TOP 11 Fehler bei der Entwicklung von BCP

Hallo allerseits, mein Name ist Igor Tyukachev und ich bin ein Berater für Geschäftskontinuität. In der heutigen Veröffentlichung werden wir lange und mühsam über gemeinsame Wahrheiten diskutieren. Ich möchte meine Erfahrungen teilen und über die Hauptfehler sprechen , die Unternehmen bei der Entwicklung eines Plans zur Gewährleistung der Kontinuität ihrer Aktivitäten machen.

1. RTO und RPO nach dem Zufallsprinzip

Der wichtigste Fehler, den ich getroffen habe, ist, dass die Erholungszeit (RTO) von der Decke genommen wird. Nun, von der Decke - zum Beispiel gibt es einige Zahlen aus der SLA vor zwei Jahren, die jemand von einem früheren Arbeitsplatz mitgebracht hat. Warum machen sie das? Schließlich müssen Sie nach allen Methoden zunächst die Konsequenzen für Geschäftsprozesse analysieren und auf der Grundlage dieser Analyse die Zielwiederherstellungszeit und den zulässigen Datenverlust berechnen. Eine solche Analyse ist jedoch manchmal langwierig, manchmal kostspielig, manchmal ist nicht klar, wie das Notwendige hervorgehoben werden soll. Und das erste, was vielen in den Sinn kommt: „Wir sind alle Erwachsene und verstehen, wie das Geschäft funktioniert. Wir werden keine Zeit und kein Geld verschwenden! Nehmen wir ein Plus oder Minus, wie es sein sollte. Vom Kopf aus mit proletarischem Einfallsreichtum! Lassen Sie RTO gleich zwei Stunden sein. "

Was führt das? Wenn Sie zum Management kommen, um Geld für Aktivitäten zu erhalten, um die erforderliche RTO / RPO mit bestimmten Nummern sicherzustellen, ist immer eine Begründung erforderlich. Wenn es keine Rechtfertigung gibt, stellt sich die Frage: Woher haben Sie sie? Und es gibt nichts zu beantworten. Dadurch geht das Vertrauen in Ihre Arbeit verloren.

Außerdem sind diese zwei Stunden Erholung manchmal eine Million Dollar wert. Und die Begründung für die Dauer der RTO ist eine Frage des Geldes und sehr groß.

Und schließlich, wenn Sie mit Ihrem BCP- und / oder DR-Plan zu den Darstellern kommen (die zum Zeitpunkt des Unfalls direkt rennen und mit den Armen winken), werden sie eine ähnliche Frage stellen: Woher kamen diese zwei Stunden? Und wenn Sie dies nicht klar erklären können, haben sie weder Vertrauen in Sie noch in Ihr Dokument.

Es stellt sich heraus, dass ein Stück Papier für ein Stück Papier abgemeldet ist. Einige tun dies übrigens absichtlich, um einfach die Anforderungen der Regulierungsbehörde zu erfüllen.


Na verstehst du?

2. Das Heilmittel für alles

Einige glauben, dass der BCP-Plan alle Geschäftsprozesse vor Bedrohungen schützen soll. Kürzlich die Frage "Wofür wollen wir uns verteidigen?" Ich hörte die Antwort: "Von allem und mehr."



Tatsache ist jedoch, dass der Plan nur bestimmte wichtige Geschäftsprozesse des Unternehmens vor bestimmten Bedrohungen schützen soll. Vor der Entwicklung eines Plans ist es daher erforderlich, das Auftreten von Risiken zu bewerten und deren Folgen für das Unternehmen zu analysieren. Eine Risikobewertung ist erforderlich, um zu verstehen, vor welchen Bedrohungen das Unternehmen Angst hat. Im Falle der Zerstörung von Gebäuden wird es einen Plan zur Gewährleistung der Kontinuität bei Sanktionsdruck geben - einen anderen bei Überschwemmungen - den dritten. Selbst an zwei identischen Standorten in verschiedenen Städten können die Pläne erheblich variieren.

Sie können nicht ein ganzes Unternehmen mit einem BCP schützen, insbesondere nicht mit einem großen. Zum Beispiel begann die riesige X5 Retail Group, Kontinuität mit zwei wichtigen Geschäftsprozessen zu gewährleisten (wir haben hier darüber geschrieben ). Und das gesamte Unternehmen einem Plan beizufügen, ist einfach unrealistisch. Es gehört zur Kategorie der „kollektiven Verantwortung“, wenn jeder verantwortlich ist und niemand verantwortlich ist.

In der Norm ISO 22301 gibt es ein Konzept einer Richtlinie, mit der tatsächlich der Prozess der Kontinuität in einem Unternehmen beginnt. Es beschreibt, was wir schützen und vor was. Wenn Leute rennen und darum bitten, dies hinzuzufügen, zum Beispiel:

- Und lassen Sie uns der BCP das Risiko hinzufügen, dass wir gehackt werden?

