ihres Business-Continuity-Plans ist es immer, die Auswirkungen auf den Betrieb, die Mitarbeiter und die Kunden während und nach einer Katastrophe oder erheblichen Störung zu minimieren. Er sollte die folgenden Punkte berücksichtigen und darauf vorbereitet sein:
- Systemausfallzeiten: Haben Sie einen Plan für den Fall, dass der Zugriff auf Anwendungen und Dienste den täglichen Betrieb vieler Unternehmen unterbricht, was zu Verzögerungen, Produktivitätseinbußen und potenziellen Verlusten führt?
- Schädigung des Rufs: Können Sie während solcher Vorfälle transparent und effektiv kommunizieren, um das Vertrauen von Kunden und Stakeholdern zu erhalten?
- Einhaltung gesetzlicher Vorschriften: Können Sie gegenüber den Aufsichtsbehörden Sorgfaltspflicht und Bereitschaft nachweisen?
Schlüsselelemente der BCP: Beginnen Sie Ihre Planung hier
Ihr Geschäftskontinuitätsplan sollte drei grundlegende Elemente enthalten:
- Risikobewertung und Analyse der Auswirkungen auf das Geschäft (BIA): Der Ausfall von Microsoft zeigt, wie wichtig es ist, die Abhängigkeiten von IT-Systemen und die möglichen Folgen eines Ausfalls zu verstehen. Die Identifizierung potenzieller Risiken und ihrer kaskadenartigen Auswirkungen auf Ihre Geschäftsabläufe ist entscheidend.
- Strategien zur Wiederherstellung: Die Entwicklung von Plänen zur schnellstmöglichen Wiederherstellung der Geschäftsfunktionen umfasst Sicherungssysteme, alternative Arbeitsvereinbarungen und klare Kommunikationspläne.
- Planentwicklung und -prüfung: Die Erstellung eines detaillierten Reaktionsplans ist der erste Schritt. Anschließend müssen Sie ihn regelmäßig testen, um seine kontinuierliche Wirksamkeit zu gewährleisten.
Und vergessen Sie nicht Ihr Risikomanagement für Dritte (TPRM)!
Da sich Unternehmen bei wichtigen Dienstleistungen zunehmend auf externe Anbieter verlassen, wird die Identifizierung, Bewertung und Kontrolle der mit dieser Auslagerung verbundenen Risiken immer differenzierter. Bleiben Sie Ihrem Risikomanagement für Drittanbieter einen Schritt voraus mit:
- Risikobewertung und Due-Diligence-Prüfung von Lieferanten: Bewerten Sie die potenziellen Risiken, die von Drittanbietern ausgehen, und machen Sie sich mit den Risikoprofilen aller an Ihrer Lieferkette beteiligten Anbieter vertraut.
- Vertragliche Absicherungen: Stellen Sie sicher, dass die Verträge mit den Anbietern Bestimmungen zur Geschäftskontinuität und zur Notfallwiederherstellung enthalten. Dazu gehören Service Level Agreements (SLAs), in denen Reaktionszeiten und Wiederherstellungsprozesse im Falle eines Ausfalls festgelegt sind.
- Kontinuierliche Überwachung: Regelmäßige Überwachung der Leistung und der Sicherheitspraktiken von Drittanbietern. Eine kontinuierliche Bewertung hilft dabei, Risiken zu erkennen und abzumildern, bevor sie sich zu größeren Problemen auswachsen.
- Planung für den Fall der Fälle: Trotz gründlicher Risikobewertungen und Präventivmaßnahmen können unvorhergesehene Ereignisse wie Naturkatastrophen oder Infrastrukturausfälle den Betrieb von Drittanbietern stören und ein erhebliches Risiko für Unternehmen darstellen. Risikospezialisten müssen Notfallpläne und Strategien zur Aufrechterhaltung des Geschäftsbetriebs entwickeln, um die Auswirkungen solcher Unterbrechungen abzumildern. Die Notfallplanung umfasst die Ermittlung alternativer Anbieter, die Einrichtung redundanter Systeme und die Implementierung von Wiederherstellungsverfahren, um die Kontinuität des Betriebs im Falle einer Krise zu gewährleisten.
- Liquiditätsplanung: Wie bei Ihrem Notfallplan müssen Sie auch hier sicherstellen, dass Sie nicht in finanzielle Engpässe geraten, während die Produktion beeinträchtigt wird, indem Sie die Mittel strategisch zuweisen. Eine Möglichkeit, dies zu tun, besteht darin, diese Risiken zu quantifizieren und den Value-at-Risk zu simulieren (der Ihre Risikotragfähigkeit nicht übersteigen sollte).
- Kommunikation mit den Interessengruppen: Eine wirksame Kommunikation fördert die Transparenz und die Zusammenarbeit beim Risikomanagement mit Dritten. Risikofachleute sollten offene Kommunikationskanäle mit internen Stakeholdern, Drittanbietern, Aufsichtsbehörden und anderen relevanten Parteien unterhalten. Eine transparente Kommunikation erleichtert den Informationsaustausch, fördert das Risikobewusstsein und ermöglicht eine schnelle Reaktion auf aufkommende Bedrohungen oder Bedenken.
Was wir gelernt haben:
Wenn Sie sicherstellen, dass Ihre Geschäftskontinuitätsplanung und Ihr Risikomanagement für Dritte robust und auf dem neuesten Stand sind, können Sie betriebliche Risiken erheblich mindern und Ihren Teams helfen, Unterbrechungen effektiv zu bewältigen. Da sich die Technologie ständig weiterentwickelt, müssen auch die Strategien zum Schutz des Geschäftsbetriebs vor unvorhergesehenen Ereignissen angepasst werden.
Die wichtigste Erkenntnis ist eindeutig: Proaktive Planung und wachsames Risikomanagement sind unerlässlich, um die Widerstandsfähigkeit von Unternehmen in einer vernetzten Welt zu erhalten.
Weitere Blogs, die Sie interessant finden könnten:
- Navigieren durch die Aktualisierung der Richtlinie über Netz- und Informationssicherheit (NIS2)
- Was der WEF 2024 Global Risks Report für Governance-, Risiko- und Compliance-Fachleute bedeutet
- 5 Gründe für die Investition in eine Risikomanagement-Software für Unternehmen
- Mahnungen für Risikoteams nach dem tragischen Brückeneinsturz in Baltimore
Unser Fokus? Auf Ihren Erfolg.
Vereinbaren Sie einen Termin für eine Demo, oder erfahren Sie mehr über die Produkte, Dienstleistungen und das Engagement von Mitratech.
