Präventive Maßnahmen und Redundanzen sind die Eckpfeiler des Business Continuity Managements. Während Prävention oft mit Nachdenken und einigen Dokumenten, die das Ergebnis des Nachdenkens festhalten, zu schaffen ist, ist der Aufbau von Redundanzen fast immer mit Investitionen verbunden.
Derzeit lernen viele Unternehmen und Behörden, dass insbesondere in größeren Bürogebäuden Investitionen an entscheidender Stelle unumgänglich werden, damit der Geschäftsbetrieb auch bei technischen Probleme im Netz weiterlaufen kann.
Durch schon stattfindende oder zumindest absehbare Weiterentwicklungen der IT wird die Bedeutung der externen Anbindung einer Institution an Dienstleister für grundlegende Arbeitsabläufe immer wichtiger und geschäftskritischer.
Ganz offensichtlich ist das dort, wo Anwendungen wie Office 365 „so wie sie gemeint sind“ eingesetzt werden. Ein Ausfall der Internet-Anbindung und damit der Verbindung zum Microsoft Rechenzentrum kostet einen Gutteil der Funktionalität von Office 365.
Neben diesen echten IT-Anwendungen gibt es weitere durchaus kritische Informationstechnik in jedem Gebäude, die vielleicht noch anders klassifiziert wird, dennoch immer mehr zum IT-Service wird. Wo heute noch eine „klassische“ Telefonanlage betrieben wird, wartet schon deren Nachfolger. Das wird mit hoher Wahrscheinlichkeit eine IP-Telefonanlage werden, die möglicherweise wieder ins eigene Haus soll, deren Stationierung und Betrieb durch einen Dienstleister aber zumindest erwägenswert ist.
Wenn die Anlage vor Ort stationiert werden soll, dann wird eine angemessen gute Stationierung der Server, aus denen die Telefonanlage besteht, im eigenen Hause nötig. Wenn die Telefonanlage als Service von einem externen Dienstleister bezogen wird, wird die zuverlässige und hochverfügbare Netzanbindung des Hauses noch bedeutsamer. Die Anbindung an fremde Netze muss redundant werden.
Das Risiko von Ausfällen der externen Anbindung unterliegt nur zu Teilen der eigenen Kontrolle. Wenn Baggerarbeiten irgendwo ein Kabel beschädigen, dann passiert das, ohne dass Sie etwas dagegen unternehmen könnten. Ebenso haben Sie keinen Einfluss auf die Reparaturzeit für das defekte Kabel. Das Risiko für das Unternehmen kann nur dadurch gesenkt werden, dass die Anbindung an das Internet und andere Netze redundant in 2-Wegeführung ausgeführt wird. Aus Sicht einer vernünftigen BCM-Planung bedeutet dies, dass es zwei „Hauseinspeisungen“ – möglicherweise sogar von verschiedenen Netzprovidern gestellt – geben muss.
Diese Anbindungen an andere Netze müssen dann für alle Anwender nutzbar gemacht werden. Das heißt, es muss an zwei Stellen des Gebäudes aktive Netzinfrastruktur aufgebaut werden . Diese redundanten IT-Räume dienen der Anbindung des Unternehmens an externe IT-Services und der Anbindung der Benutzer in den Räumen des Unternehmens an die IT.
Nach derzeitiger Einschätzung des Sicherheits-Berater werden diese IT-Räume nicht nur „Netztechnik-Verteilerräume“ sein, sondern auch eigene IT des Unternehmens zur Bereitstellung von IT-Services enthalten. Dabei geht es nicht unbedingt um die „klassische IT“, also Büro-IT, sondern um Systeme, die wichtig für den Betrieb und die Sicherheit des Gebäudes sind. Es ist ggf. in Betracht zu ziehen, dass die Einsatzverantwortung dieser IT nicht unbedingt bei der Organisationseinheit IT liegt. Zur dieser „Building Control and Security IT“ zählen mindestens:
1.Die Gebäudeleittechnik (GLT)
Anlagen zur Steuerung von Heizung, Lüftung, Beleuchtung etc. werden heutzutage ebenfalls durch Standard-IT verwaltet.
2.Die Videoüberwachung
Moderne Anlagen zur Videoüberwachung bestehen aus Videoservern (Windows oder Linux), Windows PC an den Arbeits- und Bedienplätzen und den Videokameras mit Embedded Systemen (z. B. auf Linux-Basis). Videoüberwachung gehört zur Sicherheitstechnik.
3.Die Medientechnik
Hierzu gehören Konferenzsystem, besondere Projektionssysteme und ähnliche für bestimmte Anwendergruppe bedeutsame Systeme.
Je wichtiger solche Systeme für den Betrieb des Gebäudes werden, desto wichtiger werden die Verfügbarkeit dieser IT und selbstverständlich auch der Schutz dieser IT-Systeme gegen Cyberrisiken. Das gilt besonders, wenn IT Komponenten in diesen Netzen durch Dienstleister – also aus anderen Netzen (Internet, LAN, WAN) – heraus überwacht oder sogar bedient werden.
Mittelfristig wird im Gebäude also eine Lösung zu erreichen sein, die zwei Räume in verschiedenen Brand- und Rauchabschnitten bereitstellt, in denen dann diese zentrale IT stationiert wird. Nach Erfahrung des Sicherheits-Berater beginnt ein solches Vorhaben oftmals damit, dass nach einem Problem mit der Internetanbindung ein Kellerraum mit der vorhandenen Hauseinspeisung und der betagte Serverraum besichtigt werden und die einvernehmliche Bewertung lautet: „Da müssen wir was tun …“
