Neben allen technischen L\u00f6sungen ist der organisatorische Teil der Cybersecurity ein weiterer Aspekt, der im Fokus stehen muss. In einer Serie von Blogartikeln beleuchten wir verschiedene Aspekte, die die technischen L\u00f6sungen erg\u00e4nzen und deren Wirksamkeit erh\u00f6hen sollen.<\/p>\n\n\n\n
Nach den Grundlagen, der Configuration Management Data Base (CMDB) sowie dem Change- und Incident-Prozess, geht es nun generell um die \u00abBest Practice\u00bb der Prozessimplementierung, so dass auch ein optimaler Nutzen und vor allem Akzeptanz f\u00fcr die Anwendung der Prozesse entsteht.
Prozesse oder strukturierte Abl\u00e4ufe haben heute meist eine Umsetzung in einem Tool und idealerweise eine Dokumentation. Aus diesem Grund betrachten wir Prozesse nicht losgel\u00f6st, sondern immer auch im Kontext der Toolumsetzung.<\/p>\n\n\n\n
All dies sind Hinweise auf Prozesse, die nicht praxisorientiert oder unn\u00f6tig kompliziert sind. Wir werden sp\u00e4ter auf diese Punkte zur\u00fcckkommen und sehen, was dahintersteckt und wie man es auch angehen k\u00f6nnte.<\/p>\n\n\n\n
In der Vergangenheit haben ganze Abteilungen in Unternehmen Prozesse gestaltet und Beratungsunternehmen haben versucht, die Abl\u00e4ufe zu optimieren. Leider dauert dies oft sehr lange und das Ergebnis widerspiegelt weniger die Praxis als vielmehr theoretische Idealvorstellungen. Zudem sind diese aufw\u00e4ndigen Prozesse dann starr – eine Ver\u00e4nderung ist nur sehr schwer m\u00f6glich.
Eigentlich sollte es auch nicht das Ziel sein, Prozesse zu perfektionieren. Viel wichtiger ist, dass die Prozesse tats\u00e4chlich den Bed\u00fcrfnissen aller Beteiligten entsprechen, was meist mit Kompromissen verbunden ist. Zudem braucht es ein aktives Change Management, das die Ver\u00e4nderungen auch in der Organisation etabliert.<\/p>\n\n\n\n
Eine ganz wichtige Erfahrung aus vielen T\u00e4tigkeiten im Leitungs- und Prozessmanagementumfeld ist, dass Prozesse und Abl\u00e4ufe, die zu kompliziert oder zu aufw\u00e4ndig sind, oft einfach umgangen werden. Das kann damit beginnen, dass man in einem Tool zwar das Minimum erfasst, dann aber nur das pflegt, was zwingend notwendig ist. Wenn zum Beispiel pro \u00c4nderung ein Kommentar notwendig ist, dann setzt man einfach ein \u00ab.\u00bb in das Feld und kann speichern. Nun kann man das nat\u00fcrlich technisch anders l\u00f6sen, indem man eine Inputvalidierung macht und damit die Leute zwingt, zumindest ein Wort einzugeben. H\u00e4ufig wird aber auch einfach der Zweck nicht verstanden, warum Informationen eingegeben werden sollen. Hier ist neben guter Benutzerf\u00fchrung auch Hilfe sinnvoll. Im Rahmen meiner T\u00e4tigkeit hatte ich die M\u00f6glichkeit, an einem Kai-Zen (\u6539\u5584) Workshop unter der Leitung eines japanischen Kai-Zen Moderators von Toyota teilzunehmen. Ziel war es, den Change Prozess zu optimieren, was in der Terminologie von Kai-Zen eben ganz anders verstanden wird als in anderen Ans\u00e4tzen. Ganz wichtig war der Einbezug aller Stakeholder, und damit sind wirklich alle, auch die indirekt Beteiligten gemeint. Danach wurde, ganz der Methodik folgend, zuerst der tats\u00e4chliche Ist-Zustand erhoben und danach der Soll-Zustand sowie ein m\u00f6glicher Weg dorthin erarbeitet. Ich kann nur empfehlen, wenn die Gelegenheit besteht, einmal an einem solchen Workshop teilzunehmen. Nachfolgend einige Beispiele, wie man Prozesse so umsetzt, dass sie auch genutzt werden. Im Prinzip ist jeder Mitarbeiter eine Art Egoist der vor allem daran interessiert ist, dass seine eigenen Aufgaben m\u00f6glichst effizient und einfach umsetzbar sind. Niemand macht gerne viel Aufwand f\u00fcr Dinge, die nur jemand anderem Nutzen bringen. Aufwand und Nutzen m\u00fcssen sich also f\u00fcr die einzelnen Mitarbeitenden die Waage halten, sonst scheitert die Umsetzung. Aber es kostet viel Kraft, die Mitarbeitenden immer wieder zu motivieren.<\/p>\n\n\n\n Heute spricht jeder von AI und KI und dem immensen Potenzial, das in diesen Technologien steckt. In der Praxis werden dann aber nicht einmal einfachste Entscheidungsb\u00e4ume automatisiert umgesetzt. Wir sehen hier immer wieder eine grosse L\u00fccke zwischen dem, wor\u00fcber gesprochen wird und dem, was tats\u00e4chlich umgesetzt wird. Wie bereits erw\u00e4hnt, sind Medienbr\u00fcche eines der Themen, die zu unn\u00f6tiger Arbeit oder inkonsistenten Daten f\u00fchren. Ein anderes Thema sind \u00abgute\u00bb Workflows. Mit den heutigen Werkzeugen lassen sich Prozesse leicht in einem Workflow-Tool abbilden. Eine Abbildung des Workflows hat gegen\u00fcber einer reinen Dokumentation grosse Vorteile, da bei passender Toolintegration eine optimale F\u00fchrung der Anwender, Kunden, als auch internen Benutzer erfolgen kann. Kundenspezifische Besonderheiten k\u00f6nnen so abgebildet werden, ohne dass die Mitarbeitenden davon wissen m\u00fcssen. Ein \u00c4nderungsprozess beispielsweise, bei dem nur in bestimmten F\u00e4llen eine Genehmigung notwendig ist, kann so systemtechnisch so abgebildet werden, dass alle Mitarbeitenden immer konform handeln. Das Thema Medienbr\u00fcche wurde bereits angesprochen, noch wichtiger ist jedoch die Wiederverwendung bereits vorhandener Informationen. Auch hier ist zu \u00fcberlegen, wie wiederkehrende F\u00e4lle identifiziert werden k\u00f6nnen. Vielfach geht es darum, eine Wissensdatenbank zu f\u00fcllen, so dass bereits erarbeitetes Wissen leicht gefunden und wiederverwendet werden kann. Seien es L\u00f6sungen, die bereits angewandt wurden, oder Informationen, was bereits unternommen wurde, um wiederum Ressourcen m\u00f6glichst effizient zu nutzen und Wiederholungsarbeiten zu vermeiden.<\/p>\n\n\n\n Innerhalb einer Organisation k\u00f6nnen Medienbr\u00fcche mit wenig Aufwand vermieden oder beseitigt werden. Sowohl im CRM-, ERP- als auch im ITSM-Bereich gibt es heute gute Tools, die \u00about of the box\u00bb eine grosse Funktionsvielfalt bieten und auch die integrale Datenverarbeitung effizient machen. Dennoch braucht es an der einen oder anderen Stelle Schnittstellen. Auch hier hilft es, die Akzeptanz der Systeme zu erh\u00f6hen, wenn diese Schnittstellen leistungsf\u00e4hig, aber auch transparent und schnell sind. Das Zeitalter der Batchoperation ist l\u00e4ngst vorbei, gefragt sind Online-Systeme und Datenaufbereitung \u00abon the fly\u00bb. Gerade im Bereich Security Operations ist es notwendig, eine Automatisierung zwischen den operativen IT-Systemen und dem Betrieb der Sicherheitssysteme in m\u00f6glichst vielen Bereichen von der Analyse \u00fcber die Reaktion bis hin zur Mitigation zu erreichen. Gerade im Bereich der Mitigation sind die Durchlaufzeiten eigentlich immer zu lang. Daher muss auch hier so viel wie m\u00f6glich automatisiert werden, um sicherzustellen, dass Massnahmen so schnell wie m\u00f6glich umgesetzt werden. Unsere \u00abSOAR as a Service\u00bb L\u00f6sung ist hier ein wichtiger Baustein im Gesamtrahmen.<\/p>\n\n\n\n Wichtig ist auch eine strukturierte Kommunikation zwischen den Unternehmen. In unserem Konzept des hybriden SOC leben wir eine Kultur, in der jeder die Aufgaben wahrnimmt, die er am besten erf\u00fcllen kann. Unsere Analysten erkennen Bedrohungen und schlagen Massnahmen und Abkl\u00e4rungen vor, auf der Kundenseite werden diese dann umgesetzt und die Informationen fliessen zur\u00fcck. Um dies m\u00f6glichst strukturiert und effizient durchf\u00fchren zu k\u00f6nnen, sind Schnittstellen zwischen den ITSM-Tools notwendig, so dass jede Organisation in ihrem Tool und vor allem mit ihren eigenen Prozessen und Workflows arbeiten kann. Die Praxis hat schon oft gezeigt, dass das Onboarding von SOC-Mitarbeitenden auf Kundentools oder von Kunden auf Anbieterportalen nicht skalierbar und ineffizient ist. Zudem ist es bei den Mitarbeitenden unbeliebt.<\/p>\n\n\n\n In der Einleitung haben wir uns einige Fragen gestellt. Wir greifen sie hier noch einmal auf, mit einigen Hinweisen, wie und was getan werden kann.<\/p>\n\n\n\n Wichtig ist es Formulare kontextsensitiv zu gestalten: nur diejenigen Felder sind \u00abmandatory\u00bb die auch wirklich ben\u00f6tigt werden. Das Ganze erfolgt am besten adaptiv, das heisst sobald ein Feld ausgef\u00fcllt ist, das gewisse andere Informationen ausschliesst, wird die nicht mehr ben\u00f6tigte Information auch nicht mehr abgefragt. Idealerweise werden Pflichtfelder auch farblich anders dargestellt und nicht erst beim Speichern auf fehlende Informationen hingewiesen. Eigentlich alles nur Grunds\u00e4tze eines guten UI-Designs.<\/p>\n\n\n\n Eigentlich sollte es f\u00fcr den Kunden keine Rolle spielen, eine Organisation und ihre Tools sollten heute Omnichannel-f\u00e4hig sein. Ob Teams, WhatsApp, Mail oder Anruf, alle Medien und Kan\u00e4le m\u00fcssen zusammengef\u00fchrt werden und die Antwort sollte m\u00f6glichst auf dem gleichen Kanal erfolgen wie die Frage.<\/p>\n\n\n\n Dieser Punkt steht und f\u00e4llt mit einer guten Workflow-Implementierung. Viel zu oft sieht man Notifikationen die zu sp\u00e4t kommen. Oft ist es sinnvolle eine Information dann auszul\u00f6sen, wenn es noch Optionen f\u00fcr eine Reaktion gibt und nicht erst, wenn der Zieltermin \u00fcberschritten ist.<\/p>\n\n\n\n Wenn ein System etabliert ist, in dem ein Standard-Change mit wenigen Klicks erfasst werden kann, also praktisch das Er\u00f6ffnen des Changes nicht mehr Aufwand gibt, als eine Mail zu schreiben, was spricht dagegen?<\/p>\n\n\n\n Es spricht nichts dagegen dem Kunden transparent zu zeigen, wer am anderen Ende dran ist. Auf der anderen Seite muss aber sichergestellt sein, dass Informationen bei Abwesenheiten nicht ins Leere laufen.<\/p>\n\n\n\n Ja, das sollte nicht sein. Auch hier helfen Transparenz in den Prozessen und gute Tools, um den Informationsfluss optimal zu steuern.<\/p>\n\n\n\n Eine gute Frage: Wir empfehlen, alle Informationen an einem zentralen Ort zu konsolidieren, so dass der \u00dcberblick erhalten bleibt.<\/p>\n\n\n\n Wir alle kennen den Change-Management-Prozess aus der IT-Operation. Hier ist aber etwas anderes gemeint. Es reicht nicht aus, Dokumentationen oder Prozesse anzupassen, die Mitarbeitenden m\u00fcssen auch motiviert und geschult werden, diese anzuwenden. Es ist wichtig alle Stakeholder jeweils mit ins Boot zu holen und die Ver\u00e4nderungen zu erkl\u00e4ren, zu schulen und deren Etablierung aktiv zu begleiten. Den Teamleitern kommt dabei eine besondere Bedeutung zu, da sie als Vorbilder fungieren und die Qualit\u00e4tssicherung \u00fcbernehmen sowie den Prozessverantwortlichen und Prozesseignern Feedback geben m\u00fcssen, wenn sich die Umsetzung in der Praxis nicht bew\u00e4hrt.<\/p>\n\n\n\n Noch so gute Prozesse allein reichen nicht aus, es braucht auch das Empowerment der Mitarbeitenden. Empowerment bedeutet, dass die Handlungs- und Entscheidungsspielr\u00e4ume der Mitarbeitenden erweitert werden. Im Idealfall hat immer die Person die Entscheidungskompetenz, die auch das Wissen hat. Kombiniert mit der oben erw\u00e4hnten Automatisierung und Optimierung wird die Arbeit immer interessanter und es bleibt mehr Zeit f\u00fcr die anspruchsvolleren Themen. Dies sollte dann auch die viel kritisierten Generationen Y und Z motivieren und einbinden.<\/p>\n\n\n\n Zusammen mit dem Empowerment, das naturgem\u00e4ss mehr Verantwortung bedeutet, soll eine M\u00f6glichkeit geschaffen werden, sich mit Peers auszutauschen und im Zweifelsfall eine Zweitmeinung einzuholen. Dies sollte nicht der Teamleiter sein, sondern idealerweise jemand aus dem Team, damit dies skalierbar ist. Dieses Vorgehen sollte in guten Prozessmodellen tats\u00e4chlich vorgesehen und dokumentiert sein und aktiv gef\u00f6rdert werden.<\/p>\n\n\n\n Auf das Thema Eskalation und Krise werden wir in einem weiteren Blogbeitrag gesondert eingehen.<\/p>\n\n\n\n Wir k\u00f6nnen davon ausgehen, dass die Mitarbeitenden effizient arbeiten wollen und ihre Zeit am liebsten in anspruchsvolle Aufgaben investieren. Aus diesem Grund m\u00fcssen wir die Organisation so gestalten, dass wir die Mitarbeitenden mit Prozessen und Arbeitsabl\u00e4ufen so weit wie m\u00f6glich unterst\u00fctzen und entlasten und ihnen helfen, ihre Arbeit qualitativ hochwertig, zeitgerecht und effizient zu erledigen. Dadurch steigt auch die Motivation der Mitarbeitenden, was schlussendlich wiederum die Leistung verbessert und sich positiv auf die Kosten auswirkt.<\/p>\n\n\n\n Kopie meines Blogs aus www.terreactive.ch www.swiss-post-cybersecurity.ch<\/p>\n","protected":false},"excerpt":{"rendered":" Neben allen technischen L\u00f6sungen ist der organisatorische Teil der Cybersecurity ein weiterer Aspekt, der im Fokus stehen muss. In einer Serie von Blogartikeln beleuchten wir verschiedene Aspekte, die die technischen L\u00f6sungen erg\u00e4nzen und deren Wirksamkeit erh\u00f6hen sollen. Nach den Grundlagen, der Configuration Management Data Base (CMDB) sowie dem Change- und Incident-Prozess, geht es nun generell … mehr lesen<\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5,62,7,60,61,8,6],"tags":[126,127,23],"class_list":["post-481","post","type-post","status-publish","format-standard","hentry","category-gedanken","category-itil","category-leadership","category-management","category-strategie","category-technologie","category-unternehmensfuehrung","tag-iso-20000","tag-iso-27001","tag-itil"],"_links":{"self":[{"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/posts\/481","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/comments?post=481"}],"version-history":[{"count":6,"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/posts\/481\/revisions"}],"predecessor-version":[{"id":536,"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/posts\/481\/revisions\/536"}],"wp:attachment":[{"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/media?parent=481"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/categories?post=481"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hwl-consulting.ch\/blog\/wp-json\/wp\/v2\/tags?post=481"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Aber:<\/strong> eigentlich sollte man sich fragen: \u00abWarum zwinge ich die Anwendenden zur Eingabe von Informationen, obwohl es offensichtlich in vielen F\u00e4llen nicht notwendig ist?\u00bb Meist erfolgen die Validierungen zu wenig selektiv, warum muss ich bei jeder Status\u00e4nderung einen Kommentar eintragen? Nat\u00fcrlich gibt es F\u00e4lle, wo zwingend etwas eingetragen werden muss, wie zum Beispiel beim Abschluss eines Incident, wo die L\u00f6sung erfasst werden muss. Beim Abschluss eines Change hingegen braucht es keinen Text: Wenn die Aufgabe erledigt ist, gen\u00fcgt es, den Status auf erledigt zu setzen. Und genau darum geht es mir, wir m\u00fcssen Prozesse haben, die den Menschen dienen!<\/p>\n\n\n\nEinbezug aller Stakeholder in die Prozessentwicklung<\/h2>\n\n\n\n
Es gab einige interessante Aspekte, insbesondere kamen viele Inputs aus der Praxis, da eben wirklich alle Stakeholder, unter Auslassung der hierarchischen Regeln, direkt miteinander diskutieren konnten. Diese Ideen waren eigentlich alle schon vorhanden, nur gingen diese bisher im Weg durch Hierarchie und Organisation verloren.
Zudem war gen\u00fcgend Zeit, auch v\u00f6llig alternative Vorgehensweisen auszuprobieren, und der Moderator machte immer wieder v\u00f6llig disruptive Vorschl\u00e4ge, indem er genau das in Frage stellte, was von allen als zwingend notwendig verstanden wurde.
Als generelle Erkenntnis kann man mitnehmen, dass Prozesse immer systematisch unter Einbeziehung aller Beteiligten verbessert werden sollten. Auch das Vorgehen, den Ist-Zustand zu erheben und wie dieser aktuell verstanden wird, f\u00fchrt zu realistischeren Arbeitsweisen, als wenn nur die Dokumentation betrachtet wird. Ein weiterer wichtiger Aspekt ist immer auch die Management Attention, was sich in den Unternehmen unter anderem darin ausdr\u00fcckt, dass der Chief Process Officer (CPO) in der erweiterten Gesch\u00e4ftsleitung Einsitz nimmt.<\/p>\n\n\n\nDen Anwendenden entgegenkommen<\/h2>\n\n\n\n
Automatisieren, wo immer es geht<\/h2>\n\n\n\n
Voraussetzung f\u00fcr eine effektive Automatisierung ist zun\u00e4chst die Eliminierung von Medienbr\u00fcchen. Nur wenn die Daten medienbruchfrei fliessen, kann auch effizient und sinnvoll automatisiert werden. Es muss nicht sein, dass eine eingehende E-Mail automatisch beantwortet wird, es w\u00fcrde zun\u00e4chst schon ausreichen, wenn die E-Mail anhand vorhandener Merkmale in das richtige System importiert und dem richtigen Kunden und Prozess zugeordnet wird. Fangen wir mit dem Einfachen an \u2013 man kann es dann immer noch weiterentwickeln. Denn die Erfahrung zeigt, dass sich die so genannten Fleissarbeiten mit wenig Aufwand perfekt automatisieren lassen – und daf\u00fcr braucht es erst einmal keine KI!<\/p>\n\n\n\nWorkflow und Systeme, die f\u00fchren und entlasten<\/h2>\n\n\n\n
Wichtig ist auch, von Anfang an die sogenannte Omnichannel-F\u00e4higkeit der Umsetzung zu ber\u00fccksichtigen, d.h. dass eine Reaktion per Mail, Chat, Telefon oder im Portal erfolgen kann, ganz so, wie es dem Kunden am besten dient. Die Zeiten, in denen man dem Kunden den Kommunikationskanal vorschreiben konnte, sind vorbei.<\/p>\n\n\n\nWiederverwendung von Informationen<\/h2>\n\n\n\n
\n\n\n\nSchnittstellen<\/h2>\n\n\n\n
Auf zwei spezielle Themen im Bereich der Automatisierung muss hier eigegangen werden:<\/p>\n\n\n\nSchnittstellen zwischen Systemen<\/h3>\n\n\n\n
Schnittstellen zwischen Unternehmen<\/h3>\n\n\n\n
\n\n\n\nAnalyse der F\u00e4lle aus der Einleitung<\/h2>\n\n\n\n
Warum muss ich in diesem Formular eine Angabe ausf\u00fcllen?<\/h3>\n\n\n\n
Soll ich da nun per Mail anfragen, ein Ticket erstellen oder reicht ein Chat?<\/h3>\n\n\n\n
Warum werde ich nicht zum richtigen Zeitpunkt informiert?<\/h3>\n\n\n\n
Braucht es dazu nun einen Change?<\/h3>\n\n\n\n
An wen muss ich mich wenden?<\/h3>\n\n\n\n
Warum muss ich mich um die Weiterleitung der Information k\u00fcmmern?<\/h3>\n\n\n\n
In welchem Tool soll ich nachsehen?<\/h3>\n\n\n\n
\n\n\n\nVorgehensweisen:<\/h2>\n\n\n\n
Change Management zur Etablierung der Ver\u00e4nderungen<\/h3>\n\n\n\n
Empowerment<\/h3>\n\n\n\n
2nd Opinion<\/h3>\n\n\n\n
Eskalation<\/h3>\n\n\n\n
\n\n\n\nFazit<\/h2>\n\n\n\n