Governance & Compliance · 5 min læsning · Nicolai Glargaard

Forretningsberedskab, når noget går galt

BCP, DRP og krisehåndtering forklaret. Seks scenarier en SMV bør planlægge for, og en pragmatisk fire-trinsproces fra BIA til testet plan.

Vidensartikel · Risikostyring · SMV-fokus

De fleste ved godt, hvad der kan gå galt. Det afgørende er, hvad I gør, når det sker. Forretningsberedskab handler om at holde kritiske funktioner i gang og genetablere normal drift hurtigst muligt.

Niveau

Grundlæggende

Standard

ISO 22301 / god praksis

Læsetid

ca. 5 minutter

Grundforståelse

BCP, DRP og krisehåndtering, hvad er hvad?

En beredskabsplan for driften, BCP, beskriver, hvordan kritiske funktioner holdes i gang under en forstyrrelse. En plan for genetablering, DRP, fokuserer på IT-systemerne. Krisehåndteringsplanen fastlægger beslutninger, ansvar og kommunikation. De tre supplerer hinanden, mens BCP samler det overordnede beredskab.

Scenarier

Hvad en BCP skal dække

BCP, driften

• Holder kritiske funktioner i gang
• Dækker mennesker, lokationer og leverandører
• Fastlægger prioritering under forstyrrelsen

DRP, IT-systemerne

• Genetablerer systemer og data
• Fastlægger RTO og RPO
• Beskriver backup, ansvar og rækkefølge

• IT-nedbrud: Kritiske systemer utilgængelige. Hvad kan fortsætte manuelt? Hvem kontaktes? Hvad er RTO og RPO?
• Nøglemedarbejder falder bort: Hvem kan dække de kritiske funktioner? Er viden dokumenteret og tilgængelig?
• Leverandørsvigt: Kritisk leverandør kan ikke levere. Hvem er alternativet? Hvad er minimumslager?
• Fysisk lokation utilgængelig: Brand, oversvømmelse eller pandemi. Hvem kan arbejde hvorfra? Hvad kræves for at fortsætte?
• Cyberhændelse: Ransomware eller databrud. Hvornår lukkes systemer? Hvem notificeres? Hvad er beredskabsplanen?
• Tab af kritiske data: Backup-procedure og recovery-tid. Er backup testet? Hvad er acceptabel datatab (RPO)?

Processen

Sådan bygger du en BCP i en SMV

1. Business Impact Analysis (BIA): Identificér de processer og funktioner der er mest kritiske for fortsat drift. For hver: hvad er konsekvensen af at den er nede i 1 time, 1 dag, 1 uge? Det sætter prioriteringen for, hvad der skal beskyttes og genoprettes først.
2. Definer RTO og RPO: Recovery Time Objective (RTO): hvor lang tid må en kritisk funktion maksimalt være nede? Recovery Point Objective (RPO): hvor meget data må maksimalt gå tabt? Disse tal styrer valget af beredskabsløsninger.
3. Dokumentér beredskabsprocedurer: For hvert kritisk scenarie: hvem gør hvad, i hvilken rækkefølge, og med hvilke ressourcer? Procedurerne skal være skrevet til den person der skal bruge dem under pres, ikke til en revisor.
4. Test og opdatér planen: Gennemfør en tabletop-øvelse: gennemgå et scenarie og se, om planen holder. Identificér huller. Opdatér. Test igen. En plan der aldrig testes, giver falsk tryghed. Og det er farligere end ingen plan.

• Fejl 1: Planen udarbejdes men testes aldrig. Huller opdages først under en reel hændelse.
• Fejl 2: Kun IT dækkes. De menneskelige og processmæssige dimensioner overses.
• Fejl 3: Planen opdateres ikke ved organisationsændringer. Er forældet når den bruges.
• Fejl 4: Kun én person kender planen. Og vedkommende er den der er faldet bort.

Forretningsberedskab, ISO 22301, BCP, Disaster recovery, Krisehåndtering, SMV

Det er ikke spørgsmålet om, hvornår noget går galt. Det er spørgsmålet om, hvornår, og om I er klar. En enkel, testet plan er forskellen på en forstyrrelse og en katastrofe.