BCP विकसित करताना शीर्ष 11 चुका

सर्वांना नमस्कार, माझे नाव इगोर ट्युकाचेव्ह आहे आणि मी व्यवसाय सातत्य सल्लागार आहे. आजच्या पोस्टमध्ये आपण सामान्य सत्यांची दीर्घ आणि कंटाळवाणी चर्चा करणार आहोत. मला माझा अनुभव सांगायचा आहे आणि व्यवसाय सातत्य योजना विकसित करताना कंपन्या ज्या मुख्य चुका करतात त्याबद्दल बोलू इच्छितो.

1. यादृच्छिकपणे RTO आणि RPO

मी पाहिलेली सर्वात महत्वाची चूक म्हणजे पुनर्प्राप्ती वेळ (RTO) पातळ हवेतून बाहेर काढला जातो. बरं, पातळ हवेच्या बाहेर - उदाहरणार्थ, दोन वर्षांपूर्वीच्या SLA मधील काही संख्या आहेत जे कोणीतरी त्यांच्या मागील कामाच्या ठिकाणाहून आणले होते. ते असे का करतात? तथापि, सर्व पद्धतींनुसार, आपण प्रथम व्यवसाय प्रक्रियेच्या परिणामांचे विश्लेषण करणे आवश्यक आहे आणि या विश्लेषणाच्या आधारे, लक्ष्य पुनर्प्राप्ती वेळ आणि स्वीकार्य डेटा गमावण्याची गणना करणे आवश्यक आहे. परंतु असे विश्लेषण करण्यास काहीवेळा बराच वेळ लागतो, काहीवेळा ते महाग असते, काहीवेळा ते कसे स्पष्ट नसते—काय करणे आवश्यक आहे यावर जोर द्या. आणि अनेकांच्या मनात येणारी पहिली गोष्ट म्हणजे: “आम्ही सर्व प्रौढ आहोत आणि व्यवसाय कसा चालतो हे समजतो. चला वेळ आणि पैसा वाया घालवू नका! चला प्लस किंवा मायनस जसे असावे तसे घेऊ. सर्वहारा चातुर्य वापरून तुमच्या डोक्यातून! आरटीओला दोन तास होऊ द्या.”

यातून काय घडते? जेव्हा तुम्ही काही विशिष्ट संख्येसह आवश्यक RTO/RPO सुनिश्चित करण्यासाठी क्रियाकलापांसाठी पैशासाठी व्यवस्थापनाकडे येता, तेव्हा त्यास नेहमी समर्थनाची आवश्यकता असते. जर कोणतेही औचित्य नसेल, तर प्रश्न उद्भवतो: तुम्हाला ते कोठून मिळाले? आणि उत्तर देण्यासाठी काहीही नाही. परिणामी, तुमच्या कामावरील आत्मविश्वास उडून जातो.

याशिवाय, कधीकधी त्या दोन तासांच्या पुनर्प्राप्तीसाठी एक दशलक्ष डॉलर्स खर्च होतात. आणि आरटीओच्या कालावधीचे औचित्य सिद्ध करणे ही पैशाची बाब आहे आणि त्यात खूप मोठी आहे.

आणि शेवटी, जेव्हा तुम्ही तुमचा BCP आणि/किंवा DR प्लॅन कलाकारांसमोर आणता (जे खरोखर अपघाताच्या क्षणी धावत असतील आणि त्यांचे हात हलवत असतील), ते एक समान प्रश्न विचारतील: हे दोन तास कुठून आले? आणि जर तुम्ही हे स्पष्टपणे समजावून सांगू शकत नसाल, तर त्यांना तुमच्यावर किंवा तुमच्या दस्तऐवजावर विश्वास राहणार नाही.

कागदाच्या तुकड्यासाठी कागदाचा तुकडा निघाला, सदस्यता रद्द करा. तसे, काहीजण हे जाणूनबुजून करतात, फक्त नियामकाच्या गरजा पूर्ण करण्यासाठी.

बरं समजलं

2. प्रत्येक गोष्टीसाठी बरा

काही लोकांचा असा विश्वास आहे की सर्व व्यवसाय प्रक्रियांना कोणत्याही धोक्यांपासून संरक्षण करण्यासाठी BCP योजना विकसित केली गेली आहे. अलीकडे, प्रश्न "आम्ही स्वतःला कशापासून वाचवायचे आहे?" मी उत्तर ऐकले: "सर्व काही आणि बरेच काही."

पण वस्तुस्थिती अशी आहे की योजना केवळ संरक्षणासाठी आहे विशिष्ट पासून कंपनीच्या प्रमुख व्यवसाय प्रक्रिया विशिष्ट धमक्या म्हणून, योजना विकसित करण्यापूर्वी, जोखमीच्या घटनेचे मूल्यांकन करणे आणि व्यवसायासाठी त्यांच्या परिणामांचे विश्लेषण करणे आवश्यक आहे. कंपनी कोणत्या धमक्यांना घाबरते हे समजून घेण्यासाठी जोखीम मूल्यांकन आवश्यक आहे. इमारत नष्ट झाल्यास एक सातत्य योजना असेल, मंजुरीच्या दबावाच्या बाबतीत - दुसरी, पुराच्या बाबतीत - तिसरी. वेगवेगळ्या शहरांमधील दोन समान साइट्समध्येही लक्षणीय भिन्न योजना असू शकतात.

एका बीसीपीसह संपूर्ण कंपनीचे संरक्षण करणे अशक्य आहे, विशेषत: मोठ्या कंपनीचे. उदाहरणार्थ, विशाल X5 रिटेल ग्रुपने दोन प्रमुख व्यावसायिक प्रक्रियांसह सातत्य सुनिश्चित करण्यास सुरुवात केली (आम्ही याबद्दल लिहिले येथे). आणि संपूर्ण कंपनीला एका योजनेसह जोडणे केवळ अवास्तव आहे; हे "सामूहिक जबाबदारी" च्या श्रेणीतून आहे, जेव्हा प्रत्येकजण जबाबदार असतो आणि कोणीही जबाबदार नसते.

आयएसओ 22301 मानकामध्ये पॉलिसीची संकल्पना आहे, ज्यासह, खरं तर, कंपनीमध्ये सातत्य प्रक्रिया सुरू होते. आपण कशापासून संरक्षण करू आणि कशापासून ते वर्णन करतो. जर लोक धावत आले आणि हे आणि ते जोडण्यासाठी विचारले, उदाहरणार्थ:

- बीसीपीमध्ये आपण हॅक होण्याचा धोका वाढवूया?

किंवा

— अलीकडे, पावसाळ्यात, आमच्या वरच्या मजल्यावर पूर आला होता - पूर आल्यास काय करावे याची एक परिस्थिती जोडूया?

त्यानंतर लगेच त्यांना या धोरणाचा संदर्भ द्या आणि सांगा की आम्ही विशिष्ट कंपनीच्या मालमत्तेचे संरक्षण करतो आणि केवळ विशिष्ट, पूर्व-संमत धोक्यांपासून संरक्षण करतो, कारण ते आता प्राधान्य आहे.

आणि जरी बदलांचे प्रस्ताव खरोखरच योग्य असले तरी, पॉलिसीच्या पुढील आवृत्तीमध्ये ते विचारात घेण्याची ऑफर द्या. कारण कंपनीचे संरक्षण करण्यासाठी खूप पैसा खर्च होतो. त्यामुळे BCP योजनेतील सर्व बदल बजेट समिती आणि नियोजनामार्फत होणे आवश्यक आहे. आम्ही शिफारस करतो की कंपनीच्या व्यवसाय सातत्य धोरणाचे वर्षातून एकदा किंवा कंपनीच्या संरचनेत किंवा बाह्य परिस्थितीत लक्षणीय बदल झाल्यानंतर लगेच पुनरावलोकन करा (असे म्हटल्याबद्दल वाचक मला क्षमा करतील).

3. कल्पनारम्य आणि वास्तव

असे अनेकदा घडते की BCP योजना तयार करताना, लेखक जगाचे काही आदर्श चित्र वर्णन करतात. उदाहरणार्थ, "आमच्याकडे दुसरे डेटा सेंटर नाही, परंतु आम्ही जसे करतो तसे योजना लिहू." किंवा व्यवसायात अद्याप पायाभूत सुविधांचा काही भाग नाही, परंतु भविष्यात ते दिसून येईल या आशेने कर्मचारी अद्याप ते योजनेत जोडतील. आणि मग कंपनी योजनेवर वास्तविकता पसरवेल: दुसरे डेटा सेंटर तयार करा, इतर बदलांचे वर्णन करा.

