Zum Inhalt springen

BSI/200-4/07 Business Impact Analyse: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen VersionsunterschiedZum nächsten Versionsunterschied →

Dirkwagner (Diskussion | Beiträge)

3 Benutzergruppen
151.639 Bearbeitungen
VisuellWikitext
Zeile 45: Zeile 45:


== Identifizierung zeitkritischer Geschäftsprozesse ==
== Identifizierung zeitkritischer Geschäftsprozesse ==
; Bewertung des Schadenspotenzials von Geschäftsprozessen
[[File:bcmTab18.png|500px]]
; Worst-Case-Bewertung des Schadenspotenzials des Geschäftsprozesses „Kundschaftsanfragen bearbeiten“
[[File:bcmTab19.png|500px]]
; Korrekte und fehlerhafte Bewertung des Schadenspo­tenzials
[[File:bcmTab20.png|500px]]
=== Festlegung der MTPD ===
; Leitfrage
<blockquote>
„Wenn der Geschäftsprozess ausfällt, mit welchem Schadenspotenzial [1 (gering), 2 (mittel), 3 (hoch), 4 (sehr hoch)] ist bei einem Ausfall bis zu … zu rech­nen?“
</blockquote>
[[File:bcmTab21.png|500px]]
; Begründung zur Bewertung des Schadenspotenzials
Die Bewertung des Schadenspotenzials muss je Geschäftsprozess begründet und dokumentiert werden.
Dies hat zwei wesentliche Gründe:
* Wenn die BIA in einem neuen BCMS-Zyklus aktualisiert wird, kann auf die bestehenden Informationen zurückgegriffen werden. Damit die Bewertung des Schadenspotenzials auch zu einem späteren Zeitpunkt nachvollziehbar ist, sollte diese begründet werden.
* Regulatoren setzen eine Begründung voraus, um auch als außenstehende Dritte die Schadensanalyse dahingehend überprüfen zu können, ob diese plausibel ist.
Die Begründung dient als Entscheidungshilfe, um geeignete Maßnahmen für die Geschäftsfortführung auszuwählen.
* Wenn die einzusetzenden finanziellen oder personellen Ressourcen für diese Maßnahmen zu hoch erscheinen, dann hilft eine Begründung aus der BIA mehr als die reine Angabe einer zu erreichenden MTPD.
; Beispielhafte Begründung eines Schadenspotenzials
[[File:bcmTab22.png|500px]]
; Festlegung der RTO für zeitkritische Geschäftsprozesse
; Festlegung des Notbetriebsniveaus (MBCO)
: Beispiel eines dokumentierten Notbetriebsniveaus
[[File:bcmTab23.png|500px]]
Dieser Prozessschritt der BIA ist abgeschlossen, wenn
* die Geschäftsprozesse im GP-Umfang hinsichtlich ihres Schadenspotenzials bewertet wurden
* die Geschäftsprozesse im GP-Umfang anhand der Kriterien mit einer MTPD versehen sind
* die MTPD je zeitkritischem Geschäftsprozess begründet wurde
* für zeitkritische Geschäftsprozesse die jeweilige RTO definiert ist sowie
* für zeitkritische Geschäftsprozesse das erforderliche Notbetriebsniveau definiert wurde


== Identifizierung der Prozessabhängigkeiten (AS) ==
== Identifizierung der Prozessabhängigkeiten (AS) ==

Version vom 3. Juni 2026, 04:43 Uhr

BSI/200-4/07 Business Impact Analyse

Vorbereitung der BIA

Erhebung der Geschäftsprozesse (R+AS)
Festlegung der BIA-Parameter und betrachteten
Festlegung der Ressourcenkategorien und -clust
Planung der BIA-Erhebung (R+AS)
Vorbereitung der BIA-Hilfsmittel (R+AS)

Durchführung der BIA

Kenngrößen

Kenngröße Beschreibung
Maximum Tolerable Period of Disruption (MTPD)
Maximal Tolerierbare Ausfallzeit, MTA		 legt fest, wie lange ein Geschäftsprozess maximal ausfallen darf, bevor nicht tolerierbare Auswirkungen für die Institution auftreten
  • Die MTPD wird anhand einer Bewertung des Schadenspotenzials je Geschäftsprozess ermittelt.
Recovery Time Objective (RTO)
Geforderte Wiederanlaufzeit (WAZ)		 wird aus der MTPD abgeleitet und sowohl den zeitkritischen Geschäftsprozessen als auch den Ressourcen zugeordnet, die relevant sind für die Aufrechterhaltung der zeitkritischen Geschäftsprozesse
  • Die RTO umfasst den Zeitraum vom Ausrufen des Notfalls bis zum Zeitpunkt der geforderten Inbetriebnahme der BC-Lösung
  • Im Falle von IT-Ressourcen wäre das z. B. der Schwenk auf eine Ausweich- oder Ersatzressource oder das Zurücksetzen eines IT-Systems auf den letzten gesicherten Zustand

