Hallo allemaal, mijn naam is Igor Tyukachev en ik ben een bedrijfscontinuïteitsconsulent. In de post van vandaag zullen we een lange en vervelende discussie hebben over algemene waarheden. Ik wil mijn ervaring delen en praten over de belangrijkste fouten die bedrijven maken bij het ontwikkelen van een bedrijfscontinuïteitsplan.
1. RTO en RPO willekeurig
De belangrijkste fout die ik heb gezien is dat de hersteltijd (RTO) uit het niets wordt gehaald. Nou ja, uit het niets: er zijn bijvoorbeeld enkele cijfers van twee jaar geleden uit de SLA die iemand heeft meegenomen van zijn vorige werkplek. Waarom doen ze dit? Volgens alle methoden moet je immers eerst de gevolgen voor bedrijfsprocessen analyseren en op basis van deze analyse de beoogde hersteltijd en acceptabel dataverlies berekenen. Maar het uitvoeren van zo’n analyse duurt soms lang, soms is het duur, soms is het niet erg duidelijk hoe – benadruk wat er moet gebeuren. En het eerste dat bij velen in gedachten komt is: “We zijn allemaal volwassenen en begrijpen hoe zaken werken. Laten we geen tijd en geld verspillen! Laten we plus of min nemen zoals het zou moeten zijn. Uit je hoofd, met behulp van proletarisch vernuft! Laat de RTO twee uur zijn.’
Waar leidt dit toe? Als je bij het management aanklopt voor geld voor activiteiten om de vereiste RTO/RPO met bepaalde cijfers te garanderen, is er altijd een rechtvaardiging nodig. Als er geen rechtvaardiging is, rijst de vraag: waar heb je het vandaan? En er valt niets te beantwoorden. Hierdoor gaat het vertrouwen in je werk verloren.
Bovendien kostten die twee uur herstel soms een miljoen dollar. En het rechtvaardigen van de duur van de RTO is een kwestie van geld, en ook van hele grote kwesties.
En ten slotte, als je je BCP- en/of DR-plan aan de artiesten voorlegt (die op het moment van het ongeval daadwerkelijk met hun armen zullen rennen en zwaaien), zullen zij een soortgelijke vraag stellen: waar komen deze twee uur vandaan? En als u dit niet duidelijk kunt uitleggen, zullen ze geen vertrouwen hebben in u en uw document.
Het blijkt een stukje papier te zijn ter wille van een stukje papier, een afmelding. Sommigen doen dit trouwens bewust, simpelweg om aan de eisen van de toezichthouder te voldoen.
Nou, je hebt het
2. De remedie voor alles
Sommige mensen zijn van mening dat een BCP-plan is ontwikkeld om alle bedrijfsprocessen tegen eventuele bedreigingen te beschermen. Recentelijk is de vraag “Waar willen we ons tegen beschermen?” Ik hoorde het antwoord: “Alles en meer.”
Maar feit is dat het plan alleen bedoeld is om te beschermen specifiek belangrijkste bedrijfsprocessen van het bedrijf uit specifiek gevaren. Voordat u een plan ontwikkelt, is het daarom noodzakelijk om het optreden van risico's te beoordelen en de gevolgen ervan voor het bedrijf te analyseren. Risicobeoordeling is nodig om te begrijpen voor welke bedreigingen het bedrijf bang is. In geval van vernieling van gebouwen zal er één continuïteitsplan zijn, in geval van sanctiedruk een ander, in geval van overstroming een derde. Zelfs twee identieke locaties in verschillende steden kunnen aanzienlijk verschillende plannen hebben.
Het is onmogelijk om met één BCP een heel bedrijf te beschermen, zeker niet als het een groot bedrijf betreft. De enorme X5 Retail Group begon bijvoorbeeld de continuïteit te garanderen met twee belangrijke bedrijfsprocessen (we schreven hierover). ). En het is simpelweg onrealistisch om het hele bedrijf in één plan te stoppen; dit valt in de categorie van ‘collectieve verantwoordelijkheid’, waarbij iedereen verantwoordelijk is en niemand verantwoordelijk is.
De ISO 22301-norm bevat het concept van een beleid, waarmee feitelijk het continuïteitsproces in het bedrijf begint. Het beschrijft wat we gaan beschermen en waartegen. Als mensen komen rennen en vragen om dit en dat toe te voegen, bijvoorbeeld:
— Laten we aan BCP het risico toevoegen dat we worden gehackt?
