Die wichtigsten Erkenntnisse
- ResOps ist kein Technologieprodukt. Es handelt sich um eine funktionsübergreifende Betriebsdisziplin, die dazu beiträgt, die Cyber-Resilienz einer Organisation zu stärken.
- Es ergänzt Backup, Notfallwiederherstellung, Cybersicherheit, Geschäftskontinuität und Incident Response, indem es diese Funktionen auf durchgängige Recovery-Ergebnisse ausrichtet.
- ResOps konzentriert sich auf kritische Dienste und unternehmensdefinierte Ausfalltoleranzen und nicht auf isolierte Infrastrukturkomponenten.
- Es stützt sich auf die kontinuierliche Erarbeitung von Belegen, darunter getestete Ergebnisse der Recovery-Prozesse, Indikatoren für die Dienstresilienz und ein unternehmensinternes Backlog mit Lücken.
- ResOps ist ein kontinuierlicher Prozess. Weder die Erstellung eines Plans noch die Durchführung einer erfolgreichen einmaligen Übung reichen aus, um eine dauerhafte Recovery-Fähigkeit zu etablieren.
Die neue Herausforderung der Ausfallsicherheit
Die meisten Unternehmen investieren in Cybersicherheit, Datensicherung, Notfall-Recovery und Geschäftskontinuität. Dennoch stehen viele Führungskräfte nach wie vor vor drei entscheidenden Fragen: Können wir den Betrieb wiederherstellen? Wie lange wird die Wiederherstellung dauern? Und können wir dies nachweisen? Ein Teil der Herausforderung besteht darin, dass die Verantwortung für die Resilienz auf Teams verteilt ist, die oft isoliert voneinander arbeiten. Die Sicherheitsabteilung bekämpft Bedrohungen. Die IT-Abteilung wartet die Systeme. Teams für Backup and Recovery stellen Daten und Infrastruktur wieder her. Geschäftskontinuitäts-Teams konzentrieren sich darauf, den Betrieb des Unternehmens aufrechtzuerhalten. Jedes Team spielt eine wichtige Rolle, doch die Verantwortung für die Recovery kann fragmentiert bleiben.
ResOps vereint diese Funktionen unter gemeinsamen Prioritäten, Recovery-Zielen und Nachweisen. Das Ergebnis ist ein praxisorientierterer Ansatz für Resilienz: Erkennen, was am wichtigsten ist, verstehen, was für die Recovery erforderlich ist, testen, ob die Recovery funktioniert, und die festgestellten Lücken schließen.
Was ist ResOps?
ResOps ist die operative Disziplin, die Sicherheit, Infrastruktur, IT-Betrieb, Geschäftskontinuität und Führungskräfte im Hinblick auf kritische Dienste, resilientes Design und kontinuierliche Validierung zusammenführt. Einfach ausgedrückt: ResOps hilft Teams dabei, sich auf Störungen vorzubereiten, kritische Dienste innerhalb der vom Unternehmen definierten Ausfalltoleranzen wiederherzustellen und auf evidenzbasierte Weise nachzuweisen, dass Recovery funktioniert.
Vier Merkmale definieren ResOps. Es ist:
- Von Grund auf funktionsübergreifend. ResOps verbindet verteilte Verantwortlichkeiten durch ein gemeinsames Betriebsmodell, festgelegte Zuständigkeiten und eine einheitliche Führungsebene.
- Auf kritische Dienste ausgerichtet. Es priorisiert die Dienste, die das Unternehmen wiederherstellen muss, um Kernwert zu liefern, Kunden zu bedienen und Umsatz zu generieren; außerdem trägt es dazu bei, dringende gesetzliche, regulatorische, sicherheitsrelevante und auftragsbezogene Verpflichtungen zu erfüllen.
- Wird kontinuierlich validiert. Resilienz ist eine Haltung, die Teams praktizieren und verbessern müssen – kein Zustand, der durch einen jährlichen Test festgelegt wird.
