We zijn onze data kwijt… Met deze woorden zou een ict-verantwoordelijke in het middensegment zijn directie/bestuur eens moeten verassen. Gezien de toenemende afhankelijkheid van gedigitaliseerde informatievoorziening, is de kans groot dat hij tegenover zich een persoon wit ziet wegtrekken. Zeker als hij daaraan toevoegt dat de laatste back-up enkele maanden oud blijkt te zijn. Voor menig middelgroot bedrijf of instelling kan dit desastreuze gevolgen hebben. Dit artikel beschrijft een basale aanpak om deze situatie te voorkomen en dit zorgt voor MKB+ continuïteit.

Diverse onderzoeken, waaronder een recent onderzoek in opdracht van EMC (er is ook Nederlandse informatie), tonen aan dat maar de helft van de bedrijven/instellingen een ‘continuïteitsplan’ heeft. Hopelijk zijn dit organisaties met een beperkte automatisering en nog veel papieren gegevensstromen. Maar met de toenemende datahoeveelheden als gevolg van de cloud en mobiliteit is deze kans klein. Des te opmerkelijker is het dat de helft van het management in dit segment zich onvoldoende bewust is van de risico’s van ict-continuïteit.
Maar ook bij de ict’ers in het middensegment zelf zijn er de nodige aandachtspunten. Uit de eigen praktijk:
• Een non-profit stichting had netjes een uitwijkoplossing, maar helaas verzuimd om de recovery-procedures periodiek te testen die bij een calamiteit ook niet correct bleken te zijn.
• Een kleine gemeentelijke instelling maakte dagelijks succesvol backups op twee tapes. De backup op de  tweede tape bleek telkens dezelfde te zijn als de eerste tape en overschreef alle data. Bij een restore moest  men terug naar de laatste niet succesvolle backup maanden daarvoor.
• Een installatiebedrijf maakte netjes backups en legde deze in een brandvertragende kluis. Totdat bij  brand de sprinklerinstallatie aan ging en de volgende dag bij het openen van de kluis het water eruit  stroomde en de tapes waardeloos bleken te zijn.

Tips voor basale continuïteitsaanpak

• Leg verantwoordelijkheid bij directie/bestuur – (Bedrijfs)continuïteit wordt vaak gekoppeld aan de ict-dienstverlening en de it-verantwoordelijke. Dit is echter onterecht; laatste genoemde is opdrachtnemer voor de ict-gerelateerde continuïteitsmaatregelen. Maak de directie/bestuur bewust dat zij verantwoordelijk zijn voor de continuïteit van de operationele bedrijfsprocessen en bedrijfsmiddelen (gebouwen, systemen en data).

• Gebruik de accountant in je voordeel – Bij de jaarrekeningcontrole toetst de accountant de continuïteit en de betrouwbaarheid van de informatievoorziening. Om bewustzijn te creëren bij het management over het belang van ict-continuïteit kun je samen met de accountant bepalen wat de verbeterpunten zijn en hoe je dit kunt aanpakken.

• Analyseer kritische bedrijfsprocessen – Continuïteitsrisico’s zijn divers van aard, zoals stroomuitval, brand, verlies van informatie, faillissement softwareleverancier of diefstal. Directe schade is meestal verzekerd, maar de indirecte schade zelden. Stel met de directie/bestuur vast wat de bedrijfskritische bedrijfsprocessen zijn en welke risico’s men bereid is te nemen. Het antwoord op deze vraag bepaalt in hoge mate de eisen aan de inrichting van de ict-infrastructuur en ict-dienstverlening.

• Bepaal recovery point objective (RPO) – Een eis bij deze inrichting is het voorkomen van ongewenst dataverlies. De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd. In het middensegment wordt vaak acht uren als RPO gehanteerd.

• Bepaal recovery time objective (RTO) – Een andere belangrijke eis is het tijdsbestek waarin herstel van de bedrijfsprocessen mogelijk moet zijn. De RTO is de tijd waarna een proces na een onderbreking moet zijn teruggebracht op een aanvaardbaar niveau. In het middensegment wordt vaak 24 tot 48 uren als RTO gehanteerd.

• Voer een ict-risicoanalyse uit – Bepaal met de ict’ers per kritisch bedrijfsproces welke risico’s de ict-infrastructuur bevat en wat de impact op de ict-dienstverlening is. De makkelijkste methode is een ict-architectuurplaat op een whiteboard te plakken en ‘lijnen door te knippen of systemen door te strepen’ om te zien wat er kan gebeuren.

• Een ongeluk zit in een klein hoekje – Bedenk daarbij dat oorzaken buiten de eigen invloed (stroomuitval, netwerkkabel kapot graven, et cetera) de grootste risico’s kunnen betekenen. Maar ook defecte harde schijven (nog steeds hoofdoorzaak voor gegevensverlies) of simpelweg een router als single point of failure.

• Analyseer de impact en bepaal mitigerende maatregelen – Voor de grootste risico’s waarbij niet voldaan wordt aan de RPO-/RTO-eisen dienen mitigerende continuïteitsmaatregelen (backup en recovery, fysieke beveiliging en uitwijk) te worden voorgesteld. Stel met directie/bestuur vast of men bereid is de kosten te dragen versus de bereidheid bewust bepaalde risico’s toch te willen lopen.

• Een goede backup en recovery – Hanteer een backup-schema (maandelijks integrale (full) backup, en dagelijks/wekelijks incrementele backups). Bepaal aan de hand van de logging of de backup geslaagd is. Bewaar backups op een externe locatie en voer periodieke tests uit van het terugzetten van de backup (recovery test).

• Uitwijk kan ook anders – Een uitwijklocatie is relatief kostbaar ten opzichte van het geringe risico dat een dataroom of een extern datacenter volledig uitvalt. In plaats daarvan is het vaak ook mogelijk met leveranciers afspraken te maken over vervangende apparatuur.

• Stel een draaiboek op en test deze periodiek – Bij een incident dat de bedrijfsvoering dreigt te belemmeren (calamiteit) dient er snel en adequaat gereageerd te worden. Leg in een draaiboek de verantwoordelijkheden, procedures, communicatie vast en test dit jaarlijks.

Resumé
Ict-continuïteit moet je helaas vaak eerst overkomen voordat het voldoende aandacht krijgt. Iedereen herkent wel het gevoel per ongeluk een bestand of map te hebben verwijderd om zich vervolgens af te vragen of ze nog ergens een backup hebben. Ga eens uit van het ergste dat je al je data kwijt bent of langere tijd de bedrijfsvoering stilligt en probeer met deze basale aanpak dit bewustzijn om te zetten in een aantal concrete acties.

Bekijk het artikel op Computable hier