Voorkom dat calamiteiten uw organisatie verlammen!

Hebt u al bepaald welke informatiesystemen kritisch zijn voor uw organisatie en hoe snel ze terug up-and-running moeten zijn bij een storing?

Elke organisatie wordt wel eens geconfronteerd met grote en kleine onderbrekingen, van geplande gebeurtenissen zoals IT-onderhoud tot onderbrekingen in systemen van providers, maar ook ongeplande gebeurtenissen die zonder enige waarschuwing toeslaan (noodweer, brand, enz. ...).

Ook de werking van lokale besturen is in grote mate afhankelijk van hun ICT-systemen voor bedrijfskritische activiteiten en diensten. Systemen en bedrijfsprocessen worden steeds verder met elkaar verweven en het uitvallen van één serviceprovider zorgt vaak voor een kettingreactie. 

Zo’n “disaster” of calamiteit hoeft geen zware overstroming of brand te zijn om catastrofale gevolgen te hebben. Een menselijke fout, virus, corrupt softwaresysteem, serverstoring of zelfs een eenvoudige elektriciteitspanne kunnen volstaan om een organisatie substantiële schade te berokkenen en de dienstverlening lam te leggen.

De beschikbaarheid van deze systemen en diensten is dus van immens belang voor de organisatie. Toch wordt die afhankelijkheid vaak onderschat of geminimaliseerd in het kader van bezuinigingen, met als gevolg dat organisaties onvoldoende beschermd zijn en uiterst kwetsbaar blijken voor calamiteiten. Het blijft natuurlijk een keuze van de lokale besturen zelf, maar men dient minstens voor zichzelf uit te maken of het uitvallen van bepaalde diensten als “aanvaardbaar” of niet moet worden gecatalogeerd. En op basis daarvan zet u de vereiste acties uitzetten – of net niet.

In die zin is voorkomen altijd beter dan genezen. Elke onderbreking is anders of heeft ten minste andere gevolgen. Onderbrekingen voldoende op voorhand inschatten en de preventieve maatregelen en netwerkstructuur in kaart brengen, dat is de boodschap. Beslissingen dienen op het moment zelf à la minute genomen te worden. Wanneer men dan beroep kan doen op een goed continuïteitsplan, waarbij men een kader opzet dat beslissingen bij zo’n calamiteit stuurt en duidelijk maakt wie die beslissingen neemt, is het grootste deel van het werk al gebeurd.

Een succesvol continuïteitsplan bevat minstens de volgende elementen.

1. Zorg dat u een Team hebt

• Leg duidelijk in een draaiboek vast wie de beslissingen neemt als er iets gebeurt. In dergelijke situaties mag er geen enkele twijfel bestaan over bevoegdheden.
• Richt een continuïteitsteam op met medewerkers uit de hele organisatie, van beleid/managers, IT-mensen, faciliteiten en vastgoed tot en met mensen die gaan over de fysieke beveiliging, communicatie, personeelszaken, financiën en andere afdelingen.
• Sla alle contactgegevens manueel op van alle betrokkenen, ook privé-e-mailadressen kunnen interessant zijn, alsook alternatieve telefoonnummers (vast nummer van thuis, telefoonnummer van echtgenoot of echtgenote, enz.). Werk dit jaarlijks ook bij, print dit uit minstens in drievoud en berg deze versies afzonderlijk op.

2. Stel een plan op

• Bepaal met wat voor calamiteiten uw locaties te maken kunnen krijgen (stroomstoringen, ziekte, brand). Maak een maximale risicoinschatting.
• Ga bij uw planning en de risicoinschatting uit van een worstcasescenario. Werken met allerlei tussenversies heeft geen zin, want dan wordt het onbeheersbaar.
• Bepaal wat er eerst moet gebeuren bij welbepaalde scenario’s, wie dat werk zal doen (als u een beroep doet op externen, onder welk contract dit valt) en hoe het werk wordt bijgestuurd als de hoofdpersonen niet beschikbaar zijn.
  Bepaal ook naar wie men altijd ALLES moet terugkoppelen; het is cruciaal om te beschikken over 1 centraal aanspreekpunt.
• Werk uw continuïteitsplan jaarlijks bij op basis van het eventueel gewijzigde belang van applicaties, prioriteiten, risicomanagement, locaties, operaties en andere overwegingen.

3. Test uw continuïteitsplan

• Organiseer jaarlijks een oefening om te testen of de herstelprocedures goed verlopen en of iedereen weet wat hij of zij moet doen bij een calamiteit.
• Meet de testresultaten en streef naar continue verbeteringen in bijvoorbeeld de doelstellingen qua beschikbaarheid van applicaties of de veiligheid van medewerkers.
• Test halfjaarlijks of jaarlijks de backup- en restoreprocedures op een testsysteem en bekijk de concrete resultaten ervan.

4. Communicatie bepalen

• Bepaal procedures voor de informatievoorziening om snel te kunnen communiceren naar de klant (burger en ondernemingen) toe.
• Zorg ook dat u geïnformeerd wordt indien de calamiteit zich buiten de organisatie bevindt
• Bepaal wie de stakeholders zijn m.b.t. communicatie, zoals medewerkers, partners en relaties, klanten, leveranciers, media en management.
• Giet de communicatie in een procedure die gemakkelijk kan worden geactualiseerd en snel kan worden doorgegeven.
• Zorg voor een alternatief kanaal, voor het geval dat het eerste communicatiekanaal niet zou (kunnen) werken, bv. wanneer dit bijvoorbeeld is gelinkt aan het systeem dat de onderbrekingen kent.

