Katasztrófa-helyreállítás és üzletmenet-folytonosság

Bevezetés

Mindannyian hallottuk már legalább egyszer életünkben, hogy valaki azt kiáltja: “a műsornak folytatódnia kell”. A kiberbiztonságban ezt a mottót gyakran használják annak magyarázatára, hogy miért szükséges az üzletmenet-folytonossági és katasztrófa-helyreállítási terv (BC&DR). Események előfordulhatnak, de ezek nem lehetnek okai annak, hogy leállítsa tevékenységét vagy több pénzt veszítsen, mint szükséges. Az említett veszélyek elleni védekezés érdekében rendelkeznie kell egy (BC&DR) tervvel. Ebben a cikkben részletes magyarázatot adok arra, hogyan működnek együtt ezek ketten, és néhány iránymutatást adok a megvalósításukhoz.

Mi az üzletmenet-folytonosság és a katasztrófa-helyreállítás

Ez a két terv összefonódhat vagy akár ugyanabban a dokumentumban is körvonalazható, azonban a kiberbiztonság és a szervezetirányítás két különböző aspektusával foglalkoznak:

A katasztrófa-helyreállítás az a folyamat, amely során a normál működést helyreállítják egy (katasztrofális) baleset után. Ez magában foglalja az adatok, hardverek, szoftverek és más IT-eszközök helyreállítását a lehető legközelebb az optimális állapotukhoz. A katasztrófa-helyreállítási tervek általában olyan kérdésekkel foglalkoznak, mint az adatok biztonsági mentése, vészhelyzeti eljárások létrehozása és tesztelése, valamint a munkavállalók képzése a katasztrofális eseményekre való reagálásra.

Másrészt az üzletmenet-folytonosság az a folyamat, amely során gyorsan fenntartják vagy helyreállítják a létfontosságú üzleti műveleteket egy kedvezőtlen esemény során és után. Ez általában terveket igényel a vállalkozás zavarainak minimalizálására, miután azonosították a legkritikusabb tevékenységeket és azokat az infrastruktúrákat/erőforrásokat, amelyeket a legtöbb baleset nem érinthet. Az üzletmenet-folytonossági tervek általában stratégiákat tartalmaznak a létfontosságú üzleti funkciók fenntartására vagy gyors helyreállítására, mint például az ügyfélszolgálat, a termelés és a pénzügyi műveletek.

A két gyakorlat közötti kulcsfontosságú különbség abban rejlik, hogy az üzletmenet-folytonossági tervek sürgősségi ideiglenes megoldások, amelyeket könnyű alkalmazni annak érdekében, hogy hatékony választ adjanak egy felmerülő problémára. A katasztrófa-helyreállítási tervek ezzel szemben lassúak és összetettek lehetnek, de céljuk, hogy az információkat és az infrastruktúrákat a lehető legközelebb hozzák a baleset előtti állapothoz.

A BC&DR terv fontossága

Az üzletmenet-folytonossági és katasztrófa-helyreállítási (BC&DR) terv fontosságát a Fujitsu Csoport 2011-es Nagy Kelet-Japán földrengésre adott válasza emelte ki. Annak ellenére, hogy körülbelül $100 millió veszteséget szenvedtek el, gyorsan helyreállították az összes kritikus rendszert 24 órán belül, és teljesen működőképessé váltak egy héten belül, köszönhetően a jól előkészített BC&DR tervüknek. Nemcsak saját rendszereiket állították helyre, hanem segítséget és támogatást tudtak nyújtani más vállalatoknak és egyéneknek, akiket a katasztrófa érintett. Egy BC&DR terv megléte jelentősen csökkentheti egy vállalat potenciális költségeit egy természeti katasztrófa esetén. Számos esettanulmány, köztük a Fujitsu-eset, ezt bizonyította. 

A BC&DR terv létrehozásához vagy értékeléséhez vegye figyelembe a következő kulcsfontosságú lépéseket.

Az üzletmenet-folytonosságból kiindulva:

1. Azonosítsa a kritikus üzleti funkciókat: Az üzleti funkció bármilyen tevékenységkombinációra és a szükséges erőforrásokra utal, amelyek szükségesek a bemenetek kimenetekké alakításához. A kritikus funkciók ezzel szemben azok a tevékenységek és személyek, amelyek elengedhetetlenek vállalkozása folyamatos működéséhez – nélkülük vállalata képtelen lenne bármilyen kimenetet előállítani. A kritikus funkciók azonosításának első lépése a vállalkozása túléléséhez nélkülözhetetlen kulcsfontosságú személyek és eszközök meghatározása.
2. Azonosítsa a potenciális zavarokat: Miután azonosította a működéséhez kritikus eszközöket és erőforrásokat, elengedhetetlen azonosítani azokat a potenciális fenyegetéseket, amelyek esetlegesen befolyásolhatják azok működését. Ezek a fenyegetések magukban foglalhatnak természeti katasztrófákat, például földrengéseket, politikai zavargásokat vagy a kibertérbeli sebezhetőségek kihasználását. Fontos, hogy ne hagyja figyelmen kívül annak fontosságát, hogy egyértelműen meghatározza, ezek közül a zavarok közül melyek vonatkoznak néhányra, mindegyikre vagy egyikre sem a kritikus funkciók közül. Ez segít hatékonyan végrehajtani a következő lépést a kockázatkezelési folyamatban.
3. Fejlesszen ki eljárásokat a kritikus üzleti funkciók fenntartására vagy gyors helyreállítására: Miután azonosította a kritikus funkciókat, fontos kidolgozni egy tervet, amely biztosítja, hogy ezek a funkciók továbbra is működjenek katasztrófa esetén. Ez magában foglalhatja egy másodlagos helyszín létrehozását, tartalék kommunikációs eszközök biztosítását, vagy egy sor utasítás végrehajtását más funkciók számára zavar esetén. Ennek a lépésnek a hatékonysága nagyban befolyásolja annak képességét, hogy átfogó megoldást találjon a legvalószínűbb zavarok okaira.
4. Fejlesszen ki kommunikációs tervet: Egy jól kidolgozott üzletmenet-folytonossági terv hatástalan, ha nem hajtják végre megfelelően. Elengedhetetlen, hogy legyen egy terv a munkavállalók és az ügyfelek hatékony tájékoztatására bármilyen zavar esetén. Az üzletmenet-folytonossági terv sikeres végrehajtásának biztosítása érdekében elengedhetetlen egy erős és részletes kommunikációs terv megléte. Ez a terv figyelembe kell vegye a tervezési folyamat során azonosított potenciális zavarokat, hogy biztosítsa, hogy képes legyen gyorsan és hatékonyan elindítani az üzletmenet-folytonossági tervet, amikor szükség van rá.
5. Rendszeresen tesztelje és frissítse az üzletmenet-folytonossági tervet: Amint korábban említettük, ha a tervet nem hajtják végre helyesen, hatástalan lesz. A siker biztosítása érdekében fontos, hogy folyamatosan képezze a munkavállalókat az üzletmenet-folytonossági eljárásokról, és aktívan vegye figyelembe a tőlük kapott visszajelzéseket, amennyiben az indokolt. Elengedhetetlen biztosítani, hogy a munkaerő megfelelően képzett legyen, és a terv bármilyen potenciális gyengeségeit azonosítsák, mielőtt válsághelyzet következne be.
6. Állítson össze tervet az üzletmenet-folytonossági terv fenntartására és frissítésére: Azonosítsa és dokumentálja azokat az erőforrásokat, amelyeket rendszeresen frissíteni kell ahhoz, hogy az üzletmenet-folytonossági terv hatékony legyen. Állapítson meg konkrét határidőket, és jelöljön ki személyeket, akik felelősek ezeknek a dokumentumoknak a naprakészen tartásáért.

Másrészt egy katasztrófa-helyreállítási tervnek a következőket kell tartalmaznia:

1. Azonosítsa a helyreállításhoz szükséges kritikus rendszereket és adatokat: Elengedhetetlen azonosítani azokat az infrastruktúrákat és erőforrásokat, amelyek magas prioritásúak és helyre kell állítani őket veszteség esetén.
2. Azonosítsa a potenciális katasztrófa-forgatókönyveket: Különböző katasztrófa-forgatókönyvek eltérő helyreállítási költségekkel járhatnak. Például egy 24 órán át elárasztott szerverhelyiség helyreállítási költsége eltérő lesz, mint egy kevesebb mint 1 órán át elárasztotté.
3. Fejlesszen ki eljárásokat az adatok és rendszerek biztonsági mentésére és helyreállítására: Készítsen részletes tervet az első lépésben azonosított erőforrások helyreállítására, a második lépésben kidolgozott forgatókönyvek alapján.
4. Tesztelje és rendszeresen frissítse a katasztrófa-helyreállítási tervet: Biztosítsa, hogy a munkavállalók tájékozottak legyenek a katasztrófa-helyreállítási eljárásokról, és képzettek legyenek azok követésére. Ha az eljárások harmadik felek bevonását igénylik, győződjön meg arról, hogy megfelelő megállapodások vannak érvényben.
5. Állítson össze tervet a katasztrófa-helyreállítási terv fenntartására és frissítésére: Azonosítsa és dokumentálja azokat az erőforrásokat és beszállítókat, amelyek szükségesek a helyreállítási folyamat során, és tartsa naprakészen ezeket a listákat. Ezenkívül ne felejtse el frissíteni a forgatókönyveket és a költségvetést, amennyiben szükséges.

Amikor katasztrófa-helyreállítási és üzletmenet-folytonossági tervet fejleszt, az alkalmazott megközelítés teljes mértékben Öntől és vállalata preferenciáitól függ. Néhány vállalat egyetlen, átfogó dokumentumot részesít előnyben az egyszerűség kedvéért, míg mások inkább külön-külön foglalkoznak minden aspektussal. Függetlenül attól, hogy melyik megközelítést választja, fontos szem előtt tartani, hogy egyik sem kínál önmagában különösebb előnyöket vagy hátrányokat a másikkal szemben.

A Lényeg

Fontos, hogy nyitott gondolkodású legyen, és éber maradjon, amikor katasztrófa-helyreállítási vagy üzletmenet-folytonossági tervet fejleszt. Az okok nem feltétlenül szabályozási megfelelésből fakadnak, hanem inkább stratégiai és versenyképességi megfontolásokból. Előre nem látható események, mint például politikai zűrzavarok, kibertámadások és természeti katasztrófák jelentős hatással lehetnek bármely iparágra. Azok a vállalatok, amelyek felkészültek az ilyen események átvészelésére és gyors helyreállítására, azok, amelyek képesek lesznek a válságot lehetőséggé alakítani. Ne hagyja, hogy a tervezés hiánya legyen az a tényező, amely visszatartja Önt.