Der Begriff "Minimum Viable Company" (MVC) stellt den grundlegenden Betriebszustand eines Unternehmens dar, in dem es funktionieren und potenziell wachsen kann – wenn auch mit reduzierter Kapazität. Im Kontext der Cyberresilienz sichert und schützt eine solche Minimum-Viability-Strategie die wichtigsten Ressourcen, Daten, Applikationen und Prozesse, die Unternehmen benötigen, um wichtige Betriebsabläufe während eines Cyberangriffs und danach wiederherzustellen.

Ein implementierter MVC-Ansatz kann dazu beitragen, mögliche finanzielle Schäden durch Ausfälle aufgrund von Cyberangriffen erheblich zu reduzieren, indem nur die Wiederherstellung der wichtigsten Geschäftsfunktionen im Vordergrund steht. Durch die Konzentration der Unternehmensressourcen auf das, was für den Fortlauf des Geschäftsbetriebs wirklich wichtig ist, können Unternehmen sowohl die Recovery-Zeit als auch die damit verbundenen Kosten reduzieren und zugleich die Wiederherstellung der umsatzgenerierenden Aktivitäten priorisieren. Dabei ist es jedoch kein ausschließlich technologisches Unterfangen, Minimum Viability zu definieren und zu implementieren. Eine effektive Wiederherstellung der essenziellen Geschäftsabläufe erfordert eine umfassende Strategie, die Menschen, Prozesse und Technologie miteinbezieht.

Business und IT auf Minimum Viability ausrichten

Traditionell waren Verfahren zur Klassifizierung von IT-Assets wie Server Tiering und Application Mapping "Bottom-up"-Maßnahmen, die sich auf technische Abhängigkeiten und Infrastruktur konzentrierten. Die steigende Bedrohung durch Cyberangriffe und die Notwendigkeit einer schnellen Recovery haben die Situation jedoch verändert. Unternehmen benötigen nun einen "Top-down"-Ansatz, der auf den Geschäftsbetrieb ausgerichtet ist, um die Minimum Viability des Unternehmens zu definieren und zu erreichen.

Die Definition der Minimum Viability erfordert eine klare Abstimmung zwischen Führungskräften, was für den Betrieb des Unternehmens wirklich kritisch ist. Ein Risiko-/Governance-Verantwortlicher kann eine bestimmte Applikation als kritisch ansehen, während der CEO andere Punkte für wichtiger hält. Dies zeigt die Notwendigkeit eines einheitlichen Verständnisses der Geschäftsprioritäten.

Maßnahmenkatalog für die sofortige Wiederherstellung

Das Verständnis gegenseitiger Abhängigkeiten innerhalb der IT-Infrastruktur und Geschäftsprozesse ist für Unternehmen unerlässlich, um den Maßnahmenkatalog für die sofortige Wiederherstellung festzulegen. Hier kommen Server-Infrastruktur-Tiering, Application Mapping und Observability ins Spiel.

• Geschäftsprozessanalyse: identifiziert kritische Geschäftsprozesse, die die für den Geschäftsbetrieb essenziellen Abläufe unterstützen

• Server-Infrastruktur-Tiering: umfasst die Kategorisierung von Servern (einschließlich physischer, virtueller und Cloud-Workloads) auf der Grundlage ihrer Relevanz für den Geschäftsbetrieb. Tier-0-Server unterstützen in der Regel geschäftskritische Prozesse und Anwendungen und erfordern die schnellsten Wiederherstellungszeiten, während Tier-3-Server weniger kritische Funktionen unterstützen

• Application Mapping: identifiziert das Verhältnis zwischen Anwendungen und den Cloud-Diensten oder der Infrastruktur, auf die sie angewiesen sind. Dies konzentriert Investitionen auf die Ausfallsicherheit, indem es die End-to-End-Geschäftsdienste mit der Technologie und mit Drittanbietern verbindet, die für einen grundlegend funktionsfähigen Geschäftsbetrieb mindestens erforderlich sind

• Observability: