Disaster Recovery – co to jest i czy warto z niego skorzystać?

W dzisiejszych czasach firmy intensywnie poszukują rozwiązań, które pomogą im zwiększyć bezpieczeństwo swojego biznesu. Jednym z najciekawszych jest Disaster Recovery. Co to jest i jak może Ci pomóc? Wszystkiego dowiesz się czytając poniższyz artykuł.

1. Co to jest Disaster Recovery?

Disaster Recovery inaczej zwane jest odtwarzaniem awaryjnym, jest to zbiór działań obejmujących procesy, politykę, oraz procedury związanych ze wznowieniem lub utrzymaniem infrastruktury teleinformatycznej, która jest krytyczna dla organizacji, szczególnie po wystąpieniu awarii, katastrofy naturalnej, lub tej spowodowanej przez człowieka. W skład dokumentacji wchodzą wszystkie działania oraz procedury niezbędne do wykonania, zarówno przed, w trakcie, jak i po wystąpieniu awarii. W planowanie procesów odtwarzania IT po awarii powinien być zaangażowany cały dział IT. Pierwsze co należy zrobić to przeprowadzić analizę ryzyka (Risk Assessment) i zbadać wpływ awarii na działanie firmy (Business Impact Analysys). Kolejny ważny krok, to ustalenie czasu, w którym powinien być przywrócony proces, po wystąpieniu awarii, czyli Recovery Time Objective (RTO) i akceptowalny poziom utraty danych wyrażony w czasie, czyli Recovery Point Objective (RPO).

2. Czym jest Business Continuity Plan?

BCP w dużej mierze polega na zdefiniowaniu wszelkiego ryzyka, które może negatywnie wpłynąć na działalność firmy, co czyni go niezwykle ważną strategią zarządzania ryzykiem w przedsiębiorstwie. Ważną częścią opracowania Business Continuity Plan jest analiza wpływu na ciągłość biznesową, identyfikuje ona skutki zakłócenia funkcji i procesów biznesowych. Wykorzystując te informacje, należy podejmować decyzji dotyczące priorytetów i strategii odzyskiwania danych. Business Continuity Plan (BCP) ma na celu pomóc ograniczyć i skrócić czas niepewności w przypadku pojawienia się zakłóceń w prowadzeniu działalności. Ponieważ zakłócenia te, czyli inaczej mówiąc odstępstwa od normy, zazwyczaj powiązane są z kosztami. Aby zminimalizować ich czas i ograniczyć koszty do minimum, należy sporządzić dokumenty, które powinny zawierać wszystkie niezbędne kroki (wraz z harmonogramem), których zastosowanie pozwoli na ponowne uzyskanie zasobów i odbudowanie procesów wynikających z pojawienia się przerwy w działaniu przedsiębiorstwa.

Istnieje bardzo dużo standardów, na podstawie których można się wzorować, tworząc Business Continuity Plan dla swojej firmy, należy do nich na przykład publicznie dostępny Contingency Planning Guide for Federal Information Systems stworzony przez amerykański instytut NIST dla agencji rządowych USA. Równie powszechnym i rekomendowanym między innymi przez komisję Nadzoru Finansowego dla działających w Polsce banków, w którym znajdziemy zalecane schematy działania podczas zarządzania ryzykiem, jest COBIT. Normy N-ISO/IEC-1779, PN-ISO/IEC 24762:2010 czy BS 25999-1, są również dobrym wzorcem do opracowywania  Business Continuity Plan.

3. Czym jest Business Impact Analysys?

Stworzenie Business Continuity Plan powinno być poprzedzone analizami, które mają za zadanie wskazać obszary, dla których kluczowe jest zachowanie ciągłości działań. Użyty w tym celu Business Impact Analysys (BIA), umożliwia określenie możliwych strat, które będą skutkiem zakłóceń funkcjonowania danych procesów. Należy tutaj wziąć pod uwagę nie tylko straty finansowe, ale też utratę reputacji, nadszarpnięcie wizerunku firmy, czy spadek satysfakcji klientów spowodowanej brakiem ciągłości działań. Business Impact Analysys umożliwia wyznaczenie krytycznych dla firmy procesów i zasobów IT, oraz wskazanie lokalizacji i osób, które są niezbędne do ich utrzymania. BIA pozwala też określić maksymalny czas, przez jaki dany proces może być niedostępny, oraz produkty organizacji, które są powiązane z kluczowymi procesami.

