Herstel na een ramp en bedrijfscontinuïteit

Inleiding

We hebben allemaal minstens één keer in ons leven iemand horen roepen: "de show moet doorgaan". In cybersecurity wordt dit motto vaak gebruikt om de noodzaak van een Business Continuity en Disaster Recovery-plan (BC&DR) uit te leggen. Incidenten kunnen gebeuren, maar ze zouden geen reden moeten zijn om je activiteit te stoppen of meer geld te verliezen dan nodig. Om jezelf te verdedigen tegen deze gevaren, moet je een (BC&DR)-plan hebben. In dit artikel geef ik je een gedetailleerde uitleg over hoe deze twee samen werken en enkele richtlijnen voor de implementatie ervan.

Wat zijn Business Continuity en Disaster Recovery?

Deze twee plannen kunnen met elkaar verweven of zelfs in hetzelfde document worden uiteengezet, maar ze behandelen twee verschillende aspecten van cybersecurity en organisatiebeheer:

Disaster recovery is het proces van het herstellen van normale operaties nadat een (catastrofisch) ongeluk heeft plaatsgevonden. Dit omvat het herstellen van gegevens, hardware, software en andere IT-middelen naar een staat die zo dicht mogelijk bij de optimale staat ligt. Disaster recovery-plannen behandelen doorgaans zaken zoals het maken van back-ups van gegevens, het opstellen en testen van noodprocedures en het trainen van medewerkers over hoe ze moeten reageren op catastrofale gebeurtenissen.

Aan de andere kant is bedrijfscontinuïteit het proces van het snel handhaven of herstellen van vitale bedrijfsactiviteiten tijdens en na een negatief evenement. Dit vereist meestal het ontwikkelen van plannen om verstoringen van het bedrijf te minimaliseren, nadat de meest kritieke activiteiten en de bijbehorende infrastructuren/bronnen zijn geïdentificeerd die niet door de meeste incidenten beïnvloed mogen worden. Bedrijfscontinuïteitsplannen omvatten doorgaans strategieën voor het handhaven of snel herstellen van vitale bedrijfsfuncties, zoals klantenservice, productie en financiële operaties.

Het belangrijkste verschil tussen deze twee praktijken is het feit dat Business Continuity-plannen noodoplossingen zijn die gemakkelijk kunnen worden aangenomen om een efficiënte reactie te geven op een opkomend probleem. Disaster Recovery-plannen daarentegen kunnen traag en complex zijn, maar ze zijn bedoeld om informatie en infrastructuren zo dicht mogelijk bij de toestand voorafgaand aan het ongeval te brengen.

Belang van het hebben van een Bc&dr-plan

Het belang van het hebben van een Business Continuity en Disaster Recovery (BC&DR) plan werd benadrukt door de reactie van de Fujitsu Groep op de Grote Oost-Japanse Aardbeving van 2011. Ondanks een verlies van ongeveer 100 miljoen dollar herstelden ze snel alle kritieke systemen binnen 24 uur en waren ze binnen een week volledig operationeel, dankzij hun goed voorbereide BC&DR-plan. Ze herstelden niet alleen hun eigen systemen, maar konden ook hulp en ondersteuning bieden aan andere bedrijven en individuen die door de ramp waren getroffen. Het hebben van een BC&DR-plan kan de potentiële kosten van een bedrijf bij een natuurramp aanzienlijk verlagen. Meerdere case studies, waaronder het Fujitsu-incident, hebben dit aangetoond. 

Om uw BC&DR-plan te maken of te evalueren, overweeg de volgende belangrijke stappen.

Starting from Business Continuity:

