ESET: Managementul continuității afacerii - cheia pentru a vă asigura viitorul digital

Continuitatea afacerii este o nevoie de bază a companiilor de a asigura, pe parcursul unor situații limită, procesele necesare pentru supraviețuire. ISO 22301, standardul internațional pentru planul de continuitate a afacerii, descrie continuitatea drept „capacitatea unei companii de a menține livrarea produselor și serviciilor la anumite niveluri predefinite, considerate acceptabile, după ce au avut loc astfel de incidente perturbatoare”.

Prescurtat adesea BCM (din engleză, Business Continuity Management), managementul continuității afacerii este procesul prin care se conturează și este susținută această capacitate și este o parte vitală a gestionării securității sistemelor informatice, cunoscută în ziua de astăzi ca securitate cibernetică. Pe parcursul acestui articol, veți descoperi elementele de bază ale BCM precum și o listă de resurse pe care dvs. și organizația dvs. le puteți utiliza pentru a vă perfecționa capacitatea de a supraviețui oricăror scenarii nedorite și neașteptate.

Continuitatea afacerii nu face referire doar la segmentul IT

Majoritatea companiilor și a organizațiilor se bazează foarte mult pe propria infrastructură IT – printre care se numără desktop-uri, smartphone-uri și tablete, laptopuri și servere – este clar că toată această tehnologie este vulnerabilă în fața unei game extinse de incidente potențial dezastruoase. Acestea pot varia de la întreruperi de curent cauzate de furtuni, la atacuri distructive ale unor hackeri sau la pierderi de date cauzate de erori ale angajaților. Încă de la începutul IT-ului, a fost definită necesitatea organizațiilor de a avea strategii prestabilite pentru astfel de incidente, pentru a putea răspunde și a remedia pagubele care survin. Din acest motiv, comunitatea IT a pus cap la cap o mulțime de lucrări timpurii privind gestionarea incidentelor perturbatoare de acest tip.

Rețineți că, deși supraviețuirea companiei dvs. în fața unui potențial dezastru dintre cele amintite nu depinde de obținerea efectivă a standardului business continuity, ISO 22301, unele organizații ar putea să fie interesate de acest tip de certificare pentru a-și dezvolta și mai mult afacerea și pentru a-și ameliora programul propriu de continuitate. De exemplu, este un fapt cunoscut că afacerile cu roluri esențiale în lanțul de aprovizionare din unele industrii primesc, chiar în negocierile contractuale, multe solicitări de demonstrare a demersurilor proprii pentru continuitatea afacerii. Aderarea la standardul internațional ISO 22301 răspunde concret acestui tip de cerințe.

Un program de continuitate, de bază, în 4 pași

Din păcate, atunci când sunt lovite de un dezastru semnificativ pentru care nu s-au pregătit niciodată în mod corespunzător, unele companii ajung la faliment. Acest lucru este cu atât mai regretabil cu cât există disponibilă documentație din abundență care ilustrează diverse metode preventive ce pot fi implementate. Orice companie, indiferent de dimensiune, își poate spori șansele de a traversa cât mai lin un eveniment perturbator major – păstrând veniturile nediminuate și brandul intact – prin aplicarea unor strategii de încredere, testate și validate, indiferent dacă optează la final pentru obținerea certificării cu standardul ISO 22301 sau nu.

1. Identificați și clasificați amenințările

Alcătuiți o listă cu cele mai probabile incidente perturbatoare care ar putea să vă amenințe afacerea. Realizați o listă cât mai customizată - amenințările pot varia foarte mult, un factor important fiind amplasamentul business-ului. Un exemplu este nivelul ridicat de conștientizare al dezastrelor naturale în anumite zone geografice, față de cutremure sau față de inundații ori altele asemenea, care au determinat multe organizații să deruleze procese specifice de planificare și pregătire pentru acest tip de scenarii, având în vedere probabilitatea mare ca acestea să aibă loc. Iată câteva de întrebări conexe de luat în considerare:

• Ce pericole naturale distincte sunt specifice zonei în care se află compania dvs.?
• Cum se poate interveni în cazul unei încălcări severe a securității datelor sau a unei întreruperi catastrofale a proceselor IT, evenimente care, teoretic, se pot întâmpla în orice moment?
• Cum să reacționați dacă accesul către sediu este blocat câteva zile la rând din cauza unei catastrofe naturale sau a unui accident de orice natură?
• Cât de dependentă este afacerea dvs. de furnizorii terți?

Un pas important în acest stadiu de identificare este o sesiune de brainstorming, o tehnică bună de lucru prin care ascultați părerile oamenilor din toate departamentele. Rezultatul va fi o enumerare de scenarii posibile, ordonate după potențialul impact negativ asociat fiecăruia și după probabilitatea de a avea loc. La finalul articolului veți găsi o legătură web către resurse utile, care vă pot ghida în întocmirea acestei liste de potențiale amenințări.

2. Efectuați o analiză de impact asupra afacerii

Pentru șanse mai mari de a trece nevătămat printr-un incident major, este necesar să identificați care sunt cele mai importante părți din afacerea dvs. pentru supraviețuirea acesteia. O modalitate de a stabili care sunt acestea este să analizați în detaliu punctele esențiale pentru funcționarea organizației: funcțiile, procesele, personalul și sistemele. Responsabilul desemnat cu proiectul de continuitate poate realiza acest pas prin interviuri cu angajații din fiecare departament, având ca rezultat final un tabel care listează funcțiile, persoana sau persoanele cheie și persoana sau persoanele alternative.

