Hochverfügbarkeit im Fokus der Unternehmens-Strategie: Gelassenheit inklusive

Unternehmen mit einer hochverfügbaren IT-Infrastruktur können der Einführung von Basel II gelassen entgegen sehen. Die neue Regelung sieht vor, dass die Banken ihre Kunden bei der Vergabe von Krediten im Hinblick auf ihre Zahlungsfähigkeit entsprechend einstufen müssen. Dies bedeutet: Je besser die implementierte Hochverfügbarkeits-Konzeption, desto geringer das Ausfall-Risiko und umso höher die Bonität. Vor diesem Hintergrund wird das Thema einer hochverfügbaren IT-Infrastruktur zukünftig bei der strategischen Unternehmensplanung erheblich an Bedeutung gewinnen. Sicherlich wird in den meisten Unternehmen nicht bestritten, dass die IT Organisation einen wesentlichen Beitrag zum Geschäfts-Erfolg leistet. Was jedoch häufig fehlt, ist eine exakte Vorstellung darüber, wie robust (oder zerbrechlich) die IT-Infrastruktur eines Unternehmens im Sinne der so genannten „Resiliency“ ist. Darunter versteht man die Fähigkeit, möglichst keine Fehlersituationen aufkommen zu lassen oder aber innerhalb kürzester Zeit eine Wiederherstellung durchführen zu können, wenn es dann doch zu einem Fehlerfall gekommen sein sollte.

IT-Resiliency Assessment

Um eine Vorstellung darüber zu bekommen, wie robust die IT-Infrastruktur gegenüber bestimmten Ausfällen ist, bietet es sich an, ein so genanntes IT-Resiliency Assessment durchzuführen. Dabei liegt der Fokus dieses Assessments auf der Verfügbarkeit der geschäftskritischen Anwendungen; denn es sind primär die Anwendungen und die damit verbundenen Geschäfts-Prozesse, die letztlich für den Kunden (intern und extern) sichtbar werden. Ein IT-Resiliency Assessment sollte folgende sechs (voneinander abhängige) Elemente beinhalten:

1. Verfügbarkeits-Umfang – Erstellung einer vollständigen und aktuellen Liste aller Anwendungen, die aus Gründen der Kontinuität für das Unternehmen kritisch sind.

2. Abhängigkeiten – Darstellung und Dokumentation der kompletten Hardware- und Software-Topologie der geschäftskritischen Anwendungen.

3. „Single Points of Failure“ – Identifizierung aller potentiellen Fehlermöglichkeiten in Verbindung mit dokumentierten Aktions-Plänen zur Behebung dieser Fehler-Bedingungen.

4. Verantwortung und Prozesse – Dokumentation der Verantwortlichkeiten für die IT-Infrastruktur und aller damit verbundener Prozesse.

5. Ausbildung und Personal – Beschreibung des notwendigen Wissens und der erforderlichen personellen Ausstattung, die erforderlich sind, um vereinbarte Service-Level Agreements einhalten zu können.

6. Machbarkeit – Bestimmung der Wahrscheinlichkeit, dass die vorhandene IT-Infrastruktur (Hardware, Software, Prozesse, Konfigurationen, Personal etc.) die abgegebenen Service-Level Agreements im Sinne der Verfügbarkeit auch tatsächlich erfüllen können.

Aktions-Plan zum Aufbau einer IT-Resiliency-Strategie

Bei der Erstellung einer Strategie beziehungsweise eines Plans für ein IT-Resiliency Assessment ist es erforderlich, dass die Geschäfts-Anforderungen des Unternehmens mit den Möglichkeiten der IT-Infrastruktur auch tatsächlich zusammenpassen. Die folgenden fünf (voneinander abhängigen) Schritte können beim Aufbau einer „resilient“ IT-Strategie helfen:

1. Schritt – Business Impact Analysis
Zunächst sollte ein so genannter „Business Impact Analysis Report“ erstellt werden. Im Rahmen dieser Analyse wird eine Einschätzung vorgenommen, die aufzeigt, welche geschäftlichen Auswirkungen damit verbunden sind, wenn bestimmte geschäftskritische Anwendungen nicht verfügbar sind. Die hierbei verwendete Vorgehensweise enthält die drei Basis-Schritte: Definition und Kalkulation der Gesamt-Kosten eines Ausfalles, Festsetzung der Anforderungen zur Anwendungs-Verfügbarkeit sowie Prioritäten der Anwendungs-Verfügbarkeit und der Sicherheits-Zielsetzungen.