- Anhand von Belegen gemessen. ResOps ermittelt einen Resilienz-Status-Wert (RPS): einen dienstbezogenen, durch Belege gestützten Wert, der misst, wie wiederherstellbar ein einzelner kritischer Dienst ist – basierend auf Validierungsergebnissen, dem Zustand der Abhängigkeiten und dem Vertrauen in eine reibungslose Recovery.
Was ist ResOps nicht?
Es ist keine Produktkategorie.
Keine Plattform kann ResOps allein umsetzen. Technologien für Datenschutz, Cyber-Recovery, Automatisierung, Beobachtbarkeit und Tests können die Disziplin unterstützen, aber ResOps ist eine organisatorische Angelegenheit. Es hängt von Governance, gemeinsamer Verantwortung, geschäftlichen Prioritäten, betrieblichen Praktiken und einem gemeinsamen Standard für Nachweise ab.
Es ist kein Ersatz für Backup and Recovery oder Disaster Recovery.
ResOps ersetzt keine soliden Kompetenzen im Bereich Backup and Recovery: Es ist auf diese angewiesen. Backups stellen sicher, dass wiederherstellbare Kopien vorhanden sind. Disaster Recovery stellt die Verfahren und technischen Fähigkeiten bereit, um Systeme und Infrastruktur wiederherzustellen.
ResOps wirft jedoch eine umfassendere Frage auf: Kann der kritische Dienst vollständig, fehlerfrei und innerhalb der Toleranzgrenzen wiederhergestellt werden – einschließlich seiner Identitäten, Anwendungen, Daten, Infrastruktur, Cloud-Dienste, Drittanbieter, Mitarbeiter und Entscheidungsprozesse?
Es ist kein Synonym für Geschäftskontinuität oder Incident Response.
Geschäftskontinuität definiert, wie das Unternehmen trotz Störungen weiterarbeitet. Die Incident-Response erkennt, eindämmt und bewältigt das Ereignis. ResOps verbindet diese Disziplinen mit dem Ergebnis der Recovery. Es schafft einen Arbeitsrhythmus, in dem sich Teams darauf einigen, was wichtig ist, die Recovery unter realistischen Bedingungen validieren, Ergebnisse messen und die bei Tests aufgedeckten Lücken schließen.
Es handelt sich nicht um eine Compliance-Maßnahme oder ein einmaliges Projekt.
Ein ausgereiftes ResOps-Programm kann dabei helfen, Nachweise für Vorstände, Aufsichtsbehörden, Versicherer, Kunden und Wirtschaftsprüfer zu erstellen. Doch die Dokumentation ist ein Nebenprodukt, nicht das Ziel. Das Ziel ist die nachgewiesene Wiederherstellbarkeit.
Und da sich Systeme, Abhängigkeiten, Bedrohungen und geschäftliche Prioritäten ständig ändern, ist ResOps niemals „fertig“. Es läuft kontinuierlich, ähnlich wie die Finanzplanung oder der Sicherheitsbetrieb.
Was ändert sich durch ResOps?
ResOps verlagert den Fokus von der Frage, ob einzelne Systeme und Prozesse funktionieren, hin zu der Frage, ob der kritische Dienst als Ganzes wiederhergestellt werden kann. Das verändert die Fragen, die Führungskräfte stellen können.
Ein erfolgreiches Backup ist wichtig. Ebenso wie ein Recovery-Plan. Aber keines von beiden sagt Ihnen, ob ein kritischer Dienst tatsächlich wiederhergestellt werden kann, wenn Sie ihn brauchen. ResOps betrachtet das Gesamtbild:
- Haben wir die Recovery von einem verifizierten, fehlerfreien Wiederherstellungspunkt aus durchgeführt?
- Wie lange hat es gedauert?
- Haben wir die Wiederherstellung innerhalb der vom Unternehmen festgelegten Grenzen durchgeführt?
- Und was muss noch beachtet werden?