डावीकडे BCP शी संबंधित पायाभूत सुविधा आहे, उजवीकडे खरी पायाभूत सुविधा आहे

हे सर्व एक चूक आहे. BCP योजना लिहिणे म्हणजे पैसे खर्च करणे. तुम्ही आत्ता काम करत नसलेली योजना लिहिल्यास, तुम्हाला खूप महाग कागदासाठी पैसे द्यावे लागतील. त्यातून सावरणे अशक्य आहे, त्याची चाचणी घेणे अशक्य आहे. कामानिमित्त ते काम निघाले.
तुम्ही योजना खूप लवकर लिहू शकता, परंतु बॅकअप इन्फ्रास्ट्रक्चर तयार करणे आणि सर्व संरक्षण उपायांवर पैसे खर्च करणे लांब आणि महाग आहे. यास एक वर्षापेक्षा जास्त वेळ लागू शकतो. आणि असे होऊ शकते की आपल्याकडे आधीपासूनच एक योजना आहे आणि त्यासाठीची पायाभूत सुविधा दोन वर्षांत दिसून येईल. अशा योजनेची गरज का आहे? ते तुम्हाला कशापासून वाचवेल?

BCP डेव्हलपमेंट टीम जेव्हा तज्ञांना त्यांनी काय आणि कोणत्या वेळी करावे हे शोधून काढण्यास सुरुवात करते तेव्हा ही एक कल्पनारम्य गोष्ट आहे. हे या श्रेणीतून येते: “जेव्हा तुम्ही टायगामध्ये अस्वल पाहता तेव्हा तुम्हाला अस्वलाच्या विरुद्ध दिशेने वळावे लागते आणि अस्वलाच्या वेगापेक्षा जास्त वेगाने धावावे लागते. हिवाळ्याच्या महिन्यांत, तुम्हाला तुमचे ट्रॅक कव्हर करावे लागतील.”

4. शीर्ष आणि मुळे

चौथी सर्वात महत्वाची चूक म्हणजे योजना खूप वरवरची किंवा खूप तपशीलवार बनवणे. आम्हाला सोनेरी अर्थाची गरज आहे. योजना मूर्खांसाठी खूप तपशीलवार नसावी, परंतु ती खूप सामान्य नसावी जेणेकरून असे काहीतरी होईल:

सर्वसाधारणपणे सोपे आहे

5. सीझरला - सीझर म्हणजे काय, मेकॅनिकला - मेकॅनिक काय आहे.

पुढील चूक मागील एकापासून उद्भवते: एक योजना व्यवस्थापनाच्या सर्व स्तरांसाठी सर्व क्रिया सामावून घेऊ शकत नाही. BCP योजना सहसा मोठ्या आर्थिक प्रवाह असलेल्या मोठ्या कंपन्यांसाठी विकसित केल्या जातात (तसे, आमच्या मते संशोधन, सरासरी, 48% मोठ्या रशियन कंपन्यांना आपत्कालीन परिस्थितींचा सामना करावा लागला ज्यामध्ये लक्षणीय आर्थिक नुकसान होते) आणि बहु-स्तरीय व्यवस्थापन प्रणाली. अशा कंपन्यांसाठी, सर्व काही एका दस्तऐवजात बसविण्याचा प्रयत्न करणे योग्य नाही. जर कंपनी मोठी आणि संरचित असेल तर योजनेचे तीन वेगळे स्तर असावेत:

• धोरणात्मक स्तर - वरिष्ठ व्यवस्थापनासाठी;
• रणनीतिक पातळीवर - मध्यम व्यवस्थापकांसाठी;
• आणि ऑपरेशनल लेव्हल - थेट क्षेत्रात गुंतलेल्यांसाठी.

उदाहरणार्थ, जर आपण अयशस्वी पायाभूत सुविधा पुनर्संचयित करण्याबद्दल बोलत असाल, तर धोरणात्मक स्तरावर पुनर्प्राप्ती योजना सक्रिय करण्याचा निर्णय घेतला जातो, रणनीतिक पातळीवर प्रक्रिया प्रक्रियेचे वर्णन केले जाऊ शकते आणि ऑपरेशनल स्तरावर विशिष्ट कार्यान्वित करण्याच्या सूचना आहेत. उपकरणांचे तुकडे.

