BCP kontra DRP: planlegging for driftsavbrudd og gjenoppretting

Planlegging av virksomhetskontinuitet (BCP) og planlegging av katastrofegjenoppretting (DRP) er beslektede, men ulike fagområder. BCP fokuserer på å holde virksomheten i gang under et avbrudd — gjennom manuelle prosesser, alternative lokasjoner eller driftsmoduser med redusert tjenestenivå. DRP fokuserer spesifikt på å gjenopprette IT-systemer og infrastruktur etter en katastrofe. BCP er den bredere paraplyen: DRP er én del av BCP og håndterer teknologigjenoppretting. Begge planene må dokumenteres, testes og holdes oppdaterte.

BCP og DRP aktiveres av forstyrrende hendelser som overstiger det normal operativ hendelseshåndtering kan håndtere. Utløsende hendelser omfatter: løsepengevirusangrep som krypterer kritiske systemer, naturkatastrofer (flom, jordskjelv eller tornado som skader det primære datasenteret), infrastruktursvikt (langvarig strømbrudd eller bortfall av ISP), pandemier eller folkehelsekriser (covid-19 viste hvor viktige planer for kontinuitet ved fjernarbeid er) samt forstyrrelser i leverandørkjeden som hindrer anskaffelse av erstatningsmaskinvare.

En analyse av virksomhetspåvirkning (BIA) er grunnlagsdokumentet for både BCP og DRP. Den identifiserer: hvilke forretningsprosesser som er kritiske og må fortsette for enhver pris, hvilke prosesser som er viktige, men som tåler forsinkelser, den økonomiske og driftsmessige konsekvensen av nedetid for hver prosess (tapte inntekter per time, regulatoriske bøter, omdømmeskade), og den maksimalt tolererbare nedetiden for hver prosess. Resultatene fra BIA fastsetter direkte mål for RTO og RPO, som igjen styrer kravene til teknologisk gjenoppretting.

Når en katastrofe erklæres, aktiveres et krisehåndteringsteam (CMT), som overtar ansvaret for organisasjonens håndtering. CMT-et omfatter toppledelsen samt representanter for IT, juridisk avdeling, kommunikasjon, HR og drift av lokaler. CMT-et følger en forhåndsdefinert hendelseskommandostruktur (ICS) som fordeler tydelige roller: hvem som tar beslutninger om gjenoppretting, hvem som kommuniserer med kunder og medier, hvem som koordinerer med leverandører og tilsynsmyndigheter, og hvem som ivaretar de ansattes velferd. Tydelige kommandostrukturer hindrer kaos og feilkommunikasjon som forsterker konsekvensene av en katastrofe.

BCP er vanligvis avhengig av alternative lokasjoner for å gjenoppta driften når den primære lokasjonen ikke er tilgjengelig. En hot-lokasjon er et fullt utstyrt duplikatanlegg som kontinuerlig synkroniseres, og som kan overta innen få minutter. En warm-lokasjon har utstyr og strøm, men det kreves fra noen timer til flere dager for å laste inn data og konfigurere systemene. En cold-lokasjon er et tomt anlegg med strøm og nettverkstilkobling — utstyr må sendes og installeres, noe som tar fra flere dager til flere uker. Hot-lokasjoner koster betydelig mer, men minimerer nedetiden for kritiske prosesser.

Gjensidige bistandsavtaler er kontrakter mellom organisasjoner om å yte bistand under katastrofer. Vanlige former omfatter: gjensidige avtaler (to organisasjoner avtaler å huse hverandres drift dersom en av dem rammes av en katastrofe), tredjepartsleverandører av DR-tjenester (selskaper som Sungard eller IBM tilbyr anlegg for katastrofegjenoppretting som en tjeneste), og bransjeorganisasjoner for gjensidig bistand (forsyningsselskaper, banker og helsesystemer har formelle nettverk for deling av ressurser under regionale katastrofer). Gjensidige bistandsavtaler må gjennomgås årlig og aktiveres under øvelser.