1. Identificeer kritische bedrijfsfuncties: Een bedrijfsfunctie verwijst naar elke combinatie van activiteiten en de noodzakelijke middelen die nodig zijn om invoer in uitvoer om te zetten. Kritische functies zijn daarentegen die activiteiten en individuen die essentieel zijn voor de voortgezette werking van uw bedrijf – zonder hen zou uw bedrijf geen uitvoer kunnen produceren. De eerste stap bij het identificeren van kritische functies is het bepalen van de sleutelpersonen en activa die essentieel zijn voor het overleven van uw bedrijf.
2. Identificeer potentiële verstoringen: Zodra je de middelen en resources hebt geïdentificeerd die cruciaal zijn voor je bedrijfsvoering, is het essentieel om de potentiële bedreigingen te identificeren die de functionaliteit ervan zouden kunnen beïnvloeden. Deze bedreigingen kunnen natuurrampen zoals aardbevingen, politieke onrust of de exploitatie van cyberkwetsbaarheden omvatten. Het is belangrijk om het belang van het duidelijk definiëren van welke van deze verstoringen van toepassing zijn op sommige, alle of geen van de kritieke functies niet over het hoofd te zien. Dit helpt je de volgende stap in het risicobeheerproces efficiënt uit te voeren.
3. Ontwikkel procedures voor het behouden of snel herstellen van kritieke bedrijfsfuncties: Zodra je de kritieke functies hebt geïdentificeerd, is het belangrijk om een plan te ontwikkelen dat ervoor zorgt dat deze functies blijven functioneren in het geval van een ramp. Dit kan het creëren van een secundaire locatie inhouden, het hebben van reservecommunicatieapparatuur of het implementeren van een reeks instructies die andere functies moeten volgen in geval van verstoring. De effectiviteit van deze stap zal een grote invloed hebben op je vermogen om een alomvattende oplossing te identificeren voor de meest waarschijnlijke oorzaken van verstoringen.
4. Ontwikkel een communicatieplan: Een goed ontwikkeld Business Continuity-plan is ineffectief als het niet correct wordt geïmplementeerd. Het is essentieel om een plan te hebben om medewerkers en klanten effectief te informeren over verstoringen zodra deze zich voordoen. Om de succesvolle uitvoering van uw Business Continuity-plan te waarborgen, is het cruciaal om een sterk en gedetailleerd communicatieplan op te stellen. Dit plan moet rekening houden met potentiële verstoringen die tijdens het planningsproces zijn geïdentificeerd, zodat u in staat bent om uw Business Continuity-plan snel en efficiënt in werking te stellen wanneer dat nodig is.
5. Ontwikkel een communicatieplan: Een goed uitgewerkt Business Continuity-plan is ineffectief als het niet goed wordt geïmplementeerd. Het is essentieel om een plan te hebben om werknemers en klanten effectief te informeren over eventuele verstoringen wanneer deze zich voordoen. Om de succesvolle uitvoering van je Business Continuity-plan te waarborgen, is het cruciaal om een sterk en gedetailleerd communicatieplan te hebben. Dit plan moet rekening houden met mogelijke verstoringen die tijdens het planningsproces zijn geïdentificeerd, zodat je je Business Continuity-plan snel en efficiënt kunt initiëren wanneer dat nodig is.
6. Stel een plan op voor het onderhouden en bijwerken van het bedrijfscontinuïteitsplan: Identificeer en documenteer alle middelen die regelmatig moeten worden bijgewerkt zodat het bedrijfscontinuïteitsplan effectief blijft. Stel specifieke deadlines in en wijs personen aan die verantwoordelijk zijn voor het actueel houden van deze documenten.

Aan de andere kant zou een rampenherstelplan het volgende moeten bevatten:

1. Identify Critical Systems and Data for Recovery: Het is cruciaal om de infrastructuur en middelen te identificeren die van hoge prioriteit zijn en die hersteld moeten worden in het geval van verlies.
2. Identificeer potentiële rampenscenario's: Verschillende rampenscenario's kunnen variërende herstelkosten hebben. Bijvoorbeeld, een serverruimte die 24 uur is overstromen, zal een andere herstelkost hebben dan een die minder dan 1 uur is overstromen.
3. Ontwikkel procedures voor het back-uppen en herstellen van gegevens en systemen: Maak een gedetailleerd plan om de in stap één geïdentificeerde middelen te herstellen, op basis van de scenario's die in stap twee zijn ontwikkeld.
4. Test and Regularly Update the Disaster Recovery Plan: Ensure that employees are informed of the disaster recovery procedures and trained to follow them. If the procedures involve the involvement of third parties, make sure to have appropriate agreements in place.
5. Stel een plan op voor het onderhouden en bijwerken van het rampherstelplan: Identificeer en documenteer alle benodigde middelen en leveranciers voor het herstelproces en houd deze lijsten up-to-date. Vergeet niet om je scenario's en budgettering indien nodig bij te werken.

Wanneer het gaat om het ontwikkelen van een rampenherstel- en bedrijfscontinuïteitsplan, is de benadering die je kiest volledig afhankelijk van jouw voorkeuren en die van je bedrijf. Sommige bedrijven geven de voorkeur aan één enkel, uitgebreid document voor de eenvoud, terwijl andere liever elk aspect afzonderlijk aanpakken. Ongeacht welke benadering je kiest, is het belangrijk om te onthouden dat geen van beiden van nature specifieke voordelen of nadelen biedt ten opzichte van de andere.

De conclusie

Het is cruciaal om een open geest te behouden en waakzaam te blijven bij het ontwikkelen van een rampenherstel- of bedrijfscontinuïteitsplan. De redenen hiervoor zijn mogelijk niet de naleving van regelgeving, maar eerder strategische en competitieve overwegingen. Onvoorziene gebeurtenissen zoals politieke onrust, cyberaanvallen en natuurrampen kunnen aanzienlijke invloed hebben op elke industrie. Bedrijven die voorbereid zijn om dergelijke gebeurtenissen het hoofd te bieden en snel te herstellen, zijn degene die in staat zullen zijn om een crisis om te zetten in een kans. Laat een gebrek aan planning niet de factor zijn die je tegenhoudt.