Każdy proces poddany analizie w Business Impact Analysys, przypisany ma dwa parametry, są to wspomniane już:

• RTO (Recovery Time Objective), który oznacza czas potrzebny do przywrócenia procesów po wystąpieniu awarii
• RPO (Recovery Point Objective) ten parametr natomiast to akceptowalny poziom utraty danych wyrażony w czasie

Wartościowanie analizowanych procesów, opiera się na podstawie strat, jakie może wywołać ich zakłócenie. Dla każdego zakłócenia wyznaczany jest współczynnik MTPD (Maximum Tolerable Period of Disruption), czyli, krótko mówiąc maksymalny akceptowalny czas trwania zakłócenia, awarii. I tutaj jest następująca zależność, im ten czas jest krótszy, tym proces ma większe znaczenie dla ciągłości działań w organizacji.

4. Na co zwrócić uwagę tworząc plan działań Disaster Recovery?

Aby w pełni korzystać z dobrodziejstw, które daje nam Disaster Recovery, należy sporządzić odpowiedni plan ciągłości działań w danej organizacji, ponieważ źle sporządzony plan może nie tylko nie zapobiec awarii, ale może dodatkowo zwiększyć straty spowodowane katastrofą. Plan ten powinien zawierać kluczowe mierniki celu punktu odzyskiwania, jak i celu czasu odzyskiwania. Jednak opracowując plan, należy wziąć pod uwagę kilka czynników takich jak:

• ludzki - dostęp do odpowiednich pracowników lub kontraktorów. Odpowiednie ich przeszkolenie, zapewnienie zastępstwa strategicznym pracownikom, którzy posiadają kluczową wiedzę w zakresie technologii. Należy też stworzyć dokumentację, która będzie skarbnicą wiedzy dla pracowników szukających informacji pomocnych przy przywracaniu systemu IT
• polityka oraz procedury - kiedy zostanie opracowana procedura Disaster Recovery, należy ją przedstawić kierownictwu wyższego szczebla w celu jej zatwierdzenia, powinni oni być świadomi, że przygotowana strategia ma pozytywny wpływ na realizację celów biznesowych firmy
• wymogi technologiczne - jeżeli zdecydujemy się na zapasową lokalizację, niezbędne jest przygotowanie miejsca dostosowanego do wymogów infrastruktury IT, czyli posiadającego odpowiedni system chłodzenia, wentylacji, zasilania, oraz dostępu do łączy o wysokiej przepustowości. Wymagane są też systemy do tworzenia kopii zapasowych, archiwizacji i rozwiązań wspierających proces powrotu systemów IT do pracy przed awarią
• miejsce pracy - niezwykle istotne jest zapewnienie, pracownikom alternatywnego miejsca do pracy, może to być inne biuro, praca zdalna, czy firma zewnętrzna, która zarządza zapasowym centrum danych, która jest przygotowana na przyjęcie funkcjonowania systemów IT
• przechowywanie informacji - bardzo ważne jest odpowiednie przechowywanie kluczowych dla firm danych,ich archiwizacja, i tworzenie kopii zapasowych. Dotyczy to też użycia odpowiedniej technologii, których wybór powinien być uzależniony od tego, jak często są one używane.W tym temacie należy też zadbać o zapewnienie łączy o odpowiedniej przepustowości. Niezwykle istotną kwestią są też możliwości dotyczące ochrony danych w zapasowym centrum danych, i dostępność w nim wsparcie technicznego ze strony wykwalifikowanych specjalistów IT
• umowy z kluczowymi dostawcami - to bardzo ważny temat, bowiem określenie zasad współpracy z dostawcami wszystkich, wykorzystywanych przez nas krytycznych systemów IT, będzie miała wpływ na Disaster Recovery. Niezbędne jest ustalenie w umowie zasad określających współpracę przy odtwarzaniu systemów po awarii, główne dotyczy to dostawców sprzętu, systemów zasilania, usług sieciowych, oraz firm zajmujących się usługami wsparcia technicznego.

Korzystanie z Disaster Recovery, to nie proces, który możemy, ale nie musimy wdrażać. Wręcz przeciwnie! Disaster Recovery jest absolutnie niezbędny, aby nasza firma była bezpieczna oraz chroniona, abyśmy mogli jak najbardziej zminimalizować straty wynikające z awarii, oraz dla naszego spokoju ducha, bo będziemy spać spokojnie, że dane naszej firmy, ale też naszych klientów są w dobrych rękach, i nikt nieodpowiedni się do nich nie dostanie.

Nie musisz tego robić na własną rękę. Są profesjonalne firmy, które zajmują się takimi rozwiązaniami. Jest z czego wybierać. Według mnie najciekawszą na terenie Polski jest Transition Technologies PSC i ich oferta Disaster recovery https://ttpsc.com/pl/cloud/disaster-recovery/