Majoritatea companiilor se raportează la recuperarea în caz de dezastru ca la o poliță de asigurare. De cele mai multe ori investițiile în această zonă sunt mai degrabă un cost care nu aduce rezultate directe în veniturile companiei și care poate fi „încasat” doar în momentul în care s-ar întâmpla ceva neprevăzut de proporții. De aceea, multe companii amână investițiile în această direcție, luând decizii pe un orizont de timp mai scurt, în care posibilitatea unui dezastru este destul de redusă.
Peste 75% din companiile din România nu mențin la zi un ghid pentru astfel de situații.
Termenul „recuperare în caz de dezastru” este înșelător. Dezastrele naturale – inundații, incendii sau alunecări de teren, sunt rare, iar acestea, chiar atunci când se întâmplă, nu afectează semnificativ infrastructura din centrele de date folosite de către companii. Incidentele care să producă însă o indisponibilitate de aceeași anvergură cu a unui dezastru natural sunt mult mai diverse, iar probabilitatea lor este mult mai mare. De exemplu, vremea rece vine cu o serie de astfel de incidente posibile – cabluri de tensiune secționate de copaci, imposibilitatea de a ajunge la muncă pentru angajați sau incendii în zonele industriale cauzate de supraîncărcări. Totuși, atacurile cibernetice și atacurile din interior provenite de la angajați nemulțumiți rămân cea mai frecventă cauză de indisponibilitate a sistemelor.
În ultimele 12 luni, circa 85% dintre companii au suferit un atac de tip malware sau ransomware, aproximativ 90% dintre acestea fiind atacuri reușite.
Luând în considerare cât de importante sunt informațiile în afacerile noastre, puține companii pot opera cu succes pentru o perioadă mai lungă de timp fără acces la aplicațiile critice, email și Internet. Eforturile neplanificate de recuperare în caz de dezastru, adică cele care nu fac parte dintr-un ghid consolidat la nivelul întregii organizații pentru astfel de incidente, iau în medie 30 de zile pentru rezolvarea completă a situației.
Organizațiile a căror revenire la modalitatea normală de operare durează mai mult de 30 de zile au o rată de supraviețuire pe piață de sub 20%.
Deși esențiale pentru continuitatea afacerilor oricărei organizații, investițiile în recuperarea în caz de dezastru ocupă unul din ultimele locuri în prioritățile de buget. Furnizarea unei experiențe îmbunătățite clienților, atragerea și formarea continuă a persoanelor cu competențe digitale și ținerea la zi a sistemelor cu schimbări legislative sau de funcționalitate sunt proiectele care practic împing la coada clasamentului bugetar astfel de „polițe de asigurare”.
Recuperarea în caz de dezastru fiind însă clasica asociere a oamenilor, proceselor și tehnologiei, vă propunem mai jos o serie de direcții identificate în discuțiile cu clienții noștri care merită explorate chiar și în cazul în care bugetul pentru astfel de inițiative este redus sau nu există deloc.
Definirea unei echipe responsabile pentru recuperarea în caz de dezastru și a înlocuitorilor
Oamenii sunt cei care se află în spatele tuturor sistemelor sau aplicațiilor, chiar dacă în centrul planificării în caz de dezastru se așază de obicei instrumentele digitale. Indiferent de bugetul alocat, puteți începe prin definirea unei echipe responsabile pentru planificarea și execuția strategiei de recuperare în caz de dezastru, care să fie formată din persoane responsabile de infrastructură, aplicații, securitate, conduse de o persoană responsabilă pentru continuitatea operațiunilor.
O astfel de echipă, chiar și în absența unui buget care să îi înzestreze cu instrumentele potrivite, poate începe munca în documentarea riscurilor, calcularea unui cost mediu orar de indisponibilitate a companiei, identificarea tuturor sistemelor și infrastructurii necesare funcționării companiei și în cele din urmă se poate ocupa de dezvoltarea unui plan de recuperare în caz de dezastru. „Paza bună trece primejdia rea”, iar în acest caz simpla existență a unui astfel de document poate salva zile bune în cazul unui incident neașteptat.
