Bonjour à tous, je m'appelle Igor Tyukachev et je suis consultant en continuité d'activité. Dans l’article d’aujourd’hui, nous aurons une discussion longue et fastidieuse sur des vérités communes. Je souhaite partager mon expérience et parler des principales erreurs que commettent les entreprises lors de l’élaboration d’un plan de continuité des activités.
1. RTO et RPO au hasard
L'erreur la plus importante que j'ai vue est que le temps de récupération (RTO) est supprimé de nulle part. Eh bien, à partir de rien - par exemple, il y a des chiffres d'il y a deux ans du SLA que quelqu'un a apportés de son ancien lieu de travail. Pourquoi font-ils cela? Après tout, selon toutes les méthodes, vous devez d'abord analyser les conséquences sur les processus métier et, sur la base de cette analyse, calculer le temps de récupération cible et la perte de données acceptable. Mais faire une telle analyse prend parfois beaucoup de temps, parfois elle est coûteuse, parfois on ne sait pas très bien comment – insistez sur ce qui doit être fait. Et la première chose qui vient à l’esprit de beaucoup est : « Nous sommes tous des adultes et comprenons comment fonctionne les affaires. Ne perdons pas de temps et d'argent ! Prenons plus ou moins comme il se doit. Sortez de votre tête, en utilisant l'ingéniosité prolétarienne ! Que le RTO dure deux heures.
A quoi cela conduit-il ? Lorsque vous demandez de l'argent à la direction pour des activités visant à garantir le RTO/RPO requis avec certains chiffres, cela nécessite toujours une justification. S’il n’y a aucune justification, alors la question se pose : d’où l’avez-vous obtenu ? Et il n'y a rien à répondre. En conséquence, la confiance dans votre travail est perdue.
D’ailleurs, ces deux heures de récupération coûtent parfois un million de dollars. Et justifier la durée du RTO est une question d’argent, et très importante en plus.
Et enfin, lorsque vous présenterez votre plan BCP et/ou DR aux interprètes (qui courront effectivement et agiteront les bras au moment de l'accident), ils se poseront une question similaire : d'où viennent ces deux heures ? Et si vous ne pouvez pas l'expliquer clairement, ils n'auront confiance ni en vous ni en votre document.
Il s'avère que c'est un morceau de papier pour le plaisir d'un morceau de papier, un désabonnement. D’ailleurs, certains le font délibérément, simplement pour satisfaire aux exigences du régulateur.
Tu comprends
2. Le remède à tout
Certaines personnes pensent qu'un plan BCP est élaboré pour protéger tous les processus métier de toute menace. Récemment, la question « De quoi voulons-nous nous protéger ? J’ai entendu la réponse : « Tout et plus encore ».
Mais le fait est que le plan vise uniquement à protéger spécifique processus commerciaux clés de l'entreprise de spécifique des menaces. Par conséquent, avant d'élaborer un plan, il est nécessaire d'évaluer la survenance des risques et d'analyser leurs conséquences pour l'entreprise. L'évaluation des risques est nécessaire afin de comprendre de quelles menaces l'entreprise a peur. En cas de destruction d'un bâtiment, il y aura un plan de continuité, en cas de sanction - un autre, en cas d'inondation - un troisième. Même deux sites identiques dans des villes différentes peuvent avoir des plans très différents.
Il est impossible de protéger une entreprise entière avec un seul PCA, surtout une grande. Par exemple, l'immense groupe X5 Retail a commencé à assurer la continuité de deux processus commerciaux clés (nous avons écrit à ce sujet ). Et il est tout simplement irréaliste d'enfermer l'ensemble de l'entreprise dans un seul plan ; cela relève de la catégorie de la « responsabilité collective », où tout le monde est responsable et personne n'est responsable.
La norme ISO 22301 contient le concept de politique par laquelle commence en fait le processus de continuité dans l'entreprise. Il décrit ce que nous allons protéger et contre quoi. Si des gens accourent et demandent d'ajouter ceci et cela, par exemple :
— Ajoutons au BCP le risque que nous soyons piratés ?
