Seit Jahrzehnten versuchen Technologieführer, Silos abzubauen. Ganze Modernisierungsprogramme wurden darauf ausgerichtet, Anwendungen miteinander zu vernetzen, Plattformen zu konsolidieren und Unternehmen einen umfassenderen Überblick über ihre Daten zu verschaffen. Diese Bemühungen haben einen enormen Mehrwert gebracht, aber sie haben auch unsere Sichtweise auf Resilienz geprägt. Wenn etwas schiefgeht, suchen wir instinktiv nach technischen Ursachen. Wir haben jedoch festgestellt, dass die größere Herausforderung woanders liegt.
Die größten Hindernisse für die Cyber-Resilienz sind heute nicht in Datenbanken oder Anwendungen zu finden, sondern in den Organisationsstrukturen. Sie bestehen zwischen Sicherheits- und Infrastrukturteams, zwischen der IT und dem Geschäft sowie zwischen den Mitarbeitern, die für die Reaktion auf einen Angriff zuständig sind, und denen, die für die Aufrechterhaltung des Betriebs des Unternehmens verantwortlich sind.
Die neueste Studie von IDC zum Thema „ResOps – Resilience Operations: Die Disziplin, die Bereitschaft nachweisbar macht“ legt nahe, dass diese organisatorischen Grenzen zu einem der entscheidenden Hindernisse für eine effektive Wiederherstellung geworden sind. Diese Feststellung kommt gerade zum richtigen Zeitpunkt, da sich Cyberangriffe so weiterentwickelt haben, dass es immer schwieriger wird, diese Grenzen aufrechtzuerhalten.
Moderne Angriffe richten sich nicht nach Ihrem Organigramm
Ein moderner Cyberangriff betrifft selten nur einen einzigen Technologiebereich. Ein Ransomware-Vorfall kann mit kompromittierten Identitäten beginnen, sich über die „Cloud“-Infrastruktur ausbreiten, kritische Workloads verschlüsseln, kundenorientierte Anwendungen stören, Dienste von Drittanbietern beeinträchtigen und Meldepflichten gegenüber Aufsichtsbehörden auslösen – und das alles innerhalb weniger Stunden. In jeder Phase sind unterschiedliche Teams, unterschiedliche Tools und unterschiedliche Prioritäten gefragt. Dennoch bereiten sich viele Organisationen nach wie vor auf die Wiederherstellung vor, als ob diese Aufgaben unabhängig voneinander bewältigt werden könnten.
Sicherheitsteams konzentrieren sich naturgemäß darauf, Bedrohungen einzudämmen und Beweismittel zu sichern. Infrastrukturteams legen den Schwerpunkt auf die Wiederherstellung von Systemen und die Minimierung von Ausfallzeiten. Führungskräfte konzentrieren sich auf Kunden, Umsatz und Geschäftskontinuität. Kommunikationsteams denken an den Ruf des Unternehmens, während Rechts- und Compliance-Teams sich auf regulatorische Verpflichtungen konzentrieren. Jede Sichtweise ist durchaus nachvollziehbar. Das Problem entsteht, wenn diese Prioritäten vor dem Eintreten eines Vorfalls nie miteinander in Einklang gebracht wurden.
Mitten in einer Krise müssen unter Druck Entscheidungen zur Recovery getroffen werden. Welche Anwendungen sollten zuerst wieder verfügbar sein? Welche Daten können sicher wiederhergestellt werden? Wie viel Risk ist akzeptabel, bevor der Kundenservice wieder aufgenommen wird? Wer hat die Befugnis, diese Entscheidungen zu treffen? Ohne entsprechende Abstimmung stellen Unternehmen oft fest, dass die größten Verzögerungen nicht durch die Technologie verursacht werden, sondern durch Unsicherheit – eine Unsicherheit, die durch eine bessere Vorbereitung gemindert werden könnte.
