Hola a todos, mi nombre es Igor Tyukachev y soy consultor de continuidad empresarial. En el post de hoy tendremos una larga y tediosa discusión de verdades comunes, quiero compartir mi experiencia y hablar sobre los principales errores que cometen las empresas al desarrollar un plan de continuidad del negocio.
1. RTO y RPO al azar
El error más importante que he visto es que el tiempo de recuperación (RTO) surge de la nada. Bueno, de la nada: por ejemplo, hay algunos números de hace dos años del SLA que alguien trajo de su lugar de trabajo anterior. ¿Por qué hacen esto? Después de todo, de acuerdo con todos los métodos, primero debe analizar las consecuencias para los procesos comerciales y, en base a este análisis, calcular el tiempo de recuperación objetivo y la pérdida de datos aceptable. Pero hacer un análisis de este tipo a veces lleva mucho tiempo, a veces es costoso y a veces no está muy claro cómo hacerlo; enfatice lo que hay que hacer. Y lo primero que a muchos les viene a la mente es: “Todos somos adultos y entendemos cómo funcionan los negocios. ¡No perdamos tiempo y dinero! Tomemos más o menos como debería ser. ¡Fuera de tu cabeza, usando el ingenio proletario! Que el RTO dure dos horas”.
¿A qué conduce esto? Cuando acude a la gerencia en busca de dinero para actividades que garanticen el RTO/RPO requerido con ciertos números, siempre requiere una justificación. Si no hay justificación, entonces surge la pregunta: ¿de dónde lo sacaste? Y no hay nada que responder. Como resultado, se pierde la confianza en su trabajo.
Además, a veces esas dos horas de recuperación cuestan un millón de dólares. Y justificar la duración del RTO es una cuestión de dinero, y además, muy importante.
Y finalmente, cuando les presente su plan BCP y/o DR a los artistas (que en realidad estarán corriendo y agitando los brazos en el momento del accidente), les harán una pregunta similar: ¿de dónde salieron estas dos horas? Y si no puede explicar esto claramente, no tendrán confianza ni en usted ni en su documento.
Resulta ser un trozo de papel por el simple hecho de darse de baja. Por cierto, algunos lo hacen deliberadamente, simplemente para satisfacer los requisitos del regulador.
Bien entiendes
2. La cura para todo
Algunas personas creen que un plan BCP se desarrolla para proteger todos los procesos comerciales de cualquier amenaza. Recientemente, la pregunta “¿De qué queremos protegernos?” Escuché la respuesta: “Todo y más”.
Pero el hecho es que el plan pretende proteger sólo especifico procesos de negocio clave de la empresa desde especifico amenazas. Por tanto, antes de desarrollar un plan, es necesario evaluar la aparición de riesgos y analizar sus consecuencias para el negocio. Es necesaria una evaluación de riesgos para comprender a qué amenazas teme la empresa. En caso de destrucción de un edificio habrá un plan de continuidad, en caso de presión sancionadora, otro, en caso de inundación, un tercero. Incluso dos sitios idénticos en ciudades diferentes pueden tener planes significativamente diferentes.
Es imposible proteger a una empresa entera con un BCP, especialmente una grande. Por ejemplo, el enorme X5 Retail Group comenzó a garantizar la continuidad con dos procesos comerciales clave (escribimos sobre esto ). Y es simplemente poco realista encerrar a toda la empresa en un solo plan, esto pertenece a la categoría de "responsabilidad colectiva", cuando todos son responsables y nadie es responsable.
La norma ISO 22301 contiene el concepto de política, con el cual, de hecho, comienza el proceso de continuidad en la empresa. Describe qué protegeremos y de qué. Si la gente viene corriendo y pide agregar esto y aquello, por ejemplo:
— ¿Agreguemos al BCP el riesgo de que seamos hackeados?
O
— Recientemente, durante la lluvia, nuestro último piso se inundó. ¿Agreguemos un escenario de qué hacer en caso de inundación?
Luego, remítalos inmediatamente a esta política y dígales que protegemos activos específicos de la empresa y solo de amenazas específicas y previamente acordadas, porque ahora son la prioridad.
E incluso si las propuestas de cambios son realmente apropiadas, entonces ofrézcase a tenerlas en cuenta en la próxima versión de la política. Porque proteger una empresa cuesta mucho dinero. Por lo tanto, todos los cambios al plan BCP deben pasar por el comité de presupuesto y la planificación. Recomendamos revisar la política de continuidad del negocio de la empresa una vez al año o inmediatamente después de cambios significativos en la estructura de la empresa o en las condiciones externas (perdónen los lectores por decirlo).
3. Fantasías y realidad
A menudo sucede que al elaborar un plan BCP, los autores describen una imagen ideal del mundo. Por ejemplo, "no tenemos un segundo centro de datos, pero redactaremos un plan como si lo tuviéramos". O la empresa aún no tiene parte de la infraestructura, pero los empleados aún la agregarán al plan con la esperanza de que aparezca en el futuro. Y luego la empresa aplicará la realidad al plan: construir un segundo centro de datos y describir otros cambios.
