'Business continuity' is een 'must' voor bedrijven, maar helaas denken heel wat ict’ers dat een dagelijkse back-up en een contract met een leverancier van 'recovery'-diensten ruimschoots volstaan als hun bijdrage hierin. Business continuity management (BCM) wordt echter niet door elk bedrijf gebruikt. Niet echt een goed idee, want BCM gaat over alles wat nodig is om de werking van het bedrijf veilig te stellen als zich een probleem voordoet waardoor het voortbestaan van het bedrijf in gevaar kan komen. Daarbij moet niet alleen onmiddellijk op de ramp zelf worden gereageerd (de pure 'disaster recovery'), maar ook worden voorzien hoe het bedrijf allicht een poos onder andere omstandigheden moet werken, tot de oorspronkelijke toestand weer is hersteld. En dat alles op een bedrijfseconomisch verantwoorde wijze.
Het zal duidelijk zijn dat een continuïteitsplan meer inhoudt dan een losse collectie van deeloplossingen. Zo voorziet de ict-afdeling wel in het maken van dagelijkse (en hopelijk met encryptie) back-ups en het snel recreëren van de ict-infrastructuur (fysiek of virtueel), maar vrijwel zeker wordt daarmee niet ingespeeld op alle mogelijke ict-eisen van een continuïteitsplan. Laat staan op de gewijzigde ict-eisen op langere termijn. Op een zelfde wijze zal wellicht de inkoopafdeling de levering van belangrijke grondstoffen verzekeren door contracten met twee of meer leveranciers af te sluiten, maar allicht geen rekening houden waar de productie zal doorgaan. De verleiding van snelle deeloplossingen is groot als de realisatie ervan relatief makkelijk en goedkoop is. Zo kan een ict-afdeling de nieuwe mogelijkheden van virtualisatie en ‘cloud'-diensten, of mogelijkheden om de dataopslag te spiegelen op een andere locatie aangrijpen om kort en bondig te voldoen aan de minimumvereisten van hun deel van een disaster recovery plan.
Een bedrijf moet evenwel beseffen dat servers niet meer zo vaak uit zichzelf uitvallen, maar veeleer het slachtoffer zijn van externe factoren, zoals brand, wateroverlast, diefstal of sabotage, om slechts enkele mogelijkheden te noemen. Een aardbeving op de schaal van Haïti moeten we niet echt verwachten in onze streken, maar een zware gasexplosie kunnen we blijkbaar helaas niet uitsluiten. Kortom, verschillende oorzaken hebben verschillende gevolgen, en vereisen verschillende plannen. Zo zal een brand allicht wél de andere werkplekken in het gebouw vernielen, terwijl wateroverlast (zoals een overstroming) die andere werkplekken wellicht ongemoeid laat. Ict moet dus gepast reageren in het kader van al die verschillende scenario's.
Samen nadenken
Continuïteitsplannen vereisen een uitgebreide voorbereiding, waaraan ook ict'ers volop moeten deelnemen. Je moet immers starten met de kennis van wat het bedrijf allemaal doet onder normale omstandigheden en wat hiervoor nodig is aan processen, middelen en des te meer. Voor heel wat bedrijven vormt die kennis op zichzelf al een uitdaging, ook voor de ict-afdeling.
Vervolgens moet je een uitgebreide inschatting doen van de mogelijke risico's die het bedrijf loopt, en welke impact ze kunnen hebben op de werking ervan. Dat kan gaan van interne problemen (zoals een brand in het gebouw) tot moeilijkheden met andere bedrijven (als je in een ‘supply chain' zit) of problemen uit de samenleving (zoals de recente dreiging van de Mexicaanse griep, maar ook voorvallen als onrust in het land, stakingen en dies meer). De gevolgen kunnen verschillen in sterkte (van een kortstondige storing tot maandenlange ontwrichting). En de oorzaken kunnen soms in in een klein hoekje zitten, zoals het niet onderkennen van ‘single point of failures'. Niets of niemand is onvervangbaar, maar je kan wellicht toch maar beter nagaan wat de gevolgen zijn als bepaalde systemen of mensen (met specifieke ervaring of kennis) zouden uitvallen door pech onderweg, ziekte, ongeval, ontslag etc.
Vervolgens moeten managers en andere beslissers uitmaken welke diensten absoluut cruciaal zijn voor de continue werking van de onderneming, en welk niveau van dienstverlening is vereist. Ict'ers moeten hierbij helpen om te bepalen welke en hoeveel middelen hiervoor nodig zijn en dat dan weer voor verschillende rampscenario's. Je zal immers andere voorzieningen treffen om verder te werken na een brand in het gebouw, dan als tweederde van je personeel uitgeteld ligt door een griepepidemie.
Niet alleen moet een bedrijf zijn risico's analyseren en vertalen in aangepaste scenario's, maar tevens moet het een kosten/batenanalyse maken van de mogelijke remedies. Hoeveel kost de onmiddellijke opvang van de ramp, hoe snel moet je terug naar een normale toestand vooraleer het prijskaartje van de noodmaatregelen op zijn beurt het bedrijf om zeep helpt en dies meer. Zeker voor kleinere en middelgrote bedrijven, die het vaak aan budget en expertise voor bcm ontbreekt, is dit een ‘must' maar ook een uitdaging. Daarbij moet worden overwogen dat een ramp of probleem zich vermoedelijk nooit precies aan het voorziene draaiboek houdt, wat allicht bijkomende kosten meebrengt.
Belangrijk daarbij is ook de inzet van het personeel. Vanzelfsprekend moeten de ict'ers weten wat hun rol is in de onmiddellijke aanpak van het probleem en de daaropvolgende noodwerking. Dat veronderstelt duidelijke afspraken, maar allicht ook een voldoende mate van creativiteit om onverwachte toestanden op te vangen. En dat met voldoende inzicht in de noden en processen van het bedrijf, om echt van dienst te zijn. Het veronderstelt ook procedures om problemen veroorzaakt door het personeel zelf (ziekte, ongeval, malafide praktijken) aan te kunnen. Zowel van het eigen personeel, als van ingehuurd personeel.
Een bedrijf kan overigens deel uitmaken van een ‘waardeketting' (zoals een supply chain) en de problemen kunnen afkomstig zijn uit een ander bedrijf uit die ketting. Als de ict-infrastructuur van die ondernemingen onderling samenwerkt (zoals in sectoren als de auto-assemblage, of andere just-in-time productiesectoren), moeten de ict'ers in staat zijn over de bedrijfsgrenzen heen samen te werken. Ze moeten weten wat te doen als de informatiestroom wegvalt…. of als ze zelf verantwoordelijk zijn voor de storing, om zo snel mogelijk de ketting te herstellen. Ook hier is samenspraak van de ict'ers met de commerciële kant van het bedrijf een must, wellicht van de andere bedrijven.
Voorts moet een bedrijf er natuurlijk rekening mee houden dat een probleem zich zelden alleen voordoet. Combinaties van problemen, intern en extern van oorsprong, zijn best mogelijk en vereisen bijkomende inspanningen (lees: creativiteit, inzicht, besluitvaardigheid etc) om disaster recovery en continuïteitsplannen op elkaar af te stemmen.
Bijkomende problemen
De bovenstaande opsomming vereist van de ict'ers inzet inzake de wijze waarop ze de nodige informatie- en communicatiestructuur kunnen voorzien voor de uitvoering van de plannen. Daarbij moet de ict-afdeling ook rekening houden met het uitvallen of niet beschikbaar zijn van de geplande middelen. Hoe ga je bijvoorbeeld de communicatie tussen de disaster recovery specialisten (drs) en bcm-verantwoordelijken verzekeren als lokaal (of nationaal) het gsm-netwerk is overbezet of uitgevallen? Of de connectie verzekeren tussen het vervangingsdatacenter en de werkplekken waar de personeelsleden zich bevinden? Dat laatste vergt allicht meer dan het ondertekenen van een contract bij twee verschillende telco-dienstenleveranciers, leert een les van ‘9/11'. Een van de getroffen bedrijven had keurig zijn huiswerk gedaan door naast een hoofdleverancier ook bij een tweede telco een contract af te sluiten voor back-up telecomdiensten. Helaas bleken die twee telcobedrijven op hun beurt gebruik te maken van een zelfde schakelkamer… die zich bevond in één van de WTC-torens in New York City! Overigens gesproken over communicatie, afhankelijk van de verticale sector waarin het bedrijf actief is, moet allicht ook worden gedacht aan de communicatie met de hulpdiensten, evenals over een eventuele crisiscommunicatie met de buitenwereld (bijvoorbeeld met de pers, of tegenwoordig ook informatie over Twitter, Facebook en andere netwerken).
Een probleem kan tevens juridische en zelfs strafrechterlijke aspecten hebben. Ook hieraan moet de ict-afdeling aandacht besteden. Zo moeten ict'ers allicht instaan voor het bewaren van bewijsmateriaal of sporen in de ict-infrastructuur, met het oog op latere vragen vanwege verzekeringsmaatschappijen of een mogelijke aansprakelijkheid van het bedrijf (onder meer ten opzichte van slachtoffers). Wat immers als het personeel zelf aan de basis ligt van het probleem, allicht door verkeerd of malafide gebruik van de (ict-)infrastructuur? De kans is reëel dat politiediensten later vragen stellen in het kader van een forensisch onderzoek.
De ict-afdeling kan voorts ook in probleemtoestanden worden gevraagd aandacht te besteden aan de ‘governance'-noden, zeg maar privacy-aspecten van de bedrijfsdata. Zo mag de oplossing van het probleem op zijn beurt geen ‘governance'-probleem creëren. Wat immers als een bedrijf dat uitwijkdiensten levert op zijn beurt de data van het getroffen bedrijf doorsluist naar een ander land? Continuiteitsplannen zullen overigens ook moeten worden aangepast naarmate steeds meer bedrijven gebruik maken van diensten in de ‘cloud' en dus de bcm-plannen van die dienstenleveranciers ook een rol gaan spelen.
Kortom, het mag duidelijk zijn dat een business continuity plan heel wat meer vergt van de ict'ers dan enkel de handtekening te zetten onder een back-up en disaster recovery contract. Allicht redenen te over ook om hierover eens contact op te nemen met onderlegde experten en adviseurs
Door Guy Kindermans, Data News