Kommunikasjonsplaner er en kritisk del av BCP. Under en katastrofe kan vanlige kommunikasjonskanaler være utilgjengelige (e-postservere er nede, kontortelefoner er utilgjengelige). Planene må omfatte: lister over nødkontakter med private mobilnumre, kommunikasjonskanaler utenfor det ordinære nettverket (Slack, en sikkerhetskopiinstans av Teams, privat e-post), prosedyrer for varsling av kunder (statussider, sosiale medier, direkte e-post), krav til varsling av tilsynsmyndigheter (lover om varsling ved datainnbrudd, finansielle tilsynsmyndigheter), og mediehåndtering for å håndtere offentlige uttalelser.

Effektiv BCP-dokumentasjon omfatter flere sentrale komponenter: BIA (identifiserer kritiske prosesser og maksimalt tolererbar nedetid), selve BCP-en (trinnvise prosedyrer for å opprettholde driften), DRP (prosedyrer for IT-gjenoppretting), kataloger over nødkontakter, kontaktlister for leverandører (skyleverandører, ISP-er, viktige leverandører), forsikringsdokumentasjon og prosedyrer for varsling av tilsynsmyndigheter. Alle dokumenter må lagres på steder som er tilgjengelige når de primære systemene ikke er tilgjengelige — trykte kopier, sikker skylagring med frakoblet tilgang eller USB-stasjoner som oppbevares av nøkkelpersonell.

COVID-19 viste at de fleste BCP-planer ikke i tilstrekkelig grad håndterte pandemiscenarioer, der katastrofen ikke er lokal, men rammer alle lokasjoner samtidig. Viktige lærdommer er å sørge for at VPN-infrastrukturen kan skaleres til å støtte 100 % av arbeidsstyrken eksternt (ikke bare 20–30 %, slik design før pandemien forutsatte), ta i bruk skybaserte samarbeidsverktøy som fungerer uten lokal infrastruktur, kontrollere at kritiske prosesser kan fullføres i sin helhet eksternt, og sikre kontinuitet i forsyningskjeden for maskinvare når kontorer raskt må etableres hjemme hos de ansatte.

En BCP som aldri er testet, vil svikte under en faktisk katastrofe. Vanlige tilnærminger til testing omfatter: tabletop-øvelser (diskusjonsbaserte gjennomganger med nøkkelpersonell, uten at systemer aktiveres), funksjonelle øvelser (aktivering av kommunikasjonskjeder og delvise gjenopprettingsprosedyrer), fullskalatester (bytte driften til den alternative lokasjonen og drive virksomheten derfra i en periode), og evalueringer etter hendelser som oppdaterer planen basert på reelle erfaringer. Planene bør gjennomgås årlig og oppdateres etter alle vesentlige endringer i infrastrukturen.

Mange regulerte bransjer krever BCP og DRP. HIPAA krever at omfattede virksomheter har beredskapsplaner som omfatter sikkerhetskopiering av data, DR og prosedyrer for drift i nødmodus. PCI-DSS krever hendelseshåndteringsplaner og kontinuitetsprosedyrer for systemer som omfattes av kravene. FINRA og banktilsyn krever detaljerte BCP-er med årlig testing og innsending til tilsynsmyndighetene. Leverandører av cyberforsikring krever i økende grad dokumenterte og testede BCP-er som vilkår for dekning, og kan avslå krav dersom planene mangler eller ikke er testet når en dekket hendelse oppstår.

I denne leksjonen har De lært at: BCP opprettholder driften under avbrudd, mens DRP gjenoppretter IT-systemer, at analysen av virksomhetspåvirkning identifiserer kritiske prosesser og maksimalt tolererbar nedetid, noe som styrer kravene til gjenoppretting, og at alternative lokasjoner (hot/warm/cold) gir ulike nivåer av gjenopprettingshastighet og kostnad for å gjenoppta driften når den primære lokasjonen ikke er tilgjengelig. Deretter skal vi se på RTO, RPO og MTTR — de spesifikke målene som kvantifiserer gjenopprettingsmål.