Iar pentru că situațiile neprevăzute din realitate pot fi mai complexe decât cele imaginate, recomandăm stabilirea unor înlocuitori pentru fiecare membru din această echipă, care să fie informați și ținuți la curent cu această activitate. Evităm astfel situațiile în care secvența de recuperare nu poate fi continuată deoarece depinde de o singură persoană care nu este disponibilă chiar în momentul în care avem cea mai mare nevoie.
Implicarea celorlalte departamente în planificare, documentare și execuție
Un plan de recuperare în caz de dezastru este bine definit doar în măsura în care toate departamentele sunt implicate în stabilirea obiectivelor pentru acesta. Am întâlnit multe companii în care departamentul IT era cel care decidea ce sisteme sunt critice și ce nivel de disponibilitate este necesar pentru fiecare dintre ele, preluând din responsabilitățile colegilor lor, dar menținând un nivel scăzut de conștientizare a riscurilor care pot fi prevenite prin astfel de inițiative.
Implicarea celorlalte departamente – atât operaționale, cât și de management – trebuie să se producă mai întâi prin comunicarea intenției de a pune la punct un astfel de mecanism care privește întreaga organizație, nu doar sistemele pe care aceștia le folosesc. Reluarea normală a operațiunilor are în vedere toate serviciile din cadrul unei organizații, nu doar o parte din ele, iar reprezentanții acestor servicii sunt cei mai în măsură să stabilească împreună, în mod coerent, de ce procese, informații, sisteme și oameni au nevoie pentru a putea opera în parametri optimi. Negocierea măcar al unui nivel țintă de servicii (Service Level Agreements) cu fiecare departament este esențială în definirea corectă a nevoilor organizației în cazul unui incident neprevăzut.
În mod ideal, din echipa descrisă mai sus ar face parte și câte un reprezentant al fiecărui departament, care nu are rolul doar de a comunica și decide în cazul unei situații de urgență împreuna cu echipa de recuperare, dar poate susține eforturile de asigurare a continuității afacerii prin furnizarea de informații periodice esențiale – schimbarea unor reglementări, apariția unor nevoi noi de procesare etc.
Investigarea unor abordări alternative
Probabil cea mai frecventă strategie de recuperare în caz de dezastru presupune dublarea infrastructurii într-un alt centru de date, diferit de cel primar în care ne executăm operațiunile în mod normal. Această infrastructură redundantă, deși costisitoare, nu ajunge să fie folosită decât în scurtele momente în care se fac teste de recuperare sau în cazul unui incident.
De asemenea, multe planuri de recuperare în caz de dezastru sunt deficitare deoarece complexitatea organizațiilor devine din ce în ce mai greu de gestionat. Majoritatea organizațiilor au zeci sau sute de aplicații în permutări complexe de infrastructură. Organizațiile care au dezvoltat planuri de Disaster Recovery s-au găsit în ipostaza în care aceste planuri sunt deja învechite, pe măsură ce operațiunile organizației au evoluat, au fost adăugate sisteme noi, iar sistemele vechi au fost dezafectate în timp.
Apariția tehnologiilor Cloud marchează însă un punct de cotitură în economia sistemelor și abordărilor de recuperare în caz de dezastru. Cu susținerea instrumentelor moderne, companiile își pot pregăti o infrastructură minimală care poate fi extinsă la cerere în situații neașteptate, iar aceasta nu costă până în momentul în care trebuie să fie folosită. Această infrastructură la cerere poate fi însă folosită și pentru servicii alternative – sisteme de dezvoltare sau testare, analiză de date etc. – justificându-se în sfârșit costul acestei infrastructuri suplimentare în buget. Totodată, au apărut instrumente moderne de migrare a serviciilor și aplicațiilor, replicare de date și orchestrare a infrastructurii în cazul unor incidente neprevăzute, toate putând fi luate în considerare ca o alternativă la abordarea convențională de „poliță de asigurare”.
Despre noi
Cu peste 25 de ani de experiență, GTS Telecom furnizează soluții profesionale pentru recuperarea în caz de dezastru. Companiile care au ales să lucrăm împreună se bazează pe înțelegerea complexă pe care o avem asupra nevoilor de afaceri ale organizațiilor și pe discuțiile consultative care stau la baza oricărui nou proiect.
*Statisticile prezentate în acest articol au fost furnizate de către IDC.
