Strukturanalyse

Die Strukturanalyse ist ein zentrales Modellierungstool, das Expert-Benutzern vorbehalten ist. Viele andere Analysen münden in die Strukturanalyse, sodass man damit man die Stammdaten, Abhängigkeiten und Risiken in Beziehung setzen und auswerten kann.

Visualisierung & Sichten

Betrachtungsbereiche

Sichten der Strukturanalyse

Es gibt in der Strukturanalyse mehrere Sichten, um den Benutzer nicht mit einem überdimensionalen und unübersichtlichen Graphen zu konfrontieren. Diese fünf Betrachtungsbereiche sind vorhanden:

• Die Organisationssicht stellt die Aufbauorganisation des Unternehmens/Konzerns/Verbandes in den Fokus.
• Die Ressourcensicht stellt die Techniklandschaft dar und bildet IT-Systeme, Spezialsysteme, Gebäudesicherheit etc. ab.
• Die Datensicht lässt erkennen welche Daten in welchen Organisationseinheiten oder Prozessen, verarbeitet werden.
• Die Prozesssicht gibt einen Überblick über die Geschäftsprozesse.
• Die Lieferantensicht lässt sie die Lieferanten modellieren, von denen ihre Organisation, vor allem ihre IT-Systeme abhängig sind.

Eine Sicht bildet dabei immer die Hauptsicht. Diese kann mittels Auswahlknopf (Radiobutton) oder per Doppelklick auf den Namen der Sicht ausgewählt werden. Zu einer Hauptsicht können zusätzliche Knoten aus anderen Sichten per Auswahl ergänzt werden. Die Link-Buttons (Kästchen mit Pfeilen) neben den Namen der Ansichten führen Sie zu den jeweiligen Administrations-Seiten im Tool.

---

Organisationssicht

Der Aufbau der Organisationsstruktur wird auch in Organisationseinheiten beschrieben.

Beispiel Organisationssicht

Ein Unternehmen besteht aus Organisationseinheiten, die an verschiedenen Verarbeitungsprozessen beteiligt sind. Diese Prozesse finden innerhalb einer oder mehrerer Einheiten statt und sind meist IT-gestützt, wobei Daten in den einzelnen Prozessschritten verarbeitet werden.

Aus dieser Perspektive lassen sich zentrale Fragen beantworten, etwa zur Abhängigkeit von IT-Systemen, zu Risiken für Verfügbarkeit, Vertraulichkeit und Integrität (z. B. aus Business Impact Analysen), sowie zu verarbeiteten Datenarten und Tätigkeiten je Organisationseinheit.

Grundsätzlich gilt: Je kritischer eine Organisationseinheit, desto höher der potenzielle Schaden – und desto strenger die Anforderungen an Verfügbarkeit, Vertraulichkeit und Integrität. Daher müssen Sie die Organisationsstruktur erheben und entweder hier oder unter Administration > Organisationseinheiten einpflegen. Außerdem können Sie dann eine Schutzbedarfsanalyse durchführen, mit der sie den Business Impacts der IT-Services auf die tägliche Arbeit des Fachbereichs feststellen (Kritikalität einer Organisationseinheit feststellen)

Ressourcensicht

Beispiel: Ressourcensicht

Die Ressourcensicht stellt die Techniklandschaft dar, die IT-Systeme, Spezialsysteme, Gebäudesicherheit etc. abbildet. Über diese Darstellung erfolgt auch die Risikoanalyse. Hier werden Abweichungen in der Risikobewertung im technischen wie organisatorischen Bereich erkennbar. Daraus sind Maßnahmen zur Behebung der Abweichungen zu planen.

Diese Sicht auf die IT-Systeme, die sich in mehrere Kategorien unterteilen lässt, zeigt wie welche Abhängigkeiten zwischen den Systemen existieren. Etwaige Wechselwirkungen können in der Strukturanalyse dargestellt werden. Mehr dazu finden Sie unter Ressourcen.

Beispiel: Die drei SAP-Module laufen auf demselben Servercluster und derselben Datenbank. Daher würde ein Ausfall des Servers oder der Datenbank alle drei Module betreffen. (Mehr zu Beziehungen zwischen elementen erfahren Sie weiter unten)

Datensicht

Beispiel Datensicht

In der Datensicht zeigt sich die Struktur unter den verwalteten Datenkategorien. Außerdem lässt sich über Beziehungen (siehe unten) erkennen welche Daten in welchen Organisationseinheiten, Ressourcen oder Prozessen, verarbeitet werden, wer die Data Owner sind und wie die Daten klassifiziert sind (Datenklassen bzw. Unterscheidung ob personenbezogene oder nicht personenbezogene Daten).

Setzt man diese Sicht in Verbindung zur Prozesssicht lässt sich erkennen, welche Daten in welchen Prozessen verarbeitet werden. Die Erstellung und Strukturierung von Datenkategorien wird im Kapitel Datenkategorien beschrieben.

Prozesssicht

Beispiel Prozesssicht

In der Prozesssicht sehen Sie alle Prozesse mit ihrer Herarchie. Mit Prozessen lässt erkennen, welche Prozesse existieren, welche Daten sie verarbeiten, welche Ressourcen damit verknüpft sind und wie stark eine Organisationseinheit von einem Prozess abhängig ist und vice versa. Die Erstellung und Strukturierung von Prozessen wird im Kapitel Prozesse beschrieben.

Lieferantensicht

Sofern das Add-on Lieferantenrisikomanagement aktiviert ist, sehen Sie in der Lieferantensicht alle Lieferanten. Normalerweise sind sie untereinander nicht verbunden. Dadurch ist noch wichtiger, mit welchen Organisationseinheiten, Ressourcen, Daten und Prozessen sie in Verbindung stehen und welche Risiken mit ihnen verknüpft sind.

Beispiel Lieferantensicht

---

Beziehungen zwischen Elementen

Strukturelemente (Business-Applikationen oder IT-Infrastruktur Services) können untereinander in Beziehung stehen. Diese Beziehungen sind entweder Hierarchiebeziehungen oder Abhängigkeitsbeziehungen.

Hierarchiebeziehungen, auch Eltern-Kind-Beziehungen genannt, bestehen zwischen den Entitäten in einer Sicht. Sie beschreiben, dass ein Element zum Teil aus einem anderen besteht. Ein Prozess kann sich aus Teilprozessen zusammensetzen, Datenkategorien können andere Datenkategorien beinhalten und Organisationseinheiten bilden gemeinsam größere Organisationen. Deshalb existieren diese hierarchischen Eltern-Kind-Beziehungen immer nur innerhalb der Organisations-, der Datenkategorien- und der Prozesssicht. Hierarchiebeziehungen werden mit einem einfachen Strich dargestellt.

Beispiel: Organisationseinheiten, Prozesse und Datenkategorien mit Hierarchiebeziehungen

Abhängigkeitsbeziehungen hingegen stellen dar, dass ein Element von einem anderen abhängig ist. Das ist bei Ressourcen der Fall: eine Applikation läuft auf einem Server und ist dadurch von diesem abhängig, um funktionieren zu können. Außerdem können Abhängigkeitsbeziehungen zwischen unterschiedlichen Arten von Stammdaten bestehen: wird eine Applikation z.B. von einem externen Dienstleister bereitgestellt, hängt sie von diesem Lieferanten ab. Verwenden die Mitarbeiter einer Organisationseinheit eine Applikation, ist die Organisationseinheit von der Applikation abhängig. Abhängigkeitsbeziehungen werden immer als Pfeil dargestellt, wobei das Element, das abhängig ist, auf das Element zeigt, das es zum Funktionieren braucht.

Beispiel: Die OrgEh „Einkauf“ ist von den Applikationen BankingPortal und SAP MM abhängig. Während BankingPortal von einem externen Dienstleister abhängt, läuft SAP auf einem Server der eigenen Organisation.

Eine solche Abhängigkeitsbeziehung ist aus unterschiedlichen Schutzzielen aufgebaut. Bei jedem Schutzziel kann der Grad der Abhängigkeit unterschiedlich sein. Für den Einkauf ist es zB sehr wichtig, dass die Integrität der Daten im BankingPortal korrekt ist, ansonsten werden falsche Zahlungen abgewickelt. Wenn die Applikation aber eine Zeit lang nicht verfügbar ist, sind geringere Auswirkungen für das Unternehmen zu erwarten, da die Zahlungen auch an einem anderen Tag abgewickelt werden können.

Beispiel: Schalten Sie in der Navigationsbox von „Gebündelt anzeigen“ auf „Alle anzeigen“, sehen Sie, dass es für jedes Schutzziel eine Abhängigkeitsbeziehung gibt.

Der Grad der Abhängigkeit wird mit einem Prozentwert gewichtet. Standardmäßig ist die Abhängigkeitsbeziehung mit 100% gewichtet, aber auch andere Gewichtungen sind möglich. Typischerweise kommt man zu diesen Gewichtungen, indem man eine Schutzbedarfsanalyse durchführt. HITGuard wird die Ergebnisse der Schutzbedarfsanalyse in die Gewichtungen der Abhängigkeitsbeziehungen übersetzen. Die Hintergrundeinstellung für diese Funktion nennt sich „SBA-Kantengewicht“. Sie finden es in der Risikopolitik.
Achtung: Wenn die erste Schutzbedarfsanalyse noch nicht abgeschlossen ist, werden die Gewichtungen alle 100% betragen (HITGuard geht dabei immer vom worst case aus). Erst wenn die Schutzbedarfsanalyse abgeschlossen ist, werden die tatsächlichen Gewichtungen der Schadensausmaße eingetragen.

Abhängigkeitsbeziehungen erstellen und bearbeiten:

Beziehung mit Rechtsklick erstellen

Um eine Abhängigkeitsbeziehung zu erstellen, suchen Sie zunächst das Element von dem die Beziehung ausgehen soll. Klicken Sie mit der rechten Maustaste auf das Element und wählen im Menü "Beziehung hinzufügen" aus. Anschließend klicken Sie mit der linken Maustaste auf das Element, mit dem Sie (Ausgangspunkt zu Endpunkt)

Um eine Beziehung zu löschen, klicken Sie per Doppelklick auf die Beziehung um die Detailseite zu öffnen. Dort können Sie mit dem Mülleimer-Button die Beziehung löschen. Vergessen Sie danach nicht auf "Speichern" zu klicken, damit die Beziehung auch tatsächlich gelöscht ist.

Arbeiten mit der Strukturanalyse

Nachfolgende Abbildung zeigt rechts den Konfigurationsbereich der Strukturanalyse:

Strukturanalyse mit Konfigurationsbereich (rechts)

• Zwischen dem "Entwurfsmodus" und dem "Analysemodus" wechseln Sie durch einen Klick auf die Umschaltschaltfläche (Switch-Button). Dieser Button zeigt immer den aktiven Modus.

• Ein Doppelklick auf eine Sicht ändert diese zur Hauptsicht, diese ist unterstrichen. Dies kann auch mit den Radiobuttons erwirkt werden. Von der Hauptsicht aus werden immer alle Entitäten angezeigt.

• In den einzelnen Sichten können Sie auswählen, welche Elemente im aktuellen Kontext angezeigt werden sollen.

• Bei der Organisationssicht gibt es die zusätzliche Option für das Selektieren aller im Managementsystem aktiven Organisationseinheiten.
• Wählen Sie einen Knoten aus, werden alle darunter liegenden Organisationseinheiten mit aktiviert. Wollen Sie das vermeiden, so müssen Sie den Knoten mit einem Rechtsklick und einem Klick auf „Auswählen“ selektieren.
• Bei der Ressourcensicht können sie Ressourcengruppen ein- und ausblenden.

• Ebenso können Sie einstellen wie Schutzziele angezeigt werden sollen und nach bestimmten Risiken filtern.

• Nehmen Sie im Menü Änderungen bei den Konfigurationen vor, muss auf "Anwenden" geklickt werden um die Änderung wirksam zu machen.

• Über die Wolken-Symbole können Sie die aktuelle Konfiguration speichern oder eine bereits vorhandene laden.

Wichtig: Schadensausmaßklassifikation wählen!

• Existiert mehr als eine Schadensausmaßklassifikation, dann sind diese hier auswählbar. Es werden nur SBA-Schutzzielgewichtungen der aktuellen Schadensausmaßklassifikation angezeigt. Weiters wird, falls vorhanden, die Schutzzielausprägung eines Schutzzieles angezeigt.

Durch Klicken auf ein Risiko, öffnet sich ein Dialog. Durch diesen kann auf die Detailseite des Risikos gewechselt werden.