5. Mensen trainen en bewustmaken

• Train uw mensen in de procedures die ze in een noodsituatie moeten volgen, zodat ze weten waar en hoe ze hulp kunnen krijgen.
• Houd regelmatig oefeningen zodat uw medewerkers bekend zijn met de procedures (bijvoorbeeld weten waar de nooduitgang is).
• Print alle procedures uit op papier (minstens in drievoud, bewaar deze exemplaren zeker op aparte plaatsen) en vervang de voorgaande versie door de nieuwe (let op: doorstreep deze ouder versie manueel maar gooi deze niet weg zodat u uw recente aanpassingen nog opnieuw kunt inzien indien nodig).

Business Continuity is tevens de verzamelnaam voor alle activiteiten die ervoor moeten zorgen dat er bepaalde bedrijfsactiviteiten blijven doorgaan en dat de diensten beschikbaar blijven voor klanten, leveranciers en andere stakeholders. Een onderdeel hiervan is het Disaster Recovery Plan, dat dieper ingaat op wat u effectief gaat uitvoeren als er een probleem opduikt. Zo zou het uitvallen van een internetverbinding kunnen opgevangen worden door een tweede, of zou u kunnen eisen in het contract (SLA) met uw provider dat services om die reden niet mogen uitvallen.

Zorg ervoor dat dit recoveryplan aansluit bij de eisen en verwachtingen van uw stakeholders (schat de impact op de organisatie op voorhand correct in), waarbij de bedrijfscontinuïteit bij een incident zo snel mogelijk hersteld wordt om de economische impact ervan zoveel mogelijk te beperken. Nog enkele tips hierbij:

1. Breng uw IT-infrastructuur goed in kaart en kijk of er op elk onderdeel garanties zitten (SLA’s …) die kunnen opgepikt worden wanneer er iets gebeurt.
2. Bepaal de impact van ieder denkbare bedreiging. Maak een overzicht van de verschillende typen soft- en hardware in uw lokaal bestuur en combineer deze vervolgens met uw bedrijfsprocessen. Welke software en/of hardware wordt in welk bedrijfsproces gebruikt? Als u dat weet, kunt u analyseren welke impact een dreiging heeft op de verschillende bedrijfsprocessen en waar de grootste verliezen zich situeren. De bedreigingen met de grootste verliezen zijn uiteraard prioritair. Om de impact te bepalen kunt u zich op twee parameters richten.

• Recovery Time Objective (RTO) - De RTO is de tijd waarbinnen het gewenst is dat een bepaald proces zich kan hervatten, zodat de schade voor de organisatie beperkt blijft. Hebben bepaalde bedrijfsprocessen een RTO van 3 uur, terwijl andere een RTO van 2 dagen hebben, dan richt u zich het best op het proces met de RTO van 3 uur. Bij deze eerste categorie moet u er namelijk voor zorgen dat het proces binnen de 3 uur terug operationeel is.
• Recovery Point Objective (RPO) - De RPO is de tijd die voorbij mag gaan tussen twee back-ups. Meestal gebeurt er ‘s avonds een back-up van de data. Maar stel nu dat er net voor de avond een storing is en er dus nog geen back-up is van de dag voordien. Gaan er dan te veel gegevens verloren? Als dat het geval is, dient u de back-upperiode korter te maken. Zo is het zelfs mogelijk om real-time back-ups te maken, zodat u altijd over de meest recente gegevens beschikt.

3. Daarnaast dient u bij de ‘impactbepaling’ volgende zaken mee te nemen:

• Welke systemen/processen gaan er ook ‘last hebben’ van het uitvallen van dit systeem?
• Zijn er nu al maatregelen die genomen worden?
• Welke SLA’s hebben we in huis voor dat specifieke systeem?
• Is er al voldoende beveiliging voorzien voor het systeem?

4. Formuleer doelen voor iedere bedreiging – hebt u bepaald welke impact er kan ontstaan op de verschillende processen en software, dan kunt u gaan prioriteren. De volgende stap is dan dat u voor ieder onderdeel concrete doelen opstelt: “De downtime van dienst X is maximaal 0,5 uur”. Bijvoorbeeld: “Onze klantgegevens moeten te allen tijde beschikbaar zijn. Het systeem moet dus een zeer korte RPO hebben”.
5. Wie doet wat; deze concrete doelstellingen giet u vervolgens in een duidelijk actieplan:

• Wie zijn de aanspreekpunten in het geval van een ‘disaster’?
• Wie is verantwoordelijk voor welke software en welk proces?
• Binnen welke regels mogen deze personen handelen?
• Welke stappen moeten er concreet allemaal doorlopen worden om het proces of de software zo snel mogelijk terug te herstellen?

6. Na het opstellen van dergelijk disaster recovery plan, is het van belang dat u het test en regelmatig bijstuurt: leveren de gedefinieerde acties wel de juiste RTO en RPO op? Voldoen service providers aan hun SLA’s? Als er nieuwe systemen aan uw infrastructuur worden toegevoegd, dan dient u ook deze uiteraard te integreren in uw disaster recovery plan.

Hoewel het opstellen van dergelijk plan niet erg ingewikkeld hoeft te zijn, merken we dat het vaak een taak is die ofwel niet, ofwel niet diepgaand genoeg uitgevoerd wordt om allerlei redenen. Tot er effectief iets gebeurt en men beseft dat dit plan nog ontbreekt. Op dat moment stelt u zich bloot aan grote risico’s.

Contacteer ons via security@v-ict-or.be mocht u vragen hebben omtrent een goede en neutrale continuïtsplanning, incl. bijhorende disaster recovery procedures en planning.