Die wichtigsten Erkenntnisse
- ResOps ist kein Technologieprodukt. Es handelt sich um einen funktionsübergreifenden Betriebsbereich, der dazu beiträgt, die Cyber-Resilienz einer Organisation zu stärken.
- Es ergänzt die Bereiche Datensicherung, Notfallwiederherstellung, Cybersicherheit, Geschäftskontinuität und Vorfallbewältigung, indem es diese Funktionen auf die Ergebnisse der durchgängigen Recovery ausrichtet.
- ResOps konzentriert sich auf kritische Dienste und vom Unternehmen festgelegte Ausfalltoleranzen und nicht auf einzelne Infrastrukturkomponenten.
- Es stützt sich auf die kontinuierliche Erhebung von Nachweisen, darunter geprüfte Ergebnisse der Recovery-Prozesse, Indikatoren für die Ausfallsicherheit der Dienste und eine eigene Liste offener Lücken.
- ResOps ist ein fortlaufender Prozess. Weder die Erstellung eines Plans noch die Durchführung einer erfolgreichen einmaligen Übung reichen aus, um eine dauerhafte Recovery-Fähigkeit zu gewährleisten.
Die neue Herausforderung der Resilienz
Die meisten Unternehmen investieren in Cybersicherheit, Datensicherung,Disaster-Recovery-Mechanismen,,und Geschäftskontinuität. Dennoch stehen viele Führungskräfte nach wie vor vor drei entscheidenden Fragen: Können wir uns erholen? Wie lange wird die Genesung dauern? Und können wir dies nachweisen? Ein Teil der Herausforderung besteht darin, dass die Verantwortung für die Resilienz auf Teams verteilt ist, die oft isoliert voneinander arbeiten. Die Sicherheitsabteilung kümmert sich um Bedrohungen. Die IT-Abteilung wartet die Systeme. Teams für Backup and Recovery stellen Daten und Infrastruktur wieder her. Teams für Geschäftskontinuität konzentrieren sich darauf, den Betrieb des Unternehmens aufrechtzuerhalten. Jedes Team spielt eine wichtige Rolle, doch die Verantwortung für die Recovery kann fragmentiert bleiben.
ResOps vereint diese Funktionen anhand gemeinsamer Prioritäten, Ziele der Recovery und Nachweise. Das Ergebnis ist ein praxisorientierterer Ansatz für Resilienz: Erkennen, was am wichtigsten ist, verstehen, was für die Recovery erforderlich ist, testen, ob die Recovery funktioniert, und die festgestellten Lücken beheben.
F: Was ist ResOps?
ResOpsist die betriebliche Disziplin, die Sicherheit, Infrastruktur und IT-Betrieb miteinander verbindet,Geschäftskontinuität, und bringt Geschäftsverantwortliche in den Bereichen kritische Dienste, ausfallsichere Konzeption und kontinuierliche Validierung zusammen. Einfach ausgedrückt: ResOps hilft Teams dabei, sich auf Störungen vorzubereiten, kritische Dienste innerhalb der vom Unternehmen festgelegten Ausfalltoleranzen wiederherzustellen und anhand von Belegen nachzuweisen, dass Recovery funktioniert.
Vier Merkmale definieren ResOps. Es ist:
- Von Grund auf funktionsübergreifend konzipiert. ResOps verbindet verteilte Zuständigkeiten durch ein gemeinsames Betriebsmodell, benannte Verantwortlichkeiten und eine Führungssteuerung.
- Fokus auf kritische Dienste. Dabei werden jene Dienste priorisiert, die das Unternehmen wiederherstellen muss, um seinen Kernwert zu liefern, Kunden zu bedienen und Einnahmen zu generieren; außerdem sollen damit dringende rechtliche, behördliche, sicherheitsrelevante und auftragsbezogene Verpflichtungen erfüllt werden.
- Kontinuierlich überprüft. Resilienz ist eine Haltung, die Teams praktizieren und weiterentwickeln müssen – und kein Zustand, der durch einen jährlichen Test festgestellt wird.
- Anhand von Belegen gemessen. ResOps ermittelt einen Resilience Posture Score (RPS): einen dienstbezogenen, beleggestützten Wert, der misst, wie gut sich ein einzelner kritischer Dienst wiederherstellen lässt – basierend auf Validierungsergebnissen, dem Zustand der Abhängigkeiten und der Zuversicht hinsichtlich einer einwandfreien Recovery.
Was ist ResOps nicht?
Das ist keine Produktkategorie.
Keine Plattform kann ResOps im Alleingang schaffen. Technologien für Datenschutz, Cyber-Recovery, Automatisierung, Observability und Tests können diesen Bereich zwar unterstützen, doch ResOps ist eine organisatorische Angelegenheit. Es hängt von Governance, gemeinsamer Verantwortung, geschäftlichen Prioritäten, betrieblichen Praktiken und einem gemeinsamen Standard für Nachweise ab.
Es ist kein Ersatz für Backup and Recovery oder Notfall-Recovery.
ResOps ersetzt keine soliden Funktionen von Backup and Recovery – es ist vielmehr auf diese angewiesen. Durch Backups wird sichergestellt, dass wiederherstellbare Kopien vorhanden sind. Die Recovery-Funktionen bieten die Verfahren und technischen Möglichkeiten, um Systeme und Infrastruktur wiederherzustellen.
ResOps wirft jedoch eine umfassendere Frage auf: Kann der kritische Dienst vollständig, fehlerfrei und innerhalb der Toleranzgrenzen wiederhergestellt werden – einschließlich seiner Identitäten, Anwendungen, Daten, Infrastruktur, Cloud-Dienste, Drittanbieter, Mitarbeiter und Entscheidungsprozesse?
Es handelt sich dabei nicht um einen anderen Begriff für Geschäftskontinuität oder Vorfallbewältigung.
Geschäftskontinuität legt fest, wie das Unternehmen bei Störungen weiterarbeitet. Die Vorfallreaktion dient der Erkennung, Eindämmung und Bewältigung des Vorfalls. ResOps verbindet diese Disziplinen mit dem Ergebnis der Recovery. Es schafft einen Arbeitsrhythmus, in dem sich die Teams darauf einigen, was wichtig ist, die Recovery unter realistischen Bedingungen überprüfen, Ergebnisse messen und die bei Tests aufgedeckten Lücken beheben.
Es handelt sich nicht um eine reine Compliance-Maßnahme oder ein einmaliges Projekt.
Ein ausgereiftes ResOps-Programm kann dazu beitragen, Nachweise für Vorstände, Aufsichtsbehörden, Versicherer, Kunden und Wirtschaftsprüfer zu liefern. Die Dokumentation ist jedoch nur ein Nebenprodukt, nicht das eigentliche Ziel. Das Ziel ist die nachweisbare Wiederherstellbarkeit.
Und da sich Systeme, Abhängigkeiten, Bedrohungen und geschäftliche Prioritäten ständig ändern, ist ResOps niemals „fertig“. Es läuft kontinuierlich, ähnlich wie die Finanzplanung oder der Sicherheitsbetrieb.
Was ändert sich mit ResOps?
Bei ResOps liegt der Fokus nicht mehr darauf, ob einzelne Systeme und Prozesse funktionieren, sondern darauf, ob sich der kritische Dienst als Ganzes wiederherstellen lässt. Das verändert die Fragen, die Führungskräfte stellen können.
Ein erfolgreiches Backup ist wichtig. Ebenso wie ein Recovery-Plan. Aber keines von beiden gibt Aufschluss darüber, ob ein kritischer Dienst tatsächlich wiederhergestellt werden kann, wenn man ihn braucht. ResOps betrachtet das Gesamtbild:
- Wurde die Recovery von einem verifizierten, fehlerfreien Recovery-Punkt aus durchgeführt?
- Wie lange hat es gedauert?
- Haben wir uns innerhalb der vom Unternehmen festgelegten Grenzen erholt?
- Und was muss noch beachtet werden?
