Katastrofeberedskab og forretningskontinuitet

Introduktion

Vi har alle hørt mindst én gang i vores liv, at nogen råber: „Showet skal fortsætte“. I cybersikkerhed bruges dette motto ofte til at forklare nødvendigheden af en Business Continuity og Disaster Recovery plan (BC&DR). Begivenheder kan ske, men de bør ikke være en grund til, at du stopper din aktivitet eller mister flere penge end nødvendigt. For at beskytte mod disse farer, skal du have en (BC&DR)-plan. I denne artikel vil jeg give dig en detaljeret forklaring på, hvordan disse to arbejder sammen, og et par retningslinjer for implementering af dem.

Hvad er Business Continuity og Disaster Recovery?

Disse to planer kan sammenflettet eller endda skitseret i det samme dokument, men de adresserer to forskellige aspekter af cybersikkerhed og organisationsstyring:

Disaster recovery er processen med at gendanne normale operationer efter, at en (katastrofal) ulykke er opstået. Dette omfatter gendannelse af data, hardware, software og andre IT-ressourcer til en tilstand, der er så tæt på den optimale tilstand som muligt. Disaster recovery-planer tager typisk højde for spørgsmål som sikkerhedskopiering af data, oprettelse og test af nødsprocedurer og træning af medarbejdere i, hvordan de skal reagere på katastrofale begivenheder.

På den anden side er forretningskontinuitet processen med hurtigt at opretholde eller genoprette vitale forretningsoperationer under og efter en negativ begivenhed. Dette kræver normalt udvikling af planer for at minimere forstyrrelser i forretningen, efter at de mest kritiske aktiviteter og de relaterede infrastrukturer/ressourcer, som de fleste ulykker ikke bør påvirke, er blevet identificeret. Forretningskontinuitetsplaner omfatter typisk strategier for at opretholde eller hurtigt genoprette vitale forretningsfunktioner, såsom kundeservice, produktion og finansielle operationer.

Den væsentligste forskel mellem disse to praksisser ligger i det faktum, at Business Continuity-planer er nødløsninger, der er nemme at adoptere for at give en effektiv reaktion på et opstået problem. Disaster Recovery-planer derimod kan være langsomme og komplekse, men de sigter mod at bringe informationer og infrastrukturer så tæt som muligt på den tilstand, der eksisterede før ulykken.

Vigtigheden af at have en Bc&dr-plan

Vigtigheden af at have en Business Continuity og Disaster Recovery (BC&DR) plan blev fremhævet af Fujitsu Groups reaktion på det Store Østjapanske Jordskælv i 2011. På trods af et tab på omkring 100 millioner dollars genoprettede de hurtigt alle kritiske systemer inden for 24 timer og var fuldt operationelle inden for en uge på grund af deres velforberedte BC&DR-plan. De genoprettede ikke kun deres egne systemer, men kunne også tilbyde hjælp og støtte til andre virksomheder og personer, der blev ramt af katastrofen. At have en BC&DR-plan på plads kan betydeligt reducere en virksomheds potentielle omkostninger ved en naturkatastrofe. Flere casestudier, herunder Fujitsu-hændelsen, har demonstreret dette. 

For at oprette eller evaluere din BC&DR-plan, skal du overveje følgende vigtige trin.

Starting from Business Continuity:

1. Identificer kritiske forretningsfunktioner: En forretningsfunktion refererer til enhver kombination af aktiviteter og de nødvendige ressourcer, der kræves for at omdanne input til output. Kritiske funktioner er derimod de aktiviteter og individer, der er essentielle for virksomhedens fortsatte drift – uden dem ville din virksomhed ikke være i stand til at producere output. Det første skridt i at identificere kritiske funktioner er at bestemme de nøglepersoner og aktiver, der er uundværlige for din virksomheds overlevelse.
2. Identificer potentielle forstyrrelser: Når du har identificeret aktiver og ressourcer, der er afgørende for dine operationer, er det vigtigt at identificere de potentielle trusler, der kan påvirke deres funktionalitet. Disse trusler kan inkludere naturkatastrofer som jordskælv, politisk uro eller udnyttelse af cybersikkerhedssårbarheder. Det er vigtigt ikke at overse vigtigheden af at definere klart, hvilke af disse forstyrrelser der gælder for nogle, alle eller ingen af de kritiske funktioner. Dette vil hjælpe dig med at udføre det næste skridt i risikostyringsprocessen effektivt.
3. Udvikl procedurer for at opretholde eller hurtigt gendanne kritiske forretningsfunktioner: Når du har identificeret kritiske funktioner, er det vigtigt at udvikle en plan, der sikrer, at disse funktioner kan fortsætte med at fungere i tilfælde af en katastrofe. Dette kan inkludere at oprette en sekundær lokation, have backup kommunikationsudstyr eller implementere et sæt instruktioner, som andre funktioner skal følge i tilfælde af forstyrrelse. Effektiviteten af dette trin vil have stor indflydelse på din evne til at identificere en omfattende løsning for de mest sandsynlige årsager til forstyrrelser.
4. Udvikl en kommunikationsplan: En veludformet Business Continuity-plan er ineffektiv, hvis den ikke implementeres korrekt. Det er vigtigt at have en plan på plads for effektivt at informere medarbejdere og kunder om eventuelle forstyrrelser, når de opstår. For at sikre en vellykket gennemførelse af din Business Continuity-plan er det afgørende at have en stærk og detaljeret kommunikationsplan på plads. Denne plan bør tage højde for potentielle forstyrrelser, der er identificeret under planlægningsprocessen, for at sikre, at du hurtigt og effektivt kan igangsætte din Business Continuity-plan, når behovet opstår.
5. Udvikl en kommunikationsplan: En veludformet Business Continuity-plan er ineffektiv, hvis den ikke implementeres korrekt. Det er vigtigt at have en plan for effektivt at informere medarbejdere og kunder om eventuelle forstyrrelser, når de opstår. For at sikre en vellykket gennemførelse af din Business Continuity-plan er det afgørende at have en stærk og detaljeret kommunikationsplan på plads. Denne plan bør tage højde for potentielle forstyrrelser, der er blevet identificeret under planlægningsprocessen, for at sikre, at du hurtigt og effektivt kan igangsætte din Business Continuity-plan, når behovet opstår.
6. Opret en plan for vedligeholdelse og opdatering af forretningskontinuitetsplanen: Identificer og dokumenter alle ressourcer, der skal opdateres regelmæssigt for at sikre, at forretningskontinuitetsplanen er effektiv. Fastlæg specifikke tidsfrister og udpeg personer, der er ansvarlige for at holde disse dokumenter ajour.

På den anden side bør en katastrofegenopretningsplan omfatte følgende:

1. Identify Critical Systems and Data for Recovery: Det er afgørende at identificere infrastrukturen og ressourcerne, der er af høj prioritet og skal gendannes i tilfælde af et tab.
2. Identificer potentielle katastrofescenarier: Forskellige katastrofescenarier kan have varierende genopretningsomkostninger. For eksempel vil et serverrum, der er oversvømmet i 24 timer, have en anden genopretningsomkostning end et, der er oversvømmet i mindre end 1 time.
3. Udvikl procedurer for sikkerhedskopiering og gendannelse af data og systemer: Opret en detaljeret plan for at gendanne de ressourcer, der er identificeret i trin ét, baseret på de scenarier, der er udviklet i trin to.
4. Test and Regularly Update the Disaster Recovery Plan: Ensure that employees are informed of the disaster recovery procedures and trained to follow them. If the procedures involve the involvement of third parties, make sure to have appropriate agreements in place.
5. Opret en plan for vedligeholdelse og opdatering af katastrofegendannelsesplanen: Identificer og dokumenter de nødvendige ressourcer og leverandører til genopretningsprocessen, og hold disse lister opdateret. Husk også at opdatere dine scenarier og budgettering efter behov.

Når det kommer til at udvikle en katastrofegendannelses- og forretningskontinuitetsplan, er den tilgang, du vælger, helt op til dig og din virksomheds præferencer. Nogle virksomheder foretrækker at have et enkelt, omfattende dokument for enkelhedens skyld, mens andre foretrækker at håndtere hver aspekt separat. Uanset hvilken tilgang du vælger, er det vigtigt at huske på, at ingen af dem i sig selv tilbyder nogen særlige fordele eller ulemper i forhold til den anden.

Bundlinjen

Det er vigtigt at have en åben sindstilstand og være opmærksom, når man udvikler en katastrofegendannelses- eller forretningskontinuitetsplan. Grundene til at gøre dette er muligvis ikke lovgivningsmæssige krav, men snarere strategiske og konkurrenceorienterede overvejelser. Uforudsete begivenheder som politisk uro, cyberangreb og naturkatastrofer kan have en betydelig indvirkning på enhver industri. De virksomheder, der er forberedte på at håndtere sådanne begivenheder og komme sig hurtigt, er dem, der vil være i stand til at vende en krise til en mulighed. Lad ikke mangel på planlægning være den faktor, der holder dig tilbage.