बजेटशिवाय BCP

प्रत्येकजण त्यांच्या जबाबदारीचे क्षेत्र आणि इतर कर्मचार्‍यांशी संबंध पाहतो. अपघाताच्या क्षणी, प्रत्येकजण एक योजना उघडतो, त्वरीत त्यांचा भाग शोधतो आणि त्याचे अनुसरण करतो. आदर्शपणे, कोणती पृष्ठे उघडायची हे तुम्हाला मनापासून लक्षात ठेवणे आवश्यक आहे, कारण कधीकधी मिनिटे मोजतात.

6. भूमिका बजावणे

BCP योजना तयार करताना दुसरी चूक: योजनेमध्ये विशिष्ट नावे, ईमेल पत्ते आणि इतर संपर्क माहिती समाविष्ट करण्याची आवश्यकता नाही. दस्तऐवजाच्या मजकुरातच, केवळ वैयक्तिक भूमिका सूचित केल्या पाहिजेत आणि या भूमिकांना विशिष्ट कार्यांसाठी जबाबदार असलेल्यांची नावे नियुक्त केली जावीत आणि त्यांचे संपर्क योजनेच्या परिशिष्टात सूचीबद्ध केले जावेत.

का?

आज, बहुतेक लोक दर दोन ते तीन वर्षांनी नोकरी बदलतात. आणि जर तुम्ही सर्व जबाबदार आणि त्यांचे संपर्क योजनेच्या मजकुरात लिहून ठेवले तर ते सतत बदलले पाहिजे. आणि मोठ्या कंपन्यांमध्ये आणि विशेषत: सरकारी कंपन्यांमध्ये, कोणत्याही दस्तऐवजातील प्रत्येक बदलासाठी अनेक मंजूरी आवश्यक असतात.

हे सांगायला नको की जर आपत्कालीन परिस्थिती उद्भवली आणि तुम्हाला वेडसरपणे योजनेतून बाहेर पडून योग्य संपर्क शोधावा लागला तर तुमचा मौल्यवान वेळ गमवावा लागेल.

लाइफ हॅक: जेव्हा तुम्ही एखादे अॅप्लिकेशन बदलता, तेव्हा तुम्हाला ते मंजूर करण्याचीही गरज नसते. दुसरी टीप: तुम्ही प्लॅन अपडेट ऑटोमेशन सिस्टम वापरू शकता.

7. आवृत्तीची कमतरता

सहसा ते योजना आवृत्ती 1.0 तयार करतात आणि नंतर संपादन मोडशिवाय आणि फाइलचे नाव न बदलता सर्व बदल करतात. त्याच वेळी, मागील आवृत्तीच्या तुलनेत काय बदलले आहे हे अनेकदा अस्पष्ट आहे. आवृत्तीच्या अनुपस्थितीत, योजना स्वतःचे जीवन जगते, ज्याचा कोणत्याही प्रकारे मागोवा घेतला जात नाही. कोणत्याही BCP योजनेच्या दुसऱ्या पानावर आवृत्ती, बदलांचे लेखक आणि स्वतःच बदलांची यादी दर्शविली पाहिजे.

हे आता कोणीही काढू शकत नाही

8. मी कोणाला विचारावे?

बर्‍याचदा कंपन्यांमध्ये BCP योजनेसाठी जबाबदार व्यक्ती नसते आणि व्यवसाय सातत्य राखण्यासाठी जबाबदार असणारा वेगळा विभाग नसतो. ही आदरणीय जबाबदारी CIO, त्याचे डेप्युटी किंवा "तुम्ही माहिती सुरक्षेशी व्यवहार करता, त्यामुळे येथे BCP व्यतिरिक्त आहे" या तत्त्वानुसार नियुक्त केले आहे. परिणामी, योजना वरपासून खालपर्यंत विकसित केली जाते, त्यावर सहमती दर्शविली जाते आणि मंजूर केली जाते.