Determinați apoi numărul de zile de supraviețuire pentru fiecare funcție business. Ce perioadă poate funcționa afacerea dvs. fără această componentă, fără să fie afectată serios? În continuare, clasificați impactul fiecărei funcții, pentru ipoteza în care este indisponibilă. De exemplu, expertul în recuperare în caz de dezastru, Michael Miora, sugerează utilizarea unui punctaj de la 1 la 4, unde 1 = pierdere fiscală majoră/impact operațional critic iar 4 = fără impact semnificativ pe termen scurt. Dacă înmulțiți impactul (de la 1 la 4) cu numărul de zile de supraviețuire în absența funcției, puteți descoperi funcțiile de business cele mai importante. În capătul de tabel vor fi listate, de pildă, acele funcții cu impact major, care sunt asociate cu o singură zi de supraviețuire a companiei (în cazul indisponibilității funcțiilor respective).

3. Creați planul de răspuns și recuperare

În acest punct trebuie să faceți inventarul tuturor informațiilor despre activele cheie implicate în îndeplinirea funcțiilor critice, inclusiv facilități, personal, sisteme IT, clienți și furnizori. Pentru fiecare categorie de incident va trebui să desemnați persoane de contact prestabilite (pe cine să apelați), și să creați un arbore de contacte, astfel încât apelurile potrivite să fie efectuate, în ordinea corectă. De asemenea, este necesară o listă clară cu purtătorii de cuvânt desemnați (cine poate spune și ce) pentru a gestiona interacțiunea cu mass-media în timpul unui incident. Este recomandat, dacă incidentul este unul delicat, să luați în calcul o strategie „CEO only”, în care informațiile și comunicatele sunt furnizate exclusiv de către CEO.

În plus, în această fază este recomandat să fie documentate orice tip de proceduri pe care le aveți stabilite pentru tranziția operațiunilor dvs. către locații temporare și amplasamente IT alternative. Nu uitați să pregătiți și o procedură de consiliere pentru clienți dar și un proces de notificare.

Pașii de urmat pentru refacerea lanțului de operațiuni cheie ar trebui să fie ordonați într-o secvență bazată pe interdependențele funcționale. Când planul este finalizat, asigurați instruirea corectă a managerilor, privind supraviețuirea companiei în eventualitatea unui incident sever, cu precădere referitor la detaliile relevante pentru fiecare departament în parte și la importanța planului general de răspuns și recuperare.

4. Testați planul și perfecționați analiza

Majoritatea experților BCM recomandă, cel puțin o dată pe an, o verificare practică a acestui plan de continuitate, cu simulări, exerciții și analize. Aceste teste vă ajută să găsiți lacune în procese, vă permit să profitați la maxim de timpul investit în crearea planului, dar și să observați și să adaptați soluțiile la schimbările apărute în cadrul afacerii o dată cu trecerea timpului.

În mod clar, acești patru pași implică demersuri de amploare semnificativă, dar companiile ignoră pe propriul risc multiplele beneficii pe care le poate oferi o astfel de strategie defensivă. Dacă sarcina poate să pară descurajantă pentru a fi implementată la nivelul întregii organizații, puteți face primii pași în doar câteva departamente. Tot ceea ce descoperiți pe parcursul procesului poate fi aplicat ulterior pe o scară mai largă. Abordarea inițială referitoare la posibilele incidente perturbatoare este crucială: dacă ignorați probabilitatea ca acestea să aibă vreodată loc, nu înseamnă că nu se pot întâmpla accidente severe și dacă subestimați potențialele consecințe ale acestora asupra afacerii dvs, pe premisa optimistă a răului tolerabil, nu înseamnă că așa se vor petrece lucrurile mereu.

Așa cum am menționat și anterior, în finalul articolului din blogul de securitate ESET, puteți regăsi un set gratuit de șabloane și alte resurse utile care vă pot ajuta în construirea unui program de management al continuității afacerii.

ESET, un lider global pe piața de soluții de securitate cibernetică, cu peste 30 de ani de experiență și inovație, include în portofoliu soluții antivirus și antimalware, potrivite pentru companii de toate dimensiunile.

ESET PROTECT Advanced este un pachet de soluții multi-layer antivirus si antimalware destinat nevoilor IMM-urilor, care oferă, prin soluția integrată ESET Dynamic Threat Defense, analiză și protecție de tip cloud-sandbox pentru sisteme, inclusiv în scenarii hibride de lucru, împotriva ransomware-ului și amenințărilor de tip zero-day, precum și protecție dedicată a datelor la acces neautorizat în caz de furt sau pierdere a echipamentelor, prin criptarea completă a hard disk-urilor (mai ales pentru datele stocate pe laptopuri). Produsul este puternic adaptat provocărilor majore de a gestiona și proteja rețeaua IT business în fața amenințărilor informatice tot mai dinamice.

Soluția poate fi testată gratuit de către orice companie, fără nicio obligație ulterioară. Pentru mai multe detalii sau pentru descărcarea unei variante de test puteți accesa aici pagina soluției.

Sursa foto: ESET

Calculator Salariu: Află câți bani primești în mână în funcție de salariul brut »

Te-ar putea interesa și: