Prove It Before You Need It: The Playbook I Wish I’d Had 10 Years Ago

Die wichtigsten Erkenntnisse

• Resilienz hängt davon ab, wie schnell und sicher sich das Unternehmen erholen kann – und nicht allein davon, jede Bedrohung abzuwehren.
• Machen Sie Recovery-Pläne zu nachweisbaren Fakten – getestete Ergebnisse sind für Vorstände, Aufsichtsbehörden und Versicherer glaubwürdiger als Zielvorgaben oder Annahmen.
• Machen Sie ResOps zu einem gemeinsamen Betriebsmodell für Sicherheit, Infrastruktur, Geschäftskontinuität und Serviceverantwortliche.
• Messen Sie, worauf es ankommt: Teams sollten wissen, ob kritische Dienste wiederhergestellt werden können, wie lange die Recovery-Phase tatsächlich dauert und ob sie dies nachweisen können.
• Wählen Sie einen oder zwei kritische Dienste aus, definieren Sie eine erfolgreiche Recovery, führen Sie eine ehrliche Übung durch und dokumentieren Sie die Ergebnisse.
• Zwanzig Jahre in leitenden Positionen im Sicherheitsbereich lehren einen früh eine Sache: Der Angriff, den man abgewehrt hat, schafft es nie in die Vorstandssitzung. Derjenige, den man nicht abgewehrt hat, ist die einzige Geschichte, an die sich jeder erinnert. Irgendwann habe ich aufgehört, mein Team daran zu messen, wie viele Angriffe wir allein abgewehrt haben, und angefangen, uns auch daran zu messen, wie schnell wir wieder auf die Beine gekommen sind.
• Das ist der Grund, warum ich möchte, dass jeder CISO, jeder CIO und jedes Vorstandsmitglied, das ich kenne, dieses neue Buch liest: „ResOps: An Executive Guide“. Commvault hat es gesponsert, aber ich würde es ohnehin empfehlen.

Die Mauer war nie der ganze Plan

Den größten Teil meiner Karriere bestand meine Aufgabe darin, höhere Mauern zu errichten: bessere Erkennung, strengere Kontrollen, schnellere Reaktion. Diese Arbeit ist nach wie vor wichtig und wird es immer bleiben. Aber eine Mauer beantwortet nur eine Frage – und das ist nicht mehr die Frage, die Ihr Vorstand stellt.

Im vergangenen September zwang Ransomware Jaguar Land Rover dazu, die weltweite Produktion einzustellen. Die Fertigungsstraßen kamen zum Stillstand. Die Lieferketten froren ein. Das britische Cyber Monitoring Centre bezifferte die Kosten für die Gesamtwirtschaft auf rund 1,9 Milliarden Pfund, und JLR verzeichnete die niedrigste monatliche Produktionsleistung seit 73 Jahren. JLR verfügte über Abwehrmaßnahmen. Bei diesem Vorfall ging es nicht darum, ob die Mauer standhielt. Es ging darum, ob das Unternehmen wieder auf die Beine kommen konnte, sobald dies nicht mehr der Fall war.

Ich habe es schon einmal gesagt und werde es immer wieder sagen: Eine Störung ist keine Frage des „Ob“, sondern des „Wann“. Die CISOs, die nachts ruhig schlafen können, sind nicht diejenigen, die glauben, sie könnten alles fernhalten; es sind diejenigen, die das Wiederaufstehen so oft geübt haben, dass die Übung selbst das Selbstvertrauen ausmacht.

Drei Fragen, die ich meinem eigenen Team stelle

Das Buch gliedert das gesamte Problem in drei Fragen, und ich habe begonnen, jede Resilienz-Überprüfung mit ihnen zu beginnen:

• Wenn wir heute Nacht angegriffen würden, könnten wir uns davon erholen?
• Wie lange würde das tatsächlich dauern?
• Können wir das dem Vorstand anhand von Belegen nachweisen?

Die meisten Unternehmen beantworten die ersten beiden Fragen mit einem Plan und die dritte mit Schweigen. Dieses Schweigen ist die Resilienzlücke, und sie ist größer und kostspieliger, als den meisten Führungskräften bewusst ist.

Beweise statt Versprechungen

Hier ist eine Unterscheidung, die das Buch besser verdeutlicht, als ich es bisher irgendwo anders gehört habe: Ein Ziel für die Recovery-Zeit ist ein Ziel. Es sagt Ihnen, was Sie anstreben – aber es sagt Ihnen nicht, ob Sie es erreichen werden.

Vergleichen Sie „Wir glauben, dass wir den Zahlungsdienst in vier Stunden wiederherstellen können“ mit „Wir haben ihn im letzten Quartal in 3,2 Stunden wiederhergestellt – ausgehend von einem verifizierten, fehlerfreien Recovery-Punkt und bei einer Toleranz von vier Stunden.“ Der erste Satz ist ein Plan. Der zweite ist ein Nachweis. Nur einer davon hält stand, wenn Ihr Vorstand, Ihre Aufsichtsbehörde oder Ihr Cyber-Versicherer anfangen, härtere Fragen zu stellen – was sie tun werden.