Deshalb ist ResOps so wichtig. Es bietet Unternehmen die Möglichkeit, über bloße Annahmen hinsichtlich ihrer Ausfallsicherheit hinauszugehen und ihre Wiederherstellungsfähigkeit systematisch und zuverlässig unter Beweis zu stellen. Dies geschieht durch die kontinuierliche Erarbeitung von Belegen und die Gewährleistung der Nachvollziehbarkeit. Wenn es also zu einer Störung kommt, geht es nicht darum, ob jedes Team seinen Teil beigetragen hat oder wer bei welcher Aufgabe versagt hat. Es geht vielmehr darum, ob das Unternehmen die kritischen Dienste wiederherstellen kann, auf die sich seine Kunden verlassen.
Mehr erfahren
Commvault hat veröffentlichtResOps: Ein Leitfaden für Führungskräfteum CISOs, CIOs sowie Führungskräften aus den Bereichen IT, Sicherheit, Ausfallsicherheit und Risk-Management einen praktischen Rahmen für die Umsetzung von ResOps in ihren Organisationen an die Hand zu geben.
Die Führungskräfte lernen, wie sie die wichtigsten Dienste identifizieren, die Readiness für die Recovery anhand konkreter Nachweise überprüfen und die Ausfallsicherheit kontinuierlich testen können. Auf diese Weise können Organisationen ein einheitliches Betriebsmodell etablieren, das Führungskräfte aus den Bereichen Sicherheit, Infrastruktur, IT-Betrieb und Geschäftstätigkeit im Hinblick auf eine evidenzbasierte Recovery zusammenbringt.Holen Sie sich dasAnleitung hier.
FAQs
F: Ist ResOps lediglich eine neue Bezeichnung für Disaster Recovery?
A: Nein. Die Disaster Recovery ist zwar ein wesentlicher Bestandteil von ResOps, doch ResOps betrachtet den gesamten kritischen Dienst – einschließlich technischer, dritter, personeller und entscheidungsbezogener Abhängigkeiten – und prüft, ob dieser innerhalb einer vom Unternehmen festgelegten Auswirkungstoleranz wiederhergestellt werden kann.
F: Ist für ResOps die Anschaffung einer neuen Plattform erforderlich?
A: Nein. Technologie kann zwar die Bestandsaufnahme, das Testen, die Recovery und die Beweissicherung unterstützen, doch bei ResOps stehen zunächst die Zuständigkeiten, die Governance, die geschäftlichen Prioritäten und die betrieblichen Abläufe im Vordergrund.
F: Wem gehört ResOps?
A: ResOps benötigt einen namentlich benannten Leiter mit funktionsübergreifender Befugnis und Unterstützung durch die Geschäftsleitung. Die einzelnen Service-Verantwortlichen bleiben für ihre Dienste verantwortlich, während die Teams aus den Bereichen Sicherheit, IT, Geschäftskontinuität und Geschäftsbereiche zum gemeinsamen Recovery-Ziel beitragen.
F: Wie wird der Erfolg von ResOps gemessen?
A: Erfolg ergibt sich aus aktuellen Nachweisen dafür, dass kritische Dienste innerhalb ihrer festgelegten Ausfalltoleranzen reibungslos wiederhergestellt werden können – und nicht einfach aus der Fertigstellung eines Plans oder der Durchführung eines erfolgreichen Sicherungsvorgangs.
Ein Resilience Posture Score (RPS) ist ebenfalls ein nützliches Messinstrument. Als dienstbezogener, evidenzgestützter Wert hilft der RPS dabei, auf der Grundlage von Validierungsergebnissen, dem Zustand der Abhängigkeiten und der Zuversicht hinsichtlich einer reibungslosen Recovery aufzuzeigen, wie gut sich ein einzelner kritischer Dienst wiederherstellen lässt.
F: Wie können Unternehmen mit ResOps beginnen?
A: Ermitteln Sie zunächst, auf welche kritischen Dienste das Unternehmen angewiesen ist, wer für diese Dienste verantwortlich ist, wovon sie abhängen und wie schnell sie wiederhergestellt werden müssen. Auf dieser Grundlage können die Teams die Recovery überprüfen, Lücken identifizieren und die Maßnahmen zur Stärkung der Ausfallsicherheit priorisieren.
Michael Thelanderis Senior Director of Product Marketing at Commvault.
