Betriebssicherheit im Rechenzentrum

Betriebssicherheit ist per Definition der Zustand, in dem eine Maschine, Anlage, Einrichtung oder ein sonstiger Arbeitsplatz funktionieren kann, ohne die Gesundheit und Sicherheit der Beschäftigten zu gefährden. Die Gewährleistung der Betriebssicherheit ist eine wichtige Verantwortung des Arbeitgebers, einschließlich der Maßnahmen zur Vermeidung von Unfällen und Verletzungen, zur Minimierung von Risiken und Gefahren sowie zur Bereitstellung von Sicherheitseinrichtungen und persönlicher Schutzausrüstung. Ziel ist es, ein sicheres Arbeitsumfeld zu schaffen, in dem Mitarbeiter ohne Angst vor Verletzungen oder Gesundheitsproblemen arbeiten können.

Die Betriebssicherheitsverordnung (BetrSichV) ist eine deutsche Vorschrift, die die Sicherheit und den Gesundheitsschutz der Beschäftigten beim Umgang mit überwachungsbedürftigen Arbeitsmitteln und -anlagen regelt. Die BetrSichV definiert die Bereitstellung, den Betrieb und die Instandhaltung von Arbeitsmitteln und die erforderlichen Qualifikationen der Beschäftigten. Ziel der BetrSichV ist es, Unfälle und Gesundheitsrisiken am Arbeitsplatz zu minimieren und ein sicheres Arbeitsumfeld zu gewährleisten. Die BetrSichV ist ein wichtiges Gesetz im Bereich Arbeitssicherheit, das zur Erhöhung der Betriebssicherheit beiträgt.

Die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin (BAuA) ist die Bundesbehörde für Fragen der Betriebssicherheit. Die BAuA unterstützt Unternehmen und Beschäftigte bei der Umsetzung von Maßnahmen zur Gewährleistung von Unbedenklichkeit und Gesundheitsschutz bei der Arbeit. Dazu gehören die Entwicklung technischer Regelwerke wie TRBS (Technische Regeln für Betriebssicherheit), die Bereitstellung von Informationsmaterial und die Durchführung von Forschungsprojekten zur Verbesserung der Betriebssicherheit. Zur Gewährleistung der Arbeitssicherheit sind bei der Auswahl und Verwendung von Arbeitsmitteln die Regeln der TRBS zu beachten.

Die Deutsche Gesetzliche Unfallversicherung (DGUV) leistet einen Beitrag zur Betriebssicherheit, indem sie Unternehmen bei der Umsetzung von Arbeitsschutzmaßnahmen unterstützt und die Einhaltung von Sicherheitsstandards überwacht. Die DGUV fördert die Betriebssicherheit, indem sie Sicherheitsvorschriften entwickelt und Schulungen für Arbeitgeber und Arbeitnehmer durchführt.

Als besondere Immobilie oder Ort der Unternehmenszentrale kann das Rechenzentrum die zentrale IT-Infrastruktur schützen und verschiedene technische Disziplinen auf Infrastrukturebene wie Elektrotechnik, Maschinenbau, Maschinenbau, Bauwesen, Brandschutz, Sicherheitstechnik usw. kombinieren. Die Betriebssicherheit und Rechenzentrumsicherheit umfasst logistische und organisatorische Maßnahmen in Bezug auf Maschinen, Anlagen oder Systeme wie sie in den Begriffen Ausfallsicherheit, Zuverlässigkeit und Verfügbarkeit verwendet werden.

In der IT-Technologie werden fast alle Aspekte der Informatik verwendet, auf der Ebene der Organisation gibt es verschiedene Managementmethoden zur Überwachung und Steuerung von Prozessen. Die Basis für die Betriebssicherheit ist die Zuverlässigkeit der Anlagen, Systeme, Komponenten oder Bauteile. Komponenten der IT-Infrastruktur dürfen nicht aufgrund von Überlastung oder Materialversagen ihre Funktionsfähigkeit verlieren.

In Bezug auf Betriebssicherheit, Sicherheit, Verfügbarkeit, Vertraulichkeit und Integrität der Daten werden Zertifizierungsverfahren auf der Grundlage von Standards und Prüfkatalogen in drei Bereichen festgelegt: Physische Infrastruktur, Informationstechnik (IT) und Organisationsprozess. Aufgrund der Komplexität von Rechenzentren gibt es verschiedene Authentifizierungsmethoden, um einzelne Bereiche oder ausgewählte Eigenschaften eines Rechenzentrums zu prüfen und zu bestätigen.