A la izquierda está la infraestructura correspondiente al BCP, a la derecha está la infraestructura real
Todo esto es un error. Escribir un plan BCP significa gastar dinero. Si redacta un plan que no funciona en este momento, estará pagando por un papel muy caro. Es imposible recuperarse de ello, es imposible comprobarlo. Resulta ser trabajo por trabajar.
Puede redactar un plan con bastante rapidez, pero construir una infraestructura de respaldo y gastar dinero en todas las soluciones de protección es largo y costoso. Esto puede llevar más de un año. Y puede resultar que ya tenga un plan y la infraestructura para ello aparecerá en dos años. ¿Por qué es necesario un plan así? ¿De qué te protegerá?
También es una fantasía cuando el equipo de desarrollo de BCP comienza a descubrir para los expertos qué deben hacer y en qué momento. Proviene de la categoría: “Cuando ves un oso en la taiga, debes girar en la dirección opuesta al oso y correr a una velocidad superior a la del oso. Durante los meses de invierno, es necesario cubrir las huellas”.
4. Puntas y raíces
El cuarto error más importante es hacer el plan demasiado superficial o demasiado detallado. Necesitamos un punto medio dorado. El plan no debería ser demasiado detallado para idiotas, pero tampoco demasiado general para que acabe algo como esto:
En fácil en general
5. Para César - lo que es de César, para el mecánico - lo que es de mecánico.
El siguiente error se deriva del anterior: un plan no puede abarcar todas las acciones para todos los niveles de gestión. Los planes BCP generalmente se desarrollan para grandes empresas con grandes flujos financieros (por cierto, según nuestro , en promedio, el 48% de las grandes empresas rusas se enfrentaron a situaciones de emergencia que implicaron pérdidas financieras importantes) y un sistema de gestión multinivel. Para estas empresas, no vale la pena intentar encajar todo en un solo documento. Si la empresa es grande y estructurada, entonces el plan debe tener tres niveles separados:
- nivel estratégico - para la alta dirección;
- nivel táctico - para mandos intermedios;
- y el nivel operativo, para aquellos directamente involucrados en el campo.
Por ejemplo, si hablamos de restaurar una infraestructura fallida, entonces en el nivel estratégico se toma la decisión de activar el plan de recuperación, en el nivel táctico se pueden describir los procedimientos del proceso y en el nivel operativo hay instrucciones para la puesta en servicio específicas. piezas de equipo.
BCP sin presupuesto
Cada uno ve su área de responsabilidad y sus conexiones con otros empleados. En el momento de un accidente, cada uno abre un plan, encuentra rápidamente su parte y la sigue. Lo ideal es recordar de memoria qué páginas abrir, porque a veces los minutos cuentan.
6. Juego de roles
Otro error al elaborar un plan BCP: no es necesario incluir nombres específicos, direcciones de correo electrónico y otra información de contacto en el plan. En el texto del documento en sí, solo se deben indicar roles impersonales, y a estos roles se les deben asignar los nombres de los responsables de tareas específicas y sus contactos deben enumerarse en el anexo del plan.
¿Por qué?
Hoy en día, la mayoría de la gente cambia de trabajo cada dos o tres años. Y si en el texto del plan se anotan todos los responsables y sus contactos, habrá que cambiarlo constantemente. Y en las grandes empresas, y especialmente en las gubernamentales, cada cambio en cualquier documento requiere muchas aprobaciones.
Sin mencionar que si ocurre una emergencia y tienes que hojear frenéticamente el plan y buscar el contacto adecuado, perderás un tiempo precioso.
Truco de vida: cuando cambias una aplicación, a menudo ni siquiera necesitas aprobarla. Otro consejo: puedes utilizar sistemas de automatización de actualización de planes.
7. Falta de versiones
Por lo general, crean un plan versión 1.0 y luego realizan todos los cambios sin modo de edición y sin cambiar el nombre del archivo. Al mismo tiempo, a menudo no está claro qué ha cambiado en comparación con la versión anterior. En ausencia de versiones, el plan vive su propia vida, de la que no se realiza ningún seguimiento. La segunda página de cualquier plan BCP debe indicar la versión, el autor de los cambios y una lista de los cambios en sí.
Ya nadie puede entenderlo.
8. ¿A quién debo preguntar?
A menudo las empresas no tienen una persona responsable del plan BCP y no existe un departamento separado que sea responsable de la continuidad del negocio. Esta honorable responsabilidad se asigna al CIO, a su adjunto o, según el principio, "usted se ocupa de la seguridad de la información, así que aquí está además el BCP". Como resultado, el plan se desarrolla, se acuerda y se aprueba, de arriba a abajo.
