Wanneer een belangrijk IT-systeem uitvalt, zijn er twee vragen die direct gevolgen hebben voor uw bedrijfsvoering. Hoeveel gegevens kunnen verloren gaan en hoelang mag het duren voordat medewerkers hun werkzaamheden kunnen hervatten? Het antwoord verschilt per organisatie, maar ook per bedrijfsproces. Een administratief systeem dat enkele uren niet beschikbaar is, kan hinderlijk zijn. Bij een productieomgeving, logistiek proces of orderverwerking kunnen dezelfde uren leiden tot aanzienlijke verstoringen.
In de IT worden deze grenzen aangeduid met RPO en RTO. De begrippen zijn technisch van oorsprong, maar de keuzes erachter zijn in de eerste plaats bedrijfsmatig. Ze bepalen welke herstelvoorzieningen noodzakelijk zijn, welke investeringen gerechtvaardigd zijn en welke risico's een organisatie bewust accepteert.
RPO
RPO (Recovery Point Objective) beschrijft hoeveel gegevensverlies bij een verstoring maximaal acceptabel is.
RTO
RTO (Recovery Time Objective) beschrijft hoelang een systeem of bedrijfsproces maximaal buiten gebruik mag zijn.
Beide waarden moeten worden vastgesteld vanuit de gevolgen voor de bedrijfsvoering. Pas daarna kan worden beoordeeld of back-ups, herstelprocedures en andere technische voorzieningen voldoende zijn om deze doelstellingen daadwerkelijk te halen.
RPO: hoeveel gegevens kunt u missen?
Stel dat uw organisatie dagelijks om middernacht een back-up maakt van haar administratieve systeem. Wanneer dat systeem de volgende middag uitvalt en uitsluitend de laatste back-up kan worden teruggezet, kunnen alle wijzigingen sinds middernacht verloren gaan. Dat kunnen ingevoerde orders, financiële boekingen, gewijzigde klantgegevens of andere transacties zijn.
De RPO geeft aan hoeveel gegevensverlies de organisatie maximaal aanvaardbaar vindt, uitgedrukt in tijd. Bij een RPO van vier uur moet het mogelijk zijn om gegevens te herstellen tot een herstelpunt dat bij een incident maximaal vier uur oud is. Een dagelijkse back-up is daarvoor doorgaans onvoldoende. Mogelijk zijn frequentere back-ups, transactielogboeken of andere vormen van gegevensbescherming nodig.
Niet ieder systeem vraagt om dezelfde RPO. Voor een documentarchief waarin weinig verandert, kan een langere periode acceptabel zijn. Voor een systeem waarin voortdurend orders of productieresultaten worden vastgelegd, kan zelfs een uur gegevensverlies grote gevolgen hebben. Daarbij gaat het niet alleen om de hoeveelheid gegevens, maar vooral om de vraag of verloren informatie opnieuw kan worden ingevoerd en welke gevolgen dat heeft voor klanten, medewerkers en bedrijfsprocessen.
RTO: hoelang mag uw bedrijfsvoering stilliggen?
De RTO gaat over de tijd die beschikbaar is om een systeem of proces na een verstoring weer bruikbaar te maken. Wanneer de RTO voor een bedrijfskritische applicatie vier uur bedraagt, betekent dit dat de organisatie verwacht dat deze binnen vier uur na een verstoring weer operationeel is.
Dat is meer dan het terugzetten van een back-up. Een applicatie kan afhankelijk zijn van servers, databases, netwerkverbindingen, identiteitsvoorzieningen en externe diensten. Zelfs wanneer alle gegevens beschikbaar zijn, kunnen medewerkers nog steeds niet werken als een van deze onderdelen ontbreekt. Daarom moet de hersteltijd worden beoordeeld vanuit het volledige bedrijfsproces, niet uitsluitend vanuit de technische handeling waarmee gegevens worden teruggezet.
Ook hier verschillen de belangen per proces. Een interne rapportageomgeving kan mogelijk een dag onbeschikbaar zijn zonder ernstige gevolgen. Een systeem dat nodig is voor productieplanning, magazijnactiviteiten of klantorders kan veel sneller hersteld moeten worden. Hoe korter de vereiste hersteltijd, hoe groter doorgaans de noodzaak voor aanvullende voorzieningen, voorbereiding en investeringen.
Een back-upfrequentie is nog geen herstelgarantie
In de praktijk worden RPO en RTO soms afgeleid van de aanwezige technische voorzieningen. Er wordt bijvoorbeeld dagelijks een back-up gemaakt en daarom wordt aangenomen dat maximaal één dag gegevens verloren kan gaan. Of er wordt verondersteld dat een server binnen enkele uren kan worden teruggezet, zonder te toetsen of het bijbehorende bedrijfsproces dan ook weer functioneert.
Die redenering draait de volgorde om. Eerst moet worden vastgesteld welke gevolgen gegevensverlies en stilstand hebben voor de organisatie. Vervolgens kan worden bepaald welke doelstellingen daarbij passen en of de bestaande IT-omgeving deze kan ondersteunen. Een back-up kan technisch succesvol zijn terwijl de feitelijke hersteltijd veel langer blijkt dan verwacht.
Daar komt bij dat herstel onder normale omstandigheden anders kan verlopen dan herstel na een beveiligingsincident. Wanneer systemen mogelijk zijn gecompromitteerd, moet eerst worden vastgesteld welke onderdelen veilig kunnen worden gebruikt. Het te snel terugzetten van een onbetrouwbare omgeving kan tot een nieuwe verstoring leiden. Een realistische RTO houdt daarom ook rekening met onderzoek, controles en de voorwaarden voor veilige heringebruikname.