Rechenzentrumsicherheit ist nicht statisch und irgendwann fertig, sondern umfasst alle Maßnahmen zum Planen, Implementieren und Überwachen der IT-Sicherheit in Rechnernetzen. Die Sicherheitsmaßnahmen beziehen sich auf die Technik, die Organisation, den Betrieb und auf das Gesetz. Sicherheit ist als ständiger Prozess zu verstehen, nicht als fester Zustand. Es muss der Wert der im Netzwerk vorhandenen Infrastruktur und Daten berücksichtigt werden. Da sich das Netzwerk aufgrund der Erweiterung und technologischen Entwicklung laufend ändert, muss sich das auch in der geänderten Sicherheitsarchitektur widerspiegeln.

 

Sicherheitstechnische Prävention und Anlagensicherheit durch staubfreie Serverschränke.

 

Betriebssicherheit im Rechenzentrum (RZ)

Informations- und Kommunikationssysteme (ITK) bilden die Grundlage für fast alle Geschäftsentscheidungen und -aktivitäten. Ihre Verfügbarkeit ist für das Unternehmen von entscheidender Bedeutung. Heutzutage kann ein Ausfall der ITK schnell die Existenz gefährden. Die Arbeitsprozesse von Unternehmen und Behörden werden zunehmend digitaler, einschließlich Rechenzentren und Serverräume.

Wenn das Rechenzentrum (RZ) ausfällt, kommt der zentrale Prozess zum Stillstand. Bei der Erstellung, Erweiterung oder Überprüfung von IT-Konzepten und der Betriebssicherheit im Rechenzentrum ist es wichtig, die Verfügbarkeit der IT-Infrastruktur eines Unternehmens zu bewerten. Die grundlegende Frage lautet: "Was ist die maximale Ausfallzeit, die ein Unternehmen aushalten kann?" Betriebssicherheit und hohe Verfügbarkeit sind daher die Grundstandards, die moderne Rechenzentren erfüllen müssen.

Im Kontext der digitalen Transformation werden die Leistung und Zuverlässigkeit der IT-Infrastruktur zu Herausforderungen und Erfolgsfaktoren für Unternehmen. Aber wie kann die physische Zuverlässigkeit des Rechenzentrums ermittelt und bewertet werden? Wie können Unternehmen den Reifegrad ihres digitalen Kontrollzentrums bestimmen? Welche Standards für eine Zertifizierung "Betriebssicheres Rechenzentrum" gelten? Welche Maßstäbe werden bei einem Audit angelegt?

IT-Fehler und Ausfälle sind der Albtraum eines jeden Administrators, der Organisationen und Unternehmen schwer zu schaffen machen. Wenn Sie nicht sicher sind, ob Ihr RZ betriebsbereit ist und über ausfallsichere Funktionen verfügt, sollten Sie die Empfehlungen vom BSI und TÜV befolgen. Sie zeigen, warum die Bewertung des Data Centers für den Erfolg des Unternehmens so wichtig ist. Zu diesem Zweck müssen viele Aspekte berücksichtigt werden, z. B. die Auswahl des richtigen Standorts, redundante Anbindung und Stromversorgung, die Verbesserung der Energieeffizienz, ein zuverlässiger Brandschutz sowie Sauberkeit.

Mit Data Center Services können Sie die Anforderungen verschiedener Zielgruppen erfüllen, da Banken und Versicherungsunternehmen ihre Kredite und Versicherungsprämien an der Sicherheit und Verfügbarkeit der IT-Umgebung ausrichten. Kunden verlassen sich beim Betrieb ihrer Handelsplattformen auf zuverlässige Rechenzentren, während Benutzer von Cloud-Diensten die Absicherung ihrer Daten benötigen.

 

Sicherheitsstandards in Rechenzentren

Bei der Planung und Gestaltung von Rechenzentren wird eine Vielzahl von Sicherheitsstandards verwendet. Zum einen unterstützen sie die verantwortliche Person, zum anderen definieren sie aber auch Anforderungen. Wichtige Standards der Betriebssicherheit auf organisatorischer Ebene sind ISMS (Information Security Management Systems, Informationssicherheits-Managementsystem) und ITIL (IT Infrastructure Library, IT-Infrastrukturbibliothek) sowie Sarbanes-Oxley-Ac.