Risiken

Sichten kombinieren

Es können zusätzlich zur Hauptsicht auch einzelne oder alle Entitäten aus anderen Sichten angezeigt werden. Die Kombination von Sichten ist frei konfigurierbar. Das heißt: Es gibt keine Einschränkungen wie die Sichten kombiniert werden können. Um eine Sicht zur Hauptsicht zu ergänzen, wählen Sie das Häkchen der gewünschten Sicht im Navigationsbereich der Strukturanalyse und klicken anschließend auf "Anwenden".

Die Kombination von Sichten ist vorteilhaft, wenn Verbindungen zwischen verschiedenen Entitätstypen erstellt oder analysiert werden sollen. Diese kombinierten Sichten, können für Wiederverwendungszwecke, weil zum Beispiel die Auswirkung einer Maßnahme analysiert werden soll, als Konfigurationen gespeichert werden.

Hinweis:

• Bei der Organisationssicht kann man jede Einheit einzeln ein- und ausblenden. Wählt man einen Knoten aus, dann werden alle darunterliegenden Einheiten mit ausgewählt. Will man das nicht, kann man mit einem Rechtsklick auf den Knoten, den man auswählen will, ein kleines Menü öffnen, in dem man auf „Auswählen“ klicken kann. Dadurch wird die Einheit ausgewählt, ohne die darunter liegenden Einheiten mit auszuwählen.
• Bei Ressourcen kann man keine einzelnen Ressourcen ein- und ausblenden. Dafür kann man die Modellsegmente sowie Ressourcengruppen gesammelt ein- und ausblenden. Will man Ressourcengruppen ausblenden, darf man nicht vergessen, das darüberliegende Modellsegment abzuwählen. Verfügbare Modellsegmente sind: Business Service Ebene, Anwendungsebene, IT-Infrastruktur Ebene, OT-Infrastruktur Ebene, Physische Sicherheit, Prozessebene.
• Datenkategorien können wie Organisationseinheiten ein- und ausgeblendet werden.
• Prozesse können wie Organisationseinheiten ein- und ausgeblendet werden.
• Lieferanten (nur verfügbar, wenn das Add-on aktiviert ist) können wie Organisationseinheiten ein- und ausgeblendet werden.

Wichtig:

• Abhängig davon, ob Sie im Entwurfs- oder im Analysemodus arbeiten, werden alle oder nur explizit ausgewählte Entitäten (nämlich jene, zu denen bereits Beziehungen aus der Hauptsicht existieren) aus den zusätzlich gewählten Sichten angezeigt.

Knoten finden (Alt + s)

In umfangreicheren Ansichten wird die Suche unterstützt, um schnell zu einem bestimmten Knoten zu gelangen.

Geben Sie hierzu den Suchbegriff des Knotens in das Feld "Knoten finden..." ein und schließen Sie Ihre Eingabe mit der Enter- oder Eingabe-Taste ab. Die Suche zentriert anschließend den ersten gefundenen Knoten. Wird nochmals die Eingabe- oder Enter-Taste gedrückt, wird der nächste gefundene Knoten zentriert usw. Ist die Suche beendet, wird eine Meldung angezeigt. Wenn anschließend erneut die Eingabe- oder Enter-Taste gedrückt wird, wird wieder das erste Suchergebnis angezeigt.

Die Suche ignoriert Groß- und Kleinschreibung. Spezielle Wortanfänge und -endungen oder Formulierungen finden Sie mit einem Sternchen (*):

• sap* findet z.B. "SAP MM" und "SAP HCM" und "SAP FI/CO",
• sap*co findet "SAP FI/CO",
• *mm findet "SAP MM" und "Personalstamm"
• *fi* findet "SAP FI/CO" und "Finanzabteilung"

Konfigurationen

---

Konfigurationen speichern alle Einstellungen, die zum Speicherzeitpunkt vorhanden waren. Das heißt: Es speichert die Hauptsicht, die Sichten oder Entitäten, die zusätzlich angezeigt wurden, wie die Schutzziele angezeigt werden und ob die Risiken angezeigt werden sollen.

Konfigurationen können vor allem dazu verwendet werden, um große und komplexe Strukturen auf verschiedene Konfigurationen aufzuteilen und dadurch auf übersichtliche Weise darzustellen. Dies erleichtert das Arbeiten mit großen Strukturen erheblich.

Über die Wolken-Symbole kann die aktuelle Konfiguration gespeichert, oder eine bereits vorhandene Konfiguration geladen werden.

Beispiel für die Verwendung einer Konfiguration:

• Es wurde eine Schutzbedarfsanalyse durchgeführt und in der Strukturanalyse wurden die Auswirkungen analysiert. Als nächsten Schritt werden Maßnahmen für entstandene Risiken festgelegt und umgesetzt. Die zuvor durchgeführte Strukturanalyse in einer Konfiguration gespeichert, kann mit wenig Aufwand erneut durchgeführt werden. Dadurch werden die Auswirkungen der Maßnahmen analysiert.

Abhängigkeiten anzeigen

---

Durch einen Rechtsklick auf einen Knoten im Graphen, öffnet sich ein Kontextmenü in dem die Option "Zeige Abhängigkeiten" vorkommt.

Diese Option ermöglicht es die Strukturanalyse auf die für den ausgewählten Knoten relevanten Elemente einzuschränken. Dies kann dabei helfen einen besseren und übersichtlicheren Überblick auf die Abhängigkeiten zu bekommen und erleichtert auch das Analysieren.

Ein Beispiel zum Verdeutlichen: Ich interessiere mich gerade nur für die Ressource SAP MM und möchte wissen, wovon diese Ressource abhängt, ich tue mir aber schwer dies zu erkennen, da so viele Knoten angezeigt werden.

Ich kann auf SAP MM einen Rechtsklick machen und wähle "Zeige Abhängigkeiten" aus. Dadurch werden alle nicht relevanten Knoten ausgeblendet und ich bekomme einen viel besseren Überblick.

Rechtsklick und Menü	Resultat

Entwurfsmodus

---

Im Entwurfsmodus können Sie Elemente aus den ausgewählten Sichten in Verbindungen setzen und ihre Abhängigkeiten auf Basis von Schutzzielen definieren. Sie können aber keine Verbindungen oder Schutzziel-Gewichtungen bearbeiten, wenn diese durch eine Schutzbedarfsanalyse definiert wurden. Um diese zu bearbeiten führen Sie eine neue Schutzbedarfsanalyse durch.

Im Entwurfsmodus werden alle Entitäten aus den gewählten Sichten angezeigt. Dies hat den Zweck, dass zwischen allen Elementen Beziehungen erstellt werden können.

Elemente bewegen

Sie können Elemente einzeln oder auch mehrere Elemente gleichzeitig bewegen. Um ein Element zu bewegen, fahren Sie mit dem Mauszeiger über das gewünschte Element halten die linke Maustaste gedrückt.

Um mehrere Elemente zu verschieben haben Sie zwei Optionen:

1. Halten Sie die linke Maustaste gedrückt bis ein Kreuz erscheint. Anschließend ziehen Sie das Rechteck über die Elemente, die Sie bewegen möchten.
2. Halten Sie STRG gedrückt, können Sie mehrere Elemente durch Klicken auswählen

Linke Maustaste gedrückt halten und Elemente auswählen

mehrere Elemente mit STRG gedrückt markieren und bewegen

Beziehungen erstellen / bearbeiten

Um Elemente miteinander zu verbinden gibt es mehrere Möglichkeiten:

1. Klicken Sie mit der rechten Maustaste auf ein Element und wählen Sie "Beziehung hinzufügen" aus. Anschließend wählen Sie ein anderes Element aus. (Ausgangspunkt zu Endpunkt)
   

   

   Knoten mit Rechtsklick erstellen

   
   
2. "Alt" gedrückt halten, Element 1 auswählen und anschließend auf das zweite Element klicken.
   

   

   Knoten mit "Alt"-gedrückt erstellen

   
   
3. Bei Daten, Prozessen und Organisationseinheiten können Sie, wenn Sie doppelt auf das Element klicken, in der Maske ein übergeordnetes Element auswählen oder die Verbindung zum übergeordneten Element aufheben.
   

   

   Datenkategorie Knoten über Maske erstellen

   
   
4. Bei Ressourcen können Sie, wenn Sie doppelt auf das Element klicken, in der Maske über den Reiter "Beziehungen" neue Verbindungen erstellen oder bestehende bearbeiten.
   

