BCP के विकास में TOP 11 गलतियाँ

सभी को नमस्कार, मेरा नाम इगोर टायरुचेव है, और मैं एक व्यापार निरंतरता सलाहकार हूं। आज की पोस्ट में, हम सामान्य सत्य पर लंबे और कठिन चर्चा करेंगे। मैं अपने अनुभव को साझा करना चाहता हूं और मुख्य गलतियों के बारे में बात करना चाहता हूं जो कंपनियां अपनी गतिविधियों की निरंतरता सुनिश्चित करने के लिए एक योजना विकसित करते समय करती हैं।

1. RTO और RPO यादृच्छिक पर

सबसे महत्वपूर्ण गलती जो मुझे मिली है, वह यह है कि रिकवरी टाइम (RTO) छत से लिया जाता है। खैर, जैसा कि छत से है - उदाहरण के लिए, एसएलए से दो साल पहले के कुछ आंकड़े हैं, जो किसी ने पिछले काम के स्थान से लाया था। वे ऐसा क्यों कर रहे हैं? आखिरकार, सभी तकनीकों के अनुसार, आपको पहले व्यावसायिक प्रक्रियाओं के परिणामों का विश्लेषण करने की आवश्यकता है, और इस विश्लेषण के आधार पर, लक्ष्य वसूली समय और स्वीकार्य डेटा हानि की गणना करें। लेकिन ऐसा विश्लेषण करना कभी-कभी लंबा, कभी-कभी महंगा होता है, कभी-कभी यह बहुत स्पष्ट नहीं होता है कि आवश्यक पर कैसे जोर दिया जाए। और पहली बात जो कई दिमागों में आती है: “हम सभी वयस्क हैं और हम समझते हैं कि व्यवसाय कैसे काम करता है। हम समय और पैसा बर्बाद नहीं करेंगे! चलो एक प्लस या माइनस लें, जैसा कि यह होना चाहिए। सिर से, सर्वहारा सरलता का उपयोग कर! आरटीओ को दो घंटे के बराबर होने दें। ”

इससे क्या होता है? जब आप कुछ निश्चित नंबरों के साथ आवश्यक RTO / RPO सुनिश्चित करने के लिए गतिविधियों के लिए पैसे के लिए प्रबंधन में आते हैं, तो इसे हमेशा औचित्य की आवश्यकता होती है। यदि कोई औचित्य नहीं है, तो सवाल उठता है: आपको यह कहां मिला? और उत्तर देने के लिए कुछ भी नहीं है। परिणामस्वरूप, अपने काम में विश्वास खो जाता है।

इसके अलावा, कभी-कभी इन दो घंटों की वसूली एक मिलियन डॉलर के लायक होती है। और RTO की अवधि के लिए तर्क पैसे की बात है, और बहुत बड़ी है।

और अंत में, जब आप अपने BCP और / या DR कलाकारों के साथ आते हैं (जो दुर्घटना के समय सीधे हथियार चलाएंगे और दौड़ेंगे), तो वे एक समान सवाल पूछेंगे: ये दो घंटे कहां से आए? और यदि आप इसे स्पष्ट रूप से नहीं समझा सकते हैं, तो उन्हें आपके या आपके दस्तावेज़ में भरोसा नहीं होगा।

यह कागज के एक टुकड़े की खातिर कागज का एक टुकड़ा निकलता है, बिना बताए। वैसे, कुछ लोग जानबूझकर नियामक की आवश्यकताओं को पूरा करने के लिए ऐसा करते हैं।


वैसे क्या आप समझे?

