Nützlicher Journalismus, um Unternehmen zu verstehen, zu führen und weiterzuentwickeln.
SuchenEine aussagekräftige Bewertung geht über das Anfordern von Zertifikaten hinaus: Prüfen Sie, wie Daten geschützt werden, was bei einem Vorfall geschieht und ob die Wiederherstellung des Dienstes zur Kritikalität Ihrer Prozesse passt.
Die Einführung eines SaaS-Dienstes in einen kritischen Prozess bedeutet, sich bei der Verwaltung von Daten und der Aufrechterhaltung eines verfügbaren Betriebs auf einen externen Anbieter zu verlassen. Vor dem Vertragsabschluss sollten Sie dessen Kontrollen und Zusagen mit den tatsächlichen Anforderungen des Unternehmens abgleichen. Eine kommerzielle Präsentation oder eine Zertifizierung allein erklärt weder, was bei einer Unterbrechung geschieht, noch wie lange die Wiederherstellung dauert.
Diese Checkliste hilft dabei, die Bewertung zu strukturieren. Sie ersetzt keine spezifische rechtliche oder technische Prüfung: Welche Anforderungen gelten, hängt von der Branche, den verarbeiteten Daten und der Gerichtsbarkeit ab; diese Aspekte sind hier nicht festgelegt.
Beginnen Sie mit der vorgesehenen Nutzung des Dienstes. Ermitteln Sie, welche Prozesse davon abhängen, welche Daten eingegeben werden und welche Unternehmensbereiche betroffen wären, wenn das System nicht verfügbar wäre oder Informationen verloren gingen.
Die Prüftiefe sollte dem Grad dieser Abhängigkeit entsprechen. Ein SaaS, das eine nachrangige Aufgabe übernimmt, kann eine andere Prüfung erfordern als ein Dienst, der sensible Informationen bündelt oder bei einem Ausfall eine wesentliche Funktion lahmlegt. Halten Sie außerdem fest, ob vorübergehende Alternativen wie manuelle Verfahren oder Ersatztools bestehen und wer sie aktivieren könnte.
Fordern Sie konkrete Informationen zum Lebenszyklus der Daten an: Wo werden sie gespeichert und verarbeitet, wer kann darauf zugreifen, wie wird dieser Zugriff eingeschränkt und welche Maßnahmen schützen die Informationen bei der Übertragung und Speicherung? Klären Sie auch, was nach Vertragsende mit den Daten geschieht, einschließlich der Fristen und Verfahren für Rückgabe oder Löschung, die der Anbieter dokumentiert.
Fragen Sie zum Thema Zugriff, ob Mehr-Faktor-Authentifizierung, rollenbasierte Berechtigungen und Aktivitätsprotokolle angeboten werden. Es reicht nicht aus, dass eine Funktion existiert: Entscheidend ist, ob sie für den gebuchten Dienst gilt, wer sie verwaltet und welche Nachweise der Anbieter vorlegen kann. Wenn das Tool in andere Systeme integriert ist, beziehen Sie auch diese Verbindungen in die Prüfung ein.
Fordern Sie das schriftliche Verfahren zur Erkennung, Untersuchung und Bearbeitung von Sicherheitsvorfällen an. Prüfen Sie, ob es Verantwortliche, Kontaktwege und Eskalationsschritte benennt und erläutert, wie Vorfälle den Kunden mitgeteilt werden.
Klären Sie die Meldebedingungen und Fristen, zu deren Einhaltung sich der Anbieter verpflichtet. Gehen Sie nicht davon aus, dass eine allgemeine Antwort jede Verpflichtung des Unternehmens erfüllt: Der Umfang hängt vom Vertrag, von der Art des Vorfalls und von den geltenden Vorschriften ab. Legt der Anbieter Kennzahlen oder Beispiele früherer Vorfälle vor, unterscheiden Sie diese Angaben von seinen künftigen Zielen und fragen Sie nach dem erfassten Zeitraum und Dienst.
Eine Richtlinie für Datensicherungen beweist für sich genommen nicht, dass die Daten innerhalb der vom Unternehmen benötigten Zeit wiederhergestellt werden können. Fragen Sie:
Bitten Sie den Anbieter, seine Wiederherstellungsziele zu erläutern. Das RTO beschreibt die angestrebte Zeit bis zur Wiederherstellung eines Dienstes; das RPO bezeichnet den angestrebten Wiederherstellungspunkt der Daten, also wie viele Informationen je nach Szenario möglicherweise nicht wiederhergestellt werden können. Vergleichen Sie beides mit dem, was das Unternehmen tolerieren kann, und klären Sie, ob es sich um vertragliche Zusagen, operative Ziele oder bedingungsabhängige Schätzungen handelt.
Prüfen Sie das Service-Level-Agreement (SLA) und ermitteln Sie, wie es Verfügbarkeit, Messzeitraum, Ausnahmen sowie das Verfahren zur Mitteilung oder Entschädigung bei Nichterfüllung definiert. Eine isolierte Verfügbarkeitszahl reicht nicht aus, um die Auswirkungen zu bewerten: Entscheidend ist, wie sie gemessen wird und welche Situationen von der Berechnung ausgenommen sind.
Geschäftskontinuität und technische Wiederherstellung hängen zusammen, sind aber unterschiedliche Aspekte. Bei der Geschäftskontinuität geht es darum, wesentliche Funktionen während einer Unterbrechung aufrechtzuerhalten; bei der technischen Wiederherstellung darum, Systeme und Daten wiederherzustellen. Fragen Sie, ob der Anbieter für beide Bereiche dokumentierte Verfahren hat, wer die Verantwortung trägt und wann diese getestet wurden. Ermitteln Sie außerdem, welche Aufgaben während eines Vorfalls weiterhin vom Unternehmen abhängen, etwa die Information der Teams oder die Aktivierung alternativer Prozesse.
Bitten Sie für jede wichtige Garantie um aktuelle Unterlagen, die für das Produkt gelten, das Sie buchen möchten. Je nach Fall können dazu Sicherheitsrichtlinien, Prüfberichte oder Zertifizierungen, Ergebnisse von Wiederherstellungstests, Änderungsprotokolle und Verfahren zur Bearbeitung von Vorfällen gehören. Prüfen Sie den Geltungsbereich, das Datum und etwaige Vorbehalte des Dokuments: Ein Nachweis für eine andere Plattform oder Einheit des Anbieters deckt den bewerteten Dienst möglicherweise nicht ab.
Dokumentieren Sie die Antworten und erhaltenen Unterlagen. Ist eine Antwort unvollständig, widersprüchlich oder nicht überprüfbar, halten Sie sie als offene Unsicherheit fest, statt sie als Garantie zu behandeln.
Fassen Sie die Ergebnisse in einer einfachen Matrix zusammen: Anforderung, Antwort des Anbieters, Nachweis, Auswirkungen für das Unternehmen und offene Maßnahme. Priorisieren Sie Lücken, die wichtige Daten gefährden, wesentliche Prozesse unterbrechen oder die Wiederherstellung erschweren könnten. Diese Einordnung ermöglicht den Vergleich von Anbietern und zeigt, welche Punkte vor Vertragsabschluss oder Integration geklärt werden sollten.
Die Prüfung endet nicht mit der Vertragsunterzeichnung. Ändern sich die Nutzung des Dienstes, die verarbeiteten Daten oder die Bedingungen des Anbieters, prüfen Sie erneut, ob die Zusicherungen weiterhin angemessen sind. Bei einer kritischen Abhängigkeit sollten Sie außerdem vereinbaren, wer die Nachweise prüft und in welchen Abständen.
Ein praktischer Leitfaden zur Definition, Messung und Bewertung der Leistung automatisierter Prozesse. Erfahren Sie, wie Sie Baselines festlegen, Kennzahlen für Aufwand, Qualität und Kosten auswählen und die realistische ROI berechnen, um zu entscheiden, ob die Automatisierung beibehalten, angepasst oder rückgängig gemacht werden soll.
Beitrag lesen
Eine sinnvolle Backup-Strategie beginnt damit, Informationen zu priorisieren und festzulegen, wie viel Datenverlust und wie lange eine Betriebsunterbrechung das Unternehmen verkraften kann. Daraus ergeben sich Häufigkeit, Speicherung und Wiederherstellungstests.
Beitrag lesen
Ordnen Sie die Zugriffe von Beschäftigten und Dienstleistern in vier Phasen: Konten und Verantwortliche identifizieren, die Authentifizierung stärken, Berechtigungen begrenzen und Zugriffe entziehen, sobald sie nicht mehr benötigt werden.
Beitrag lesen