Die Normenreihen ISO / IEC 27001 können Informationen als Unternehmensressourcen vor Bedrohungen schützen. Es wird immer wichtiger, weil es die Grundlage für das Unternehmen bildet, um gesetzliche Anforderungen und Aufgabenstellungen Dritter zu erfüllen. Für die Sauberkeit im Serverraum (im laufenden Betrieb) gilt die DIN EN ISO 14644-1.

Der TSI-Prüfkatalog des TÜV ist zum Industriestandard für die Zertifizierung der Rechenzentrumsinfrastruktur geworden. Die europäische Norm EN 50600 legt die technischen Infrastrukturanforderungen für Rechenzentren und die darin laufenden Systeme fest.

In geschäftlicher Hinsicht wird der Begriff "Compliance" benutzt, um die Einhaltung von Gesetzen, Richtlinien und freiwillige Vorschriften in einem Unternehmen zu beschreiben. Sehr hilfreich sind auch die Grundschutz-Handbücher (Leitfaden und Katalog) nach ISO 27001, das seit vielen Jahren vom BSI (Bundesamt für Sicherheit in der Informationstechnik) weiterentwickelt wird. Die vorgeschlagenen Standards werden von Kunden, Zertifizierungsstellen, Auditoren und anderen Institutionen überprüft. Im Rahmen der regelmäßigen Monitoring und Audits (Überprüfung) werden die umgesetzten Maßnahmen regelmäßig überprüft, um Verbesserungspotenziale festzustellen.

Hardware- und IT-Hersteller stellen hohe Anforderungen an die Umgebungsluft des Rechenzentrums, um den sicheren Betrieb von Servern, Storages und Switches zu gewährleisten. Die Menge an Schmutz und die Anzahl der Staubpartikel verschiedener Größen (in der Luft) muss auf ein Minimum reduziert werden. Die Norm DIN EN ISO 14644-1 Reinraumklasse 8 oder höher ist für die erforderliche Sauberkeit geeignet, um die Hardware und andere Komponenten in akzeptablen Umgebungsbedingungen betriebssicher zu nutzen. Wer diese Norm einhält, sichert sich gegen Verlust der Garantie, Gewährleistung und IT-Wartung ab.

 

Die Betriebssicherheitsverordnung hat ein breites Anforderungsspektrum an die Sicherheit

Aufgrund der steigenden Nachfrage nach Verfügbarkeit von IT-Infrastruktur steigen nicht nur die Anforderungen an das IT-System selbst, sondern insbesondere der kontinuierliche Schutz (Safety schaffen oder aufrechterhalten) der Betriebssicherheit, Umgebungsbedingungen und Versorgung.

Zeitkritischer Zugriff, zeitnahe Prozesse, hohe Netzwerkkonnektivität und Online-Geschäfte erhöhen die Verfügbarkeits- und Leistungsanforderungen für Systeme, Datenspeicherung und unterstützende Infrastruktur erheblich. Im Internet der Dinge und im digitalen Zeitalter ist die Verfügbarkeit von Servern und Rechenzentren einer der Schlüsselfaktoren für den Erfolg von Unternehmen und Kommunen.

Um die Möglichkeit von Systemausfällen und Datenverlust in einer zentralisierten Umgebung zu verringern, sind komplexe Schutzkonzepte und zuverlässige Sicherheitsbewertungen erforderlich. Gefährdungslage beinhaltet laut BSI Fehlerhafte Planung, Unberechtigter Zutritt, Unzureichendes Monitoring, Unzureichende Klimatisierung im Serverraum, Feuer, Wasser, Fehlender oder unzureichender Einbruchschutz, Ausfall der Stromversorgung, Verschmutzung, Unzureichende Trassendimensionierung.

