TOP 11 errores en el desarrollo de BCP

Hola a todos, mi nombre es Igor Tyukachev y soy consultor de continuidad comercial. En el post de hoy, discutiremos larga y tediosamente verdades comunes. Quiero compartir mi experiencia y hablar sobre los principales errores que cometen las empresas al desarrollar un plan para garantizar la continuidad de sus actividades.

1. RTO y RPO al azar

El error más importante que he conocido es que el tiempo de recuperación (RTO) se toma desde el techo. Bueno, desde el techo, por ejemplo, hay algunas cifras hace dos años del SLA, que alguien trajo de un lugar de trabajo anterior. ¿Por qué están haciendo esto? Después de todo, de acuerdo con todas las técnicas, primero debe analizar las consecuencias para los procesos comerciales y, con base en este análisis, calcular el tiempo de recuperación objetivo y la pérdida de datos permitida. Pero hacer ese análisis a veces es largo, a veces costoso, a veces no está muy claro cómo enfatizar lo necesario. Y lo primero que viene a muchas mentes: “Todos somos adultos y entendemos cómo funcionan los negocios. ¡No perderemos tiempo y dinero! Tomemos un más o menos, como debería ser. ¡Desde la cabeza, usando el ingenio proletario! Deje que RTO sea igual a dos horas ".

¿A qué conduce esto? Cuando acude a la administración por dinero para actividades para garantizar el RTO / RPO requerido con ciertos números, siempre requiere justificación. Si no hay justificación, surge la pregunta: ¿de dónde la sacaste? Y no hay nada que responder. Como resultado, se pierde la confianza en su trabajo.

Además, a veces estas dos horas de recuperación valen un millón de dólares. Y la justificación de la duración de la RTO es una cuestión de dinero, y muy grande.

Y finalmente, cuando venga con su plan BCP y / o DR a los artistas intérpretes o ejecutantes (que correrán directamente y agitarán sus brazos en el momento del accidente), harán una pregunta similar: ¿de dónde vinieron estas dos horas? Y si no puede explicar esto claramente, entonces no tendrán confianza ni en usted ni en su documento.

Resulta un trozo de papel por el bien de un trozo de papel, sin darse de baja. Por cierto, algunos lo hacen deliberadamente para simplemente satisfacer los requisitos del regulador.


Bien entiendes

2. La cura para todo

Algunos creen que el plan BCP está diseñado para proteger todos los procesos comerciales de cualquier amenaza. Recientemente, la pregunta "¿De qué queremos defendernos?" Escuché la respuesta: "De todo y más".



Pero el hecho es que el plan está diseñado para proteger solo los procesos comerciales clave específicos de la empresa de amenazas específicas . Por lo tanto, antes de desarrollar un plan, es necesario evaluar la ocurrencia de riesgos y analizar sus consecuencias para el negocio. La evaluación de riesgos es necesaria para comprender qué tipo de amenazas teme la empresa. En caso de destrucción de edificios, habrá un plan para garantizar la continuidad, en caso de presión de sanciones, otro, en caso de inundación, el tercero. Incluso en dos sitios idénticos en diferentes ciudades, los planes pueden variar significativamente.

No puede proteger a una empresa completa con un BCP, especialmente uno grande. Por ejemplo, el enorme X5 Retail Group comenzó a proporcionar continuidad con dos procesos comerciales clave (escribimos sobre esto aquí ). Y encerrar a toda la compañía en un solo plan no es realista, esto es de la categoría de "responsabilidad colectiva", cuando todos son responsables y nadie es responsable.

En la norma ISO 22301 existe un concepto de política con el que, de hecho, comienza el proceso de continuidad en una empresa. Describe lo que protegeremos y de qué. Si la gente viene corriendo y pide agregar esto, por ejemplo:

- ¿Y agreguemos al BCP el riesgo de que seamos pirateados?

O

- Aquí recientemente inundamos el último piso bajo la lluvia - agreguemos un guión, ¿qué hacer en caso de inundación?

Luego envíelos de inmediato a esta política y diga que protegemos los activos específicos de la compañía y solo de amenazas específicas previamente acordadas, porque ahora tienen prioridad.

E incluso si las propuestas de cambios son realmente apropiadas, ofrezca tenerlas en cuenta en la próxima versión de la política. Porque proteger una empresa es mucho dinero. Por lo tanto, todos los cambios en el plan BCP deben pasar por el comité de presupuesto y la planificación. Recomendamos revisar la política de continuidad del negocio de la compañía una vez al año o inmediatamente después de cambios significativos en la estructura de la compañía o el entorno externo (los lectores me disculpan por esas palabras).

3. Fantasía y realidad.

A menudo sucede que al elaborar un plan BCP, los autores describen una imagen ideal del mundo. Por ejemplo, "no tenemos un segundo centro de datos, pero escribiremos el plan como si lo tuviéramos". O el negocio aún no tiene ninguna parte de la infraestructura, pero los empleados aún lo incorporarán al plan con la esperanza de que aparezca en el futuro. Y luego la compañía incorporará la realidad al plan: construya un segundo centro de datos, describa otros cambios.


A la izquierda está la infraestructura compatible con BCP, a la derecha está la infraestructura real.


Todo esto es un error. Escribir un plan BCP significa gastar dinero. Si escribe un plan que no funcionará en este momento, pagará por un papel muy costoso. Es imposible recuperarse de él, es imposible probarlo. Resulta trabajo por el bien del trabajo.
Puede escribir un plan con bastante rapidez, y construir una infraestructura de respaldo, gastar dinero en todas las soluciones de protección es un proceso largo y costoso. Esto puede llevar más de un año. Y puede resultar que ya tienes un plan, y la infraestructura para él aparecerá en dos años. ¿Por qué necesitamos ese plan? ¿De qué te protegerá?

Desde la categoría de fantasías, cuando el equipo de desarrollo de BCP comienza a pensar en los expertos qué deben hacer y durante cuánto tiempo. Resulta de la categoría: “cuando ves un oso en la taiga, debes girar en la dirección opuesta al oso y correr a una velocidad superior a la velocidad del oso. En los meses de invierno es necesario cubrir las huellas ”.

4. Tops y raíces

El cuarto error más importante es que el plan se hace demasiado superficial o demasiado detallado. Necesito un término medio. El plan no debe ser demasiado detallado para los idiotas , pero no debe ser demasiado general para que algo así no suceda:


Fácil

5. Al César - Cesárea, cerrajero - Cerrajero

El siguiente error se deriva del anterior: todas las acciones para todos los niveles de gestión no pueden integrarse en un solo plan. Los planes BCP generalmente se desarrollan para grandes empresas con grandes flujos financieros (por cierto, de acuerdo con nuestro estudio , en promedio, el 48% de las grandes empresas rusas enfrentaron contingencias que implicaron pérdidas financieras significativas) y un sistema de gestión de niveles múltiples. Para tales empresas, no debe intentar poner todo en un documento. Si la empresa es grande y estructurada, entonces el plan debe tener tres niveles separados:

• nivel estratégico - para la alta gerencia;
• nivel táctico - para gerentes intermedios;
• y el nivel operativo - para artistas directos en el campo.

Por ejemplo, si se trata de restaurar una infraestructura caída, entonces se toma una decisión a nivel estratégico para activar el plan de restauración, los procedimientos de proceso se pueden describir a nivel táctico e instrucciones sobre cómo encargar elementos específicos del equipo a nivel operativo.


BCP sin presupuesto

Todos ven su área de responsabilidad y comunicación con otros empleados. En el momento del accidente, todos abren un plan, encuentran rápidamente su parte y la siguen. Idealmente, debe recordar de memoria qué páginas abrir, porque sucede que el recuento continúa durante minutos.

6. Juego de roles

Otro error en la preparación del plan BCP: no necesita prescribir nombres específicos, direcciones de correo y otra información de contacto en el plan. En el texto del documento mismo, solo se deben indicar los roles despersonalizados, y los roles de los responsables de tareas específicas se deben asignar a estos roles y sus contactos se deben enumerar en el apéndice del plan.

Por qué

Hoy, la mayoría de las personas cambian de trabajo cada dos o tres años. Y si escribe todos los responsables y sus contactos en el texto del plan, entonces deberá cambiarse constantemente. Y en las grandes empresas, y más aún en las estatales, cada cambio en cualquier documento requiere un montón de aprobaciones.

Sin mencionar que si ocurre una emergencia, y tiene que hojear frenéticamente el plan y buscar el contacto deseado, se perderá un tiempo valioso.

Hack de vida: cuando cambias una aplicación, a menudo ni siquiera necesitas aprobarla. Una pista más: puede usar el sistema de automatización para actualizar el plan.

7. Falta de versiones

Por lo general, crean un plan de la versión 1.0 y luego realizan todos los cambios sin editar y sin cambiar el nombre del archivo. Sin embargo, a menudo no está claro qué ha cambiado en comparación con la versión anterior. En ausencia de versiones, el plan vive su propia vida, que no se rastrea de ninguna manera. La segunda página de cualquier plan de BCP debe incluir la versión, el autor de los cambios y una lista de los cambios mismos.


Nadie puede resolverlo

8. ¿A quién preguntar?

A menudo, las empresas no tienen un BCP responsable y no hay una unidad de continuidad comercial separada. Esta responsabilidad honoraria recae en el CIO, su adjunto, o en el principio de que "usted está comprometido con la seguridad de la información, aquí también tiene BCP". Como resultado, el plan es desarrollado, acordado y aprobado por todos, de arriba a abajo.

¿Y quién es responsable de almacenar el plan, actualizar y revisar la información que contiene? Esto puede no ser prescrito. Tomar a un empleado individual para esto es un desperdicio, y cargar a uno de los existentes con un deber adicional es posible, por supuesto, porque ahora todos luchan por la eficiencia: "Vamos a colgar una linterna para que pueda cortar por la noche", pero ¿es necesario?

Estamos buscando a los responsables de BCP dos años después de su creación.

Por lo tanto, a menudo sucede así: se desarrolló un plan y se colocó en una caja larga cubierta de polvo. Nadie lo prueba, no apoya su relevancia. La frase más común que escucho cuando vengo al cliente es: "Hay un plan, pero se ha desarrollado durante mucho tiempo; no se sabe si fue probado, se sospecha que no funciona".

9. Demasiada agua

Hay planes en los cuales la introducción de cinco páginas, incluida una descripción de las instalaciones y gracias a todos los participantes en el proyecto, con información sobre lo que está haciendo la empresa. Mientras pasa las páginas al décimo, donde hay información útil, ya ha inundado el centro de datos.


Cuando intenta leer hasta el punto de qué hacer cuando el centro de datos se inunda


Saque todo el "agua" corporativa en un documento separado. El plan en sí debe ser extremadamente específico: la persona responsable de esta tarea hace esto, y así sucesivamente.

10. ¿A expensas de quién es el banquete?

A menudo, los creadores del plan no cuentan con el apoyo de la alta dirección de la empresa. Pero existe un apoyo de la gerencia media que no administra o no tiene el presupuesto y los recursos necesarios para organizar la continuidad del negocio. Por ejemplo, el departamento de TI crea su plan BCP dentro de su presupuesto, pero el CIO no ve la imagen completa de la empresa. Mi ejemplo favorito es la videoconferencia. Cuando la videoconferencia general no funciona, ¿a quién destripará? CIO que "no proporcionó". Por lo tanto, desde el punto de vista del CIO, ¿qué es lo más importante en la empresa? Por lo que es constantemente "amado": la videoconferencia, que inmediatamente se convierte en un sistema crítico para el negocio. Y desde el punto de vista comercial, bueno, no hay VKS, creo, hablaremos por teléfono, como en Brezhnev ...

Además, el departamento de TI generalmente piensa que su tarea principal en caso de desastre es restaurar el funcionamiento de los sistemas de TI corporativos. ¡Pero a veces esto no es necesario! Si hay un proceso comercial en forma de imprimir trozos de papel en una impresora terriblemente costosa, entonces no debe comprar una segunda impresora como repuesto y ponerla al lado en caso de avería. Puede ser suficiente colorear temporalmente el papel manualmente.

Si creamos protección continua dentro de TI, estamos obligados a contar con el apoyo de la alta gerencia y representantes comerciales. De lo contrario, habiendo pasado por alto dentro del departamento de TI, puede resolver un cierto rango de problemas, pero no todos los que son necesarios.

Esta es la situación cuando solo el departamento de TI tiene planes de DR

11. Sin probar

Si tiene un plan, debe probarlo. Para aquellos que no están familiarizados con los estándares, esto es completamente obvio. Por ejemplo, en todas partes tiene las señales de "salida de emergencia". Pero dime, ¿dónde está tu cubo de fuego, gancho, pala? ¿Dónde está ubicada la boca de incendios? ¿Dónde debe colocarse un extintor de incendios? Pero todos deberían saber esto. No nos parece lógico en la entrada de la oficina encontrar los ojos de un extintor de incendios.

Quizás deba mencionarse la necesidad de probar el plan, pero esta es una decisión controvertida. En cualquier caso, un plan solo puede considerarse un trabajador cuando ha sido probado al menos una vez. Como se mencionó anteriormente, a menudo escucho: “Hay un plan, toda la infraestructura ha sido preparada, pero no el hecho de que todo funcionará como está escrito en el plan. Porque no han sido probados. Nunca ".

En conclusión

Algunas compañías pueden analizar su historial para comprender qué problemas y con qué probabilidad pueden ocurrir. La investigación y la experiencia indican que no podemos defendernos de todo. Mierda, tarde o temprano, sucede con cualquier compañía. Otra cosa es cuánto estará preparado para esta o una situación similar y si puede restaurar su negocio a tiempo.

Algunas personas piensan que la continuidad se trata de cómo eliminar todo tipo de riesgos para que no se materialicen. No, se trata del hecho de que los riesgos se dan cuenta, y estaremos listos para esto. Los soldados entrenan para no pensar, sino para actuar en la batalla. Lo mismo ocurre con el plan BCP: le permitirá reconstruir su negocio lo más rápido posible .


El único equipo que no requiere BCP

Igor Tyukachev
Consultor de continuidad comercial
Centro de diseño de complejos informáticos
Jet Infosystems