Oder

- Hier haben wir kürzlich den letzten Stock im Regen überflutet - fügen wir ein Skript hinzu, was ist bei Überschwemmungen zu tun?

Senden Sie sie dann sofort an diese Richtlinie und sagen Sie, dass wir bestimmte Unternehmensressourcen und nur vor bestimmten, im Voraus vereinbarten Bedrohungen schützen, da diese jetzt Vorrang haben.

Und selbst wenn die Änderungsvorschläge wirklich angemessen sind, bieten Sie an, sie in der nächsten Version der Richtlinie zu berücksichtigen. Weil der Schutz eines Unternehmens viel Geld ist. Alle Änderungen am BCP-Plan müssen daher über den Haushaltsausschuss und die Planung erfolgen. Wir empfehlen, die Business Continuity Policy des Unternehmens einmal im Jahr oder unmittelbar nach wesentlichen Änderungen in der Unternehmensstruktur oder im externen Umfeld zu überprüfen (die Leser verzeihen mir solche Worte).

3. Fantasie und Realität

Es kommt häufig vor, dass die Autoren bei der Erstellung eines BCP-Plans ein ideales Bild der Welt beschreiben. Zum Beispiel: "Wir haben kein zweites Rechenzentrum, aber wir werden den Plan so schreiben, als ob wir ihn hätten." Oder das Unternehmen hat noch keinen Teil der Infrastruktur, aber die Mitarbeiter werden sie weiterhin in den Plan aufnehmen, in der Hoffnung, dass sie in Zukunft erscheinen wird. Und dann wird das Unternehmen die Realität auf den Plan ziehen: ein zweites Rechenzentrum bauen, andere Änderungen beschreiben.


Links befindet sich die BCP-konforme Infrastruktur, rechts die echte Infrastruktur


Das alles ist ein Fehler. Einen BCP-Plan zu schreiben bedeutet, Geld auszugeben. Wenn Sie einen Plan schreiben, der momentan nicht funktioniert, zahlen Sie für sehr teures Papier. Es ist unmöglich, sich davon zu erholen, es ist unmöglich, es zu testen. Es stellt sich heraus, dass Arbeit der Arbeit zuliebe ist.
Sie können sehr schnell einen Plan erstellen, und der Aufbau einer Backup-Infrastruktur, bei der Sie Geld für alle Schutzlösungen ausgeben, ist ein langer und teurer Prozess. Dies kann länger als ein Jahr dauern. Und es kann sich herausstellen, dass Sie bereits einen Plan haben und die Infrastruktur dafür in zwei Jahren erscheinen wird. Warum brauchen wir einen solchen Plan? Wovor wird er dich beschützen?

Aus der Kategorie der Fantasien, wenn das BCP-Entwicklungsteam beginnt, für Experten zu überlegen, was sie wie lange tun sollen. Aus der Kategorie geht hervor: „Wenn Sie einen Bären in der Taiga sehen, müssen Sie sich vom Bären in die entgegengesetzte Richtung drehen und mit einer Geschwindigkeit laufen, die die Geschwindigkeit des Bären überschreitet. In den Wintermonaten ist es notwendig, die Spuren zu verwischen. “

4. Spitzen und Wurzeln

Der viertwichtigste Fehler ist, dass der Plan entweder zu oberflächlich oder zu detailliert ist. Brauchen Sie einen Mittelweg. Der Plan sollte für Idioten nicht zu detailliert sein, aber nicht zu allgemein, damit so etwas nicht passiert:


Einfach

5. Caesar - Caesarean, Schlosser - Schlosser

Der folgende Fehler ist auf den vorherigen zurückzuführen: Alle Aktionen für alle Verwaltungsebenen können nicht in einen Plan integriert werden. BCP-Pläne werden normalerweise für große Unternehmen mit großen Finanzströmen (übrigens waren laut unserer Studie durchschnittlich 48% der großen russischen Unternehmen mit Eventualverbindlichkeiten konfrontiert, die erhebliche finanzielle Verluste mit sich brachten) und ein mehrstufiges Managementsystem entwickelt. Für solche Unternehmen sollten Sie nicht versuchen, alles in einem Dokument zusammenzufassen. Wenn das Unternehmen groß und strukturiert ist, sollte der Plan drei separate Ebenen haben:

• strategische Ebene - für die Geschäftsleitung;
• taktische Ebene - für mittlere Manager;
• und die operative Ebene - für direkte Leistungsträger vor Ort.

Wenn es beispielsweise um die Wiederherstellung einer heruntergefallenen Infrastruktur geht, wird auf strategischer Ebene die Entscheidung getroffen, den Wiederherstellungsplan zu aktivieren. Auf taktischer Ebene können Prozessverfahren beschrieben und Anweisungen zur Inbetriebnahme bestimmter Ausrüstungsgegenstände auf betrieblicher Ebene gegeben werden.


BCP ohne Budget

Jeder sieht seinen Verantwortungsbereich und die Kommunikation mit anderen Mitarbeitern. Zum Zeitpunkt des Unfalls öffnet jeder einen Plan, findet schnell seinen Teil und folgt ihm. Im Idealfall müssen Sie sich auswendig merken, welche Seiten geöffnet werden sollen, da die Zählung gelegentlich minutenlang dauert.

6. Rollenspiele

Ein weiterer Fehler bei der Erstellung des BCP-Plans: Sie müssen keine spezifischen Namen, E-Mail-Adressen und andere Kontaktinformationen im Plan angeben. Im Text des Dokuments selbst sollten nur depersonalisierte Rollen angegeben werden, und die Rollen der Verantwortlichen für bestimmte Aufgaben sollten diesen Rollen zugewiesen und ihre Kontakte im Anhang zum Plan aufgeführt werden.

Warum?

Heute wechseln die meisten Menschen alle zwei bis drei Jahre den Arbeitsplatz. Und wenn Sie alle Verantwortlichen und ihre Kontakte in den Text des Plans eintragen, muss dieser ständig geändert werden. Und in großen Unternehmen, und noch mehr in staatlichen Unternehmen, erfordert jede Änderung an einem Dokument eine Reihe von Genehmigungen.

Ganz zu schweigen davon, dass im Notfall wertvolle Zeit verloren geht, wenn Sie im Notfall den Plan durchblättern und nach dem gewünschten Kontakt suchen müssen.

Life Hack: Wenn Sie eine Anwendung ändern, müssen Sie sie häufig nicht einmal genehmigen. Noch ein Hinweis: Sie können das Automatisierungssystem zum Aktualisieren des Plans verwenden.

7. Fehlende Versionierung

Normalerweise erstellen sie einen Plan der Version 1.0 und nehmen dann alle Änderungen vor, ohne sie zu bearbeiten und ohne den Namen der Datei zu ändern. Es ist jedoch oft nicht klar, was sich gegenüber der Vorgängerversion geändert hat. In Ermangelung einer Versionierung lebt der Plan sein eigenes Leben, das in keiner Weise verfolgt wird. Die zweite Seite eines BCP-Plans sollte die Version, den Autor der Änderungen und eine Liste der Änderungen selbst enthalten.


Niemand kann es herausfinden

8. Wen soll ich fragen?

Oft haben Unternehmen keinen verantwortlichen BCP und es gibt keine separate Business Continuity Unit. Diese ehrenvolle Pflicht wird dem CIO, seinem Stellvertreter oder nach dem Grundsatz „Sie sind in der Informationssicherheit tätig, hier haben Sie zusätzlich BCP“ übertragen. Infolgedessen wird der Plan von allen von oben bis unten entwickelt, vereinbart und genehmigt.

Und wer ist dafür verantwortlich, den Plan zu speichern, zu aktualisieren und die darin enthaltenen Informationen zu überprüfen? Dies ist möglicherweise nicht vorgeschrieben. Es ist verschwenderisch, einen einzelnen Mitarbeiter dafür zu nehmen, und einen der bestehenden Mitarbeiter mit einer zusätzlichen Verpflichtung zu belasten, ist natürlich möglich, weil jetzt alle nach Effizienz streben: „Hängen wir eine Taschenlampe daran, damit sie nachts mähen kann“, aber ist es notwendig?

Wir suchen die Verantwortlichen für BCP zwei Jahre nach seiner Gründung

Daher passiert es oft so: Ein Plan wurde entwickelt und in eine lange, staubbedeckte Schachtel gelegt. Niemand testet es, unterstützt seine Relevanz nicht. Der häufigste Satz, den ich höre, wenn ich zum Kunden komme, lautet: "Es gibt einen Plan, der jedoch schon lange entwickelt wurde. Es ist nicht bekannt, ob er getestet wurde. Es wird vermutet, dass er nicht funktioniert."

9. Zu viel Wasser

Es gibt Pläne, in denen die Einführung von fünf Seiten, einschließlich einer Beschreibung der Räumlichkeiten und Dank an alle Projektteilnehmer, mit Informationen darüber, was das Unternehmen tut. Während Sie Seiten zum zehnten blättern, wo nützliche Informationen enthalten sind, haben Sie das Rechenzentrum bereits überflutet.


Wenn Sie versuchen, bis zu dem Punkt zu lesen, was zu tun ist, wenn das Rechenzentrum überflutet ist


Nehmen Sie das gesamte Unternehmenswasser in einem separaten Dokument heraus. Der Plan selbst sollte äußerst spezifisch sein: Die für diese Aufgabe verantwortliche Person tut dies und so weiter.

10. Auf wessen Kosten geht das Bankett?

Oft haben die Ersteller des Plans keine Unterstützung durch das Top-Management des Unternehmens. Es gibt jedoch Unterstützung durch das mittlere Management, das nicht über das erforderliche Budget und die erforderlichen Ressourcen verfügt, um die Geschäftskontinuität zu organisieren. Zum Beispiel erstellt die IT-Abteilung ihren BCP-Plan innerhalb ihres Budgets, aber der CIO sieht nicht das ganze Bild im Unternehmen. Mein Lieblingsbeispiel sind Videokonferenzen. Wenn die allgemeinen Videokonferenzen nicht funktionieren, wen wird er dann ausnehmen? CIO, der "nicht zur Verfügung gestellt". Was ist daher aus Sicht des CIO das Wichtigste im Unternehmen? Wofür er ständig „geliebt“ wird: Videokonferenzen, die sich sofort in ein geschäftskritisches System verwandeln. Und aus geschäftlicher Sicht - nun, es gibt kein VKS, denken Sie, wir werden telefonieren, wie in Breschnew ...

Darüber hinaus ist die IT-Abteilung in der Regel der Ansicht, dass ihre Hauptaufgabe im Katastrophenfall darin besteht, die Funktionsfähigkeit der IT-Systeme von Unternehmen wiederherzustellen. Aber manchmal ist das nicht nötig! Wenn es einen Geschäftsprozess in Form des Druckens von Papier auf einem furchtbar teuren Drucker gibt, sollten Sie keinen zweiten Drucker als Ersatzdrucker kaufen und ihn im Falle eines Ausfalls daneben stellen. Es kann ausreichend sein, das Papier vorübergehend manuell einzufärben.

Wenn wir einen kontinuierlichen Schutz innerhalb der IT aufbauen, sind wir verpflichtet, die Unterstützung der Geschäftsleitung und der Unternehmensvertreter in Anspruch zu nehmen. Andernfalls können Sie, nachdem Sie in der IT-Abteilung geläutet haben, eine Reihe von Problemen lösen, aber nicht alle, die erforderlich sind.

Dies ist der Fall, wenn nur die IT-Abteilung DR-Pläne hat

11. Ohne zu testen

Wenn Sie einen Plan haben, müssen Sie ihn testen. Für diejenigen, die mit den Standards nicht vertraut sind, ist dies völlig offensichtlich. Zum Beispiel überall dort, wo Sie die Notausgangsschilder haben. Aber sag mir, wo ist dein Feuereimer, Haken, Schaufel? Wo befindet sich der Hydrant? Wo soll ein Feuerlöscher stehen? Aber das sollte jeder wissen. Es erscheint uns am Eingang des Büros nicht logisch, die Augen eines Feuerlöschers zu finden.

Vielleicht sollte die Notwendigkeit, den Plan zu testen, in ihm erwähnt werden, aber dies ist eine kontroverse Entscheidung. In jedem Fall kann ein Plan nur dann als Arbeitnehmer betrachtet werden, wenn er mindestens einmal getestet wurde. Wie oben erwähnt, höre ich oft: „Es gibt einen Plan, die gesamte Infrastruktur wurde vorbereitet, aber nicht die Tatsache, dass alles so funktioniert, wie es im Plan geschrieben steht. Weil sie nicht getestet wurden. Niemals. "

Abschließend

Einige Unternehmen analysieren möglicherweise ihre Historie, um zu verstehen, welche Probleme und mit welcher Wahrscheinlichkeit auftreten können. Forschung und Erfahrung zeigen, dass wir uns nicht gegen alles verteidigen können. Scheiße passiert früher oder später mit jeder Firma. Eine andere Sache ist, wie sehr Sie auf diese oder eine ähnliche Situation vorbereitet sind und ob Sie Ihr Geschäft rechtzeitig wiederherstellen können.

Einige Leute denken, dass es bei Kontinuität darum geht, alle Arten von Risiken zu eliminieren, damit sie nicht eintreten. Nein, es geht darum, dass die Risiken erkannt werden, und wir werden darauf vorbereitet sein. Soldaten trainieren, um nicht zu denken, sondern im Kampf zu handeln. Gleiches gilt für den BCP-Plan: Damit können Sie Ihr Unternehmen so schnell wie möglich wieder aufbauen.


Das einzige Gerät, das kein BCP benötigt

Igor Tyukachev,
Berater für Geschäftskontinuität
Computer Complex Design Center
Jet Infosystems