Deshalb ist ResOps so wichtig. Es bietet Unternehmen die Möglichkeit, über bloße Annahmen zur Ausfallsicherheit hinauszugehen und ihre Wiederherstellungsfähigkeit programmatisch und zuverlässig unter Beweis zu stellen. Und das geschieht durch die kontinuierliche Erfassung von Nachweisen und Rückverfolgbarkeit. Wenn es also zu einer Störung kommt, lautet die Frage nicht, ob jedes Team seinen Teil beigetragen hat oder wer bei welcher Aufgabe versagt hat. Die Frage ist vielmehr, ob das Unternehmen die kritischen Dienste wiederherstellen kann, auf die sich seine Kunden verlassen.
Erfahren Sie mehr
Commvault hat den Leitfaden „ResOps: An Executive Guide“ veröffentlicht, um CISOs, CIOs sowie Führungskräften aus den Bereichen IT, Sicherheit, Ausfallsicherheit und Risk-Management ein praktisches Rahmenwerk für die Umsetzung von ResOps in ihren Unternehmen an die Hand zu geben.
Führungskräfte erfahren, wie sie die wichtigsten Dienste identifizieren, die Readiness zur Wiederherstellung anhand konkreter Nachweise überprüfen und die Ausfallsicherheit kontinuierlich testen können. Auf diese Weise können Unternehmen ein einheitliches Betriebsmodell etablieren, das Führungskräfte aus den Bereichen Sicherheit, Infrastruktur, IT-Betrieb und Geschäft auf der Grundlage einer nachweisbaren Readiness zur Wiederherstellung vereint.
Laden Sie den Leitfaden hier herunter.
FAQs
F: Ist ResOps lediglich eine neue Bezeichnung für Disaster Recovery?
A: Nein. Disaster Recovery ist ein wesentlicher Bestandteil von ResOps, aber ResOps betrachtet den gesamten kritischen Dienst – einschließlich technischer, dritter, personeller und entscheidungsbezogener Abhängigkeiten – und prüft, ob er innerhalb einer vom Unternehmen definierten Auswirkungstoleranz wiederhergestellt werden kann.
F: Erfordert ResOps die Anschaffung einer neuen Plattform?
A: Nein. Technologie kann zwar die Erfassung, das Testen, Recovery und die Sammlung von Nachweisen unterstützen, doch ResOps beginnt mit Verantwortlichkeiten, Governance, geschäftlichen Prioritäten und betrieblichen Praktiken.
F: Wer ist für ResOps verantwortlich?
A: ResOps benötigt einen namentlich benannten Leiter mit funktionsübergreifender Befugnis und Unterstützung durch die Geschäftsleitung. Die einzelnen Serviceverantwortlichen bleiben für ihre Dienste rechenschaftspflichtig, während die Teams aus den Bereichen Sicherheit, IT, Geschäftskontinuität und Geschäftsprozesse zum gemeinsamen Recovery-Ergebnis beitragen.
F: Wie wird der Erfolg von ResOps gemessen?
A: Der Erfolg ergibt sich aus aktuellen Nachweisen, dass kritische Dienste innerhalb ihrer definierten Auswirkungstoleranzen einwandfrei wiederhergestellt werden können – nicht lediglich aus der Fertigstellung eines Plans oder der Durchführung eines erfolgreichen Backup-Vorgangs.
Ein „Resilience Posture Score“ (RPS) ist ebenfalls ein nützliches Messinstrument. Als nachweisgestützter Score pro Dienst hilft der RPS dabei, aufzuzeigen, wie wiederherstellbar ein einzelner kritischer Dienst ist – basierend auf Validierungsergebnissen, dem Zustand der Abhängigkeiten und der Zuversicht hinsichtlich einer reibungslosen Recovery.
F: Wie steigen Unternehmen in ResOps ein?
A: Beginnen Sie damit, die kritischen Dienste zu identifizieren, von denen das Unternehmen abhängt, wer für sie verantwortlich ist, wovon sie abhängen und wie schnell sie wiederhergestellt werden müssen. Auf dieser Grundlage können Teams die Recovery validieren, Lücken identifizieren und die zur Stärkung der Resilienz erforderlichen Maßnahmen priorisieren.
Michael Thelander ist Senior Director of Product Marketing bei Commvault.