Basis-Anforderungen bestehen aus Festlegung von Mindestanforderungen, Bildung von Brandabschnitten, Einsatz einer unterbrechungsfreien Stromversorgung, Notabschaltung der Stromversorgung, Einhaltung der Lufttemperatur und -feuchtigkeit, Zutrittskontrolle, Verschließen und Sichern, Brandmeldeanlage, Lösch- oder Brandvermeidungsanlage, Inspektion, Instandhaltung, Maintenance und Reparatur der Infrastruktur, Automatische Kontrolle der Infrastruktur, Brandfrüherkennung, Vermeidung und Überwachung nicht erforderlicher Leitungen.

Standard-Anforderungen sind Perimeterschutz für das RZ, Planung und Installation von Gefahrenmeldeanlagen, Einsatz einer Netzersatzanlage, Überspannungsschutzeinrichtung, Klimatisierung im Data Center, Durchführung von Funktionstests der Infrastruktur, Regelmäßige Aktualisierungen der Dokumentation, Anlagen zur Erkennung, Löschung oder Vermeidung von Bränden.

Anforderungen bei erhöhtem Schutzbedarf sind Ausweichrechenzentrum, Durchführung von Staubschutzmaßnahmen, Sicher strukturierte Verkabelung im Serverraum, Einsatz von Videoüberwachungsanlagen, Redundante Auslegung von unterbrechungsfreien Stromversorgungen, Redundante Auslegung von Netzersatzanlagen, Durchführung von Alarmierungs-, Brandschutzübungen und höherwertigen Gefahrenmeldeanlagen.

Um die Betriebssicherheit und Zuverlässigkeit des RZs objektiv bewerten zu können, hat der TÜV Rheinland eigene Anforderungsstandards formuliert. Der Normenkatalog basiert insbesondere auf der Rechenzentrumsnorm DIN EN 50600 und eigener Best-Practice-Erfahrung sowie den wichtigsten internationalen Standards und Normen, einschließlich der Berücksichtigung der physischen Infrastruktur sowie der Verfügbarkeit in verschiedene Kategorien.

Nur durch das Konzept des Gesamtschutzes (ganzheitliches Schutzkonzept) kann die funktionale Stabilität von IT-Systemen optimiert werden. Sicherheit im Bereich der Infrastruktur (physische Sicherheit) ist ebenso wichtig wie die Security der Organisation und der Informationstechnologie (IT-Systeme und ihre Anwendungen). Die physische Sicherheit wurde lange Zeit nicht systematisch untersucht, hat sich jedoch mit dem Erscheinen der Norm EN 50600 geändert. Dies ist das erste Mal, dass ein umfassender, koordinierter europäischer Leitfaden bereitgestellt wird.

Zu den allgemeinen Grundsätzen, die TÜV Rheinland genauer analysiert, gehören Kundendaten, Verfügbarkeitsanforderungen, Risikomanagement und Sicherheitskonzepte. Im Bereich Hochbau stehen Umwelt und Standort sowie Erweiterung und Layout im Zusammenhang mit der Gestaltung von IT-Bereichen. In der Technologiekategorie spielen Aspekte wie Brandmelde- und Brandbekämpfungssysteme und Zugangssicherheit sowie Gebäudemanagementsysteme, unterbrechungsfreie Stromversorgungen, Klimaanlagen, IT- und Netzwerkverkabelungen und Doppelböden eine Rolle.

 

Individuelle Überprüfungsverfahren und Betriebssicherheitsmaßnahmen für die Organisation

Es gibt einige Indikatoren, die darauf hinweisen, dass im Bereich der Betriebssicherheit des Rechenzentrums Maßnahmen ergriffen werden müssen. Schlechter Geruch, Verschmutzungen, hoher Stromverbrauch, überlaute Lüftergeräusche, spakige Klimaanlagenfilter, Staub auf den Geräten oder im Doppelboden, fehlende Dokumentation, ungenügende Tests und vieles mehr erregen Verdacht. Der erste Eindruck des Data Centers ist ein wichtiger Bestandteil des Gesamtbildes.

Die objektive Identifizierung und angemessene Beseitigung von Sicherheitsrisiken in der IT-Infrastruktur hat für IT-Betreiber oberste Priorität. Ziel ist es, vorbeugende Maßnahmen zum physischen IT-Schutz von IT- und Kommunikationssystemen zu ergreifen und sicherzustellen, dass die Infrastruktur den Anforderungen entspricht, die auf bestehenden Standards und deren Grenzen basieren. Dabei soll eine höchstmögliche System- und Datenverfügbarkeit sowie eine nahezu 100% ige Funktionssicherheit gewährleistet sein.