Die RTO muss zwingend kürzer sein als die MTPD des relevanten Geschäftsprozesses, denn die Reaktionszeit wird von der MTPD abgezogen, um mit der RTO die MTPD noch erreichen zu können

  • Zusätzlich ist es empfehlenswert, einen weiteren zeitlichen Puffer einzuplanen, da insbesondere die Detektion mit Unsicherheiten hinsichtlich des genauen zeitlichen Ablaufs einhergeht.
Recovery Point Objective (RPO)
Maximal zulässiger Datenverlust		 legt fest, welcher Datenverlust akzeptiert wird, d. h. wie alt verfügbare Daten maximal sein dürfen, um im Notbetrieb sinnvoll damit arbeiten zu können
  • Diese Kenngröße dient auch dazu, um den notwendigen Datensicherungszyklus daraus abzuleiten.

Theoretisch kann die RPO auch für analoge Informationen erhoben werden

  • Da diese analogen Informationen in der Praxis aber nicht in sinnvoller Art und Weise versioniert werden können, ist es in der Regel zielführender, benötigte analoge Informationen allein über die Ressourcenkategorie Informationen zu erheben, ohne RPO zu erheben und immer vom aktuellen Stand auszugehen.
Minimum Business Continuity Objective (MBCO)
Notbetriebsniveau		 definiert, wie leistungsfähig der Notbetrieb sein soll, um einen sinnvollen Geschäftsbetrieb gewährleisten zu können
  • Das Notbetriebsniveau wird je Geschäftsprozess individuell festgelegt
  • Hierzu kann die Leistungsfähigkeit des Notbetriebs z. B. prozentual angegeben werden oder alternativ können Aktivitäten priorisiert werden
  • In obiger Abbildung wird das Notbetriebsniveau nur schematisch dargestellt
Prozessschritte der Business-Impact-Analyse

Identifizierung zeitkritischer Geschäftsprozesse

Bewertung des Schadenspotenzials von Geschäftsprozessen

Worst-Case-Bewertung des Schadenspotenzials des Geschäftsprozesses „Kundschaftsanfragen bearbeiten“

Korrekte und fehlerhafte Bewertung des Schadenspo­tenzials

Festlegung der MTPD

Leitfrage

„Wenn der Geschäftsprozess ausfällt, mit welchem Schadenspotenzial [1 (gering), 2 (mittel), 3 (hoch), 4 (sehr hoch)] ist bei einem Ausfall bis zu … zu rech­nen?“

Begründung zur Bewertung des Schadenspotenzials

Die Bewertung des Schadenspotenzials muss je Geschäftsprozess begründet und dokumentiert werden.

Dies hat zwei wesentliche Gründe:

  • Wenn die BIA in einem neuen BCMS-Zyklus aktualisiert wird, kann auf die bestehenden Informationen zurückgegriffen werden. Damit die Bewertung des Schadenspotenzials auch zu einem späteren Zeitpunkt nachvollziehbar ist, sollte diese begründet werden.
  • Regulatoren setzen eine Begründung voraus, um auch als außenstehende Dritte die Schadensanalyse dahingehend überprüfen zu können, ob diese plausibel ist.

Die Begründung dient als Entscheidungshilfe, um geeignete Maßnahmen für die Geschäftsfortführung auszuwählen.

  • Wenn die einzusetzenden finanziellen oder personellen Ressourcen für diese Maßnahmen zu hoch erscheinen, dann hilft eine Begründung aus der BIA mehr als die reine Angabe einer zu erreichenden MTPD.
Beispielhafte Begründung eines Schadenspotenzials

Festlegung der RTO für zeitkritische Geschäftsprozesse
Festlegung des Notbetriebsniveaus (MBCO)
Beispiel eines dokumentierten Notbetriebsniveaus

Dieser Prozessschritt der BIA ist abgeschlossen, wenn

  • die Geschäftsprozesse im GP-Umfang hinsichtlich ihres Schadenspotenzials bewertet wurden
  • die Geschäftsprozesse im GP-Umfang anhand der Kriterien mit einer MTPD versehen sind
  • die MTPD je zeitkritischem Geschäftsprozess begründet wurde
  • für zeitkritische Geschäftsprozesse die jeweilige RTO definiert ist sowie
  • für zeitkritische Geschäftsprozesse das erforderliche Notbetriebsniveau definiert wurde

Identifizierung der Prozessabhängigkeiten (AS)

Identifizierung der Ressourcenabhängigkeiten

Identifizierung vorhandener Single Points of Failure

Auswertung

Anhang

Siehe auch

  1. https://de.wikipedia.org/wiki/Business-Impact-Analyse
  2. Vermeidung von operationellen Prozessausfällen mit Hilfe der Business Impact-Methodik (deutsch) (PDF; 493 kB)
  3. Exemplarische Vorgehensweise für die Durchführung einer Business Impact Analyse (deutsch) (PDF-Datei; 439 kB)
Abgerufen von „https://wiki.foxtom.de/index.php?title=BSI/200-4/07_Business_Impact_Analyse&oldid=164589“