Recuperare in caz de dezastre si continuitatea afacerii - Securitatea Informatica

Recuperare in caz de dezastre si continuitatea afacerii

Business Continuity Planning (BCP) este un proces creat pentru redresarea automata a ativitatii companiei in urma unor situatii neprevazute. BCP asigura reintegrarea procedurilor, aplicatiilor, operatiunilor, sistemelor, retelelor si facilitatilor sunt critice pentru continuarea afacerii.
Componentele unui plan pentru continuitatea afacerii includ:

  • Prevenirea – prevenirea sau minimizarea probabilitatii ca incidentul sa aiba loc;
  • Detectarea – identificarea circumstantelor in care organizatia determina intrarea in stare de urgenta;
  • Declararea – specificarea conditiilor in care starea de urgenta este declarata si identificarea persoanei/persoanelor care o pot declara oficial;
  • Extinderea – specificarea conditiilor in care starea de urgenta este considerara ca s-a extins si identificarea persoanei/persoanelor si a ordinii in care acestea sunt informate cu privire la starea de urgenta;
  • Reprimarea – specificarea masurilor de actiune imediata, necesare pentru limitarea sau minimizarea efectelor incidentului asupra clientilor, furnizorilor, presatatorilor de servicii, angajatilor, activelor, publciului larg si asupra procesului de business;
  • Implementarea BCP – specificarea listei complete de actiuni ce trebuie urmate in cazul in care este declarata starea de urgenta (precum procesarea activitatii dintr-un alt loc, recuperarea datelor la care s-a facut back-up, utilizarea unor medii de lucru si a unor manuale aflate in alt loc, transportarea angajatilor, a contractelor de distributie si furnizare)
  • Redresarea – planul de redresare in caz de dezastru (disaster recovery plan – DRP)

Plan pentru redresarea activitatii dupa dezastre

Planul pentru redresare in urma unui dezastru (DRP), o componenta – cheie a planului pentru continuitatea afacerii (BCP) se refera la aspectul tehnic al planului, in timp ce BCP ia in considerare aspectul general operational si de business.
DRP subliniaza pregatirile si masurile ce trebuie luate dinainte in asa fel incat rezltatul lor sa fie minimizarea impactului negativ a unui incident asupra afacerii (cum ar fi pierderea financiara si afectarea imaginii) dar si facilitarea unei redresari mai rapide si asigurarea continuitatii functiilor vitale pentru activitatea companiei intr-un interval de timp acceptabil.

Aspectele-cheie ce trebuie revazute sunt :

  • Continuarea/reluarea – reluarea proceselor critice si extrem de sensibile in raport cu timpul, imediat dupa intreruperea actvitatii si inainte de declararea MTBF (mean time between failures – intervalul de timp mediu dintre doua caderi). In aceasta faza, nu toate operatiunile sunt redresate.
  • Revitalizarea – revitalizarea proceselor esentiale ale afacerii, dar mai putin sensibile in raport cu timpul, pentru ajutarea continuarii tuturor proceselor critice ale activitatii.
  • Reconstruirea/restaurarea – relocarea activitatii si proceselor de business in alta parte/in alt sediu, in mod temporar sau permanent, dupa intreruperea survenita in activitatea companiei. Relocarea nu este absolut necesara in toate tipurile de incidente.
  • Gestionarea crizei – Coordonarea generala a reactiei organizatiei la criza care are loc intr-o maniera eficienta, in timp util, cu scopul de a evita sau de a minimize eventualele pagube aduse profitabilitatii companiei, reputatie sau capacitatii sale de a opera.

Disaster Recovery & Continuitatea afacerilor

Ganditi-va pentru un moment ce s-ar intampla daca peste cateva minute infrastructura informatica a companiei dumneavoastra ar fi oprita din cauza unei probleme, iar aceasta situatie ar continua timp de 6 ore.

Daca vi se pare ceva putin probabil, ganditi-va ca doar un singur virus relativ inofensiv, dar care trece de sistemele de siguranta ale companiei, si care poate infecta circa 20% din computerele societatii, poate cauza intreruperi ale activitatii pentru perioade chiar mai mari! Iar daca intre timp din compania dumneavoastra au iesit circa 2-300 de mailuri infectate catre partenerii de afaceri, dimensiunile intregii situatii capata valente noi, nu-i asa?

Din pacate, aceasta este situatia zilnica din multe companii, si fara indoiala ca la un moment dat vine randul fiecarei organizatii sa fie confruntata cu astfel de crize. Practic, aceste atacuri nu pot fi evitate, sau respinse cu o rata de succes de 100%, iar cine crede altfel pur si simplu se inseala.

Ce e de facut?
Simplu spus, este nevoie de implementarea de politici si practici clare pentru continuitatea afacerii chiar in ciuda producerii unor astfel de evenimente – uneori cum mult mai grave decat cel enuntat mai sus (dezastre naturale, atacuri din partea hackerilor, pierdere de date, etc.).

Iata un domeniu in care o echipa de specialisti in Disaster Recovery este deosebit de utila. Expertii va pot ajuta sa interveniti cu succes – dar si sa preveniti – astfel de situatii.
a. Plan pentru continuitatea afacerii si proceselor
Business Continuity Planning este un proces creat pentru redresarea automata a ativitatii companiei in urma unor situatii neprevazute. BCP asigura reintegrarea procedurilor, aplicatiilor, operatiunilor, sistemelor, retelelor si facilitatilor sunt critice pentru continuarea afacerii.
b. Plan pentru redresarea activitatii dupa dezastre
Planul pentru redresare in urma unui dezastru (DRP), o componenta – cheie a planului pentru continuitatea afacerii (BCP) se refera la aspectul tehnic al planului, in timp ce BCP ia in considerare aspectul general operational si de business.
Beneficiile dumneavoastra:

  • Cunoasteti ce anume trebuie facut, in mod coerent, in momentul imediat urmator unei situatii de criza
  • Stiti in mod clar care sunt resursele care trebuie alocate pentru asigurarea continuitatii afacerii, si care sunt punctele in care trebuie intervenit in primul rand.
  • Puteti preveni multe situatii de criza, minimizand puternic efectele producerii acestora.
  • Va puteti pastra in orice moment elementele esentiale ale afacerii dumneavoastra.
  • Aveti capacitatea de a gestiona rapid si eficient orice fel de criza.
  • Datele care altfel ar fi pierdute pot fi recuperate prin cele mai avansate metode din domeniu.
  • In cazul unui atac IT generalizat (virusi cu propagare in masa, etc.), dumneavoastra va veti continua activitatea, in timp ce concurenta se va lupta cu consecintele nefericite ale acestor tipuri de atacuri.

Afacerile moderne nu pot evita toate formele de risc sau potentiale erori. Un obiectiv real este acela de a asigura supravietuirea unei organizatii asigurand ca va fi identificat si eliminat acel risc care ar  putea cauza organizatiile.

  • neadaptarea la serviciile clientilor
  • daune ale imaginii reputatiei sau marcii
  • eroare in protejarea elementelor ce organizeaza societatea
  • eroare in controlul afacerii
  • eroare in deciziile de adunarea actionarilor sau cereri uzuale

Propunerea pentru recuperarea in caz de dezastru, continuitatea afacerii este aceea de a stabili o continuitate a afacerii in evenimente de intrerupere si sa supravietuiasca unui dezastru din sistemele informationale.
Un plan riguros si o gestionare de resurse sunt necesare pentru fiecare eveniment in parte.
Planul de continuitate a afacerii este un proces proiectat pentru a reduce riscul afacerilor datorat unei intreruperi a unei functii critice necesare pentru supravietuirea organizatiei. Aceasta include omul, resurse materiale, operatii si asigurarea unei continuitati la nivel minim al serviciilor necesare pentru operatiile critice. Acest plan este un program care va avea grija ca riscurile de afaceri sa nu poata afecta activitatea societatii.
Planul de continuitate al afacerii include procedurile de recuperare in caz de dezastre si planulpentru continuitatea operatiunilor.
Procedurile de recuperare in caz de dezastre sunt planuri ce urmaresc unitati de afaceri pentru reconstruire.
In cazul unui sistem informatic, acesta va adresa procedura catre recuperarea facilitatilor proceselor IT.
Planul de recuperare al unui sistem informatic trebuie sa contina suporti pentru fiecare element in parte.
Primul element in dezvoltarea planului este analiza riscului, cu identificarea acestor riscuri.
Analiza impactului releva ce daune materiale sau financiare  ar putea avea fiecare risc. Riscurile trebuiesc identificate inainte ca acestea sa se produca. Nu toate sistemele vor cere o strategie de recuperare. Pe baza analizei managementului de risc, conducerea ar putea sa nu constientizeze costul restaurarii aplicatiilor in caz de dezastru.

