Worum geht es?
Eine Kette ist immer nur so stark, wie ihr schwächstes Glied. Dies gilt auch für IT-Landschaften. Um zu verhindern, dass der Ausfall einzelner Bestandteile schwerwiegende bzw. weitreichende Folgen hat, müssen Organisationen Überlegungen anstellen, welche Bestandteile gegebenenfalls mehrfach vorgehalten und einsatzbereit gehalten werden müssen.
Was empfiehlt die ISO 27002?
Um zu entscheiden, welche Redundanzen aufgebaut werden, müssen Organisationen zuerst die Anforderungen an die Verfügbarkeit bestimmen und dann untersuchen, welche Komponenten zumindest nicht längerfristig ausfallen dürfen. Kurz und vereinfacht gesagt, geht es am Anfang um die Suche nach den single points of failure (SPOF). Der Ausfall welcher Komponenten hat Konsequenzen für weitere Systeme oder die komplette IT-Landschaft? Genügt es, Ersatzgeräte vorrätig zu haben, die kurzfristig in Betrieb genommen werden können (hot oder cold standby) oder aber müssen Ausfälle sofort und automatisch von einem anderen System abgefangen werden?
Im letzteren Fall ist es zudem wichtig, dass die Organisation den Ausfall und den erfolgten Schwenk auf das Ersatzsystem bemerkt. Eine entsprechende automatische Alarmierung ist dringend notwendig, da die ansonsten typischen Beschwerden durch Benutzer, dass „etwas nicht geht“ eben gerade ausbleiben.
Bei einer einfachen n+1 Redundanz ist auch schnelles Handeln gefragt, da bis zur Wiederinbetriebnahme oder bis zum Ersatz des ausgefallenen Systems keine weitere Redundanz besteht. Monitoring der wesentlichen Infrastrukturbestandteile und die möglichst automatische Alarmierung der zuständigen Mitarbeiter sind notwendig.
Folgende einzelne Gesichtspunkte sollten Organisationen laut Kapitel 8.14 der ISO 27002 berücksichtigen:
- Angesichts der modernen Arbeitswelt muss nahezu zwingend darüber nachgedacht werden, ob eine einfache Internetanbindung über einen einzigen Anbieter tatsächlich ausreicht. Gerade dann, wenn noch eigene zentrale IT betrieben wird, dürfte es häufig notwendig sein, mehrere Internetzugänge über verschiedene Anbieter über unterschiedliche Wege bzw. Techniken vorzusehen.
- Auch intern macht sich ein Ausfall von Netzwerken schnell bemerkbar. Allerdings ist Abhilfe durch den parallelen Betrieb von kabelgebundenen und Funk- bzw. mobilen Netzwerken meist einfach möglich.
- Neben den meist offensichtlichen SPOF muss auch sonst in der kompletten IT-Landschaft nach Komponenten gesucht werden, die doppelt oder sogar mehrfach vorgehalten werden müssen. Es kann hier um Rechenleistung gehen, um Speicherplatz, um Netzwerkkomponenten, Klimatisierung usw. Im Ernstfall kann selbst eine Tastatur mit defektem Anschlusskabel ärgerliche Konsequenzen haben, wenn im Rechenzentrum sonst keine vorhanden ist. Hier ist tatsächlich etwas Fantasie gefragt.
- Besonderes Augenmerk muss auf die Stromversorgung gelegt werden. Für alle wichtigen Komponenten inklusive der aufgebauten Redundanzen muss eine ihrerseits auch selbst redundante Versorgung mit Elektrizität sichergestellt werden. Neben mehreren Zuleitungen muss möglicherweise auch über mehrere Anbieter nachgedacht werden.
- Bei besonders hohen Anforderungen an die Verfügbarkeit mag es notwendig sein, eine vollständige parallele Umgebung an einem zweiten Rechenzentrumsstandort aufzubauen, die immer mitläuft oder aber im Bedarfsfall automatisch übernimmt. Oft ist es in diesen Fällen bequem und hinsichtlich der Anschaffungskosten vergleichsweise günstig, den Weg in eine geeignete Cloud zu nehmen.
- Abschließend kann der Aufbau von Redundanzen auch unter dem Gesichtspunkt der Lastverteilung sinnvoll sein. Hier fangen die zusätzlichen Systeme primär nicht Ausfälle ab, sondern sorgen für einen flüssigen und reibungsfreien Betrieb. Im Notfall können die zusätzlichen Systeme dann gegebenenfalls immer noch alleine den Betrieb übernehmen. Dass dies im Ernstfall auch tatsächlich klappt, sollte im Vorfeld unter kontrollierten Bedingungen getestet werden.
Fazit
Wie in vielen anderen Bereichen auch, steckt der Teufel hier im Detail. Überraschend viele Organisationen haben Redundanzen aufgebaut und dafür teils erhebliche Investitionen getätigt, sind aber weiterhin von Totalausfällen bedroht, ohne es zu merken.
Ein ganz klassisches Beispiel ist, dass zwar die Server mehrfach vorhanden sind und vielleicht auch sicher mit Strom versorgt werden; der einzelne zentrale Switch aber nicht. Fällt dieser aus, kann die gesamte Organisation trotz störungsfrei laufender Server nicht mehr arbeiten.
Ebenso häufig ist es, dass Systeme einen Ausfall zwar brav melden, dies allerdings nur per E-Mail und diese Nachrichten eben durch den Ausfall einer zentralen Netzwerkkomponente niemanden mehr erreicht.