Of
— Onlangs is tijdens een regenbui onze bovenste verdieping ondergelopen. Laten we een scenario toevoegen van wat we moeten doen in geval van een overstroming?
Verwijs ze dan onmiddellijk naar dit beleid en zeg dat we specifieke bedrijfsmiddelen beschermen en alleen tegen specifieke, vooraf overeengekomen bedreigingen, omdat deze nu de prioriteit hebben.
En zelfs als voorstellen voor veranderingen inderdaad passend zijn, bied dan aan om hiermee rekening te houden in de volgende versie van het beleid. Want het beschermen van een bedrijf kost veel geld. Alle wijzigingen aan het BCP-plan moeten dus via de begrotingscommissie en de planning gaan. We raden aan om het bedrijfscontinuïteitsbeleid van het bedrijf eenmaal per jaar te herzien, of onmiddellijk na belangrijke veranderingen in de bedrijfsstructuur of externe omstandigheden (mogen de lezers mij vergeven dat ik dat zeg).
3. Fantasieën en realiteit
Het komt vaak voor dat de auteurs bij het opstellen van een BCP-plan een ideaalbeeld van de wereld schetsen. Bijvoorbeeld: “we hebben geen tweede datacenter, maar we zullen een plan schrijven alsof we dat wel hebben.” Of het bedrijf beschikt nog niet over een deel van de infrastructuur, maar werknemers voegen dit toch toe aan het plan in de hoop dat dit in de toekomst zal verschijnen. En dan zal het bedrijf de realiteit op het plan toepassen: een tweede datacenter bouwen, andere veranderingen beschrijven.
Aan de linkerkant is de infrastructuur die overeenkomt met BCP, aan de rechterkant is de echte infrastructuur
Dit is allemaal een vergissing. Een BCP-plan schrijven betekent geld uitgeven. Als u een plan schrijft dat op dit moment niet werkt, betaalt u voor heel duur papier. Het is onmogelijk om ervan te herstellen, het is onmogelijk om het te testen. Het blijkt werk om het werk te zijn.
Je kunt vrij snel een plan schrijven, maar het bouwen van een back-upinfrastructuur en het uitgeven van geld aan alle beveiligingsoplossingen is lang en duur. Dit kan meer dan een jaar duren. En het kan blijken dat je al een plan hebt, en de infrastructuur daarvoor zal over twee jaar verschijnen. Waarom is zo’n plan nodig? Waartegen zal het je beschermen?
Het is ook een fantasie wanneer het BCP-ontwikkelteam voor de experts begint uit te zoeken wat ze moeten doen en op welke tijd. Het komt uit de categorie: “Als je een beer in de taiga ziet, moet je in de tegenovergestelde richting van de beer draaien en rennen met een snelheid die groter is dan de snelheid van de beer. Tijdens de wintermaanden moet je je sporen uitwissen.”
4. Topjes en wortels
De vierde belangrijkste fout is dat het plan te oppervlakkig of te gedetailleerd wordt gemaakt. We hebben een gulden middenweg nodig. Het plan moet niet te gedetailleerd zijn voor idioten, maar ook niet te algemeen, zodat zoiets als dit eindigt:
Over het algemeen gemakkelijk
5. Voor Caesar - wat is van Caesar, voor de monteur - wat is van de monteur.
De volgende fout vloeit voort uit de vorige: één plan kan niet alle acties voor alle managementniveaus huisvesten. BCP-plannen worden doorgaans ontwikkeld voor grote bedrijven met grote financiële stromen (volgens ons trouwens). gemiddeld 48% van de grote Russische bedrijven te maken kreeg met noodsituaties die aanzienlijke financiële verliezen met zich meebrachten) en een managementsysteem op meerdere niveaus. Voor dergelijke bedrijven is het niet de moeite waard om alles in één document te passen. Als het bedrijf groot en gestructureerd is, moet het plan drie afzonderlijke niveaus hebben:
- strategisch niveau - voor senior management;
- tactisch niveau - voor middenmanagers;
- en het operationele niveau – voor degenen die direct bij het veld betrokken zijn.
Als we het bijvoorbeeld hebben over het herstellen van een falende infrastructuur, dan wordt op strategisch niveau besloten het herstelplan te activeren, op tactisch niveau kunnen de procesprocedures worden beschreven en op operationeel niveau zijn er instructies voor het in bedrijf stellen van specifieke uitrustingsstukken.
BCP zonder budget
Iedereen ziet zijn verantwoordelijkheidsgebied en verbindingen met andere medewerkers. Op het moment van een ongeluk opent iedereen een plan, vindt snel zijn deel en volgt het. Idealiter moet je uit je hoofd onthouden welke pagina's je moet openen, want soms tellen de minuten.
6. Rollenspel
Nog een fout bij het opstellen van een BCP-plan: het is niet nodig om specifieke namen, e-mailadressen en andere contactgegevens in het plan op te nemen. In de tekst van het document zelf mogen alleen onpersoonlijke rollen worden aangegeven, en aan deze rollen moeten de namen worden toegekend van degenen die verantwoordelijk zijn voor specifieke taken, en hun contacten moeten worden vermeld in de bijlage bij het plan.
Waarom?
Tegenwoordig veranderen de meeste mensen elke twee tot drie jaar van baan. En als je alle verantwoordelijken en hun contacten in de tekst van het plan opschrijft, dan zal het voortdurend moeten veranderen. En bij grote bedrijven, en vooral bij de overheid, vereist elke wijziging aan welk document dan ook een heleboel goedkeuringen.
Om nog maar te zwijgen van het feit dat als er zich een noodsituatie voordoet en u verwoed door het plan moet bladeren en op zoek moet gaan naar de juiste contactpersoon, u kostbare tijd verliest.
Lifehack: als je een applicatie wijzigt, hoef je deze vaak niet eens goed te keuren. Nog een tip: u kunt automatiseringssystemen voor planupdates gebruiken.
7. Gebrek aan versiebeheer
Meestal maken ze een planversie 1.0 en brengen vervolgens alle wijzigingen aan zonder de bewerkingsmodus en zonder de bestandsnaam te wijzigen. Tegelijkertijd is het vaak onduidelijk wat er veranderd is ten opzichte van de vorige versie. Bij gebrek aan versiebeheer leeft het plan zijn eigen leven, dat op geen enkele manier wordt gevolgd. Op de tweede pagina van elk BCP-plan moet de versie, de auteur van de wijzigingen en een lijst met de wijzigingen zelf worden vermeld.
Niemand kan er meer achter komen
8. Aan wie moet ik het vragen?
Vaak hebben bedrijven geen verantwoordelijke voor het BCP-plan en is er geen aparte afdeling die verantwoordelijk is voor de bedrijfscontinuïteit. Deze eervolle verantwoordelijkheid wordt toegewezen aan de CIO, zijn plaatsvervanger, of volgens het principe ‘jij hebt te maken met informatiebeveiliging, dus hier is BCP als aanvulling’. Het resultaat is dat het plan van boven tot onder wordt ontwikkeld, overeengekomen en goedgekeurd.
Wie is verantwoordelijk voor het opslaan van het plan, het bijwerken en herzien van de informatie daarin? Dit mag niet worden voorgeschreven. Hiervoor een aparte medewerker inhuren is verspilling, maar een van de bestaande medewerkers belasten met extra taken is natuurlijk mogelijk, omdat iedereen nu naar efficiëntie streeft: "Laten we een lantaarn aan hem hangen zodat hij 's nachts kan maaien", maar Is het noodzakelijk?
We zijn op zoek naar de verantwoordelijken voor BCP twee jaar na de oprichting ervan
Daarom gebeurt het vaak zo: er werd een plan ontwikkeld en in een lange doos gestopt om onder het stof te komen. Niemand test het of handhaaft de relevantie ervan. De meest voorkomende zin die ik hoor als ik bij een klant kom is: “Er is een plan, maar het is al lang geleden ontwikkeld, of het getest is is onbekend, het vermoeden bestaat dat het niet werkt.”
9. Te veel water
Er zijn plannen waarin de introductie vijf pagina's lang is, inclusief een beschrijving van de randvoorwaarden en dank aan alle deelnemers aan het project, met informatie over wat het bedrijf doet. Tegen de tijd dat u naar de tiende pagina scrolt, waar nuttige informatie staat, is uw datacenter al overstroomd.
