Die wichtigsten Erkenntnisse
- Resilienz hängt davon ab, wie schnell und sicher sich das Unternehmen erholen kann – und nicht allein davon, jede Bedrohung fernzuhalten.
- Machen Sie Recovery-Pläne nachweisbar – getestete Ergebnisse sind für Vorstände, Aufsichtsbehörden und Versicherer glaubwürdiger als Zielvorgaben oder Annahmen.
- Machen Sie ResOps zu einem gemeinsamen Betriebsmodell für Sicherheit, Infrastruktur, Geschäftskontinuität und Serviceverantwortliche.
- Messen Sie, worauf es ankommt: Teams sollten wissen, ob kritische Dienste wiederhergestellt werden können, wie lange die Recovery-Phase tatsächlich dauert und ob sie dies nachweisen können.
- Wählen Sie einen oder zwei kritische Dienste aus, definieren Sie eine erfolgreiche Recovery, führen Sie eine realistische Übung durch und dokumentieren Sie die Ergebnisse.
- Zwanzig Jahre in leitenden Sicherheitspositionen lehren einen früh eines: Der Angriff, den man abgewehrt hat, schafft es nie in die Vorstandssitzung. Derjenige, den man nicht abgewehrt hat, ist die einzige Geschichte, an die sich jeder erinnert. Irgendwann habe ich aufgehört, mein Team daran zu messen, wie viele Angriffe wir allein abgewehrt haben, und angefangen, uns auch daran zu messen, wie schnell wir wieder auf die Beine gekommen sind.
- Das ist der Grund, warum ich möchte, dass jeder CISO, jeder CIO und jedes Vorstandsmitglied, das ich kenne, einen neuen O’Reilly-Bericht liest: „ResOps: An Executive Guide“, der diese Woche erschienen ist. Commvault hat ihn gesponsert, aber ich würde ihn ohnehin empfehlen.
Die Mauer war nie der gesamte Plan
Den größten Teil meiner Karriere bestand meine Aufgabe darin, höhere Mauern zu errichten: bessere Erkennung, strengere Kontrollen, schnellere Reaktion. Diese Arbeit ist nach wie vor wichtig und wird es immer bleiben. Aber eine Mauer beantwortet nur eine Frage – und das ist nicht mehr die Frage, die Ihr Vorstand stellt.
Im vergangenen September zwang Ransomware Jaguar Land Rover dazu, die weltweite Produktion einzustellen. Die Fertigungsstraßen kamen zum Stillstand. Die Lieferketten kamen zum Erliegen. Das britische Cyber Monitoring Centre bezifferte die Kosten für die Gesamtwirtschaft auf rund 1,9 Milliarden Pfund, und JLR verzeichnete die niedrigste monatliche Produktionsleistung seit 73 Jahren. JLR verfügte über Abwehrmaßnahmen. Bei diesem Vorfall ging es nicht darum, ob die Mauer standhielt. Es ging darum, ob das Unternehmen wieder auf die Beine kommen konnte, sobald dies nicht mehr der Fall war.
Ich habe es schon einmal gesagt und werde es immer wieder sagen: Eine Störung ist keine Frage des „Ob“, sondern des „Wann“. Die CISOs, die nachts ruhig schlafen können, sind nicht diejenigen, die glauben, sie könnten alles abwehren; es sind diejenigen, die das Wiederaufstehen so oft geübt haben, dass das Üben selbst das Selbstvertrauen schafft.
Drei Fragen, die ich meinem eigenen Team stelle
Der Bericht gliedert das gesamte Problem in drei Fragen, und ich habe begonnen, jede Resilienzprüfung mit ihnen zu eröffnen:
- Wenn wir heute Nacht angegriffen würden, könnten wir uns davon erholen?
- Wie lange würde das tatsächlich dauern?
- Können wir dies dem Vorstand anhand von Belegen nachweisen?
Die meisten Unternehmen beantworten die ersten beiden Fragen mit einem Plan und die dritte mit Schweigen. Dieses Schweigen ist die Resilienzlücke, und sie ist größer und kostspieliger, als den meisten Führungskräften bewusst ist.
Beweise statt Versprechungen
Hier ist eine Unterscheidung, die der Bericht besser herausarbeitet, als ich es bisher irgendwo anders gehört habe: Ein Ziel für die Recovery-Zeit ist ein Ziel. Es sagt Ihnen, was Sie anstreben – aber es sagt Ihnen nicht, ob Sie es erreichen werden.
Vergleichen Sie „Wir glauben, dass wir den Zahlungsdienst in vier Stunden wiederherstellen können“ mit „Wir haben ihn im letzten Quartal in 3,2 Stunden wiederhergestellt – ausgehend von einem verifizierten, fehlerfreien Recovery-Punkt und bei einer Toleranz von vier Stunden.“ Der erste Satz ist ein Plan. Der zweite ist ein Nachweis. Nur einer davon hält stand, wenn Ihr Vorstand, Ihre Aufsichtsbehörde oder Ihr Cyber-Versicherer anfangen, schwierigere Fragen zu stellen – was sie tun werden.