Wir nennen diese Disziplin „ResOps“, kurz für „Resilience Operations“. Es handelt sich dabei weder um ein Produkt, das man kauft, noch um einen Ordner, den man abheftet. Es ist ein Betriebsmodell, das Sicherheit, Infrastruktur, Geschäftskontinuität und die Geschäftsverantwortlichen, die auf diese Dienste angewiesen sind, miteinander verbindet – wobei alle auf der Grundlage derselben Fakten arbeiten, anstatt auf separate Pläne zurückzugreifen.

Der Teil, der jeden CISO beunruhigen sollte

Das Buch benennt auch etwas, das ich schon seit einiger Zeit spüre und für das ich nun endlich die richtigen Worte gefunden habe: das KI-Paradoxon. Dieselbe KI-Fähigkeit, die uns hilft, Schwachstellen schneller zu finden, hilft Angreifern dabei, die Lücke zwischen Entdeckung und Ausnutzung genauso schnell – vielleicht sogar schneller – zu schließen. Mehr Probleme zu finden macht Sie nicht sicherer, wenn Sie sich nicht von denjenigen erholen können, die durchrutschen. Die Erkennungsgeschwindigkeit war nie das Ziel. Die Recovery-Fähigkeit ist es.

Beginnen Sie mit einem Dienst

Nichts davon erfordert, das Unmögliche zu versuchen, und ich würde lügen, wenn ich behaupten würde, mein eigenes Team hätte es beim ersten Versuch richtig hinbekommen. Das Buch skizziert einen 90-Tage-Plan: Wählen Sie einen oder zwei Ihrer kritischsten Dienste aus, definieren Sie, was „wiederhergestellt“ für jeden einzelnen wirklich bedeutet, führen Sie eine ehrliche Recovery-Übung durch und liefern Sie Ihren ersten konkreten Nachweis. Das ist ein Projekt, das jedes Team in diesem Quartal in Angriff nehmen kann – meines eingeschlossen.

Beweise statt Versprechungen. Readiness statt Perfektion. Das ist der Maßstab, an den ich mein Team halte, und es ist der Maßstab, zu dem dieses Buch Ihnen einen konkreten Weg aufzeigt.

Holen Sie sich hier Ihr Exemplar von „ResOps: An Executive Guide“.

FAQs

F: Was ist ResOps?

A: ResOps, kurz für „Resilience Operations“, ist ein Betriebsmodell, das Sicherheit, Infrastruktur, Geschäftskontinuität und Serviceverantwortliche anhand gemeinsamer, evidenzbasierter Recovery-Praktiken miteinander verbindet.

F: Wie unterscheidet sich ResOps von herkömmlicher Disaster Recovery?

A: Herkömmliche Disaster Recovery konzentriert sich oft auf Pläne und technische Ziele. ResOps legt den Schwerpunkt auf kontinuierliche Validierung, funktionsübergreifende Verantwortung und messbare Nachweise dafür, dass kritische Dienste innerhalb der geschäftlichen Toleranzgrenzen wiederhergestellt werden können.

F: Warum sind Nachweise über Recovery wichtig?

A: Nachweise zur Recovery zeigen, was ein Unternehmen tatsächlich getestet und erreicht hat. Sie tragen dazu bei, Vorständen, Aufsichtsbehörden, Versicherern und Führungskräften mehr Vertrauen zu vermitteln als Pläne oder Recovery-Ziele allein.

F: Was sollten Unternehmen in einem ResOps-Programm messen?

A: Unternehmen sollten messen, ob kritische Dienste wiederhergestellt werden können, wie lange die Recovery-Prozesse tatsächlich dauern, ob Wiederherstellungspunkte einwandfrei und verifiziert sind und ob die Ergebnisse die definierten geschäftlichen Toleranzen erfüllen.

F: Wer sollte an ResOps beteiligt sein?

A: ResOps sollte Verantwortliche aus den Bereichen Sicherheit, Infrastruktur, Geschäftskontinuität sowie Anwendungs- und Serviceverantwortliche und Führungskräfte zusammenbringen, damit die Prioritäten und Nachweise der Recovery die geschäftlichen Anforderungen widerspiegeln.

F: Wie kann ein Unternehmen mit ResOps beginnen?

A: Beginnen Sie mit einem oder zwei kritischen Diensten. Definieren Sie, was eine erfolgreiche Recovery bedeutet, führen Sie eine realitätsnahe Recovery-Übung durch, dokumentieren Sie die Ergebnisse und nutzen Sie diese Erkenntnisse, um den nächsten Test zu verbessern.

Bill O’Connellist Chief Security Officer bei Commvault.