Business Continuity Forum

Business Continuity Forum

Posts 1-9 of 9
  • Marcus Beyer
    Marcus Beyer    Premium Member   Group moderator
    The company name is only visible to registered members.
    BCM aus Schweizer Sicht
    Liebe Forenteilnehmerinnen und -teilnehmer,

    die ISPIN AG ZURICH hat ihre 2. schweizweiten Befragung zu IT- und Informationssicherheit fertig gestellt. In der Studie geht es uns darum, ein objektives Bild zu IT- und Informationssicherheit, Risikomanagement, Datenschutz und eben verwandten Gebieten aufzuzeigen. Ergänzend dazu ziehen wir die Ergebnisse ausgewählter internationaler Sicherheitsstudien zu einer vergleichenden Betrachtung heran.

    Dieses Jahr haben wir dem Umgang und Risiko sozialer Netzwerke und auch Business Continuity Management (BCM) - neben den "klassischen" Sicherheitsthemen mehr Raum gegeben. Ich habe Ihnen mal das Kaptiel zu BCM (aus Schweizer Sicht) als Leseprobe zur Verfügung gestellt. Ich freue mich über Feedbacks, Kommentare und Diskussionen.

    Den Auszug als Leseprobe finden Sie unter: http://www.ispin.ch/fileadmin/user_upload/Publikationen/Secu...

    Beste Grüsse - Marcus Beyer
    • 08 Dec 2011, 2:36 pm
  • Rainer Hübert
    Rainer Hübert    Premium Member   Group moderator
    The company name is only visible to registered members.
    Re: BCM aus Schweizer Sicht
    Vielen Dank, Marcus, für die Bereitstellung der Leseprobe und der darin dokumentierten erstaunlichen Situation des BCM in der Schweiz.

    Angesichts der Tatsache, dass 99 von 100 Unternehmen in Deutschland den Begriff "Business Continuity" noch nie gehört haben, geschweige denn "Business Impact Analyse", frage ich mich, wie es dazu kommt, dass dieses Wissen in der Schweiz nicht nur dramatisch besser verbreitet zu sein scheint, sondern dass sogar über 50% der befragten Unternehmen bereits eine BIA durchgeführt haben. Damit dürfte die Schweiz in der Welt mit Abstand die fortgeschrittenste Nation hinsichtlich BCM sein, und sogar UK mit weitem Abstand in den Schatten gestellt haben ...

    Oder anders ausgedrückt: Wer wurde denn befragt, und wie viele?

    Beste Grüße

    Rainer Hübert
    This post was modified on 13 Dec 2011 at 02:31 pm.
    • 13 Dec 2011, 10:46 am
  • Post visible to registered members
  • Ulrich Moser
    Ulrich Moser    Premium Member   Group moderator
    The company name is only visible to registered members.
    Re^3: BCM aus Schweizer Sicht
    Hallo zusammen,

    da ich selbst eine Reihe von BCM und ITSCM Projekten in der Schweiz gemacht habe, kann ich sagen, dass in der Schweiz ein recht hohes Bewusstsein für dieses Thema vorhanden ist. Einerseits wird dies gefördert durch den starken Bankensektor, der traditionell eher mit diesem Thema vertraut ist und durch die Eidgenössische Bankenkommission auch entsprechende Auflagen hat. Andererseits ist auch in anderen Bereichen, insbesondere wenn sie direkt oder indirekt in der Grundversorgung tätig sind, das Bewusstsein nicht zuletzt durch rechtliche Auflagen in den letzten Jahren angestiegen. Ich kann also aus meiner sehr individuellen Sicht nur bestätigen, dass dieses Thema in der Schweiz im Gegensatz zu Deutschland sehr viel stärker Eingang in die Management Etagen gefunden hat und von da auch entsprechende Aktivitäten ausgehen.

    Außerdem muss noch darauf hingewiesen werden, dass nach meiner Erfahrung schweizerische Manager in den letzten Jahren sehr viel sensibler dafür geworden sind, was ihre unabdingbaren und nicht delegierbaren Aufgaben angeht. Informationssicherheit und damit auch BCM und ITSCM gehören zu diesem Aufgabenbereich. Das deckt sich auch mit dem gestiegenen Interesse an Information Security Management.

    Schließlich spielt auch die öffentliche Verwaltung ein nicht unwesentliche Aufgabe. Im Rahmen der eGovernment Initiative der Schweiz, die sehr intensiv verfolgt wird, sind auch Sicherheitsfragen neu beleuchtet worden stärker in den Fokus gerückt, z.B. auch durch eine bessere Einbindung in HERMES, der Projektmanagementmethode für die öffentliche Verwaltung.

    Alles in allem kann ich sagen, das Ergebnis verwundert mich nicht wirklich. Leider fehlen in Deutschland derartig klare strategische Vorgaben des Gesetzgebers. Dafür werden andernorts völlig überflüssige Gesetze erlassen.