योजना संग्रहित करणे, अद्ययावत करणे आणि त्यातील माहिती सुधारणे यासाठी कोण जबाबदार आहे? हे कदाचित विहित केलेले नाही. यासाठी स्वतंत्र कर्मचारी नियुक्त करणे व्यर्थ आहे, परंतु विद्यमान कर्मचार्‍यांपैकी एकावर अतिरिक्त कर्तव्ये लोड करणे शक्य आहे, अर्थातच, कारण प्रत्येकजण आता कार्यक्षमतेसाठी प्रयत्नशील आहे: "चला त्याच्यावर कंदील लटकवूया जेणेकरून तो रात्री गवत काढू शकेल," परंतु ते आवश्यक आहे का?

आम्ही BCP त्याच्या निर्मितीनंतर दोन वर्षांनी जबाबदार असलेल्यांचा शोध घेत आहोत

म्हणून, हे सहसा असे घडते: एक योजना विकसित केली गेली आणि धूळाने झाकण्यासाठी लांब बॉक्समध्ये ठेवले. कोणीही त्याची चाचणी घेत नाही किंवा त्याची प्रासंगिकता राखत नाही. जेव्हा मी एखाद्या ग्राहकाकडे येतो तेव्हा मी ऐकतो तो सर्वात सामान्य वाक्प्रचार असा आहे: "एक योजना आहे, परंतु ती खूप पूर्वी विकसित केली गेली होती, त्याची चाचणी झाली की नाही हे माहित नाही, अशी शंका आहे की ती कार्य करत नाही."

9. खूप पाणी

अशा योजना आहेत ज्यामध्ये प्रस्तावना पाच पृष्ठांची आहे, ज्यामध्ये कंपनी काय करते याविषयी माहितीसह, प्रकल्पातील सर्व सहभागींचे पूर्व-आवश्यकतेचे वर्णन आणि धन्यवाद. तुम्ही दहाव्या पानावर खाली स्क्रोल कराल, जिथे उपयुक्त माहिती असेल, तुमच्या डेटा सेंटरला आधीच पूर आला आहे.

तुम्‍ही या क्षणापर्यंत वाचण्‍याचा प्रयत्‍न करत असताना, तुमच्‍या डेटा सेंटरला पूर आला तर तुम्ही काय करावे?

सर्व कॉर्पोरेट "पाणी" वेगळ्या दस्तऐवजात ठेवा. योजना स्वतःच अत्यंत विशिष्ट असणे आवश्यक आहे: या कार्यासाठी जबाबदार व्यक्ती हे करते आणि असेच.

10. मेजवानी कोणाच्या खर्चावर आहे?

अनेकदा, योजना निर्मात्यांना कंपनीच्या उच्च व्यवस्थापनाकडून पाठिंबा मिळत नाही. परंतु व्यवसायातील सातत्य व्यवस्थापित करण्यासाठी आवश्यक बजेट आणि संसाधने व्यवस्थापित करत नाहीत किंवा त्यांच्याकडे नसलेल्या मध्यम व्यवस्थापनाकडून समर्थन आहे. उदाहरणार्थ, आयटी विभाग त्याची BCP योजना त्याच्या बजेटमध्ये तयार करतो, परंतु CIO ला कंपनीचे संपूर्ण चित्र दिसत नाही. माझे आवडते उदाहरण म्हणजे व्हिडिओ कॉन्फरन्सिंग. जेव्हा सीईओची व्हिडिओ कॉन्फरन्सिंग काम करत नाही, तेव्हा तो कोणाला बाहेर काढणार? CIO ज्याने "प्रदान केले नाही." म्हणून, CIO च्या दृष्टिकोनातून, कंपनीमध्ये सर्वात महत्वाची गोष्ट कोणती आहे? लोक त्याच्यासाठी नेहमी "प्रेम" करतात: व्हिडिओ कॉन्फरन्सिंग, जी त्वरित व्यवसाय-गंभीर प्रणालीमध्ये बदलते. आणि व्यवसायाच्या दृष्टिकोनातून - ठीक आहे, व्हीकेएस नाही, जरा विचार करा, आम्ही फोनवर बोलू, जसे की ब्रेझनेव्हच्या खाली ...

