Vorfallmanagement

Ein Vorfall ist ein Ereignis, das zum Ausfall oder zur Störung des Betriebs, der Dienstleistungen oder der Funktionen einer Organisation führen kann. Incident Management ( ICM ) bezeichnet die Aktivitäten, die eine Organisation ergreift, um Gefahren zu identifizieren, zu analysieren und zu beheben und so ein erneutes Auftreten zu verhindern. In einer strukturierten Organisation werden solche Vorfälle üblicherweise von einem Incident Response Team (IRT), einem Incident Management Team (IMT) oder einem Incident Command System (ICS) bearbeitet. Ohne effektives Incident Management kann ein Vorfall den Geschäftsbetrieb, die Informationssicherheit , IT-Systeme, Mitarbeiter, Kunden oder andere wichtige Geschäftsfunktionen beeinträchtigen. ^{[ 1 ]}

Ein Vorfall ist ein Ereignis, das zum Verlust oder zur Störung des Betriebs, der Dienstleistungen oder der Funktionen einer Organisation führen kann. ^{[ 2 ]} Vorfallmanagement (Incident Management, IcM) beschreibt die Aktivitäten einer Organisation zur Identifizierung, Analyse und Behebung von Gefahren, um ein erneutes Auftreten zu verhindern. Wird ein Vorfall nicht effektiv gemanagt, kann er sich zu einem Notfall, einer Krise oder einer Katastrophe ausweiten. Vorfallmanagement ist daher der Prozess, die potenziellen Beeinträchtigungen durch ein solches Ereignis zu begrenzen und anschließend den Normalbetrieb wiederherzustellen. Ohne effektives Vorfallmanagement kann ein Vorfall den Geschäftsbetrieb, die Informationssicherheit, IT-Systeme, Mitarbeiter, Kunden oder andere wichtige Geschäftsfunktionen beeinträchtigen. ^{[ 1 ]}

Die National Fire Protection Association ( NFPA) definiert das Einsatzmanagement wie folgt: „Ein Einsatzmanagementsystem (IMS) ist die Kombination aus Einrichtungen, Ausrüstung, Personal, Verfahren und Kommunikationsmitteln, die innerhalb einer gemeinsamen Organisationsstruktur operieren und die Ressourcenverwaltung während Einsätzen unterstützen.“ ^{[ 3 ] [ 4 ]}

Das physische Einsatzmanagement ist die Echtzeitreaktion, die Stunden, Tage oder länger dauern kann. Das britische Kabinettsbüro hat die „National Recovery Guidance“ (NRG) erstellt, die sich im Rahmen der Umsetzung des Civil Contingencies Act 2004 (CCA) an lokale Einsatzkräfte richtet . Darin wird die Reaktion wie folgt beschrieben: „Die Reaktion umfasst die Maßnahmen zur Bewältigung der unmittelbaren Auswirkungen eines Notfalls. In vielen Szenarien ist sie wahrscheinlich relativ kurz und dauert nur wenige Stunden oder Tage – die schnelle Umsetzung von Vorkehrungen für Zusammenarbeit, Koordination und Kommunikation ist daher unerlässlich. Die Reaktion umfasst die Bemühungen, nicht nur die direkten Auswirkungen des Notfalls selbst (z. B. Brandbekämpfung, Rettung von Personen), sondern auch die indirekten Auswirkungen (z. B. Störungen, Medieninteresse) zu bewältigen.“ ^{[ 5 ] [ 6 ]}

Die Internationale Organisation für Normung (ISO), der weltweit größte Entwickler internationaler Normen, betont in der Beschreibung ihres Dokuments ISO 31000 :2009 zu Risikomanagementprinzipien und -richtlinien, dass „die Anwendung von ISO 31000 Organisationen dabei helfen kann, die Wahrscheinlichkeit der Zielerreichung zu erhöhen, Chancen und Risiken besser zu erkennen und Ressourcen für die Risikobewältigung effektiv zuzuweisen und einzusetzen.“ ^{[ 7 ]} Dies unterstreicht erneut die Bedeutung einer guten Planung und der effektiven Ressourcenzuweisung zur Risikobewältigung.

Das Vorfallmanagement in kritischen Infrastrukturen umfasst koordinierte Maßnahmen zum Schutz essenzieller Dienste, deren Ausfall die öffentliche Sicherheit, die wirtschaftliche Stabilität oder die nationale Sicherheit gefährden könnte. Im Gegensatz zum Vorfallmanagement in rein informationstechnischen oder unternehmensinternen IT-Kontexten betreffen Vorfälle in kritischen Infrastrukturen häufig Betriebstechnologien, physische Prozesse, Sicherheitssysteme und regulatorische Verpflichtungen.

Das Management von Vorfällen in kritischen Infrastrukturen legt typischerweise Wert auf Früherkennung, strukturierte Eskalation, funktionsübergreifende Koordination und die Aufrechterhaltung des Betriebs. Vorfälle können durch Cyberangriffe, physische Ausfälle, menschliches Versagen, Naturkatastrophen oder kombinierte (hybride) Ursachen entstehen und erfordern eine integrierte Reaktion von Technik, Betrieb, Sicherheit, Management und externen Behörden.

Da die Infrastruktursektoren stark voneinander abhängig sind, berücksichtigen Ansätze zum Krisenmanagement in diesen Bereichen häufig Kaskadeneffekte in den Bereichen Energie, Kommunikation, Transport, Gesundheitswesen und anderen essenziellen Dienstleistungen. Daher beinhalten Planungs- und Reaktionsmaßnahmen üblicherweise vordefinierte Rollen, Entscheidungsbefugnisse, Kommunikationsprotokolle und Wiederherstellungsziele, die auf die Anforderungen an Sicherheit und Resilienz abgestimmt sind.

Aufgrund der Zunahme von Internetkriminalität spielen Computer Security Incident Response Teams (CSIRT) heute eine wichtige Rolle und sind ein typisches Beispiel für Vorfälle, mit denen Unternehmen in Industrienationen weltweit konfrontiert sind. Stellt beispielsweise eine Organisation fest, dass ein Angreifer unbefugten Zugriff auf ein Computersystem erlangt hat, analysiert das CSIRT die Situation, ermittelt das Ausmaß der Kompromittierung und ergreift entsprechende Maßnahmen.

Aktuell finden über die Hälfte aller weltweiten Hackerangriffe auf transnationale Konzerne (TNCs) in Nordamerika statt (57 %). 23 % der Angriffe erfolgen in Europa. ^{[ 8 ]} Ein IT-Sicherheitsvorfallteam kann eine sichere Umgebung für ein Unternehmen gewährleisten und ist mittlerweile ein wichtiger Bestandteil vieler moderner Netzwerkteams.

Vorfälle in einer strukturierten Organisation werden üblicherweise von einem Incident Response Team (IRT) oder einem Incident Management Team (IMT) bearbeitet . Diese Teams werden häufig im Vorfeld oder während des Ereignisses benannt und übernehmen die Kontrolle über die Organisation, solange der Vorfall bearbeitet wird, um den Normalbetrieb wiederherzustellen. Der Incident Commander leitet die Reaktion auf einen Sicherheitsvorfall und führt die Mitglieder des/der Incident Response Teams durch den im Incident Command System (ICS) definierten Prozess. ^{[ 9 ]}

Im Rahmen des umfassenderen Managementprozesses privater Organisationen folgt auf das Vorfallmanagement üblicherweise eine Nachanalyse, in der die Ursachen des Vorfalls trotz getroffener Vorsichtsmaßnahmen und Kontrollen ermittelt werden. Diese Analyse wird in der Regel von der Unternehmensleitung überwacht, um durch präventive Maßnahmen und häufig auch durch Anpassungen der Richtlinien eine Wiederholung des Vorfalls zu verhindern. Die gewonnenen Informationen dienen als Feedback zur Weiterentwicklung der Sicherheitsrichtlinien und/oder deren praktischer Umsetzung. In den Vereinigten Staaten integriert das vom Heimatschutzministerium entwickelte Nationale Vorfallmanagementsystem (National Incident Management System , NIMS) bewährte Verfahren des Notfallmanagements in einen umfassenden nationalen Rahmen. Dies führt häufig zu einer intensiveren Notfallplanung, Übungen und Schulungen sowie zu einer Bewertung des Vorfallmanagements. ^{[ 10 ]}