    Allen ein guten Neues Jahr.

    UM
    • 30 Dec 2011, 10:38 pm
  • Marcus Beyer
    Marcus Beyer    Premium Member   Group moderator
    The company name is only visible to registered members.
    Re^4: BCM aus Schweizer Sicht
    Liebe Gruppenteilnehmer, lieber Herr Prof. Moser,

    kann ich sagen, dass in der Schweiz ein recht hohes Bewusstsein für dieses Thema vorhanden ist. Einerseits wird dies gefördert durch den starken Bankensektor, der traditionell eher mit diesem Thema vertraut ist und durch die Eidgenössische Bankenkommission auch entsprechende Auflagen hat.
    Nunja, also wenn Sie die "Empfehlungen für das Business Continuity Management (BCM)" der Bankiersvereinigung - Swisbanking - vom November 2007 meinen (hier mal der Link zum Nachlesen: http://www.swissbanking.org/11107_d.pdf), finde ich die Behauptung eines ehr hohen Bewusstseins für BCM doch leicht übertrieben. Das Ganze hat - auch enn von der FINMA vernehmlasst und empfohlen - doch wohl eher einen empfehlenden Charakter. Das bestätigen mir auch immer wieder CISOs und BCM-Verantwortliche aus dem Bankenwesen. Es gibt einfach keine oder nur mässige staatliche Kontrollen und auch Gesetzgebungsverfahren wie die MA Risk in Deutschland ist noch lange nicht in der Schweiz angekommen. Oder sehen Sie das aus Ihren Projekten anders?

    Andererseits ist auch in anderen Bereichen, insbesondere wenn sie direkt oder indirekt in der Grundversorgung tätig sind, das Bewusstsein nicht zuletzt durch rechtliche Auflagen in den letzten Jahren angestiegen.
    Welche Auflagen meinen Sie genau?

    Ich kann also aus meiner sehr individuellen Sicht nur bestätigen, dass dieses Thema in der Schweiz im Gegensatz zu Deutschland sehr viel stärker Eingang in die Management Etagen gefunden hat und von da auch entsprechende Aktivitäten ausgehen.
    Ich behaupte, dass ein latenten Sicherheitsbewusstsein - vielleicht sogar ein übersteigertes - immer und permanent vorhanden ist. Dazu führen einfach auch historische Grundlagen, wie die Waffe nach dem Militärdienst im Haushalt, der Platz im Lufschutzkeller und und und. Ausserdem höre ich immer wieder den klassiker: "Wir als neutrale Schweiz...." oder "Es ist ja noch nie wirklich etwas passiert...".

    Außerdem muss noch darauf hingewiesen werden, dass nach meiner Erfahrung schweizerische Manager in den letzten Jahren sehr viel sensibler dafür geworden sind, was ihre unabdingbaren und nicht delegierbaren Aufgaben angeht. Informationssicherheit und damit auch BCM und ITSCM gehören zu diesem Aufgabenbereich. Das deckt sich auch mit dem gestiegenen Interesse an Information Security Management.
    Das finde ich eine ganz spannende Aussage. Wie komen Sie darauf? Womit bzw. Wie wurde das Management dahingehend sensibiisiert? Sie müsen unbedingt mal die gesamte Studie lesen. Die befragten CISOs und Sicherheitsverantwortlichen - übrigens grösstenteils aus dem Bank- und Finanzsektor - fühen sich gerade vom Management sehr häufig im Stich gelassen und einfach - mangels Budget und personellen Ressourcen - überfordert mit den Komplexen Anforderungen in den Unternehmen.

    Worin ich Ihnen gern Recht gebe, ist das zumindest ITSCM-Massnahmen schon sehr weit in den meisten Unternehmen umgesetzt wurden. Aber BCM? Letztens sagte mir eine Kantonalbank, dass deren Krisenstab gesamthaft aus dem Management besteht. Da will ich doch mal Mäuschen in einer wirklichen Krise spielen...

    Schließlich spielt auch die öffentliche Verwaltung ein nicht unwesentliche Aufgabe. Im Rahmen der eGovernment Initiative der Schweiz, die sehr intensiv verfolgt wird, sind auch Sicherheitsfragen neu beleuchtet worden stärker in den Fokus gerückt, z.B. auch durch eine bessere Einbindung in HERMES, der Projektmanagementmethode für die öffentliche Verwaltung.
    Sicherheitsfragen neu beleuchtet? Da setehe ich wohl ein bisschen auf dem Schlauch, oder? In welchen Bereichen denn? Meinen Sie den Dienst für die Identifikation und Berechtigungsverwaltung? Oder die durchgängige Netzwerk-Infrastruktur für alle Verwaltungsebenen oder gar die SuisseID? Ich finde nict mehr in A und B Projekten in der Umetzungsroadmap, welches "Sicherheitsrelevanz" hat.