Dezastre si alte evenimente de distrugere

Dezastrele sunt disfunctionalitati care pot cauza resurselor informatiilor sa devina inoperabile pentru o perioada de timp de-a lungul unei operatii a afacerii.
Disfunctionalitatea poate dura cateva ore, pana la cateva zile, depinzand de paguba adusa resurselor informatiei.
Un dezastru poate fi cauzat de natura, cum ar fi : cutremure, tornade, uragane, furtuni, foc ce ar putea cauza pagube extinse, dar care sunt localizabile.
Alte evenimente care ar putea duce la dezastre ar fi : socuri electrice, alimentarea cu combustibil sau alte servicii ce pot aduce pagube unei societati.
Un dezastru poate fi cauzat de evenimente declansate de om (ex : atacuri teroriste, atacurile hacker-ilor sau virusi).
Un plan foarte bun de continuare a afacerii va lua in calcul toate tipurile de evenimente din punct de vedere al sistemului, cat si a utilizatorului functiilor puse la dispozitie de sistem.
Pentru cazuri mai grave va trebui pus la punct o strategie pe termen scurt si o strategie pe termen lung. Pentru termen scurt ar trebui satisfacute necesitatile operationale imediat in cazul unui dezastru natural. Pe termen lung trebuie identificat pentru recuperarea pagubelor echipamentele care furnizeaza continuitatea proceselor sistemului informational si informatic.
Procesul de planificare al continuitatii afacerilor poate fi divizat in mai multe etape :

  • analiza impactului afacerilor
  • clasificarea operatiunilor si analiza acestora
  • dezvoltarea unui plan de continuitate a afacerii si procedurile de recuperare in caz de dezastre
  • pregatirea personalului
  • testarea si implementarea planului
  • monitorizarea planului

Strategia de recuperare
O strategie de recuperarea este o combinatie intre masurile  de prevenire, detectare si corectare. Cele mai multe actiuni vor fi indepartarea amenintarilor sau vulnerabilitatilor, minimizarea efectelor, minimizarea aparitiilor de vulnerabilitati.
Indepartarea amenintarilor si minimizarea riscului aparitiei se adreseaza implementarii fizice si securitatii mediului. Minimizarea efectelor poate fi gasita la implementarea elementelor de construire printr-o alternativa redundanta.
In general, fiecare platforma IT care ruleaza sau executa o aplicatie va necesita o strategie de recuperare. Cea mai apropiata alternativa a unei strategii in concordanta cu costul acesteia si impactul costului, ar trebui selectata din riscul identificat prin analiza impactului afacerilor. Pentru infrastructuri dezvoltate si operatii pe retea, strategiile bazate pe identificarea riscului ar trebui sa includa urmatoarele :

  • locatii  fierbinti
  • site-uri caldute
  • site-uri reci
  • facilitati ale proceselor duplicate
  • site-uri mobile

Dezvoltarea unui plan de continuare a afacerilor si recuperare in caz de dezastru
Factorii de care trebuie sa se tine cont atunci cand se dezvolta un plan :

  • incidentele descoperite inaintea dezastrului raspund conducerii, adresand toate incidentele in procesele afacerii
  • proceduri de evacuare
  • proceduri pentru declararea in caz de dezastru
  • circumstantele in care s-a  declansat un dezastru
  • identificarea responsabilitatilor in planul dezvoltat
  • identificarea persoanelor responsabile pentru fiecare functie a planului
  • identificarea informatiilor de contact
  • explicarea pas cu pas a optiunilor de reconstruire
  • identificarea resurselor variate cerute pentru reconstruire si continuare a operatiunilor
  • aplicatiile de reconstruire evidentiate pas cu pas

Planul ar trebui scris intr-un limbaj simplu.
Va trebui sa se cunoasca si sa se identifice echipa, personalul, care sunt implicati in acest plan si ce responsabilitate are fiecare.