Resilienz beginnt mit einer gemeinsamen Definition dessen, was wirklich zählt
Der Bericht legt den Schwerpunkt auf den Aufbau Ihres „Minimum Viable Business“ (MVB). Auf den ersten Blick scheint es sich um eine weitere Übung zur Notfallplanung zu handeln, doch sein wahrer Wert liegt in den Gesprächen, zu denen er Unternehmen zwingt.
Um ein MVB zu definieren, müssen sich Führungskräfte, Sicherheitsteams, Infrastrukturspezialisten und Anwendungsverantwortliche auf eine Frage einigen, die auf den ersten Blick einfach erscheint: Was muss unbedingt weiterlaufen, wenn alles andere zum Stillstand kommt?
Diese Diskussion verändert den Charakter der Resilienzplanung. Die Prioritäten bei der Wiederherstellung werden nicht mehr davon bestimmt, welcher Anwendungsverantwortliche während eines Vorfalls am überzeugendsten argumentiert. Stattdessen werden sie im Voraus festgelegt, basieren auf geschäftlichen Zielen und stützen sich auf technische Abhängigkeiten, die allen klar sind.
Vielleicht noch wichtiger ist, dass der MVB eine gemeinsame Sprache schafft. Führungskräfte sprechen nun über kritische Funktionen statt über einzelne Systeme. Technologieteams beginnen, die Infrastruktur an Kundenergebnissen statt an technischen Architekturen auszurichten. Sicherheitsteams erhalten mehr Klarheit darüber, welche Ressourcen während der Recovery den höchsten Schutzgrad verdienen. Genau dieses gemeinsame Verständnis hat vielen Organisationen bisher gefehlt.
Technologie kann die Wiederherstellung automatisieren – aber sie kann keine Abstimmung herbeiführen
Der Bericht argumentiert nicht, dass Unternehmen noch eine weitere Plattform benötigen. Er argumentiert, dass sie eine Arbeitsweise benötigen, die Menschen, Prozesse und Technologie auf ein einziges operatives Ziel ausrichtet. Hier beweist ResOps – eine funktionsübergreifende Disziplin – seinen Wert.
Technologie kann zwar dazu beitragen, die Recovery-Prozesse zu automatisieren, aber sie kann Meinungsverschiedenheiten über geschäftliche Prioritäten nicht lösen. Sie kann nicht entscheiden, welche Kundendienstleistungen am wichtigsten sind. Und sie kann nicht die Steuerung ersetzen, die erforderlich ist, um mehrere Teams während eines Ereignisses unter hohem Druck zu koordinieren. Das sind Herausforderungen für Führungskräfte, und man begegnet ihnen am besten, indem man sich Zeit nimmt, die schwierigen Fragen gemeinsam zu klären – lange bevor ein Angriff einen zum Handeln zwingt.
Die stärksten Organisationen beseitigen Silos nicht – sie verbinden sie miteinander
Cyberangriffe werden sich weiterentwickeln. KI wird die Zeitfenster für Angriffe weiter verkürzen. Neue Technologien werden neue Abhängigkeiten mit sich bringen, und damit werden auch neue Bedrohungen entstehen. Nichts davon ändert etwas an der grundlegenden Anforderung an die Widerstandsfähigkeit. Unternehmen erholen sich nicht deshalb, weil einzelne Teams für sich genommen hervorragende Leistungen erbringen, sondern weil diese Teams bereits wissen, wie man zusammenarbeitet.
Das ist vielleicht letztlich die wichtigste Erkenntnis aus der IDC-Studie. Resilienz ist nicht einfach das Ergebnis besserer Technologie oder ausgefeilterer Sicherheitsmaßnahmen. Sie ist das Ergebnis gemeinsamer Prioritäten, einer klaren Governance und eines bewährten Betriebsmodells, das die richtigen Personen zusammenbringt, noch bevor ein Vorfall eintritt. Vidya Shankaran ist Field CTO bei Commvault.