    Alles in allem kann ich sagen, das Ergebnis verwundert mich nicht wirklich. Leider fehlen in Deutschland derartig klare strategische Vorgaben des Gesetzgebers. Dafür werden andernorts völlig überflüssige Gesetze erlassen.
    Und ich sehe das genau umgedreht - was eben das Thema BCM angeht. Ich finde, es hat mehrere wirklich eindeutige Anforderungen an das Thema - was es aus meiner Sicht in der Schweiz so nicht gibt. Aber vielleicht belehrt man mich eines besseren?

    Ich bin kontroversen Diskussionen immer aufgeschlossen...

    Beste Grüsse und ein gutes neues Jahr Allen - Marcus Beyer
    • 03 Jan 2012, 5:54 pm
  • Marcus Beyer
    Marcus Beyer    Premium Member   Group moderator
    The company name is only visible to registered members.
    Re^3: BCM aus Schweizer Sicht
    Hallo Herr Schildbach,

    In der 2011 IBM Global Business Resilience and Risk Study haben auch z.B. 64% einen BC Plan und 30% moechten diesen erstellen. Das sagt aber noch nichts ueber dessen Qualitaet aus (was in Ihrer Studie auch festgestellt wird).
    Eben. Übrigens kommen die Teilnehmer eher aus dem Finanz- und Bankensektor der Schweiz. Das aus meiner Sicht erschreckende - der nicht ganz so krass ausgedrückt - das was ich nicht verstehen kann ist, dass eben BIA, Risk Analyse, BCM Policy und die Einbindung des Management (wie intensiv und stark auch immer) wohl in den meisten Unternehmen zu finden ist aber, die Umsetzung der Pläne, das Testen, Prüfen und Umsetzen sowie die Awareness wohl weit auf der Strecke bleiben. Wenn nur 30% der Befragten sagen, dass hre Plände effektiv seien, dann würden mich die restlichen 70% mal in einer wirklichen Krise interessieren - oder eben lieber nicht.

    Allerdings koennte die Moeglichkeit der Abstufung der Antworten das Ergebnis und die Evaluierung beinflussen. Die Frage nach einer BIA Aktivitaet oder ueber das Vorhandensein einer Policy sollte man mit "ja", "nein" oder "weiss nicht" beantworten koennen. Mit diesem Hintergrund koennte man die Zahlen ggf anders interpretieren.
    Guter Hinweis. Werden wir in 2012 so machen.

    Was ist der genaue Titel der weltweiten PwC-Studie bzw wo finde ich diese?
    Wir haben u.a. den PwC 2011 Global State of Information Security Survey (Link: http://www.pwc.com/gx/en/information-security-survey/pdf/gis...) mit betrachtet.

    Beste Grüse - Marcus Beyer
    • 03 Jan 2012, 6:03 pm
  • Marcus Beyer
    Marcus Beyer    Premium Member   Group moderator
    The company name is only visible to registered members.
    Re^2: BCM aus Schweizer Sicht
    Nein nein Rainer,

    so fortschritlich scheinen sie nicht in allen Bereichen zu ein. Ich sehe das eher kritisch - aber vielleicht setze ich zuviel voraus? Bin ein Idealist? Wer weiss...

    Ist es denn in Deutschland gravierend schlechter?? Das Gefühl hatte ich bisher nicht wirklich. Alle BCM-Berater scheinen alle Hände voll zu tun zu haben - ein gutes Zeichen, oder?

    Der Vollständigket halber noch ein paar Infos zu den Befragten: Für die Studie wurden insgesamt 95 Probanden befragt, die mehrheitlich als Sicherheitsbeauftragte, CIOs (Chief Information Officer / IT-Leiter) oder CISOs (Chief Information Security Officer) arbeiten. Die Unternehmen von den meisten der hier befragten Teilnehmer gehören zu den Branchen Banken und Versicherungen (44%). Weit dahinter, mit 10%, folgt die Industrie. Die Grösse der Unternehmen, die mittels des hier Befragten an der vorliegenden Studie teilgenommen, haben ist breit gefächert. Mit 22 % gaben die meisten eine Unternehmensgrösse von 2‘501 - 7‘000 Mitarbeitenden an, darauf folgen mit 19% die Unternehmen, die mehr als 7‘000 Mitarbeitende beschäftigen. Knapp dahinter sind mit 18% Unternehmen mit 51 - 250 Mitarbeitenden vertreten. Die meisten der hier Befragten sind in ihrem Unternehmen als Chief Information Security Officer (CISO) positioniert, darauf folgen mit 14% Chief Information Officer (CIO) und Sicherheitsbeauftragte mit 13%. Die Unternehmensumsätze der meisten hier befragten Unternehmen (43%) betrugen im letzten Jahr über 100 Mio. CHF.

    Gruss Marcus
    • 03 Jan 2012, 6:09 pm
  • Post visible to registered members
  • Post visible to registered members