BCP a DRP: planowanie na wypadek zakłóceń i odtwarzania

Planowanie ciągłości działania (BCP) i planowanie odtwarzania po awarii (DRP) to powiązane, ale odrębne obszary. BCP koncentruje się na utrzymaniu działania firmy podczas zakłóceń — za pomocą procesów manualnych, lokalizacji zapasowych lub trybów działania z ograniczonym zakresem usług. DRP koncentruje się konkretnie na przywracaniu systemów IT i infrastruktury po awarii. BCP jest szerszym pojęciem: DRP to jeden z jego elementów, odpowiadający za odtwarzanie technologii. Oba plany muszą być udokumentowane, testowane i na bieżąco aktualizowane.

BCP i DRP są aktywowane przez zdarzenia zakłócające, które przekraczają zakres standardowej reakcji na incydenty operacyjne. Wyzwalaczami mogą być: ataki ransomware szyfrujące krytyczne systemy, klęski żywiołowe (powódź, trzęsienie ziemi lub tornado uszkadzające główne centrum danych), awarie infrastruktury (długotrwała przerwa w zasilaniu lub awaria usług ISP), pandemie lub zagrożenia zdrowia publicznego (pandemia COVID-19 pokazała znaczenie planów zapewnienia ciągłości pracy zdalnej) oraz zakłócenia łańcucha dostaw uniemożliwiające pozyskanie sprzętu zastępczego.

Analiza wpływu na działalność (BIA) jest podstawowym dokumentem zarówno dla BCP, jak i DRP. Określa: które procesy biznesowe mają krytyczne znaczenie i muszą być kontynuowane za wszelką cenę, które procesy są ważne, ale mogą tolerować opóźnienia, finansowy i operacyjny wpływ przestoju każdego procesu (utrata przychodów na godzinę, kary regulacyjne, szkody dla reputacji) oraz maksymalny tolerowany czas przestoju dla każdego procesu. Wyniki BIA bezpośrednio wyznaczają wartości docelowe RTO i RPO, które determinują wymagania dotyczące odtwarzania technologii.

Po ogłoszeniu katastrofy zespół zarządzania kryzysowego (Crisis Management Team, CMT) rozpoczyna działanie i przejmuje nadzór nad reakcją organizacji. W skład CMT wchodzą członkowie kadry kierowniczej wyższego szczebla oraz przedstawiciele działów IT, prawnego, komunikacji, HR i administracji obiektów. CMT działa zgodnie ze wstępnie zdefiniowaną strukturą dowodzenia podczas incydentu (Incident Command Structure, ICS), która jasno przypisuje role: kto podejmuje decyzje dotyczące odtwarzania, kto komunikuje się z klientami i mediami, kto koordynuje działania z dostawcami i organami regulacyjnymi oraz kto dba o dobrostan pracowników. Jasna struktura dowodzenia zapobiega chaosowi i nieporozumieniom, które zwiększają skutki katastrofy.

BCP zwykle wykorzystuje zapasowe lokalizacje do wznowienia działalności, gdy główna lokalizacja jest niedostępna. Hot site to w pełni wyposażony obiekt będący duplikatem głównej lokalizacji, stale synchronizowany i zdolny do przejęcia działania w ciągu kilku minut. Warm site dysponuje sprzętem i zasilaniem, ale załadowanie danych i skonfigurowanie systemów wymaga od kilku godzin do kilku dni. Cold site to pusty obiekt z zasilaniem i łącznością — sprzęt trzeba dostarczyć i zainstalować, co zajmuje od kilku dni do kilku tygodni. Hot site są znacznie droższe, ale minimalizują przestoje krytycznych procesów.

Umowy wzajemnej pomocy to umowy między organizacjami dotyczące udzielania wsparcia podczas katastrof. Typowe formy obejmują: umowy wzajemne (dwie organizacje uzgadniają, że w razie katastrofy u jednej z nich druga udostępni jej miejsce do prowadzenia działalności), zewnętrznych dostawców usług DR (firmy takie jak Sungard czy IBM oferują obiekty odtwarzania po awarii jako usługę) oraz branżowe organizacje wzajemnej pomocy (przedsiębiorstwa użyteczności publicznej, banki i systemy opieki zdrowotnej mają formalne sieci umożliwiające współdzielenie zasobów podczas katastrof regionalnych). Umowy wzajemnej pomocy należy przeglądać co roku i uruchamiać podczas ćwiczeń.

