TISAX® Kapitel 5.2.9
Inwieweit wird die Sicherung und Wiederherstellung von Daten und IT-Diensten sichergestellt?
Erschlagen von den Anforderungen? Sie wissen nicht, wie ausführlich Sie bestimmte Anforderungen erfüllen müssen?
Testen Sie jetzt kostenlos & unverbindlich unser Vorlagenpaket für TISAX®.
Ziel
Daten und IT-Dienste können durch Ereignisse wie Hardwareausfälle, Softwarefehler, Fehler des Betreibers oder Angriffe nicht verfügbar werden. Die Sicherung und Wiederherstellung (en: backup and recovery) ermöglichen es Organisationen, sich von entsprechenden Situationen zu erholen und den möglichen Schaden für die Organisation auf ein hinnehmbares Maß zu begrenzen.
Anforderungen
- Muss
- Für die maßgeblichen IT-Systeme sind Backup-Konzepte vorhanden. Die folgenden Aspekte werden berücksichtigt:
- Muss
- Entsprechende Schutzmaßnahmen, um die Vertraulichkeit, Integrität und Verfügbarkeit für Daten-Backups sicherzustellen.
- Muss
- Für die maßgeblichen IT-Dienste sind Wiederherstellungs-Konzepte vorhanden.
- Sollte
- Für jeden maßgeblichen IT-Dienst ist ein Sicherungs
- Sollte
- und Wiederherstellungs-Konzept vorhanden.
- Sollte
- Abhängigkeiten zwischen IT-Diensten und die Reihenfolge für die Wiederherstellung werden berücksichtigt.
- Schutzbedarf hoch
- Sicherungs- und Wiederherstellungskonzepte werden in regelmäßigen Abständen methodisch überprüft. (A)
- Schutzbedarf hoch
- Die allgemeine Wiederherstellungskapazität wird berücksichtigt und geprüft (z.B. Stichprobenprüfung, Prüfsysteme) (I, A)
- Schutzbedarf hoch
- Sicherungs- und Wiederherstellungskonzepte berücksichtigen die folgenden Aspekte: (A)
- Schutzbedarf hoch
- Zielsetzung für den Wiederherstellungspunkt (RPO, en Recovery Point Objective).
- Schutzbedarf hoch
- Zeitvorgabe für die Wiederherstellung (RTO, en: Recovery Time Objective).
- Schutzbedarf hoch
- Erforderliche Ressourcen für die Wiederherstellung (unter Berücksichtigung der Kapazität und Leistung einschließlich Personal und Hardware).
- Schutzbedarf hoch
- Vermeidung von Überlastungsszenarien während der Wiederherstellung.
- Schutzbedarf hoch
- Angemessene räumliche Redundanz (z.B. separater Raum, separater Brandabschnitt, separates Rechenzentrum, separater Standort).
- Bei Sehr Hoch
- (Zusätzliche) Backups werden über Offline-Verfahren, unveränderliche Backups (en: immutable backups) oder durch Anwendung einer isolierten IAM-Technologie durchgeführt. (I, A)
- Bei Sehr Hoch
- Wiederherstellungsverfahren werden in regelmäßigen Abständen systematisch technisch geprüft. (I, A)
- Bei Sehr Hoch
- Geografische Redundanz wird in Daten-Backup
- Bei Sehr Hoch
- und Wiederherstellungskonzepten berücksichtigt. (A)
Umsetzung
Muss-Anforderungen umsetzen
Es ist entscheidend, für alle wesentlichen IT-Systeme Backup-Konzepte zu entwickeln, die speziell die Vertraulichkeit, Integrität und Verfügbarkeit der gesicherten Daten gewährleisten. Dazu sollten Sie sicherstellen, dass die Backups regelmäßig und automatisch erfolgen, sowie in sicheren, zugriffsbeschränkten Umgebungen gespeichert werden. Für IT-Dienste ist es ebenso wichtig, effiziente und getestete Wiederherstellungskonzepte zu besitzen, die im Falle eines Datenverlusts oder Systemschadens eine schnelle und vollständige Wiederherstellung ermöglichen.
Sollte-Anforderungen erfüllen
Erweitern Sie die Wiederherstellungs- und Backup-Konzepte, indem Sie für jeden maßgeblichen IT-Dienst individuelle Pläne ausarbeiten. Berücksichtigen Sie dabei die spezifischen Abhängigkeiten zwischen den IT-Diensten sowie die notwendige Reihenfolge ihrer Wiederherstellung, um die Betriebskontinuität zu optimieren. Dies kann durch eine sorgfältige Analyse der Dienstabhängigkeiten und eine entsprechende Planung erreicht werden.
Anforderungen bei hohem Schutzbedarf adressieren
- Führen Sie regelmäßige methodische Überprüfungen Ihrer Sicherungs- und Wiederherstellungskonzepte durch, um deren Effektivität sicherzustellen.
- Berücksichtigen Sie die allgemeine Wiederherstellungskapazität durch Stichprobenprüfungen oder den Einsatz von Prüfsystemen.
- Legen Sie klare Zielsetzungen für Wiederherstellungspunkte (RPO) und Zeitvorgaben für die Wiederherstellung (RTO) fest, und stellen Sie sicher, dass die notwendigen Ressourcen für die Wiederherstellung - einschließlich Personal und Hardware - angemessen berücksichtigt werden.
- Planen Sie für Hochlastszenarien während der Wiederherstellungsphasen und gewährleisten Sie eine adäquate räumliche Redundanz, wie beispielsweise durch separate Räume oder Standorte.
Gesteigerte Anforderungen bei sehr hohem Schutzbedarf
- Setzen Sie auf zusätzliche Sicherheitsmaßnahmen für Backups wie Offline-Verfahren, unveränderbare Backups oder den Einsatz von isolierten IAM-Technologien, um die Sicherheit der Daten weiter zu erhöhen.
- Führen Sie systematische technische Überprüfungen der Wiederherstellungsverfahren in regelmäßigen Abständen durch, um deren Zuverlässigkeit kontinuierlich zu validieren.
- Implementieren Sie geografische Redundanz in Ihren Backup- und Wiederherstellungskonzepten, um die Risiken von Standortausfällen zu minimieren.
Verwandte TISAX-Kapitel
- Kapitel 5.2.8 – Kontinuitätsplanung – Backup als Baustein der Notfallplanung.
- Kapitel 5.2.1 – Änderungsmanagement – Backup-Prozesse bei Systemänderungen berücksichtigen.