RECUPERARE IN CAZ DE DEZASTRU SI CONTINUAREA AFACERII – PLAN
Ce este planificarea continuarii activitatii si recuperarea in caz dedezastre?

  • Procesele de creare a planurilor, procesele si/sau procedurile care restabilesc functionalitatea afacerilor in cazul misiunilor critice intr-un cadru de timp acceptabile.
  • Un plande recuperare in caz de dezastru recupereaza platforme tehnologice sicfunctii tehnologice asociate (ex.: retele).
  • Planurile de continuitate a afacerii se concentreaza asupra recuperarii functionarii afacerii, cat si functionarii grupului (ex.: departament incasari/plati – centru de informatii).

De ce?

  • Recuperarea in caz e dezastre decurge din functionarea centrului de date (data center).
  • Este utilizat pentru a concentra doar procese centralizatoare si platforme.
  • Este o strict solutie tehnica.
  • De-a lungul timpului s-a constatat ca recuperarea unei/mai multor platforme nu a insemnat si recuperarea afacerii.
  • Continuitatea afacerii se adreseaza acelora cu functii non-tehnice care sunt cerute pentru a restaura afacerea.

Diferenta dintre solutia tehnica si cea non-tehnica.

  • Din punct de vedere tehnic avem platforme de tip computer sau sistem (servere, router-e, gateway, retele etc.) care sunt localizate in centre de date sau in departamentul IT.
  • Non-tehnice sunt functiile/procesele care suporta operatii critice ale afacerii ce sunt externalizate (ex.: resurse umane, departamentul de plati, juridicul, centrul de informatii).

Responsabilitatile pentru fiecare plan in parte:

  • Deoarece un plan de recuperare in caz de dezastre este un proces tehnologic atunci personalul IT ar trebui sa creeze si sa intretina acest plan.
  • Un plan de continuare a afacerilor este o recuperare a afacerilor care ar trebui condusa de necesitatile afacerii si deciziile luate ce au fost create de personalul in domeniu.

Construirea unui plan de afaceri.

  • In primul rand ar trebui sa tinem seama de opiniile unui comitet format din membrii conducerii (resurse umane,contabilitate, IT etc.)
  • Urmatorul pas este trecerea informatiilor prin analiza impactului afacerilor (BIA) pentru a determina operatii critice.
  • Determinarea strategiilor si obiectivelor pentru recuperarea functiilor critice.
  • Intocmirea unui document pe puncte, pentru a putea fi urmarite in cazul in care se declara un dezastru.

Care sunt strategiile de recuperare?

  1. Sa nu faci nimic si sa-ti asumi riscul.
  2. Sa revii la procesarea manuala.
  3. Sa fii propriul tau recuperator, utilizand site-uri multiple.
  4. sa intocmesc un contract cu vanzatorul de site-uri (site rece = e-mail, site cald = depozit de date???).
  5. Contract cu o societate recuperatoare.
  6. Stabilirea unui parteneriat rapid.
  7. Configurarea unei intelegeri/acord reciproc.

Instruirea personalului si a participantilor.
Testarea planului pentru a determina daca functioneaza.

  • Nu fiti surprinsi daca nu functioneaza de prima oara.
  • Testarea poate contine exercitii, testare de componente sau executia planului in intregime.
  • Actualizarea/modificarea planului in conformitate cu rezultatele testului.

Alte elemente necesare planului de afaceri si recuperare.

  • Asigurarea ca salvarea datelor critice (pe hartie, pe disc, oglinda etc.) se face intr-o locatie sigura si putem avea acces la ele. Obs.: Fara aceste date planul nu va functiona.
  • Mentineti planul pe infrastructura actuala a societatii.
  • Con cepeti planul de afacerii ca si cand ati fi „out of the box”.

Concepte predefinite.

  • Suntem imuni la dezastre.
  • Asta nu se va intampla niciodata.
  • Avem o polita de asiguare. Este suficient.
  • Nu s-a intamplat pana acum, nu se va intampla nici de acum inainte.