Wat moet u doen als uw datacenter onder water staat als u tot nu toe probeert uit te lezen?
Plaats al het bedrijfswater in een apart document. Het plan zelf moet uiterst specifiek zijn: de persoon die verantwoordelijk is voor deze taak doet dit, enzovoort.
10. Op wiens kosten is het banket?
Vaak krijgen planmakers geen steun van het topmanagement van het bedrijf. Maar er is steun van het middenmanagement dat de bedrijfscontinuïteit niet beheert of niet over het nodige budget en middelen beschikt. De IT-afdeling maakt bijvoorbeeld haar BCP-plan binnen haar budget, maar de CIO overziet niet het hele bedrijfsplaatje. Mijn favoriete voorbeeld is videoconferenties. Als de videoconferenties van de CEO niet werken, wie zal hij dan van de ingewanden ontdoen? De CIO die ‘niet heeft voorzien’. Wat is daarom, vanuit het perspectief van de CIO, het belangrijkste in het bedrijf? Waar mensen altijd ‘van houden’ van hem: videoconferenties, die meteen een bedrijfskritisch systeem worden. En vanuit zakelijk oogpunt - nou ja, geen VKS, denk maar aan, we zullen aan de telefoon praten, zoals onder Brezjnev...
Daarnaast denkt de IT-afdeling doorgaans dat haar hoofdtaak bij een calamiteit het herstellen van de werking van de IT-systemen van bedrijven is. Maar soms hoeft u dit niet te doen! Als er een bedrijfsproces is in de vorm van het afdrukken van stukjes papier op een verschrikkelijk dure printer, dan moet je niet een tweede dergelijke printer kopen als reserve en deze ernaast plaatsen in geval van een storing. Het kan voldoende zijn om de stukjes papier tijdelijk met de hand in te kleuren.
Als we continue bescherming binnen IT willen opbouwen, moeten we de steun inroepen van het senior management en vertegenwoordigers van het bedrijfsleven. Anders kun je, als je binnen de IT-afdeling bent verpopt, een bepaald aantal problemen oplossen, maar niet alle noodzakelijke.
Zo ziet de situatie eruit als alleen de IT-afdeling DR-plannen heeft
10. Geen testen
Als er een plan is, moet het worden getest. Voor degenen die niet bekend zijn met de normen is dit helemaal niet vanzelfsprekend. Zo hangen er bijvoorbeeld overal bordjes met ‘nooduitgang’. Maar vertel me eens, waar zijn je vuuremmer, haak en schep? Waar is de brandkraan? Waar moet de brandblusser zich bevinden? Maar iedereen zou dit moeten weten. Het lijkt ons helemaal niet logisch om bij het betreden van een kantoor een brandblusser aan te treffen.
Misschien moet de noodzaak om het plan te testen in het plan zelf worden vermeld, maar dit is een controversieel besluit. In ieder geval kan een plan pas als werkend worden beschouwd als het minimaal één keer is getest. Zoals hierboven vermeld hoor ik heel vaak: “Er is een plan, alle infrastructuur is voorbereid, maar het is geen feit dat alles zal verlopen zoals geschreven in het plan. Omdat ze het niet hebben getest. Nooit".
Concluderend
Sommige bedrijven kunnen hun geschiedenis analyseren om te begrijpen welke problemen zich waarschijnlijk zullen voordoen en hoe waarschijnlijk deze zijn. Uit onderzoek en ervaring blijkt dat we onszelf niet tegen alles kunnen beschermen. Vroeg of laat overkomt dit elk bedrijf. Een ander ding is hoe voorbereid u bent op deze of een soortgelijke situatie en of u uw bedrijf op tijd kunt herstellen.
Sommige mensen denken dat continuïteit gaat over het elimineren van allerlei soorten risico's, zodat deze zich niet voordoen. Nee, het punt is dat de risico's werkelijkheid zullen worden, en wij zullen hierop voorbereid zijn. Soldaten zijn getraind om in de strijd niet te denken, maar om te handelen. Hetzelfde geldt voor een BCP-plan: hiermee kunt u uw bedrijf zo snel mogelijk herstellen.
De enige apparatuur waarvoor geen BCP nodig is
Igor Tyukachev,
Adviseur bedrijfscontinuïteit
Centrum voor ontwerp van computersystemen
"Jet-infosystemen"
Bron: www.habr.com