Een goede back-up betekent dat gegevens kunnen worden teruggehaald. Maar wanneer een belangrijk deel van uw IT-omgeving uitvalt, is daarmee nog niet duidelijk hoe uw organisatie haar werkzaamheden kan hervatten. Applicaties zijn afhankelijk van databases, netwerkverbindingen, gebruikersaccounts en soms externe leveranciers. Bovendien kunnen niet alle systemen altijd tegelijk worden hersteld. Welke bedrijfsprocessen krijgen dan voorrang, welke voorzieningen zijn daarvoor noodzakelijk en wie neemt de beslissingen?
Recoveryplanning helpt om deze vragen vooraf te beantwoorden. Het verbindt technische herstelmogelijkheden met de prioriteiten en verantwoordelijkheden van uw organisatie.
Herstel begint bij wat uw organisatie moet kunnen doen
Bij het herstellen van een IT-omgeving ligt de aandacht vaak op de techniek. Servers moeten opnieuw worden opgestart, gegevens worden teruggezet en applicaties moeten weer beschikbaar komen. Dat zijn noodzakelijke werkzaamheden, maar ze vormen niet het uiteindelijke doel. Het gaat erom dat medewerkers hun werk kunnen hervatten en dat belangrijke bedrijfsprocessen weer functioneren.
Daarvoor moet eerst worden vastgesteld welke processen het zwaarst worden geraakt door uitval. Een productiebedrijf kan bijvoorbeeld niet verder wanneer de planning en aansturing van de productie ontbreken, terwijl bepaalde administratieve werkzaamheden tijdelijk kunnen wachten. Bij een handelsorganisatie kunnen orderverwerking en magazijnsystemen juist voorrang krijgen. De juiste herstelvolgorde verschilt dus per organisatie en kan niet uitsluitend vanuit de technische inrichting worden bepaald.
Deze afweging vraagt betrokkenheid van het management en de verantwoordelijken voor de bedrijfsprocessen. Zij kunnen beoordelen welke gevolgen uitval heeft voor klanten, medewerkers, productie en financiële verplichtingen. IT-specialisten brengen vervolgens in kaart welke voorzieningen nodig zijn om die processen weer mogelijk te maken en welke hersteltijden realistisch zijn. Op die manier ontstaat een herstelvolgorde die niet alleen technisch uitvoerbaar is, maar ook aansluit op de belangen van de organisatie.
De afhankelijkheden achter een bedrijfsproces
Een bedrijfsapplicatie functioneert zelden volledig zelfstandig. Een ERP-systeem kan afhankelijk zijn van een database, identiteitsdiensten, netwerkverbindingen en koppelingen met andere applicaties. Medewerkers hebben daarnaast werkende apparaten en toegangsrechten nodig. Wanneer een van deze onderdelen ontbreekt, kan een applicatie technisch beschikbaar zijn zonder dat het bijbehorende bedrijfsproces daadwerkelijk kan worden hervat.
Een recoveryplan maakt daarom zichtbaar welke voorzieningen elkaar nodig hebben en in welke volgorde ze moeten worden hersteld. Sommige onderdelen vormen een noodzakelijke basis voor meerdere applicaties, terwijl andere systemen onafhankelijk of gelijktijdig kunnen worden opgebouwd. Ook externe afhankelijkheden verdienen aandacht. Denk aan een leverancier die een applicatie beheert, een verbinding tussen vestigingen verzorgt of ondersteuning moet bieden bij het opnieuw activeren van een systeem.
Juist deze samenhang maakt recoveryplanning belangrijk. Zonder vooraf vastgesteld overzicht bestaat het risico dat tijdens een incident veel tijd wordt besteed aan het herstellen van afzonderlijke systemen, terwijl de organisatie nog steeds niet verder kan werken.
Wat een productieomgeving zichtbaar maakt
Een productiebedrijf gebruikt een ERP-systeem voor planning, inkoop en voorraadbeheer. De productieomgeving bevat daarnaast machines met eigen besturingssystemen en verbindingen met externe leveranciers. Na een ernstig beveiligingsincident besluit de organisatie een deel van haar IT-omgeving gecontroleerd opnieuw op te bouwen. De back-ups van het ERP-systeem zijn beschikbaar, waardoor herstel technisch mogelijk lijkt.
Tijdens de voorbereiding blijkt echter dat het terugzetten van de applicatie slechts één onderdeel is. Eerst moeten de noodzakelijke netwerkvoorzieningen en identiteitsdiensten beschikbaar zijn. Vervolgens moeten de database en applicatie worden hersteld en de koppelingen met andere systemen worden gecontroleerd. Tegelijkertijd moet worden vastgesteld of de omgeving veilig opnieuw in gebruik kan worden genomen. Een te snelle herstart kan ertoe leiden dat een nog aanwezige kwetsbaarheid of besmetting opnieuw problemen veroorzaakt.
Voor de bedrijfsleiding ontstaan daardoor vragen die niet uitsluitend technisch kunnen worden beantwoord. Kan een deel van de productie tijdelijk zonder ERP doorgaan? Welke processen moeten als eerste worden hervat? Welke leveranciers zijn nodig voor het herstel en wanneer kan de productieomgeving verantwoord worden vrijgegeven?
Wanneer deze afwegingen vooraf zijn gemaakt, kan het herstel gerichter worden uitgevoerd. Het plan neemt niet alle onzekerheid weg, maar voorkomt dat de belangrijkste keuzes pas onder tijdsdruk hoeven te worden gemaakt.
Onderstaand praktijkvoorbeeld is illustratief.