2. हर चीज का इलाज

कुछ लोगों का मानना ​​है कि BCP योजना सभी व्यावसायिक प्रक्रियाओं को किसी भी खतरे से बचाने के लिए बनाई गई है। हाल ही में, सवाल "हम अपने खिलाफ क्या बचाव करना चाहते हैं?" मैंने जवाब सुना: "सब कुछ और अधिक से।"



लेकिन तथ्य यह है कि योजना को कंपनी के केवल विशिष्ट प्रमुख व्यावसायिक प्रक्रियाओं को विशिष्ट खतरों से बचाने के लिए डिज़ाइन किया गया है। इसलिए, एक योजना विकसित करने से पहले, जोखिम की घटना का आकलन करना और व्यवसाय के लिए उनके परिणामों का विश्लेषण करना आवश्यक है। कंपनी को किस तरह के खतरों का डर है, यह समझने के लिए जोखिम मूल्यांकन की आवश्यकता है। भवन विनाश के मामले में, निरंतरता सुनिश्चित करने के लिए एक योजना होगी, प्रतिबंधों के दबाव के मामले में - दूसरा, बाढ़ के मामले में - तीसरा। यहां तक ​​कि विभिन्न शहरों में दो समान साइटों पर, योजनाएं काफी भिन्न हो सकती हैं।

आप एक BCP के साथ एक पूरी कंपनी की रक्षा नहीं कर सकते, विशेष रूप से एक बड़ी। उदाहरण के लिए, विशाल X5 रिटेल समूह ने दो प्रमुख व्यावसायिक प्रक्रियाओं के साथ निरंतरता प्रदान करना शुरू कर दिया (हमने यहां इस बारे में लिखा है )। और पूरी कंपनी को एक योजना से जोड़ने के लिए बस अवास्तविक है, यह "सामूहिक जिम्मेदारी" की श्रेणी से है, जब हर कोई जिम्मेदार है और कोई भी जिम्मेदार नहीं है।

आईएसओ 22301 मानक में एक नीति की अवधारणा है जिसके साथ, वास्तव में, एक कंपनी में निरंतरता की प्रक्रिया शुरू होती है। यह वर्णन करता है कि हम क्या और किससे रक्षा करेंगे। यदि लोग दौड़ते हुए आते हैं और इसे जोड़ने के लिए कहते हैं, उदाहरण के लिए:

- और बीसीपी में हमें हैक होने का खतरा है?

या

- यहां हमने हाल ही में बारिश में आखिरी मंजिल पर पानी भरा था - चलो एक स्क्रिप्ट जोड़ते हैं, बाढ़ के मामले में क्या करना है?

फिर तुरंत उन्हें इस नीति पर भेजें और कहें कि हम विशिष्ट कंपनी संपत्तियों की रक्षा करते हैं और केवल विशिष्ट, पूर्व-सहमति वाले खतरों के खिलाफ हैं, क्योंकि वे अब प्राथमिकता में हैं।

और यहां तक ​​कि अगर परिवर्तनों के प्रस्ताव वास्तव में उपयुक्त हैं, तो उन्हें नीति के अगले संस्करण में ध्यान में रखने की पेशकश करें। क्योंकि कंपनी की रक्षा करना बहुत सारा पैसा है। इसलिए BCP योजना में सभी परिवर्तन बजट समिति और योजना के माध्यम से होने चाहिए। हम अनुशंसा करते हैं कि आप कंपनी की संरचना या बाहरी वातावरण में महत्वपूर्ण परिवर्तन के तुरंत बाद या एक बार कंपनी की व्यवसाय निरंतरता नीति को संशोधित करते हैं (ऐसे शब्दों के लिए पाठकों को क्षमा करें)।

3. काल्पनिक और वास्तविकता

अक्सर ऐसा होता है कि बीसीपी योजना बनाते समय लेखक दुनिया की कुछ आदर्श तस्वीर का वर्णन करते हैं। उदाहरण के लिए, "हमारे पास दूसरा डेटा सेंटर नहीं है, लेकिन हम योजना को इस तरह लिखेंगे जैसे हमारे पास है।" या व्यवसाय में अभी तक बुनियादी ढांचे का कोई हिस्सा नहीं है, लेकिन कर्मचारी अभी भी इस योजना में इसे इस उम्मीद में लाएंगे कि यह भविष्य में दिखाई देगा। और फिर कंपनी योजना पर वास्तविकता खींचेगी: दूसरे डेटा सेंटर का निर्माण करें, अन्य परिवर्तनों का वर्णन करें।


