Oavsett vilken form en katastrof tar är det bästa sättet att hantera den att vara förberedd genom att använda en väl genomtänkt katastrofåterställningsplan. Det är mycket lättare att hålla sig lugn och sansad under press när du har någon (eller något) som kan vägleda dig genom en dålig situation. Katastrofer kan ta sig många uttryck, från naturkatastrofer till cyberattacker och olyckor.
Cyberattacker, t.ex. utpressningstrojaner, kan vara katastrofala för ett företag och ofta stoppa arbetet helt och hållet. Effekterna av oavsiktliga dokumentförluster eller ett illasinnat säkerhetsbrott kan vara allvarliga, inklusive förlorat rykte, böter och system- och driftsstopp. Genom att skapa en praktisk plan för kontinuitet i verksamheten får en organisation bästa möjliga chans att minimera konsekvenserna av en katastrof som översvämning, brand eller cyberattack och förkorta återhämtningstiden.
Här är vår guide till vad en katastrofåterställningsplan är och hur man skriver en sådan.
Vad är en katastrofåterställningsplan?
I Liftarens guide till galaxen börjar Encyclopaedia Galactica med orden "Don't Panic". En effektiv katastrofåterställningsplan behöver inte ha dessa ord på omslaget, eftersom den är en förnuftig guide för att hantera en katastrof. En katastrofplan är en organisations dokumenterade instruktion för att hantera incidenter, inklusive naturkatastrofer som översvämningar, strömavbrott, cyberattacker, dataförluster och så vidare. I planen presenteras en rad strategier som bidrar till att minimera konsekvenserna av en katastrof; målet är att upprätthålla affärsverksamheten och återuppta arbetet så snart som möjligt.
Varför behöver du skriva en katastrofåterställningsplan?
Dåliga saker händer och ofta utan förvarning, vilket leder till omfattande störningar. Stormarna i Storbritannien 2015-2016 resulterade till exempel i en ekonomisk påverkan på 1,6 miljarder pund, och företagen spenderade över 500 miljoner pund på översvämningsskador. Cyberattacker är också en katastrof som väntar på att hända: 2020 upplevde 65 % av de medelstora företagen en cyberattack, enligt en undersökning från DCMS 2021. Hot från insiders kan också vara katastrofala, och kostnaderna ökar kraftigt enligt Ponemon Institute: under de senaste 12 månaderna har den genomsnittliga årliga kostnaden för ett intrång från insider ökat med 31 % till 11,45 miljoner dollar (8,27 miljoner pund).
Katastrofer är ofta oundvikliga, men de kan hanteras för att minimera effekterna - det är här som katastrofåterställningsplanen kommer in i bilden. En katastrofplan är utformad för att:
- Begränsa katastrofens inverkan på verksamheten.
- Minimera påverkan på affärsprocesser och verksamhet
- Minimera eventuella fysiska skador eller cyberskador.
- Minska de kostnader som är förknippade med katastrofen
- Utbilda personal, leverantörer och intressenter i de processer som identifierats för att mildra katastrofer.
- Identifiera sätt att arbeta medan katastrofen hanteras.
- Förfaranden för återhämtning efter en katastrof
Hur man skriver en plan för katastrofåterställning
Planer för katastrofåterställning består vanligtvis av fem huvudkomponenter:
- Roller och ansvar
- Vilka är riskområdena?
- Utföra en konsekvensanalys av verksamheten (BIA).
- Revision av tillgångar
- Säkerhetskopiering av data
Roller och ansvar
Skapa ett DR-team som kommer att ansvara för att utveckla och underhålla DR-planen. Identifiera den nyckelpersonal som ska utföra de uppgifter som krävs för att hantera och återhämta sig från en katastrof. Effektiv informationsspridning och stabila kommunikationskanaler är viktiga för en effektiv katastrofplan. Lägg in uppgifter om personalen, inklusive kontaktuppgifter och reservkontaktuppgifter, i en lätt tillgänglig loggbok i planen för räddningstjänst. Detta kommer att bli din huvudlista över kontakter. Du bör också bygga upp en reservgrupp av kontaktpersoner.
Alla anställda måste informeras om planen för katastrofhantering och vem som ansvarar för att genomföra planen i händelse av en katastrof. Detta kommer att utgöra en del av ett bredare utbildningsprogram i katastrofplanering för att alla anställda ska förstå vad som händer i händelse av en katastrof.
Vilka är riskområdena?
Definiera de riskområden som är förknippade med en katastrof. Detta innebär vanligtvis att katastrofer delas upp i olika typer, t.ex. naturkatastrofer, katastrofer orsakade av människor, teknikrelaterade katastrofer. Varje typ av katastrof har vanligtvis sina egna strategier för begränsning av effekterna. Beskriv vilka dessa strategier är och hur de genomförs.
Utföra en konsekvensanalys av verksamheten (BIA).
En effektiv hantering av en katastrof kräver prioritering. I en konsekvensbedömning av verksamheten (Business Impact Assessment, BIA) undersöks vilka typer av verksamheter som finns och dessa kartläggs i förhållande till risknivåer i termer av hur kritiska de är för att företaget ska kunna fortsätta sin verksamhet. Detta kopplas till de resurskrav för kritisk affärsverksamhet som behövs för att säkerställa operativ motståndskraft och kontinuitet när verksamheten störs. När det gäller katastrofplanering skulle en katastrofåterställningsplan vanligtvis fokusera på viktiga affärsområden som intäktsgenerering och löneadministration. Målet är dock att få igång hela verksamheten så snabbt som möjligt.
Revision av tillgångar
Som en del av en bredare konsekvensbedömning bör DR-planen innehålla en granskning av de mest påverkbara programmen, dokumenten, hårdvaran etc. och hur kritiska de är för affärsverksamheten. Detta är en fortlöpande process eftersom dessa saker snabbt kan förändras.
Säkerhetskopior
Att ha säkerhetskopior av viktiga och känsliga dokument är ett säkert alternativ. Dokument som är viktiga för ett företag kan gå förlorade eller skadas i en katastrof eller krypteras i attacker med utpressningstrojaner. Se till att din policy innehåller en strategi för säkerhetskopiering och återställning som täcker följande checklista:
- Vem ansvarar för säkerhetskopiering av data?
- Vad du ska spara och hur ofta du ska göra säkerhetskopior
- Hur den ska sparas (typ av säkerhetskopieringssystem som används - detta är särskilt viktigt för motstånd mot utpressningstrojaner).
- Hur man testar säkerhetskopieringssystemet och hur ofta man testar det.
- Hur man återställer från säkerhetskopior
Det är också viktigt att komma ihåg att en dataåterställningsplan är ett levande dokument som bör uppdateras regelbundet. Att skapa en robust plan för återställning av data är en intensiv process som går in i din organisation och hur du kommer att klara dig i värsta fall. Den har många affärskritiska delar och samarbete med tredjepartsexperter bör övervägas för att säkerställa en plan som passar bäst.
Är din katastrofåterställningsplan redo?
Varje katastrofåterställningsplan är unik för en organisation: en katastrofåterställningsplan går in i kärnan av en organisations verksamhet och hur den fungerar. Men en katastrofåterställningsplan har människor i centrum. Utbildning av personalen i genomförandet av principerna i en katastrofåterställningsplan är avgörande för att säkerställa att planen genomförs effektivt. Vår personal är det som kan förhindra en katastrof, men de måste vara fullt medvetna om sin roll för att förhindra eller minimera konsekvenserna av katastrofen.