Ou
— Récemment, pendant la pluie, notre dernier étage a été inondé - ajoutons un scénario sur ce qu'il faut faire en cas d'inondation ?
Ensuite, renvoyez-les immédiatement à cette politique et dites que nous protégeons les actifs spécifiques de l'entreprise et uniquement contre des menaces spécifiques et convenues à l'avance, car elles constituent désormais la priorité.
Et même si les propositions de changements sont effectivement appropriées, alors proposez d'en tenir compte dans la prochaine version de la politique. Parce que protéger une entreprise coûte très cher. Ainsi, tous les changements apportés au plan BCP doivent passer par le comité du budget et de la planification. Nous recommandons de revoir la politique de continuité des activités de l'entreprise une fois par an ou immédiatement après des changements importants dans la structure de l'entreprise ou dans les conditions externes (que les lecteurs me pardonnent de le dire).
3. Fantasmes et réalité
Il arrive souvent que lors de l'élaboration d'un plan BCP, les auteurs décrivent une image idéale du monde. Par exemple, « nous n’avons pas de deuxième centre de données, mais nous rédigerons un plan comme si nous en avions un ». Soit l'entreprise ne dispose pas encore d'une partie de l'infrastructure, mais les employés l'ajouteront quand même au plan dans l'espoir qu'elle apparaisse à l'avenir. Et puis l'entreprise étendra la réalité au plan : construire un deuxième centre de données, décrire d'autres changements.
A gauche l'infrastructure correspondant au BCP, à droite l'infrastructure réelle
Tout cela est une erreur. Rédiger un plan PCA signifie dépenser de l’argent. Si vous rédigez un plan qui ne fonctionne pas immédiatement, vous paierez pour du papier très coûteux. Il est impossible de s’en remettre, il est impossible de le tester. Il s’avère que c’est du travail pour le travail.
Vous pouvez rédiger un plan assez rapidement, mais construire une infrastructure de sauvegarde et dépenser de l’argent pour toutes les solutions de protection est long et coûteux. Cela peut prendre plus d'un an. Et il se peut que vous ayez déjà un plan et que l'infrastructure correspondante apparaîtra dans deux ans. Pourquoi un tel plan est-il nécessaire ? De quoi va-t-il vous protéger ?
C’est aussi un fantasme lorsque l’équipe de développement du BCP commence à déterminer pour les experts ce qu’ils doivent faire et à quel moment. Il vient de la catégorie : « Lorsque vous voyez un ours dans la taïga, vous devez vous tourner dans la direction opposée à celle de l'ours et courir à une vitesse supérieure à la vitesse de l'ours. Pendant les mois d’hiver, vous devez brouiller les pistes.
4. Sommets et racines
La quatrième erreur la plus importante est de rendre le plan soit trop superficiel, soit trop détaillé. Nous avons besoin d’un juste milieu. Le plan ne doit pas être trop détaillé pour les idiots, mais il ne doit pas non plus être trop général pour que cela aboutisse à quelque chose comme ceci :
Facile en général
5. À César - qu'est-ce qui appartient à César, au mécanicien - qu'est-ce qui appartient au mécanicien.
L’erreur suivante découle de la précédente : un seul plan ne peut pas contenir toutes les actions de tous les niveaux de gestion. Les plans BCP sont généralement développés pour les grandes entreprises avec des flux financiers importants (d'ailleurs, selon notre , en moyenne, 48 % des grandes entreprises russes ont été confrontées à des situations d'urgence entraînant des pertes financières importantes) et à un système de gestion à plusieurs niveaux. Pour ces entreprises, cela ne vaut pas la peine d’essayer de tout mettre dans un seul document. Si l’entreprise est grande et structurée, alors le plan doit comporter trois niveaux distincts :
- niveau stratégique - pour la haute direction ;
- niveau tactique - pour les cadres intermédiaires ;
- et le niveau opérationnel - pour ceux qui sont directement impliqués sur le terrain.
Par exemple, si nous parlons de restaurer une infrastructure défaillante, alors au niveau stratégique, la décision est prise d'activer le plan de récupération, au niveau tactique, les procédures de processus peuvent être décrites et au niveau opérationnel, il existe des instructions pour la mise en service de systèmes spécifiques. pièces d'équipement.
PCA sans budget
Chacun voit son domaine de responsabilité et ses liens avec les autres collaborateurs. Au moment d'un accident, chacun ouvre un plan, trouve rapidement sa part et le suit. Idéalement, il faut retenir par cœur quelles pages ouvrir, car parfois les minutes comptent.
6. Jeu de rôle
Autre erreur lors de l'élaboration d'un plan PCA : il n'est pas nécessaire d'inclure des noms, adresses e-mail et autres coordonnées spécifiques dans le plan. Dans le texte du document lui-même, seuls les rôles impersonnels doivent être indiqués, et ces rôles doivent se voir attribuer les noms des personnes responsables de tâches spécifiques et leurs contacts doivent être répertoriés dans l'annexe au plan.
Pourquoi?
Aujourd’hui, la plupart des gens changent d’emploi tous les deux ou trois ans. Et si vous notez tous les responsables et leurs contacts dans le texte du plan, celui-ci devra alors être constamment modifié. Et dans les grandes entreprises, et en particulier celles gouvernementales, chaque modification d'un document nécessite une tonne d'approbations.
Sans compter que si une urgence survient et que vous devez feuilleter frénétiquement le plan et chercher le bon interlocuteur, vous perdrez un temps précieux.
Life hack : lorsque vous modifiez une candidature, vous n’avez souvent même pas besoin de l’approuver. Autre conseil : vous pouvez utiliser des systèmes d’automatisation des mises à jour des plans.
7. Manque de versionnage
Habituellement, ils créent un plan version 1.0, puis effectuent toutes les modifications sans mode d'édition et sans changer le nom du fichier. Dans le même temps, on ne sait souvent pas clairement ce qui a changé par rapport à la version précédente. En l'absence de versionnage, le plan vit sa propre vie, qui n'est en aucun cas tracée. La deuxième page de tout plan BCP doit indiquer la version, l'auteur des modifications et une liste des modifications elles-mêmes.
Personne ne peut plus le comprendre
8. À qui dois-je m'adresser ?
Souvent, les entreprises n'ont pas de personne responsable du plan BCP et il n'existe pas de service distinct responsable de la continuité des activités. Cette responsabilité honorable est confiée au CIO, à son adjoint, ou selon le principe « vous vous occupez de la sécurité de l'information, voici donc le BCP en plus ». En conséquence, le plan est élaboré, convenu et approuvé de haut en bas.
Qui est responsable du stockage du plan, de la mise à jour et de la révision des informations qu'il contient ? Cela ne peut pas être prescrit. Embaucher un employé distinct pour cela est un gaspillage, mais charger l'un des employés existants de tâches supplémentaires est bien sûr possible, car tout le monde recherche désormais l'efficacité : « Accrochons-lui une lanterne pour qu'il puisse tondre la nuit », mais Est-ce nécessaire?
Nous recherchons des responsables de BCP deux ans après sa création
Par conséquent, cela se passe souvent ainsi : un plan a été élaboré et mis dans une longue boîte pour être recouvert de poussière. Personne ne le teste ni ne maintient sa pertinence. La phrase la plus courante que j'entends lorsque je parle à un client est : « Il existe un plan, mais il a été développé il y a longtemps, on ne sait pas s'il a été testé, on soupçonne qu'il ne fonctionne pas.
9. Trop d'eau
Il existe des plans dans lesquels l'introduction fait cinq pages, comprenant une description des prérequis et des remerciements à tous les participants au projet, avec des informations sur ce que fait l'entreprise. Au moment où vous descendez jusqu’à la dixième page, où se trouvent des informations utiles, votre centre de données a déjà été inondé.
Lorsque vous essayez de lire l'actualité, que devez-vous faire si votre centre de données est inondé ?
Placez toute « l’eau » de l’entreprise dans un document séparé. Le plan lui-même doit être extrêmement précis : la personne responsable de cette tâche le fait, et ainsi de suite.