¿Quién es responsable de almacenar el plan, actualizarlo y revisar la información que contiene? Es posible que esto no esté prescrito. Contratar a un empleado separado para esto es un desperdicio, pero, por supuesto, es posible cargar a uno de los existentes con tareas adicionales, porque ahora todos se esfuerzan por lograr la eficiencia: "Vamos a colgarle una linterna para que pueda cortar el césped por la noche", pero ¿es necesario?
Buscamos a los responsables del BCP a dos años de su creación
Por lo tanto, a menudo sucede así: se desarrolló un plan y se metió en una caja larga para que se cubriera de polvo. Nadie lo prueba ni mantiene su relevancia. La frase más común que escucho cuando me acerco a un cliente es: "Hay un plan, pero se desarrolló hace mucho tiempo, se desconoce si se probó, existe la sospecha de que no funciona".
9. Demasiada agua
Hay planes en los que la introducción tiene cinco páginas, incluyendo una descripción de los requisitos previos y agradecimiento a todos los participantes en el proyecto, con información sobre lo que hace la empresa. Cuando llega a la décima página, donde hay información útil, su centro de datos ya se ha visto inundado.
Cuando intentas leer hasta el momento, ¿qué debes hacer si tu centro de datos se inunda?
Coloque toda el “agua” corporativa en un documento aparte. El plan en sí debe ser extremadamente específico: la persona responsable de esta tarea hace esto, y así sucesivamente.
10. ¿A expensas de quién es el banquete?
A menudo, los creadores de planes no cuentan con el apoyo de la alta dirección de la empresa. Pero hay apoyo de mandos intermedios que no gestionan o no tienen el presupuesto y los recursos necesarios para gestionar la continuidad del negocio. Por ejemplo, el departamento de TI crea su plan BCP dentro de su presupuesto, pero el CIO no ve el panorama completo de la empresa. Mi ejemplo favorito es la videoconferencia. Cuando la videoconferencia del CEO no funcione, ¿a quién destripará? El CIO que “no proporcionó”. Por tanto, desde el punto de vista del CIO, ¿qué es lo más importante en la empresa? Lo que la gente siempre le “ama”: las videoconferencias, que inmediatamente se convierten en un sistema crítico para el negocio. Y desde el punto de vista empresarial, bueno, nada de VKS, piensen, hablaremos por teléfono, como con Brezhnev...
Además, el departamento de TI suele pensar que su principal tarea en caso de desastre es restaurar el funcionamiento de los sistemas de TI de la empresa. ¡Pero a veces no es necesario hacer esto! Si hay un proceso comercial en forma de impresión de hojas de papel en una impresora terriblemente cara, entonces no vale la pena comprar una segunda impresora como repuesto y colocarla junto a ella en caso de avería. Puede ser suficiente colorear temporalmente los trozos de papel a mano.
Si estamos construyendo una protección continua dentro de TI, debemos contar con el apoyo de la alta dirección y los representantes comerciales. De lo contrario, al convertirse en un pupa dentro del departamento de TI, puede resolver una cierta variedad de problemas, pero no todos los necesarios.
Así es la situación cuando solo el departamento de TI tiene planes de recuperación ante desastres
10. Sin pruebas
Si hay un plan, es necesario probarlo. Para aquellos que no están familiarizados con los estándares, esto no es nada obvio. Por ejemplo, tiene carteles de “salida de emergencia” colgados por todas partes. Pero dime, ¿dónde están tu cubo de fuego, tu gancho y tu pala? ¿Dónde está la boca de incendios? ¿Dónde debe ubicarse el extintor? Pero todo el mundo debería saber esto. No nos parece nada lógico encontrarnos con un extintor al entrar en una oficina.
Quizás la necesidad de probar el plan debería mencionarse en el propio plan, pero se trata de una decisión controvertida. En cualquier caso, se puede considerar que un plan funciona sólo si ha sido probado al menos una vez. Como mencioné anteriormente, escucho muy a menudo: “Hay un plan, toda la infraestructura está preparada, pero no es un hecho que todo saldrá como está escrito en el plan. Porque no lo probaron. Nunca".
en conclusión
Algunas empresas pueden analizar su historial para comprender qué tipo de problemas es probable que ocurran y qué tan probables son. Las investigaciones y la experiencia sugieren que no podemos protegernos de todo. Una mierda, tarde o temprano, a cualquier empresa le pasa. Otra cosa es qué tan preparado estará para esta situación o una similar y si podrá restaurar su negocio a tiempo.
Algunas personas piensan que la continuidad consiste en cómo eliminar todo tipo de riesgos para que no se materialicen. No, la cuestión es que los riesgos se materializarán y estaremos preparados para ello. Los soldados no están entrenados para pensar en la batalla, sino para actuar. Lo mismo ocurre con un plan BCP: te permitirá restaurar tu negocio lo más rápido posible.
El único equipo que no requiere BCP
Ígor Tiukachev,
Consultor de Continuidad de Negocios
Centro de Diseño de Sistemas Computacionales
"Jet Infosistemas"
Fuente: habr.com