याव्यतिरिक्त, आयटी विभाग सहसा असे विचार करतो की आपत्तीच्या परिस्थितीत त्याचे मुख्य कार्य कॉर्पोरेट आयटी सिस्टमचे कार्य पुनर्संचयित करणे आहे. परंतु कधीकधी आपल्याला हे करण्याची आवश्यकता नाही! जर अत्यंत महागड्या प्रिंटरवर कागदाचे तुकडे मुद्रित करण्याच्या स्वरूपात व्यवसाय प्रक्रिया असेल, तर तुम्ही असा दुसरा प्रिंटर स्पेअर म्हणून विकत घेऊ नये आणि बिघाड झाल्यास त्याच्या शेजारी ठेवू नये. कागदाच्या तुकड्यांना हाताने तात्पुरते रंग देणे पुरेसे असू शकते.

आम्ही IT मध्ये सतत संरक्षण निर्माण करत असल्यास, आम्ही वरिष्ठ व्यवस्थापन आणि व्यवसाय प्रतिनिधींचे समर्थन नोंदवले पाहिजे. अन्यथा, आयटी विभागात प्रवेश केल्यावर, आपण विशिष्ट श्रेणीतील समस्या सोडवू शकता, परंतु सर्व आवश्यक नाही.

केवळ आयटी विभागाकडे डीआर योजना असताना ही परिस्थिती दिसते

10. चाचणी नाही

योजना असल्यास, त्याची चाचणी करणे आवश्यक आहे. मानकांशी परिचित नसलेल्यांसाठी, हे अजिबात स्पष्ट नाही. उदाहरणार्थ, तुमच्याकडे सर्वत्र "इमर्जन्सी एक्झिट" चिन्हे टांगलेली आहेत. पण मला सांगा, तुमची फायर बकेट, हुक आणि फावडे कुठे आहे? फायर हायड्रंट कुठे आहे? अग्निशामक यंत्रणा कुठे असावी? पण हे प्रत्येकाने जाणून घेतले पाहिजे. कार्यालयात प्रवेश करताना अग्निशामक यंत्र शोधणे आम्हाला अजिबात तर्कसंगत वाटत नाही.

कदाचित योजनेची चाचणी घेण्याची गरज योजनेतच नमूद केली जावी, परंतु हा एक वादग्रस्त निर्णय आहे. कोणत्याही परिस्थितीत, एखाद्या योजनेची किमान एकदा चाचणी केली गेली असेल तरच ती कार्यरत मानली जाऊ शकते. वर नमूद केल्याप्रमाणे, मी बरेचदा ऐकतो: “एक योजना आहे, सर्व पायाभूत सुविधा तयार आहेत, परंतु हे तथ्य नाही की योजनेत लिहिलेल्याप्रमाणे सर्वकाही कार्य करेल. कारण त्यांनी त्याची चाचणी घेतली नाही. कधीच नाही".

शेवटी

कोणत्या प्रकारची समस्या उद्भवण्याची शक्यता आहे आणि ते किती शक्यता आहे हे समजून घेण्यासाठी काही कंपन्या त्यांच्या इतिहासाचे विश्लेषण करू शकतात. संशोधन आणि अनुभव असे सूचित करतात की आपण प्रत्येक गोष्टीपासून स्वतःचे संरक्षण करू शकत नाही. उशीरा, लवकर किंवा नंतर, कोणत्याही कंपनीला घडते. दुसरी गोष्ट म्हणजे तुम्ही या किंवा तत्सम परिस्थितीसाठी किती तयार असाल आणि तुम्ही तुमचा व्यवसाय वेळेत पुनर्संचयित करू शकाल का.

काही लोकांना असे वाटते की सातत्य म्हणजे सर्व प्रकारचे धोके कसे दूर करावेत जेणेकरून ते प्रत्यक्षात येऊ नयेत. नाही, मुद्दा असा आहे की जोखीम प्रत्यक्षात येतील आणि आम्ही यासाठी तयार आहोत. सैनिकांना युद्धात विचार करण्याचे नाही तर कृती करण्याचे प्रशिक्षण दिले जाते. हे BCP योजनेच्या बाबतीतही असेच आहे: ते तुम्हाला तुमचा व्यवसाय शक्य तितक्या लवकर पुनर्संचयित करण्यास अनुमती देईल.

BCP आवश्यक नसलेली एकमेव उपकरणे

इगोर ट्युकाचेव्ह,
व्यवसाय सातत्य सल्लागार
सेंटर फॉर डिझाईन ऑफ कॉम्प्युटिंग सिस्टम
"जेट इन्फोसिस्टम्स"

स्त्रोत: www.habr.com