Das Ergebnis einer solchen Business Impact-Analyse ergibt eine Einschätzung der Risiken und sollte auch eine ROI- (Return on Investment-) Kalkulation beinhalten; denn diese hat wesentlichen Einfluss auf die zu implementierende Hochverfügbarkeits-Lösung.

2. Schritt – Zielsetzungen für die IT-Resiliency
Im diesem Schritt werden für die IT-Infrastruktur die Resiliency-Zielsetzungen für jede der geschäftskritischen Anwendungen ermittelt. Es sind für jede Anwendungs-Umgebung die Zeit für die Wiederherstellung (RTO = Recovery Time Objective) und die Akzeptanz der wiederhergestellten Daten (RPO = Recovery Point Objective) zu bestimmen. Weiterhin sind an dieser Stelle auch die Zielsetzungen der Lösungsansätze hinsichtlich Disaster-Recovery und High-Availability festzulegen. Aus allen diesen Zielsetzungen heraus sind dann auch realistische Service-Level Agreements zu definieren.

3. Schritt – Etablierung einer Ausgangs-Basis
Aufbauend auf den Ergebnissen der beiden vorhergehenden Schritte sollte nun die Ausgangs-Basis für die gegenwärtig vorhandene IT-Resiliency bestimmt werden. Vor dem Hintergrund der sechs oben beschriebenen Elemente des Resiliency Assessments werden hiermit die Möglichkeiten der vorhandenen IT-Infrastruktur aufgezeigt.

4. Schritt – Analyse der Schwachstellen
Unter Berücksichtigung der Zielsetzungen für die IT-Resiliency und der ermittelten Ausgangs-Basis der gegenwärtigen IT-Infrastruktur wird jetzt eine Analyse der vorhandenen Schwachstellen vorgenommen. Gleichzeitig hilft diese Analyse bei der Bestimmung von realistischen Service-Level Agreements für die geschäftskritischen Anwendungen.

5. Schritt – Festlegung der Anforderungen für die IT-Resiliency
An dieser Stelle erfolgt nun die Umsetzung der Geschäftsanforderungen an die IT-Resiliency auf Basis detaillierter Aktionen und Pläne. Dies ist die Aufgabe der IT-Experten. So werden beispielsweise für jede Anwendung RTO und RPO definiert – wie die folgende kleine Tabelle zeigt:

Die detaillierten Pläne und Aktionen beinhalten ebenfalls eine Road-Map, die aufzeigt, wie die formulierten Zielsetzungen zu erreichen sind.

Zusammenfassung und Schlussfolgerungen

Zukünftig werden die Unternehmen mehr denn je auf die Verfügbarkeit ihrer Anwendungen (Zielsetzung ist 24 Stunden an 365 Tagen) angewiesen sein. Um die hiermit verbundenen Anforderungen an die IT-Resiliency erfüllen zu können, ist eine realistische Einschätzung der IT-Infrastruktur erforderlich. Es reicht nicht mehr aus, lediglich die Daten hochverfügbar zu haben; sondern es beginnt eine Ära der hochverfügbaren Anwendungen mit der dazugehörigen IT-Infrastruktur. Die IT-Organisationen sind gefordert, sich hierauf entsprechend vorzubereiten. Weiterhin ist eine realistische Einschätzung der Stärken und Schwächen der gegenwärtigen Strukturen erforderlich. Die Implementierung einer Resiliency-Strategie wird zum integralen Bestandteil der allgemeinen Unternehmens-Strategie werden; kann aber nicht ohne entsprechende Unterstützung durch das Top-Management erfolgen. Im globalen Wettbewerb stellt die IT-Resiliency einen kritischen Erfolgsfaktor dar und verhindert (wie oben erwähnt) Risikozuschläge im Rahmen von Basel II.

Die IBM und ihre Business-Partner verfügen über die notwendige Expertise in diesem Umfeld und können bei Erstellung und Implementierung der IT-Resiliency behilflich sein.

Fachautor Peter Nimz