Der Basistestkatalog in der aktuellen Version basiert auf den empfohlenen Maßnahmen im BSI-Grundschutzkatalog des Bundesamts für Sicherheit in der Informationstechnik und berücksichtigt relevante EN- und DIN-Normen, insbesondere DIN EN 50600: Informationstechnik –Einrichtungen und Infrastrukturen von Rechenzentren, VDE-Vorschriften und VdS-Veröffentlichungen unter Berücksichtigung der "Best Practice" -Aspekte der Ergebnisse der täglichen Praxis.

Allgemeine organisatorische Faktoren sind ebenfalls wichtig. Gibt es eine Bedienungsanleitung, wie man den Organisationsprozess organisiert, wie man Logistik und Transport überwacht und gibt es regelmäßige Abnahmetests und Funktionstests? Wie unterrichte ich Mitarbeiter? In Bezug auf den Betrieb spielen Fragen im Zusammenhang mit Wartung und Service sowie Ausbildung, Schulung, Qualifikation und Notfallübungen eine wichtige Rolle.

Der Überprüfungsprozess ist auf die persönlichen Schutzbedürfnisse der Organisation zugeschnitten. Das Rechenzentrums-Serviceteam von TÜV Rheinland hat Audits bei vielen Unternehmen aus vielen Branchen und Rechenzentrumsbetreibern durchgeführt. Darüber hinaus haben Spezialisten vorhandene Rechenzentren und Serverräume angepasst.

 

Simulation von Störungen und Wirksamkeit von Schutzmaßnahmen und Arbeitsschutz

Der Integrationstest der Energie-, Kühl- und Sicherheitstechnologie ist eine wichtige Anforderung. Diese Testverfahren werden angewendet, um die kontinuierliche Entwicklung der Rechenzentrumstechnologie zu ermöglichen. Ohne diese Tests können Rechenzentrumsbetreiber nicht sicherstellen, dass das Rechenzentrum selbst im Falle eines Failovers sicher funktioniert. Viele Standards erfordern diese Betriebssicherheit jedoch. In vielen Projekten, die von TÜV Rheinland als Qualitätssicherungs-Rechenzentrumsdienst unterstützt werden, sind Integrationstests eine Voraussetzung für die endgültige Akzeptanz und Abnahme des Kunden.

Nach der Inbetriebnahme zeigen Integrationstests, ob hochkomplexe technische Gebäudeausrüstung (TGA) zuverlässig funktionieren. Dies ist eine wichtige Voraussetzung für die Genehmigung neuer Rechenzentren. Der von TÜV Rheinland durchgeführte Test kann verschiedene Ausfall- und Schaltszenarien simulieren und sich dabei auf die betroffenen Komponenten in den Bereichen Elektrotechnik, Kühlversorgung und Sicherheitstechnik konzentrieren. Beispielsweise wurde beim "Black Building" -Test die Hauptstromversorgung unterbrochen. Startet die Notstromversorgung automatisch?

Wird ein Umschaltvorgang fehlerfrei durchgeführt? Schaltet das System wieder in den normalen Betrieb, wenn die Hauptstromversorgung wieder verfügbar ist? Wenn die Antwort auf eine dieser Fragen "Nein" lautet, müssen Maßnahmen ergriffen werden. Ein weiterer Test: Wenn eine der beiden redundanten Klimaanlagen ausfällt, muss die andere in der Lage sein, die angegebene Temperatur selbst betriebssicher aufrechtzuerhalten. Wenn das Problem nicht gelöst werden kann, muss es dringend verbessert werden.

Durch das Audit kann das Unternehmen Fehler im RZ frühzeitig erkennen. Diese Fehler können während des routinemäßigen Inbetriebnahmevorgangs noch verborgen bleiben und haben in Zukunft enorme Auswirkungen auf den Routinebetrieb. Der erfreuliche Nebeneffekt: Die Mitarbeiter der Rechenzentrumsbetreiber haben eine effektive Schulung am Arbeitsplatz erhalten, die ihr Verständnis des Systems erheblich erweitern kann. Letztendlich leisten diese Tests einen entscheidenden Beitrag zur Reduzierung möglicher Ausfallzeiten und die Verbesserung der Verfügbarkeit.

