So garantieren Sie einen sicheren Disaster-Recovery-Prozess
Die geltenden Security-Standards müssen auch während eines Disaster Recovery funktionieren, da dieser besonders gefährdet ist. Spezielle Verfahren können hier Abhilfe schaffen.
Ist eigentlich der Storage-Bereich Ihres Unternehmens während eines Recoverys sicher? Angreifer auf die IT-Systeme und Datendiebe schlagen insbesondere dann zu, wenn die IT-Systeme besonders verletzlich sind.
Disaster Recovery (DR) ist ein komplexer und vielseitiger Vorgang, und das DR-Team des Unternehmens macht wahrscheinlich schon alles Mögliche, um einen schnellen und vollständigen Recovery-Prozess zu gewährleisten. Deshalb ist es so wichtig zu garantieren, dass System- und Datensicherheit immer aufrechterhalten werden – besonders während des DR-Betriebs.
Es sind verschiedene zentrale Gesichtspunkte zu beachten, wenn man sein Unternehmen durchcheckt und daraufhin arbeitet, einen sicheren DR-Plan zu entwickeln. Man muss solide Maßnahmen zur Datensicherheit als Teil des standardmäßigen Geschäftsbetriebs besitzen und prüfen, inwieweit sie auch bei DR helfen. Wichtig sind vier Schritte, um Security während des Recovery-Prozesses beizubehalten.
Konsistent bleiben
Richard Butgereit, Director of Catastrophe Response beim Geospatial Intelligence Center, ist der Ansicht, dass die Security-Situation während eines DR-Vorgangs sich nicht wesentlich von der während normaler IT-Prozesse unterscheiden könne: „Ansonsten würde man sein Disaster Recovery nur in sein Gegenteil, in eine neue Katastrophe, verwandeln.“ Das Geospatial Intelligence Center arbeitet für die Versicherungsindustrie und steht während Katastrophenfällen für Informationen zu geographischen Alternativen zur Verfügung.
Eine primäre Richtlinie für einen sicheren Disaster-Recovery-Prozess sollte darin bestehen, die gleichen Security-Standards wie für normale Geschäftsvorgänge aufrechtzuerhalten, meint Greg Arnette, Director of Data Protection Platform Strategy bei Barracuda Networks: „Das bedeutet, der ganze Sicherheitsapparat – Software, Hardware, Identity Management und so weiter – muss im Zentrum der Planung für Business Continuity/DR stehen.“
Für volle Sicherheit sorgen
Zugangs- und Autorisierungssysteme sollten als Teil eines Plans für Business Continuity und DR geschützt werden. Arnette bemerkt hierzu: „Diese kritischen Systeme sind das Fundament moderner IT-Umgebungen der Unternehmen, und sie selbst brauchen einen DR-Plan, um zu garantieren, dass APIs und Login-Bildschirme selbst dann zugänglich bleiben, wenn primäre Systeme in einem Katastrophenfall betroffen sind.“
Die Daten und Anwendungen in dem DR-Zielort sollten den gleichen Regelwerken und Security-Protokollen wie an den produktiven Orten folgen.
Den eigenen Plan wirklich umsetzen
Wie Ned Bellavance, Director of Cloud Solutions bei Anexinet, einem Anbieter von IT Service Management, empfiehlt, besteht die beste Methode für einen sicheren Disaster-Recovery-Prozess darin, bereits über gut verankerte Security-Fähigkeiten in den bestehenden Technologien und Prozessen zu verfügen: „Die Daten und Anwendungen in dem DR-Zielort sollten den gleichen Regelwerken und Security-Protokollen wie an den produktiven Orten folgen.“
Laut Bellavance sollten mehrere besonders wichtige Security-Fragen beachtet werden, wenn man Security-Maßnahmen für Disaster Recovery entwickelt: „Erstens sollten alle empfindlichen Daten vor Ort und während des Transports verschlüsselt werden, einschließlich der Backup- und Replikationsdaten, die zu einer sekundären Site versendet werden. Zweitens sollte die DR-Dokumentation keine Passwörter oder sonstigen geheimen Informationen enthalten.“ Alle diese Informationen sollten sicher bei einem externen Service gespeichert werden, auf den man im Katastrophenfall leicht zugreifen kann. „Drittens sollten DR-Administratoren und -Mitarbeiter nur mit den unbedingt notwendigen Zugangsrechten ausgestattet werden.“ Das bedeutet, den betreffenden Personen nicht mehr Rechte zu geben, außer denen, die sie absolut zur Ausführung ihrer Aufgaben brauchen.
Security-Layer einrichten
Ziel sollte es sein, einen Multilayer-Security-Ansatz zu verfolgen, um die Prozesse von Disaster Recovery zu schützen. Ted Wagner, Chief Information Security Officer für SAP National Security Services in den USA, erklärt hierzu: „Unternehmen mit einem Fokus auf Security verfügen über sich abwechselnde Betriebseinrichtungen, die sich auf sichere verschlüsselte Verbindungen nach FIPS 140-2 (Federal Information Processing Standard 140-2) stützen.“ Solche Einrichtungen replizieren Security-Kontrollen der physischen Umgebung.
Und man sollte immer einen Backup-Plan für seinen Backup-Plan haben, ergänzt Jackie Rednour-Bruckman, Chief Marketing Officer von Daxima, einer Firma für Softwareentwicklung: „Man plant für den extremsten Ernstfall, und dann plant man für den Backup-Plan. Man sollte sich mehrfache Redundanzen wünschen, was einschließt, sein Netzwerk sofort offline zu nehmen, wenn es gefährdet ist, und mit den wesentlichen Aufgaben auf sicheren On-Premises-Systemen fortzufahren.“