Plany komunikacji są kluczowym elementem BCP. Podczas katastrofy normalne kanały komunikacji mogą być niedostępne (serwery poczty e-mail mogą nie działać, a telefony biurowe mogą być niedostępne). Plany muszą obejmować: listy kontaktów alarmowych z prywatnymi numerami telefonów komórkowych, kanały komunikacji poza głównym środowiskiem (Slack, zapasowa instancja Teams, prywatna poczta e-mail), procedury powiadamiania klientów (strony statusowe, media społecznościowe, bezpośrednie wiadomości e-mail), wymogi dotyczące powiadamiania organów regulacyjnych (przepisy dotyczące zgłaszania naruszeń danych, organy nadzoru finansowego) oraz relacje z mediami na potrzeby zarządzania publicznymi komunikatami.

Skuteczna dokumentacja BCP obejmuje kilka kluczowych elementów: BIA (identyfikuje krytyczne procesy i maksymalny tolerowany czas przestoju), sam BCP (szczegółowe procedury krok po kroku służące utrzymaniu działalności), DRP (procedury odtwarzania systemów IT), katalogi kontaktów alarmowych, listy kontaktów do dostawców (dostawcy chmury, ISP, kluczowi dostawcy), dokumentację ubezpieczeniową oraz procedury powiadamiania organów regulacyjnych. Wszystkie dokumenty należy przechowywać w miejscach dostępnych, gdy główne systemy są niedostępne — w postaci wydruków, w bezpiecznej pamięci masowej w chmurze z dostępem offline lub na dyskach USB przechowywanych przez kluczowych pracowników.

COVID-19 pokazał, że większość planów BCP nie uwzględniała odpowiednio scenariuszy pandemicznych, w których katastrofa nie jest lokalna, lecz jednocześnie dotyka wszystkich lokalizacji. Najważniejsze wnioski: należy zapewnić, aby infrastruktura VPN skalowała się tak, by obsłużyć zdalnie 100% pracowników (a nie tylko 20–30%, jak zakładano w projektach sprzed pandemii), wdrożyć oparte na chmurze narzędzia do współpracy działające bez infrastruktury lokalnej, zweryfikować możliwość realizacji krytycznych procesów w całości zdalnie oraz zapewnić ciągłość łańcucha dostaw sprzętu, gdy biura trzeba szybko zorganizować w domach pracowników.

BCP, który nigdy nie był testowany, zawiedzie podczas rzeczywistej katastrofy. Regularne metody testowania obejmują: ćwiczenia typu tabletop (oparte na dyskusji przejście przez scenariusz z kluczowymi pracownikami, bez uruchamiania systemów), ćwiczenia funkcjonalne (rzeczywiste uruchomienie łańcuchów komunikacji i częściowych procedur odtwarzania), testy na pełną skalę (przełączenie działalności do zapasowej lokalizacji i prowadzenie z niej działalności przez określony czas) oraz przeglądy po incydencie, podczas których plan jest aktualizowany na podstawie rzeczywistych doświadczeń. Plany należy przeglądać co roku i aktualizować po każdej istotnej zmianie infrastruktury.

Wiele regulowanych branż wymaga stosowania BCP i DRP. HIPAA wymaga od podmiotów objętych przepisami posiadania planów awaryjnych obejmujących tworzenie kopii zapasowych danych, DR oraz procedury działania w trybie awaryjnym. PCI-DSS wymaga planów reagowania na incydenty i procedur zapewnienia ciągłości działania dla systemów objętych zakresem standardu. FINRA i organy nadzoru bankowego wymagają szczegółowego BCP z corocznym testowaniem i przekazywaniem dokumentacji organom regulacyjnym. Ubezpieczyciele oferujący ubezpieczenia cyber coraz częściej wymagają udokumentowanego i przetestowanego BCP jako warunku ochrony ubezpieczeniowej, a także mogą odmówić wypłaty odszkodowania, jeśli w chwili wystąpienia zdarzenia objętego ochroną planów nie było lub nie zostały one przetestowane.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedział się Pan / dowiedziała się Pani, że: BCP utrzymuje działalność firmy podczas zakłóceń, a DRP przywraca systemy IT, analiza wpływu na działalność identyfikuje krytyczne procesy i maksymalny tolerowany czas przestoju, wyznaczając wymagania dotyczące odtwarzania, a zapasowe lokalizacje (hot/warm/cold) zapewniają różny poziom szybkości odtwarzania i kosztów wznowienia działalności, gdy główna lokalizacja jest niedostępna. Następnie omówimy RTO, RPO i MTTR — konkretne miary określające cele odtwarzania.