 

Allgemeine Maßnahmen zur Betriebssicherheit

• Regelmäßige Datensicherung
• Verwenden einer aktuellen Antivirensoftware und Firewalls
• Updates und Patches rechtzeitig installieren
• Sichere Passwörter verwenden und regelmäßig ändern
• Den Zugriff nur bei Bedarf gewähren
• Gefährdungsbeurteilung und Unterweisung in Schutzmaßnahmen
• Prüfung der Arbeitsmittel. Arbeitsumgebung und Arbeitsstätten
• Steigern Sie das IT-Sicherheitsbewusstsein Ihrer Mitarbeiter
• Verwenden Sie verschlüsselte Verbindungen (HTTPS, VPN)
• Überprüfen Sie E-Mails und Links auf Phishing-Versuche
• Verwenden Sie die Multi-Faktor-Authentifizierung
• Einsatz von Spamfiltern
• Gefahren der Arbeitssicherheit minimieren
• Verwenden Sie sichere Netzwerkprotokolle
• Regelmäßige Überprüfung von Protokollen
• Verwenden Sie ein Intrusion Detection and Prevention System
• Netzwerksegmentierung und VLANs
• Verschlüsselung von Daten während der Übertragung
• Beschränken Sie den Netzwerkzugriff auf bestimmte Geräte
• Verwenden Sie die Zwei-Faktor-Authentifizierung für Administratorkonten
• Sensibilisieren Sie Ihre Mitarbeiter für Social-Engineering-Angriffe
• Überprüfen Sie die Systemkonfiguration und die Standardkennwörter
• Mit verschlüsselter Festplatte verschlüsseln
• Installieren Sie Sicherheitsupdates für Anwendungen und Betriebssysteme
• Erstellen Sie einen Notfallwiederherstellungsplan
• Prüfen Sie Anwendungen und Systeme auf Schwachstellen
• Beschränken Sie den Fernzugriff auf bestimmte Geräte und Benutzer
• Verwenden Sie einen sicheren Verschlüsselungsalgorithmus
• Überwachen der Netzwerkaktivität
• Checkliste und Betreuung als Grundlagen
• Verwenden Sie ein sicheres WLAN-Netzwerk
• Mitarbeiter im Umgang mit Passwörtern und Zugangsdaten schulen
• Nutzen Sie regelmäßige Sicherheitsscans und Penetrationstests
• Überprüfen Sie die Netzwerkinfrastruktur regelmäßig auf Schwachstellen.

 

Wichtige Schritte zur Gewährleistung eines sicheren Betriebs durch Reinigung des Rechenzentrums

• Regelmäßige Reinigung von Serverräumen und Rechenzentren
• Spezielle Reinigungsmittel und Werkzeuge
• Antistatische Reinigungsprodukte und Tücher
• Überprüfen von Kühler und Lüftungssysteme
• Staubfreie Servergehäuse und Filter
• Ersetzen verschmutzter Lüfter und Kühler
• Staubfreies Netzwerk- und Kabelmanagementsystem
• Reinigung von Kabeln und Steckverbindungen
• Antistatische Bodenbeläge
• Elektrostatische Entladung durch ESD-Schutzmaßnahmen vermeiden
• Regelmäßige Überprüfung der Brand- und Sicherheitsausrüstung
• Überprüfen der Strom- und USV-Systeme
• Festplatten und Speichermedien staubfrei halten
• Überprüfung der Warn- und Überwachungssysteme
• Staubfreie Kameras und Sensoren
• Zugangskontrollen und Sicherheitsmaßnahmen überprüfen
• Staubfreie Netzteile und Kabel
• Antistatische Handschuhe und Schuhe
• Überprüfen Sie regelmäßig die Feuchtigkeits- und Temperaturwerte
• Notfallpläne und Evakuierungsmaßnahmen überprüfen
• Schutz vor Staubaufwirbelung durch besondere Schutzmaßnahmen
• Mitarbeiter regelmäßig zum Thema IT-Sicherheit und Sauberkeit schulen.

 

Betriebssicherheit im RZ, Serverraum und Data Center

Quelle und weitere Informationen:

Betriebssichere Rechenzentren

BSI IT-Grundschutz INF.2 Rechenzentrum sowie Serverraum