बाईं तरफ BCP-compliant बुनियादी ढांचा है, दाईं ओर असली बुनियादी ढांचा है


यह सब एक गलती है। BCP योजना लिखने का अर्थ है पैसा खर्च करना। यदि आप एक योजना लिखते हैं जो अभी काम नहीं करेगा, तो आप बहुत महंगे कागज का भुगतान करेंगे। इससे उबरना असंभव है, इसका परीक्षण करना असंभव है। यह काम के लिए काम करता है।
आप काफी तेज़ी से एक योजना लिख ​​सकते हैं, और एक बैकअप बुनियादी ढांचे का निर्माण कर सकते हैं, सभी सुरक्षा समाधानों पर पैसा खर्च करना एक लंबी और महंगी प्रक्रिया है। इसमें एक वर्ष से अधिक का समय लग सकता है। और यह पता चल सकता है कि आपके पास पहले से ही एक योजना है, और इसके लिए बुनियादी ढांचा दो वर्षों में दिखाई देगा। हमें ऐसी योजना की आवश्यकता क्यों है? वह आपकी रक्षा क्या करेगा?

कल्पनाओं की श्रेणी से, जब बीसीपी विकास दल विशेषज्ञों के लिए सोचने लगता है कि उन्हें क्या करना चाहिए और कब तक। यह श्रेणी से बाहर निकलता है: “जब आप टैगा में भालू देखते हैं, तो आपको भालू से विपरीत दिशा में मुड़ना होगा और भालू की गति से अधिक गति से दौड़ना होगा। सर्दियों के महीनों में पटरियों को कवर करना आवश्यक है। ”

4. सबसे ऊपर और जड़ें

चौथी सबसे महत्वपूर्ण गलती यह है कि योजना को बहुत अधिक सतही या बहुत विस्तृत बना दिया गया है। बीच का मैदान चाहिए। यह योजना बेवकूफों के लिए बहुत विस्तृत नहीं होनी चाहिए, लेकिन यह बहुत सामान्य नहीं होनी चाहिए ताकि ऐसा कुछ न हो:


Izy सामान्य पर

5. सीज़र को - सीजेरियन, लॉकस्मिथ - लॉकस्मिथ

निम्न त्रुटि पिछले एक से उपजी है: प्रबंधन के सभी स्तरों के लिए सभी कार्यों को एक योजना में एकीकृत नहीं किया जा सकता है। BCP योजनाएं आमतौर पर बड़ी वित्तीय प्रवाह वाली बड़ी कंपनियों के लिए विकसित की जाती हैं (वैसे, हमारे अध्ययन के अनुसार, औसतन, बड़ी रूसी कंपनियों के 48% ने आकस्मिक वित्तीय संकटों का सामना किया) और एक बहु-स्तरीय प्रबंधन प्रणाली। ऐसी कंपनियों के लिए, आपको एक दस्तावेज में सब कुछ डालने की कोशिश नहीं करनी चाहिए। यदि कंपनी बड़ी और संरचित है, तो योजना के तीन अलग-अलग स्तर होने चाहिए:

• रणनीतिक स्तर - वरिष्ठ प्रबंधन के लिए;
• सामरिक स्तर - मध्यम प्रबंधकों के लिए;
• और परिचालन स्तर - क्षेत्र में प्रत्यक्ष कलाकारों के लिए।

उदाहरण के लिए, यदि हम एक गिरे हुए बुनियादी ढांचे को बहाल करने के बारे में बात कर रहे हैं, तो पुनर्प्राप्ति योजना को सक्रिय करने के लिए रणनीतिक स्तर पर निर्णय लिया जाता है, प्रक्रिया प्रक्रियाओं को सामरिक स्तर पर वर्णित किया जा सकता है, और परिचालन स्तर पर विशिष्ट उपकरण वस्तुओं को कैसे कमीशन किया जाए, इस पर निर्देश दिए गए हैं।


बिना बजट के बी.सी.पी.

हर कोई अन्य कर्मचारियों के साथ अपनी जिम्मेदारी और संचार का क्षेत्र देखता है। दुर्घटना के समय, हर कोई एक योजना खोलता है, जल्दी से अपना हिस्सा पाता है और उसका अनुसरण करता है। आदर्श रूप से, आपको दिल से याद रखना होगा कि कौन से पृष्ठ खोलने हैं, क्योंकि ऐसा होता है कि गिनती मिनटों तक चलती है।

6. भूमिका निभाना

बीसीपी योजना की तैयारी में एक और गलती: आपको योजना में विशिष्ट नाम, मेल पते और अन्य संपर्क जानकारी को लिखने की आवश्यकता नहीं है। दस्तावेज़ के पाठ में ही, केवल अव्यवस्थित भूमिकाओं को इंगित किया जाना चाहिए, और विशिष्ट कार्यों के लिए जिम्मेदार लोगों की भूमिकाओं को इन भूमिकाओं को सौंपा जाना चाहिए और उनके संपर्कों को योजना में परिशिष्ट में सूचीबद्ध किया जाना चाहिए।

क्यों?

आज, ज्यादातर लोग हर दो से तीन साल में नौकरी बदलते हैं। और यदि आप योजना के पाठ में उन सभी जिम्मेदार और उनके संपर्कों को लिखते हैं, तो इसे लगातार बदलना होगा। और बड़ी कंपनियों में, और इससे भी अधिक राज्य वाले, किसी भी दस्तावेज़ में हर परिवर्तन को अनुमोदन की एक गुच्छा की आवश्यकता होती है।

यह उल्लेख नहीं करने के लिए कि यदि कोई आपात स्थिति होती है, और आपको योजना के माध्यम से पत्ते करना होगा और वांछित संपर्क की तलाश करनी होगी, तो मूल्यवान समय खो जाएगा।

जीवन हैक: जब आप किसी एप्लिकेशन को बदलते हैं, तो आपको अक्सर इसे अनुमोदित करने की आवश्यकता नहीं होती है। एक और संकेत: आप योजना को अद्यतन करने के लिए स्वचालन प्रणाली का उपयोग कर सकते हैं।

7. संस्करण की कमी

आमतौर पर वे संस्करण 1.0 की एक योजना बनाते हैं, और फिर संपादन के बिना और फ़ाइल का नाम बदले बिना सभी परिवर्तन करते हैं। हालांकि, यह अक्सर स्पष्ट नहीं होता है कि पिछले संस्करण की तुलना में क्या बदल गया है। संस्करण की अनुपस्थिति में, योजना अपना स्वयं का जीवन जीती है, जिसे किसी भी तरह से ट्रैक नहीं किया जाता है। किसी भी BCP योजना के दूसरे पृष्ठ में संस्करण, परिवर्तनों का लेखक और स्वयं परिवर्तनों की एक सूची शामिल होनी चाहिए।


इसका कोई पता नहीं लगा सकता है

8. किससे पूछूं?

अक्सर कंपनियों के पास एक जिम्मेदार BCP नहीं होता है और कोई अलग व्यवसाय निरंतरता इकाई नहीं होती है। यह सम्मानजनक शुल्क सीआईओ, उसके डिप्टी या "आप सूचना सुरक्षा में लगे हुए हैं, के सिद्धांत पर सौंपा गया है, यहाँ आपके पास इसके अतिरिक्त बीसीपी है।" परिणामस्वरूप, योजना ऊपर से नीचे तक, सभी के द्वारा विकसित, सहमत और अनुमोदित है।

और योजना को संग्रहीत करने, अद्यतन करने और उसमें जानकारी की समीक्षा करने के लिए कौन जिम्मेदार है? यह निर्धारित नहीं किया जा सकता है। इसके लिए एक व्यक्तिगत कर्मचारी को लेना बेकार है, और एक अतिरिक्त दायित्व के साथ मौजूदा लोगों में से एक को बोझ करना संभव है, निश्चित रूप से, क्योंकि हर कोई अब दक्षता के लिए प्रयास कर रहा है: "चलो इस पर एक टॉर्च लटकाएं ताकि यह रात में घास काट सके," लेकिन क्या यह आवश्यक है?

हम इसके निर्माण के दो साल बाद BCP के लिए जिम्मेदार लोगों की तलाश कर रहे हैं

इसलिए, यह अक्सर ऐसा होता है: एक योजना विकसित की गई और धूल से ढंके हुए एक लंबे बक्से में डाल दी गई। कोई भी इसका परीक्षण नहीं करता है, इसकी प्रासंगिकता का समर्थन नहीं करता है। सबसे आम वाक्यांश जो मैं सुनता हूं जब मैं ग्राहक के पास आता हूं: "एक योजना है, लेकिन इसे लंबे समय से विकसित किया गया है; यह ज्ञात नहीं है कि क्या इसका परीक्षण किया गया था, यह संदेह है कि यह काम नहीं करता है।"

9. बहुत ज्यादा पानी

ऐसी योजनाएं हैं जिनमें पांच पन्नों की शुरूआत होती है, जिसमें परिसर का विवरण भी शामिल है और परियोजना में सभी प्रतिभागियों के लिए धन्यवाद, कंपनी क्या कर रही है, इसके बारे में जानकारी के साथ। जब आप पृष्ठों को दसवें स्थान पर ला रहे हैं, जहां उपयोगी जानकारी है, तो आप पहले से ही डेटा सेंटर में बाढ़ आ चुके हैं।


जब आप इस बात को पढ़ने की कोशिश करते हैं कि डेटा सेंटर में बाढ़ आने पर क्या किया जाए


एक अलग दस्तावेज़ में सभी कॉर्पोरेट "पानी" को बाहर निकालें। योजना खुद बेहद विशिष्ट होनी चाहिए: इस कार्य के लिए जिम्मेदार व्यक्ति ऐसा करता है, और इसी तरह।

10. भोज किसके खर्च पर होता है?

अक्सर योजना के रचनाकारों के पास कंपनी के शीर्ष प्रबंधन का समर्थन नहीं होता है। लेकिन मध्य प्रबंधन से समर्थन है जो व्यवसाय निरंतरता के आयोजन के लिए आवश्यक बजट और संसाधन का प्रबंधन नहीं करता है या नहीं करता है। उदाहरण के लिए, आईटी विभाग अपने बजट के भीतर अपनी BCP योजना बनाता है, लेकिन CIO कंपनी में पूरी तस्वीर नहीं देखता है। मेरा पसंदीदा उदाहरण वीडियो कॉन्फ्रेंसिंग है। जब सामान्य वीडियोकांफ्रेंसिंग काम नहीं करती है, तो वह किससे टकराएगा? CIO जिसने "प्रदान नहीं किया।" इसलिए, CIO के दृष्टिकोण से, कंपनी में सबसे महत्वपूर्ण बात क्या है? वीडियो कॉन्फ्रेंसिंग के लिए उन्हें लगातार "प्यार" किया जाता है, जो तुरंत एक व्यापार-महत्वपूर्ण प्रणाली में बदल जाता है। और व्यवसाय की दृष्टि से - ठीक है, कोई वीकेएस नहीं है, सोचिए, हम फोन पर बात करेंगे, जैसा कि ब्रेग्नेस्ट में ...

इसके अलावा, आईटी विभाग आमतौर पर यह सोचता है कि आपदा की स्थिति में इसका मुख्य कार्य कॉर्पोरेट आईटी प्रणालियों के कामकाज को बहाल करना है। लेकिन कभी-कभी यह आवश्यक नहीं है! यदि बहुत महंगा प्रिंटर पर कागज के टुकड़े के मुद्रण के रूप में एक व्यावसायिक प्रक्रिया है, तो आपको एक दूसरे प्रिंटर को स्पेयर के रूप में नहीं खरीदना चाहिए और टूटने के मामले में इसके बगल में रख देना चाहिए। यह मैन्युअल रूप से कागज को अस्थायी रूप से रंग देने के लिए पर्याप्त हो सकता है।

यदि हम आईटी के अंदर निरंतर सुरक्षा का निर्माण करते हैं, तो हम वरिष्ठ प्रबंधन और व्यापार प्रतिनिधियों के समर्थन को सूचीबद्ध करने के लिए बाध्य हैं। अन्यथा, आईटी विभाग के अंदर होने से, आप समस्याओं की एक निश्चित सीमा को हल कर सकते हैं, लेकिन यह सब आवश्यक नहीं है।

यह स्थिति तब है जब केवल आईटी विभाग में ही डीआर योजना है

11. परीक्षण के बिना

यदि आपके पास कोई योजना है, तो आपको इसका परीक्षण करने की आवश्यकता है। जो लोग मानकों से परिचित नहीं हैं, उनके लिए यह पूरी तरह से अविश्वसनीय है। उदाहरण के लिए, हर जगह आपके पास "आपातकालीन निकास" संकेत हैं। लेकिन मुझे बताओ, तुम्हारी आग बाल्टी, हुक, फावड़ा कहां है? फायर हाइड्रेंट कहाँ स्थित है? आग बुझाने वाला यंत्र कहां खड़ा होना चाहिए? लेकिन सभी को यह जानना चाहिए। कार्यालय के प्रवेश द्वार पर अग्निशामक की आंखें ढूंढना हमें तर्कसंगत नहीं लगता।

शायद योजना का परीक्षण करने की आवश्यकता का उल्लेख किया जाना चाहिए, लेकिन यह एक विवादास्पद निर्णय है। किसी भी मामले में, एक योजना को केवल एक कार्यकर्ता माना जा सकता है जब उसे कम से कम एक बार परीक्षण किया गया हो। जैसा कि ऊपर उल्लेख किया गया है, मैं अक्सर सुनता हूं: “एक योजना है, सभी बुनियादी ढांचे को तैयार किया गया है, लेकिन इस तथ्य से नहीं कि सब कुछ काम करेगा जैसा कि योजना में लिखा गया है। क्योंकि उनका परीक्षण नहीं हुआ है। कभी नहीं। "

निष्कर्ष में

कुछ कंपनियां यह समझने के लिए अपने इतिहास का विश्लेषण कर सकती हैं कि क्या परेशानी और क्या संभावना हो सकती है। शोध और अनुभव बताते हैं कि हम हर चीज से अपना बचाव नहीं कर सकते। जल्दी, या बाद में, किसी भी कंपनी के साथ होता है। एक और बात यह है कि आप इस या इसी तरह की स्थिति के लिए कितना तैयार होंगे और क्या आप अपने व्यवसाय को समय पर बहाल कर सकते हैं।

कुछ लोग सोचते हैं कि निरंतरता इस बारे में है कि सभी प्रकार के जोखिमों को कैसे खत्म किया जाए ताकि वे भौतिक न हों। नहीं, यह इस तथ्य के बारे में है कि जोखिम का एहसास हो गया है, और हम इसके लिए तैयार होंगे। सैनिक सोचने के लिए नहीं, बल्कि युद्ध में कार्य करने के लिए प्रशिक्षित करते हैं। वही बीसीपी योजना के लिए जाता है: यह आपको अपने व्यवसाय को जल्द से जल्द फिर से बनाने की अनुमति देगा।


एकमात्र उपकरण जिसे BCP की आवश्यकता नहीं है

इगोर टायुआचेव,
व्यापार निरंतरता सलाहकार
कंप्यूटर कॉम्प्लेक्स डिज़ाइन सेंटर
जेट इन्फोसिस्टम्स