Wat gebeurt er wanneer orders verloren gaan?
Een handelsorganisatie verwerkt gedurende de werkdag bestellingen in een ERP-systeem. De back-up wordt iedere nacht gemaakt. Op een drukke middag raakt de database beschadigd en blijkt herstel alleen mogelijk vanuit de back-up van de vorige nacht. De organisatie beschikt daarmee over een bruikbare kopie van de gegevens, maar mist alle bestellingen en wijzigingen van die dag.
Het technische herstel is slechts een deel van het probleem. Medewerkers moeten achterhalen welke orders ontbreken, welke klanten al een bevestiging hebben ontvangen en welke leveringen mogelijk niet meer aansluiten op de administratie. Een deel van de informatie kan worden gereconstrueerd uit e-mails en andere systemen, maar dat kost tijd en brengt nieuwe fouten met zich mee.
Wanneer de organisatie vooraf had vastgesteld dat maximaal één uur ordergegevens verloren mocht gaan, zou de bestaande back-upvoorziening als onvoldoende zijn beoordeeld. En wanneer orderverwerking binnen vier uur hervat moet kunnen worden, zou ook moeten worden onderzocht of de complete ERP-omgeving binnen die tijd kan worden hersteld. De waarde van RPO en RTO zit juist in het zichtbaar maken van deze verschillen voordat een verstoring optreedt.
Vier stappen om tot realistische hersteldoelstellingen te komen
RPO en RTO worden pas bruikbaar wanneer zakelijke verwachtingen, technische mogelijkheden en verantwoordelijkheden met elkaar in overeenstemming zijn gebracht. Daarvoor zijn vier stappen van belang.
- Bedrijfsimpact: Welke processen zijn kritisch en wat zijn de gevolgen van gegevensverlies en stilstand?
- Hersteldoelstellingen: Hoeveel gegevensverlies en welke hersteltijd zijn per proces maximaal acceptabel?
- Technische haalbaarheid: Kunnen de huidige voorzieningen, afhankelijkheden en leveranciers deze doelstellingen ondersteunen?
- Toetsing en bijstelling: Blijken de doelstellingen tijdens hersteltests haalbaar en blijven ze passend wanneer de organisatie verandert?
Het vaststellen van deze waarden vraagt om samenwerking tussen de verantwoordelijken voor de bedrijfsprocessen en degenen die de IT beheren. De directie of proceseigenaar kan aangeven welke gevolgen acceptabel zijn. IT kan vervolgens beoordelen wat technisch mogelijk is, welke afhankelijkheden een rol spelen en welke maatregelen nodig zijn om de gewenste hersteltijd en het toegestane gegevensverlies te ondersteunen.
Wanneer de gewenste doelstellingen niet haalbaar zijn binnen de beschikbare middelen, moet dat expliciet worden besproken. Soms is een aanvullende investering noodzakelijk. In andere gevallen kan de organisatie besluiten een langere hersteltijd te accepteren of tijdelijke werkprocedures in te richten. Het belangrijkste is dat die afweging bewust wordt gemaakt en niet pas tijdens een incident aan het licht komt.
Van doelstelling naar aantoonbare herstelmogelijkheid
Een vastgestelde RPO of RTO is op zichzelf nog geen bewijs dat herstel binnen die grenzen mogelijk is. Daarvoor moet worden gekeken naar de werkelijke inrichting van back-ups, infrastructuur, applicaties en herstelprocedures. Ook de beschikbaarheid van leveranciers en medewerkers speelt een rol. Wanneer het herstel afhankelijk is van één specialist of een externe partij zonder duidelijke afspraken, kan een op papier haalbare doelstelling in de praktijk alsnog onbereikbaar blijken.
Hersteltests maken zichtbaar hoe lang de verschillende stappen werkelijk duren en of de gegevens voldoende actueel zijn. Daarbij is het belangrijk om niet alleen te controleren of een systeem start, maar ook of medewerkers de noodzakelijke werkzaamheden kunnen uitvoeren. Een database die technisch beschikbaar is, heeft beperkte waarde wanneer de applicatie geen verbinding kan maken of essentiële koppelingen ontbreken.
RPO en RTO horen daarom thuis in een breder recoveryplan. Daarin worden herstelvolgorde, afhankelijkheden, verantwoordelijkheden en besluitvorming vastgelegd. Door deze afspraken regelmatig te toetsen en bij te werken, ontstaat een realistischer beeld van de continuïteit die de IT-omgeving daadwerkelijk kan bieden.
Weet u welke hersteltijd uw organisatie nodig heeft?
Veel organisaties weten dat er back-ups worden gemaakt, maar hebben niet vastgesteld hoeveel gegevensverlies of stilstand voor hun belangrijkste processen acceptabel is. Daardoor blijft onduidelijk of de aanwezige voorzieningen aansluiten op de werkelijke bedrijfsrisico's. RPO en RTO helpen om die onzekerheid om te zetten in concrete, toetsbare afspraken.
Malenco beoordeelt herstelmogelijkheden in samenhang met de bedrijfsprocessen die ervan afhankelijk zijn. Daarbij kijken we niet alleen naar de beschikbaarheid van gegevens, maar ook naar de technische en organisatorische voorwaarden om werkzaamheden veilig te hervatten.
Wilt u weten of uw herstelvoorzieningen aansluiten op wat uw organisatie nodig heeft? Malenco helpt u inzicht te krijgen in realistische RPO- en RTO-doelstellingen en de maatregelen die nodig zijn om deze te ondersteunen.