Der Bericht bezeichnet diese Vorgehensweise als „ResOps“, kurz für „Resilience Operations“. Dabei handelt es sich nicht um ein Produkt, das man kauft, oder um einen Ordner, den man ablegt. Es ist ein Betriebsmodell, das Sicherheit, Infrastruktur, Geschäftskontinuität und die Führungskräfte, die auf diese Dienste angewiesen sind, miteinander verbindet – wobei alle auf der Grundlage derselben Fakten arbeiten, anstatt auf separate Pläne zurückzugreifen.
Der Teil, der jeden CISO beunruhigen sollte
Der Bericht nennt auch etwas, das ich schon seit einiger Zeit spüre und für das ich nun endlich die richtigen Worte gefunden habe: das KI-Paradoxon. Dieselbe KI-Fähigkeit, die uns hilft, Schwachstellen schneller zu finden, hilft Angreifern dabei, die Lücke zwischen Entdeckung und Ausnutzung genauso schnell – vielleicht sogar noch schneller – zu schließen. Mehr Probleme zu finden macht Sie nicht sicherer, wenn Sie sich von denjenigen, die durchrutschen, nicht erholen können. Die Erkennungsgeschwindigkeit war nie das Ziel. Die Recovery-Fähigkeit ist es.
Beginnen Sie mit einem Dienst
Nichts davon erfordert, das Meer zu kochen, und ich würde lügen, wenn ich behaupten würde, mein eigenes Team hätte es beim ersten Versuch richtig hinbekommen. Der Bericht skizziert einen 90-Tage-Plan: Wählen Sie einen oder zwei Ihrer kritischsten Dienste aus, definieren Sie, was „wiederhergestellt“ für jeden einzelnen wirklich bedeutet, führen Sie eine ehrliche Recovery-Übung durch und erstellen Sie Ihren ersten konkreten Nachweis. Das ist ein Projekt, das jedes Team in diesem Quartal starten kann – meines eingeschlossen.
Beweise statt Versprechungen. Readiness statt Perfektion. Das ist der Maßstab, an dem ich mein Team messe, und es ist der Maßstab, zu dem dieser Bericht Ihnen einen konkreten Weg aufzeigt.
Holen Sie sich hier Ihr Exemplar von „ResOps: An Executive Guide“.
FAQs
F: Was ist ResOps?
A: ResOps, kurz für „Resilience Operations“, ist ein Betriebsmodell, das Verantwortliche für Sicherheit, Infrastruktur, Geschäftskontinuität und Services anhand gemeinsamer, evidenzbasierter Recovery-Praktiken miteinander verbindet.
F: Wie unterscheidet sich ResOps von herkömmlichem Disaster Recovery?
A: Herkömmliche Disaster Recovery konzentriert sich oft auf Pläne und technische Ziele. ResOps legt den Schwerpunkt auf kontinuierliche Validierung, funktionsübergreifende Verantwortung und messbare Nachweise dafür, dass kritische Dienste innerhalb der geschäftlichen Toleranzgrenzen wiederhergestellt werden können.
F: Warum sind Nachweise zur Recovery wichtig?
A: Nachweismaterial zur Recovery zeigt, was ein Unternehmen tatsächlich getestet und erreicht hat. Es trägt dazu bei, Vorständen, Aufsichtsbehörden, Versicherern und Führungskräften mehr Vertrauen zu vermitteln als Pläne oder Recovery-Ziele allein.
F: Was sollten Unternehmen im Rahmen eines ResOps-Programms messen?
A: Unternehmen sollten messen, ob kritische Dienste wiederhergestellt werden können, wie lange die Recovery-Prozesse tatsächlich dauern, ob Wiederherstellungspunkte fehlerfrei und verifiziert sind und ob die Ergebnisse die definierten geschäftlichen Toleranzen erfüllen.
F: Wer sollte an ResOps beteiligt sein?
A: ResOps sollte Verantwortliche aus den Bereichen Sicherheit, Infrastruktur und Geschäftskontinuität sowie Anwendungs- und Serviceverantwortliche und Führungskräfte zusammenbringen, damit die Prioritäten und Nachweise der Recovery die geschäftlichen Anforderungen widerspiegeln.
F: Wie kann ein Unternehmen mit ResOps beginnen?
A: Beginnen Sie mit einem oder zwei kritischen Diensten. Definieren Sie, was eine erfolgreiche Recovery bedeutet, führen Sie eine realistische Recovery-Übung durch, dokumentieren Sie die Ergebnisse und nutzen Sie diese Erkenntnisse, um den nächsten Test zu verbessern.
Bill O’Connell ist Chief Security Officer bei Commvault.