Rahmenwerke für das Vorfallmanagement kritischer Infrastrukturen folgen üblicherweise einem lebenszyklusbasierten Ansatz, der Vorfallerkennung, -klassifizierung, -koordinierung, -eindämmung, -wiederherstellung und Nachbesprechung umfasst. Diese Rahmenwerke sind darauf ausgelegt, eine zeitnahe Entscheidungsfindung zu unterstützen und gleichzeitig Sicherheit, Betriebskontinuität und die Einhaltung gesetzlicher Vorschriften zu gewährleisten.

Im Kontext kritischer Infrastrukturen integrieren solche Rahmenwerke häufig Elemente aus Notfallmanagementsystemen, Verfahren zur Reaktion auf Cybersicherheitsvorfälle und Modellen des operationellen Risikomanagements. Ziel ist es, Organisationen in die Lage zu versetzen, unter kritischen Bedingungen effektiv zu reagieren und gleichzeitig die Kontrolle über komplexe technische und organisatorische Abhängigkeiten zu behalten. Die praxisorientierte Literatur bietet detaillierte Anleitungen zur Anwendung von lebenszyklusbasierten Rahmenwerken für das Vorfallmanagement in industriellen Umgebungen und kritischen Infrastrukturen, einschließlich Aspekten der Betriebstechnologie, der Sicherheit und der sektorübergreifenden Koordination. ^{[ 11 ]}

Bei der Ursachenanalyse sollten menschliche Faktoren berücksichtigt werden. James Reason untersuchte die negativen Auswirkungen menschlicher Faktoren in einer Studie. ^{[ 12 ]} Die Studie ergab, dass Untersuchungen schwerwiegender Vorfälle wie der Piper-Alpha-Katastrophe und des U-Bahn-Brandes in Kings Cross deutlich machten, dass die Unfallursachen weit innerhalb und außerhalb der Organisation verteilt waren. Man unterscheidet zwei Arten von Ereignissen: aktives Versagen – eine Handlung mit unmittelbaren Auswirkungen, die mit hoher Wahrscheinlichkeit einen Unfall verursacht – und latente oder verzögerte Ereignisse – Ereignisse, deren Wirkung erst nach Jahren eintritt und die in der Regel mit auslösenden Ereignissen einhergehen, die dann den Unfall verursachen.

Latente Schwachstellen entstehen durch Entscheidungen der höheren Führungsebene einer Organisation. Ihre schädlichen Folgen können lange Zeit unbemerkt bleiben und erst dann sichtbar werden, wenn sie in Kombination mit lokalen Auslösern (z. B. Springflut , Verladeschwierigkeiten im Hafen von Zeebrugge usw.) die Sicherheitsvorkehrungen des Systems durchbrechen. Entscheidungen der höheren Führungsebene können Ereignisse auslösen, die die Wahrscheinlichkeit eines Unfalls erhöhen; Planung, Terminierung, Prognosen, Konstruktion, Richtlinienentwicklung usw. können eine schleichende Wirkung haben. Die eigentliche unsichere Handlung, die einen Unfall auslöst, kann innerhalb der Organisation zurückverfolgt werden, und die nachfolgenden Schwachstellen können aufgedeckt werden. Dies zeigt die Anhäufung latenter Schwachstellen im Gesamtsystem, die zur Wahrscheinlichkeit und schließlich zum Eintreten des Unfalls geführt haben. Daraufhin können verbesserte Maßnahmen ergriffen und die Wahrscheinlichkeit eines erneuten Auftretens des Ereignisses verringert werden. ^{[ 13 ]}

Das Incident-Management ist ein wichtiger Bestandteil des IT-Servicemanagements (ITSM). ^{[ 14 ]} Das erste Ziel des Incident-Management-Prozesses ist die schnellstmögliche Wiederherstellung des normalen Servicebetriebs und die Minimierung der Auswirkungen auf den Geschäftsbetrieb, um so ein optimales Niveau an Servicequalität und -verfügbarkeit zu gewährleisten. „Normaler Servicebetrieb“ ist hier als Servicebetrieb im Rahmen einer Service-Level-Vereinbarung (SLA) definiert. Es handelt sich um einen Prozessbereich innerhalb des umfassenderen ITIL- und ISO-20000- Umfelds.