Vier onderdelen van een bruikbaar recoveryplan
Een recoveryplan brengt bedrijfsprioriteiten, technische mogelijkheden en organisatorische afspraken samen. Vier onderdelen vormen daarbij de basis.
Prioriteiten
Welke bedrijfsprocessen als eerste moeten worden hervat en welke gevolgen van uitval acceptabel zijn.
Afhankelijkheden
Welke systemen, gegevens, verbindingen en leveranciers noodzakelijk zijn en in welke volgorde herstel plaatsvindt.
Verantwoordelijkheden
Wie het herstel coördineert, wie werkzaamheden uitvoert en wie besluiten neemt over heringebruikname.
Toetsing en onderhoud
Hoe wordt vastgesteld dat het plan uitvoerbaar is en hoe wijzigingen in de IT-omgeving worden verwerkt.
De herstelprioriteiten vormen het vertrekpunt. Daarbij spelen ook de gewenste hersteltijd en het maximaal aanvaardbare gegevensverlies een rol, doorgaans aangeduid als RTO en RPO. Deze doelen moeten passen bij de bedrijfsrisico's én bij de beschikbare herstelvoorzieningen. Een doelstelling heeft immers weinig waarde wanneer de inrichting van de IT-omgeving deze niet kan waarmaken.
Vervolgens worden de herstelstappen uitgewerkt. Dat vraagt om voldoende technische documentatie, beschikbare herstelmiddelen en duidelijke afspraken met betrokken leveranciers. Het plan moet ook uitvoerbaar blijven wanneer de gebruikelijke medewerkers niet bereikbaar zijn of wanneer de normale IT-omgeving, inclusief de documentatie, tijdelijk niet beschikbaar is.
Tot slot moet worden vastgesteld hoe de uitvoering wordt beoordeeld. Het terugzetten van gegevens of het opstarten van een applicatie bewijst nog niet dat medewerkers hun werkzaamheden kunnen hervatten. Daarvoor moeten ook de relevante verbindingen, koppelingen en bedrijfsfuncties worden gecontroleerd. Een hersteltest maakt zichtbaar of de gekozen volgorde klopt en of de betrokkenen hun taken daadwerkelijk kunnen uitvoeren.
Wie beslist wanneer een systeem weer gebruikt mag worden?
Bij een ernstige IT-verstoring zijn technische en organisatorische verantwoordelijkheden nauw met elkaar verbonden. De IT-beheerder kan beoordelen of een systeem technisch functioneert en welke herstelwerkzaamheden nog nodig zijn. Maar de vraag of een bedrijfsproces weer kan worden gestart, vraagt ook een beoordeling door degene die voor dat proces verantwoordelijk is.
Bij een beveiligingsincident komt daar een aanvullende afweging bij. Voordat systemen opnieuw worden verbonden of gebruikers toegang krijgen, moet voldoende duidelijk zijn dat de oorzaak van het incident is aangepakt en dat de omgeving verantwoord in gebruik kan worden genomen. Anders kan een snelle hervatting juist nieuwe schade veroorzaken.
Een recoveryplan moet daarom vastleggen wie bevoegd is om deze besluiten te nemen, op basis van welke informatie dat gebeurt en hoe de betrokken partijen samenwerken. Dat voorkomt onduidelijkheid op het moment dat snelheid belangrijk is, maar zorgvuldigheid niet verloren mag gaan.
Recoveryplanning hoort bij regulier IT-beheer
Een recoveryplan beschrijft een IT-omgeving die voortdurend verandert. Nieuwe applicaties worden ingevoerd, bestaande systemen krijgen andere koppelingen en leveranciers nemen nieuwe verantwoordelijkheden op zich. Ook veranderingen in bedrijfsprocessen kunnen gevolgen hebben voor de herstelprioriteiten. Een plan dat bij dergelijke wijzigingen niet wordt bijgewerkt, kan daardoor geleidelijk minder bruikbaar worden.
Recoveryplanning moet daarom onderdeel zijn van het reguliere beheer. Bij relevante veranderingen wordt beoordeeld of de herstelvolgorde en afhankelijkheden nog kloppen. Periodieke oefeningen en hersteltests laten vervolgens zien of de procedures uitvoerbaar blijven en of de afgesproken hersteldoelen haalbaar zijn.
Bij Malenco kijken we daarom niet alleen naar de aanwezigheid van back-ups of herstelprocedures. We beoordelen ook de samenhang tussen bedrijfsprocessen, infrastructuur, applicaties, leveranciers en verantwoordelijkheden. Waar herstelmogelijkheden niet aansluiten op de verwachtingen van de organisatie, maken we dat inzichtelijk zodat passende maatregelen en prioriteiten kunnen worden vastgesteld.
Weet uw organisatie wat er als eerste moet gebeuren?
Een recoveryplan hoeft niet iedere mogelijke verstoring te voorspellen. Het moet wel voldoende houvast bieden om onder moeilijke omstandigheden de juiste werkzaamheden in de juiste volgorde uit te voeren. Daarvoor moeten de belangrijkste afhankelijkheden bekend zijn, de verantwoordelijkheden duidelijk zijn verdeeld en de herstelmogelijkheden in de praktijk zijn getoetst.
Een back-up zorgt ervoor dat gegevens beschikbaar kunnen blijven. Recoveryplanning zorgt ervoor dat uw organisatie weet hoe zij die gegevens, systemen en voorzieningen gebruikt om haar werkzaamheden daadwerkelijk te hervatten.
Wilt u weten of uw organisatie voldoende voorbereid is op een ernstige IT-verstoring? Malenco helpt u inzicht te krijgen in uw herstelmogelijkheden, afhankelijkheden en de stappen die nodig zijn om uw bedrijfscontinuïteit beter te waarborgen.