   

   Knoten einer Ressource erstellen

   
   

Schutzziel bearbeiten / löschen

Die Verbindung mit Ressourcen geschieht immer mit Schutzzielen. Diese Schutzziele können aber von Ihnen angepasst werden. Ausnahmen sind Schutzziele, die durch Schutzbedarfsanalysen gewichtet wurden. Diese können nur durch eine neue Schutzbedarfsanalyse verändert werden (zum Erstellen von Schutzzielen siehe Schutzziele), auch wenn sie normal gelöscht werden können.

Die Schutzbedarfsanalyse Schutzziele können nicht bearbeitet werden

Um die Schutzziele einer Verbindung zu bearbeiten klicken Sie entweder doppelt auf die Verbindungspfeile oder auf das Element und wechseln auf den Reiter "Beziehungen". Bei letzterer Option können keine Gewichtungen eingestellt werden. Hier wird immer von einer 100%-Gewichtung ausgegangen.

Schutzziel löschen

Schutzziele über "Beziehungen" Reiter bearbeiten

Elemente erstellen / bearbeiten / löschen

Wenn Sie in der Strukturanalyse mit der rechten Maustaste ins Leere klicken, können Sie neue Ressourcen, Organisationseinheiten, Prozesse oder Datenkategorien erstellen. Wählen Sie ein Element zum Erstellen aus, öffnet sich die jeweilige Maske zum Erstellen des neuen Elementes.

Hinweis: Wenn eine unter- oder übergeordnete Ressource erstellt wird, so wird diese automatisch als Typ Ressource erstellt und dies kann auch nicht geändert werden.

Klicken Sie doppelt auf ein Element, öffnet sich die "Bearbeiten"-Maske. In dieser können Sie die Elemente auch löschen.

Für mehr Informationen siehe Ressourcen, Organisationseinheit, Prozesse, Datenkategorie erstellen / bearbeiten / löschen.

Element mit Rechtsklick erstellen

Analysemodus

---

Der Analysemodus dient zur Analyse der Unternehmensstruktur. Sie können analysieren, welche Elemente auf welche Art voneinander abhängig sind. Hierfür können Sie auswählen wie die Abhängigkeit dargestellt werden soll:

• Was hängt von mir ab?
• Wovon hänge ich ab?

Zusätzlich können Sie auch einen Schwellwert festlegen. Dieser bestimmt, ab welcher prozentualen Abhängigkeit eine Verbindung zwischen zwei Elementen angezeigt werden soll.

Im Analysemodus werden nur Entitäten aus den gewählten Sichten angezeigt, die mit einer Entitäten aus der Hauptansicht in Verbindung stehen.

Was hängt von mir ab?

Hier kann analysiert werden, wie stark andere Entitäten im Bezug auf ihre Schutzziele, von einer Entität abhängen.

Es besteht die Möglichkeit zu analysieren, wie Risiken auf die gesamte Struktur wirken. Dabei kann auch untersucht werden, wie diese mit den einzelnen Schutzzielen zusammenhängen. Dadurch lässt sich schnell erkennen, welche Folgen ein Risiko auf andere Entitäten hat.

Entitäten von denen die gewählte Entität nicht abhängig ist, werden in grau angezeigt.

Risiko Auswirkungen

Risiko Auswirkung auf gebündelte Schutzziele

Risiko Auswirkung auf Schutzziel Verfügbarkeit

Wovon hänge ich ab?

Hiermit kann untersucht werden, wie stark eine Entität im Bezug auf ihre Schutzziele von anderen Entitäten abhängt.

Die Abhängigkeit kann auf Schutzziel-Basis entweder gebündelt oder je Schutzziel einzeln untersucht werden. Durch das Ändern des Schwellwerts lässt sich einstellen, ab welcher prozentualen Gewichtung des Schutzziels man von einer Entität abhängt.

Entitäten, von denen die gewählte Entität nicht abhängt, werden in grau angezeigt.

Wovon hänge ich ab?

RTO und RPO Erfüllung

In der Strukturanalyse kann auch die Erfüllung der RTO (Recovery Time Objective) und RPO (Recovery Point Objective) analysiert werden.

