Katastrofåterställning och kontinuitet i verksamheten

Introduktion

Vi har alla hört någon skrika "showen måste gå vidare" åtminstone en gång i våra liv. Inom cybersäkerhet används detta motto ofta för att förklara nödvändigheten av en Business Continuity och Disaster Recovery-plan (BC&DR). Incidenter kan inträffa, men de bör inte vara en anledning till att stoppa din verksamhet eller förlora mer pengar än nödvändigt. För att försvara sig mot dessa faror måste du ha en (BC&DR)-plan. I denna artikel kommer jag att ge dig en detaljerad förklaring av hur dessa två arbetar tillsammans och några riktlinjer för att implementera dem.

Vad är Business Continuity och Disaster Recovery?

Dessa två planer kan sammanflätas eller till och med skisseras i samma dokument, men de behandlar två olika aspekter av cybersäkerhet och organisationshantering:

Disaster recovery är processen att återställa normala operationer efter att en (katastrofal) olycka har inträffat. Detta inkluderar att återställa data, hårdvara, mjukvara och andra IT-resurser till ett tillstånd så nära det optimala som möjligt. Disaster recovery-planer behandlar vanligtvis frågor som att säkerhetskopiera data, skapa och testa nödförfaranden samt utbilda anställda om hur de ska reagera på katastrofala händelser.

Å andra sidan är affärskontinuitet processen att snabbt upprätthålla eller återställa viktiga affärsoperationer under och efter en negativ händelse. Detta kräver vanligtvis utveckling av planer för att minimera störningar i affärsverksamheten efter att de mest kritiska aktiviteterna och de relaterade infrastrukturerna/resurserna som de flesta olyckor inte bör påverka har identifierats. Planer för affärskontinuitet inkluderar vanligtvis strategier för att upprätthålla eller snabbt återställa viktiga affärsfunktioner, såsom kundservice, produktion och finansiella operationer.

Den största skillnaden mellan dessa två metoder ligger i att Business Continuity-planer är nödlösningar som är lätta att anta för att ge ett effektivt svar på ett framväxande problem. Disaster Recovery-planer å andra sidan kan vara långsamma och komplexa, men de syftar till att återställa information och infrastruktur så nära som möjligt den tillstånd som fanns innan olyckan.

Vikten av att ha en Bc&dr-plan

Betydelsen av att ha en Business Continuity och Disaster Recovery (BC&DR)-plan framhävdes av Fujitsu Groups svar på den stora östra Japan-jordbävningen 2011. Trots att de led en förlust på omkring 100 miljoner dollar återställde de snabbt alla kritiska system inom 24 timmar och var fullt operativa inom en vecka, tack vare deras väl förberedda BC&DR-plan. De återställde inte bara sina egna system utan kunde också erbjuda hjälp och stöd till andra företag och individer som drabbats av katastrofen. Att ha en BC&DR-plan på plats kan avsevärt minska ett företags potentiella kostnader vid en naturkatastrof. Flera fallstudier, inklusive Fujitsu-incidenten, har visat detta. 

För att skapa eller utvärdera din BC&DR-plan, överväg följande nyckelsteg.

Starting from Business Continuity:

1. Identifiera kritiska affärsfunktioner: En affärsfunktion hänvisar till vilken som helst kombination av aktiviteter och nödvändiga resurser som krävs för att omvandla ingångar till utgångar. Kritiska funktioner är å andra sidan de aktiviteter och individer som är avgörande för företagets fortsatta drift – utan dem skulle ditt företag inte kunna producera några utgångar. Det första steget för att identifiera kritiska funktioner är att fastställa de nyckelpersoner och tillgångar som är oumbärliga för företagets överlevnad.
2. Identifiera potentiella störningar: När du har identifierat tillgångar och resurser som är avgörande för dina operationer är det viktigt att identifiera de potentiella hot som kan påverka deras funktionalitet. Dessa hot kan inkludera naturkatastrofer som jordbävningar, politiska oroligheter eller utnyttjande av cybersårbarheter. Det är viktigt att inte förbise vikten av att tydligt definiera vilka av dessa störningar som gäller för några, alla eller inga av de kritiska funktionerna. Detta hjälper dig att utföra nästa steg i riskhanteringsprocessen effektivt.
3. Utveckla rutiner för att upprätthålla eller snabbt återställa kritiska affärsfunktioner: När du har identifierat kritiska funktioner är det viktigt att utveckla en plan som säkerställer att dessa funktioner kan fortsätta att fungera vid en katastrof. Detta kan inkludera att skapa en sekundär plats, ha reservkommunikationsutrustning eller implementera ett antal instruktioner som andra funktioner ska följa vid störningar. Effektiviteten av detta steg kommer att ha stor påverkan på din förmåga att identifiera en heltäckande lösning för de mest troliga orsakerna till störningar.
4. Utveckla en kommunikationsplan: En väl utformad Business Continuity-plan är ineffektiv om den inte implementeras korrekt. Det är viktigt att ha en plan för att effektivt informera anställda och kunder om eventuella störningar när de inträffar. För att säkerställa en framgångsrik genomföring av din Business Continuity-plan är det avgörande att ha en stark och detaljerad kommunikationsplan på plats. Denna plan bör beakta potentiella störningar som identifierats under planeringsprocessen för att säkerställa att du kan initiera din Business Continuity-plan snabbt och effektivt när behovet uppstår.
5. Utveckla en kommunikationsplan: En välutformad Business Continuity-plan är ineffektiv om den inte genomförs korrekt. Det är viktigt att ha en plan för att effektivt informera anställda och kunder om eventuella störningar när de inträffar. För att säkerställa en framgångsrik genomföring av din Business Continuity-plan är det avgörande att ha en stark och detaljerad kommunikationsplan på plats. Denna plan bör ta hänsyn till potentiella störningar som identifierats under planeringsprocessen, för att säkerställa att du snabbt och effektivt kan initiera din Business Continuity-plan när behovet uppstår.
6. Upprätta en plan för att underhålla och uppdatera affärskontinuitetsplanen: Identifiera och dokumentera alla resurser som behöver uppdateras regelbundet för att affärskontinuitetsplanen ska vara effektiv. Sätt upp specifika tidsfrister och tilldela ansvariga för att hålla dessa dokument aktuella.

Å andra sidan bör en katastrofåterställningsplan inkludera följande:

1. Identify Critical Systems and Data for Recovery: Det är avgörande att identifiera infrastrukturen och resurserna som är högprioriterade och behöver återställas vid en förlust.
2. Identifiera potentiella katastrofsituationer: Olika katastrofsituationer kan ha varierande återställningskostnader. Till exempel kommer ett serverrum som är översvämmat i 24 timmar att ha en annan återställningskostnad än ett som är översvämmat i mindre än 1 timme.
3. Utveckla procedurer för säkerhetskopiering och återställning av data och system: Skapa en detaljerad plan för att återställa de resurser som identifierades i steg ett, baserat på de scenarier som utvecklades i steg två.
4. Test and Regularly Update the Disaster Recovery Plan: Ensure that employees are informed of the disaster recovery procedures and trained to follow them. If the procedures involve the involvement of third parties, make sure to have appropriate agreements in place.
5. Skapa en plan för att underhålla och uppdatera katastrofåterställningsplanen: Identifiera och dokumentera alla resurser och leverantörer som behövs för återhämtningsprocessen och håll dessa listor uppdaterade. Kom ihåg att uppdatera dina scenarier och budgetering vid behov.

När det gäller att utveckla en plan för katastrofåterställning och affärscontinuitet är det helt upp till dig och ditt företags preferenser vilket tillvägagångssätt du väljer. Vissa företag föredrar att ha ett enda, omfattande dokument för enkelhetens skull, medan andra föredrar att hantera varje aspekt separat. Oavsett vilket tillvägagångssätt du väljer är det viktigt att komma ihåg att inget av dem i sig själv erbjuder några särskilda fördelar eller nackdelar jämfört med det andra.

Slutsatsen

Det är avgörande att ha ett öppet sinne och vara vaksam när man utvecklar en katastrofåterställnings- eller affärskontinuitetsplan. Anledningarna till att göra det kanske inte är regulatoriska krav, utan snarare strategiska och konkurrensmässiga överväganden. Oförutsedda händelser som politiska oroligheter, cyberattacker och naturkatastrofer kan påverka vilken bransch som helst avsevärt. De företag som är förberedda att klara sådana händelser och återhämta sig snabbt är de som kommer att kunna omvandla en kris till en möjlighet. Låt inte brist på planering vara den faktor som håller dig tillbaka.