Invata-ti din ceea ce s-a intamplat in Chicago, World Trade Center (11 septembrie), foc si terorismul biologic.
De ce trebuie sa intocmim un plan?

  • Societatea/marca supravietuieste.
  • Asa ne cere asigurarea sau auditarea informatica.
  • Obligatii fata de angajati sau actionari.

Unde ne putem informa despre un plan?

  1. Exista publicatii de tipul Jurnal de recuperare in caz de dezastre sau Management si planificare a activitatii.
  2. Pe Internet: www.disaster-resource.com
  3. Organizatii profesionale sau societati care se ocupa cu intocmiea planului.

Multe afaceri au renascut in urma aplicarii unui plan de afaceri.
Nu totdeauna avem nevoie de solutii de milioane de unitati monetare.
Acest plan este ca o umbrela deschisa deasupra activitatii societatii respective.
analiza impactului afacerilor (BIA)
BIA este primul pas in dezvoltarea unui plan de continuare a afecerilor.
In aceasta faza se identifica evenimentele variate care au un impact in continuarea operatiunilor si in organizarea din punct de vedere financiar, uman etc.
Multiplele intrebari ce pot fi puse in faza de analiza a impactului afacerilor include urmatoarele:

  • Care sunt procesele afacerilor difenetiate intre ele? Fiecare proces necesita determinarea importantei relative (ex.: indicarea unui element critic poate include:
  • A. Suporturi de procese stabile si sigure cum ar fi: inregistrarea pacientilor sau sistemele de control al traficului aerian. Disfunctionalitatea proceselor ar cauza multiple neajunsuri pentru organizatie sau costuri mari care nu sunt acceptabile. Procesele trebuie sa indeplineasca cerintele legale sua statutare. Un proces poate fi critic sau non-critic depinzand de factori ca: timpul in care se desfasoara o operatie, modul de desfasurarea, programul de lucru sau operatiuni ATM. In acest sens, care sunt resursele de informatie critica raportate la procesele critice de afaceri ale unei organizatii. Aceasta este de importanta majora pt ca intreruperea la o resursa a imformatiei nu este un dezastru decat daca acest proces devine critic (ex.: pierderea de date in cazul unui sistem cu erori, productia, plata angajatilor, publicitatea, primirea platilor etc.). Care este perioada de timp critica de recuperare pt resursele informatiei in care afacerea ar trebui restabilita, dupa ce s-au pierdut date sau alte lemente importanet? Lungimea perioadei de timp pt recuperare depinde de natura afacerilor sau a servicului care a fost intrerupt (ex.: o institutie financiara de tip banca, broker ar trebui sa aiba un timp de recuperare scurt). Din experienta bancilor, timpul cel mai lung pt soutionarea problemelor este duminica.

Clasificarea operatiilor si analiza elementelor critice. Care este nivelul de riscal sistemului?

  • Acesta presupune determinarea unei baze a riscului in timpul impactului intr-o perioad de timp. Foarte multe organizatii vor folosi riscul de neaparitie pt a determina costuri rezonabile in cazul reorganizarii.

Clasificarea sistemelor

  1. Critic. Functiile sistemului nu pot sa se exercite decat daca sunt inlocuite cu elemente identice. Aplicatiile critice nu pot fi inlocuite prin metode manuale. Toleranta la intreruperi este foarte scazuta, de accea costul intreruperii este foarte ridicat.
  2. Vital. Din punct de vedere vital aceste functii pot fi tratate manual, dar doar pt o scurta perioada de timp. Exista o toleranta mai mare la intreruperi decat a unui sistem critic, de accea costul scazut va furniza functii ce sunt restabilite intr-un cadru de timp sigur, de obicei < 5 zile.
  3. Sensibil. Aceste functii pot fi perfectate manual la un cost tolerabil si pt o perioada de timp mai mare. De obicei este un proces dificil si necesita personal suplimentar.
  4. Insensibil. Aceste functii pot fi intrerupte pt o perioada de timp mai lunga cu un cost minim si au cerinte minime in momentul restaurarii.
Twitter Digg Delicious Stumbleupon Technorati Facebook


Nici un comentariu inca... Fii primul care lasa un comentariu!

Lasa un raspuns

This site is protected by Comment SPAM Wiper. This site is protected by WP-CopyRightPro