10. Aux frais de qui est le banquet ?
Souvent, les créateurs de plans ne bénéficient pas du soutien de la haute direction de l’entreprise. Mais il existe un soutien de la part du management intermédiaire qui ne gère pas ou n’a pas le budget et les ressources nécessaires pour gérer la continuité des activités. Par exemple, le service informatique crée son plan BCP dans le cadre de son budget, mais le DSI n'a pas une vision globale de l'entreprise. Mon exemple préféré est la vidéoconférence. Quand la visioconférence du PDG ne fonctionne pas, qui va-t-il éviscérer ? Le DSI qui « n’a pas fourni ». Alors, du point de vue du CIO, quelle est la chose la plus importante dans l’entreprise ? Ce pour quoi les gens « l’aiment » toujours : la vidéoconférence, qui se transforme immédiatement en un système critique pour l’entreprise. Et d'un point de vue commercial - eh bien, pas de VKS, pensez-y, nous parlerons au téléphone, comme sous Brejnev...
De plus, le service informatique pense généralement que sa tâche principale en cas de sinistre est de rétablir le fonctionnement des systèmes informatiques de l'entreprise. Mais parfois, vous n’avez pas besoin de faire cela ! S'il existe un processus commercial sous la forme d'impression de morceaux de papier sur une imprimante terriblement coûteuse, vous ne devriez pas acheter une deuxième imprimante de ce type comme pièce de rechange et la placer à côté en cas de panne. Il peut suffire de colorer temporairement les morceaux de papier à la main.
Si nous construisons une protection continue au sein de l'informatique, nous devons obtenir le soutien de la haute direction et des représentants de l'entreprise. Sinon, après avoir évolué au sein du service informatique, vous pouvez résoudre un certain nombre de problèmes, mais pas tous ceux qui sont nécessaires.
Voici à quoi ressemble la situation lorsque seul le service informatique dispose de plans de reprise après sinistre.
10. Aucun test
S'il existe un plan, il doit être testé. Pour ceux qui ne connaissent pas les normes, cela n’est pas du tout évident. Par exemple, vous avez des panneaux « sortie de secours » accrochés partout. Mais dis-moi, où sont ton seau à incendie, ton crochet et ta pelle ? Où est la bouche d'incendie ? Où doit être placé l’extincteur ? Mais tout le monde devrait le savoir. Il ne nous semble pas du tout logique de trouver un extincteur en entrant dans un bureau.
Peut-être que la nécessité de tester le plan devrait être mentionnée dans le plan lui-même, mais il s’agit d’une décision controversée. Dans tous les cas, un plan ne peut être considéré comme fonctionnel que s’il a été testé au moins une fois. Comme mentionné ci-dessus, j'entends très souvent : « Il y a un plan, toutes les infrastructures sont préparées, mais ce n'est pas un fait que tout se passera comme écrit dans le plan. Parce qu'ils ne l'ont pas testé. Jamais".
En conclusion
Certaines entreprises peuvent analyser leur historique afin de comprendre quels types de problèmes sont susceptibles de se produire et quelle est leur probabilité. La recherche et l’expérience suggèrent que nous ne pouvons pas nous protéger de tout. La merde, tôt ou tard, arrive à n’importe quelle entreprise. Une autre chose est de savoir dans quelle mesure vous serez préparé à cette situation ou à une situation similaire et si vous serez en mesure de restaurer votre entreprise à temps.
Certains pensent que la continuité consiste à éliminer toutes sortes de risques afin qu’ils ne se matérialisent pas. Non, le fait est que les risques se matérialiseront et nous y serons prêts. Les soldats sont entraînés non pas à penser au combat, mais à agir. C'est pareil avec un plan PCA : il vous permettra de relancer votre activité le plus rapidement possible.
Le seul équipement qui ne nécessite pas de BCP
Igor Tioukatchev,
Consultant en continuité des activités
Centre de conception de systèmes informatiques
"Systèmes d'information Jet"
Source: habr.com