ISO 20000 definiert das Ziel des Incident-Managements (Teil 1, 8.2) wie folgt: Die vereinbarte Dienstleistung für das Unternehmen so schnell wie möglich wiederherzustellen oder auf Serviceanfragen zu reagieren. ^{[ 15 ]}

ITIL 2011 definiert einen Vorfall wie folgt:

Eine ungeplante Unterbrechung oder Beeinträchtigung der Qualität eines IT-Dienstes oder ein Ausfall eines Konfigurationselements, der sich noch nicht auf einen IT-Dienst ausgewirkt hat (z. B. der Ausfall einer Festplatte in einem Spiegelsystem). ^{[ 16 ]}

Der ITIL-Incident-Management-Prozess gewährleistet die schnellstmögliche Wiederherstellung des normalen Betriebs und minimiert die Auswirkungen auf das Geschäft. ITIL Service Operation . AXELOS. 30. Mai 2007. ISBN 978-0113310463Die

Die größten Herausforderungen und Ursachen für Probleme im Incident-Management sind:

1. Ständig zunehmendes Alarm- und Ereignisrauschen
2. Komplexer und langwieriger IT-Problemlösungsprozess
3. Unfähigkeit, Beeinträchtigungen oder Ausfälle von IT-Diensten effektiv vorherzusagen und zu verhindern ^{[ 17 ].}

Im Gesundheitswesen unterliegt das Incident-Management den Sicherheitsbestimmungen des Health Insurance Portability and Accountability Act (HIPAA). Diese verpflichten betroffene Einrichtungen und Geschäftspartner zur Implementierung von Verfahren für Sicherheitsvorfälle, die die Erkennung, Meldung und Reaktion auf Sicherheitsvorfälle mit elektronisch geschützten Gesundheitsdaten (ePHI) umfassen. ^{[ 18 ]} Die HIPAA-Regel zur Meldung von Datenschutzverletzungen schreibt zudem vor, dass betroffene Personen innerhalb von 60 Tagen benachrichtigt werden müssen, wenn ungesicherte geschützte Gesundheitsdaten kompromittiert wurden. Vorfälle, die 500 oder mehr Personen betreffen, müssen dem US-Gesundheitsministerium (HHS) und den Medien gemeldet werden. ^{[ 19 ]}

Eine im Dezember 2024 veröffentlichte Bekanntmachung über die geplante Aktualisierung der HIPAA-Sicherheitsrichtlinie würde die Anforderungen an das Management von Sicherheitsvorfällen im Gesundheitswesen erheblich erweitern. Dazu gehören verpflichtende schriftliche Notfallpläne, die Fähigkeit zur Wiederherstellung kritischer Systeme innerhalb von 72 Stunden nach einem Ausfall sowie die Benachrichtigung über Änderungen der Zugriffsrechte des Personals innerhalb von 24 Stunden nach einem Sicherheitsvorfall. Die geplante Richtlinie sieht außerdem jährliche Tests und Überarbeitungen der Notfall- und Reaktionspläne vor. ^{[ 20 ]}

• Einsatzleitungssystem
• Nationales Einsatzmanagementsystem in den Vereinigten Staaten
• Koordiniertes regionales Einsatzmanagement (Niederlande) in den Niederlanden

• Nationales Konsortium für Einsatzmanagementsysteme in den Vereinigten Staaten
• Gesetzgebung der britischen Regierung, Civil Contingencies Act (CCA) 2004. (2012)
• Bundesagentur für Katastrophenschutz (FEMA) . (2012)

• Adam Krug (16.09.2014), „ Fallstudien zu Softwaresystemen für das Incident-Management “, Fallstudien 1–34
• Wearne SH & White-Hunt, K (2010), Managing the Urgent and Unexpected, Gower Publishing – Case studies

• Bruton, Noel, Die Verwaltung des IT-Helpdesks – Ein Leitfaden für Benutzersupport- und Callcenter-Manager . ISBN 0-7506-4901-1Die