RTO Erfüllung

Achtung:

Damit RTO bzw. RPO-Erfüllung in der Strukturanalyse untersucht werden kann, muss unter "Risikomanagement → Risikopolitik → Schutzziele" das Schutzziel RTO bzw. RPO aktiviert werden. Ansonsten werden die Checkboxen in der Strukturanalyse nicht angezeigt.

Die RTO bzw. RPO-Erfüllung zeigt, ob die Schutzbedarfsanforderung hinsichtlich RTO bzw. RPO für die jeweiligen Ressourcen eingehalten werden kann. Dafür wird im Graphen die Kante zu den Ressourcen mit einem SOLL und IST gewichtet. Dabei stammt der SOLL-Wert aus einer Schutzbedarfsanalyse . Das IST wird aus den jeweiligen abhängigen Ressourcen berechnet, das heißt es wird die maximale Zeit aller abhängigen Ressourcen für die RTO bzw. RPO ermittelt.

Hinweis: Wenn Sie sich in der kombinierten Sicht Organisationseinheiten (Hauptsicht) und Ressourcensicht (Anwendungsebene eingeblendet) befinden und an dieser Stelle RTO und RPO einblenden, so kann es sein, dass Sie bei der Erfüllung IST-Werte sehen, die nicht den Werten der Ressourcen darunter entsprechen. Das liegt daran, dass alle abhängigen Ressourcen (also die Ressourcen aller Ebenen, auch wenn sie nicht eingeblendet sind) eingerechnet werden. Sie können dies veranschaulichen, indem Sie für die Organisationseinheit auf Zeige Abhängigkeiten gehen.

Ablauf

• Schutzbedarfsanalyse

Um analysieren zu können, ob die RPO bzw. RTO für eine Ressource eingehalten wird, muss zuerst eine Schutzbedarfsanalyse für die Ressourcen mit einer Organisationseinheit oder einem Prozessverantwortlichen durchgeführt werden. Daraus ergibt sich die SOLL- bzw. keine Anforderung.

• Ressourcen bewerten

Damit das IST für RTO bzw. RPO berechnet werden kann, müssen die Ressourcen von denen die zu untersuchende Organisationseinheit bzw. Prozess abhängig ist nach RTO bzw. RPO bewertet werden. Hierfür gibt es drei Möglichkeiten:

• nicht bewertet:

RTO bzw. RPO wurde noch nicht bewertet / eingetragen. Diese Werte gehen nicht in die Berechnung ein, werden aber als noch nicht bewertet markiert (gelbes Zahnrad bei RTO und gelbe Uhr bei RPO).

RTO nicht bewertet

• undefiniert / nicht relevant:

Die RTO bzw. RPO ist für die Berechnung nicht weiter relevant. Diese Werte gehen ebenfalls nicht in die Berechnung ein, werden aber mit einem grauen Symbol markiert um darzustellen, das diese Werte bewusst nicht hinterlegt wurden.

RTO undefiniert

• RTO Wiederherstellzeit bzw. das RPO Backup Intervall liegt vor:

Die RTO bzw. RPO wurde für Ressourcen bereits ermittelt. Diese Werte können dann bei den Ressourcen hinterlegt werden.

Für RTO gibt es zusätzlich noch die Option, dass die Wiederherstellzeit von Ressourcen Dritter z.B. durch eine SLA gesichert sind. Es kann diese SLA bei der Ressource hinterlegt werden.

N / B bedeutet Netto bzw. Brutto. Netto ist der Wert der bei der direkt bei der Ressource eingetragen ist. Brutto ist die maximale Zeit die durch alle abhängigen Pfade erreicht wird (nur längster Pfad relevant).

RTO bewertet

• RTO bzw. RPO-Erfüllung analysieren:

Um die Erfüllung analysieren zu können, müssen in der Strukturanalyse mindestens die Organisationssicht und die Ressourcensicht ausgewählt werden. Sind diese ausgewählt, muss in den Analysemodus gewechselt werden (Schalter ganz oben im rechten Menü). Im Analysemodus kann nun RTO bzw. RPO-Erfüllung ausgewählt werden.

Werden zu viele nicht relevante Ressourcen bzw. Organisationseinheiten angezeigt, kann man auf die zu untersuchende Organisationseinheit rechts klicken und im Kontextmenü den Punkt "Zeige Abhängigkeiten" auswählen. Dadurch werden alle nicht relevanten Knoten ausgeblendet.

RTO-Erfüllung

Durchführung einer Strukturanalyse

Organisationseinheiten bzw. Geschäftsprozesse verwenden Ressourcen (Business Applikationen , communication services, Medizinisch administrative Applikationen, etc). Es können daher mehrere Applikationen mehreren Organisationseinheiten zugeordnet werden. Durch die Schutzbedarfsanalyse wird die Beziehung zwischen der jeweiligen Organisationseinheit und der Ressource gewichtet (z.B. sehr geringes Risiko bis katastrophales Risiko).

Die Applikation hat zu unterschiedlichen Geschäftsbereichen unterschiedliche Gewichtungen im Bezug auf ihre Schutzziele. Die kritischste Gewichtung gibt vor, wie technisch anspruchsvoll die Ressource hinsichtlich ihrer Schutzziele z.B. Verfügbarkeit, Vertraulichkeit oder Integrität ausgelegt werden muss. Auf diese Art können für die Applikationen kritische Risiken aufgrund der Gewichtung ihrer Schutzziele festgelegt werden.

Beispiel:

Auf einer Festplatte sind vertrauliche Kundendaten gespeichert. Diese Daten werden im KIS nur selten gebraucht, weshalb ihre Verfügbarkeit auf 20% gewichtet wurde. Die Vertraulichkeit beträgt jedoch 100%, da es sich um vertrauliche Daten handelt. Dadurch können z.B. die Risiken Diebstahl und Serverausfall festgestellt werden. Durch die Gewichtung lässt sich erkennen, dass ein Diebstahl vertraulicher Daten wesentlich kritischer ist als ein Serverausfall. Das heißt: Ein Diebstahl wäre ein kritisches Risiko, ein Serverausfall jedoch nicht.

Ressourcen können voneinander abhängig sein. Es kann Ressourcen geben, die nicht funktionsfähig oder nur eingeschränkt funktionsfähig sind, wenn eine andere Ressource nicht verfügbar ist. Ressourcen benötigen z.B. eine IT-Infrastruktur, Datenspeicher und ggf. Medizinprodukte um funktionsfähig zu sein.

Diese Abhängigkeiten können auch bidirektional sein. Dies wäre zum Beispiel der Fall, wenn zwei Ressourcen (z.B. Applikationen) aktiv Daten austauschen. Würde eine der beiden ausfallen hätte das Einfluss auf die andere Ressource.

All diese Abhängigkeiten können über die Strukturanalyse analysiert werden.

Bildschirmkonfigurationen

Links unten in der Anzeige der Strukturanalyse finden Sie fünf Optionen:

1. Zoombalken: vergrößern oder verkleinern Sie die Anzeige
2. Fit to screen: zentrieren Sie die Strukturanalyse am Bildschirm
3. Rearrange elements: lassen Sie das Tool die Elemente automatisch positionieren
4. Lock all/Unlock all: sperren bzw. entsperren Sie die Positionierung der Elemente
5. Toggle fullscreen mode: verwenden Sie den Vollbildmodus

Tips, Tricks & Best Practice

• Manchmal ist weniger mehr. Gerade zu Beginn kann eine importierte CMDB eher zu Frust statt Lust führen, wenn der Anwender vor einem Berg von Assets sitzt und Zusammenhänge und nachvollziehbare Beziehungen in diesen einarbeiten möchte.
• Bauen Sie Ihr Managementsystem lieber schrittweise auf. Bilden Sie die Organisationsstruktur mit den wichtigsten Bereichen Ihres Unternehmens ab. Erfassen Sie Kernprozesse und die wichtigsten Services Ihres Unternehmens. Fassen Sie Elemente zusammen, wenn sie gleichartig sind (z. B. Serverinstanzen für Load Balancing).
• Erfassen Sie keine zentralen Strukturelemente wie ein Active Directory, das nahezu in alle Bereichen verknüpft ist. Es bedarf keiner Analyse um festzustellen, dass ein Ausfall des AD zu einem größeren Problem im Unternehmen führen würde. Hinweis: Ein solches Element kann in HITGuard natürlich trotzdem betrachtet und analysiert werden, insbesondere hinsichtlich seiner Sicherheitskonfiguration, dafür bietet HITGuard die Abweichungsanalyse und damit verbunden Funktionen.