Fiindcă tocmai s-a încheiat PNRR – adică Planul Național de Redresare și Reziliență – prin care România a accesat peste 20 de miliarde euro din bani europeni, sunt curios cât de rezilientă a devenit România. Un drum pe șoselele patriei este suficient ca să vezi cât de vulnerabilă este de fapt infrastructura la amenințările de azi. 2-3 drone în puncte cheie pe magistralele de transport și România intră în beznă. Avem și noi câteva rafinării, cred că doar 2 mai funcționează. La cum distrug ucrainenii rafinăriile rusești probabil e floare la ureche.
Acum vreo câțiva ani făcusem o glumă foarte serioasă că Apocalipsa nu va însemna o iarnă atomică precum în filmele SF, ci un server scos din priză. Câți bucureșteni mai știu să se întoarcă acasă dacă pică Waze/Maps? Ce faci dacă moare bateria la telefon? Câți pot supraviețui fără Bolt/Wolt/Glovo/eMag (vezi Wildberries & Ozone de la ruși)? Câtă lume are ceva cash în casă pentru o săptămână-două-trei (aici probabil că stăm muult mai bine)? Un aparat de radio pe baterii? Lanterne (nu cele de la telefon)? Baterii – de orice fel și dimensiune? Conserve? Că în blackout frigiderul e papa.
Pentru firme, există un standard ISO – ISO 22301 Securitate şi rezilienţă. Sisteme de management al continuităţii activităţii. Cerinţe. Standardul ISO 22301 a introdus conceptul de sistem de management al continuității operaționale, cunoscut în mod comun și sub denumirea de business continuity. Standardul definește cerințele activităților necesare pentru funcționarea unei organizații în caz de evenimente adverse.
Scopul sistemului de management este să prevină, protejeze, răspundă și să recupereze de pe urma unui risc sau incident, protejând personalul și imaginea societății, permițând continuarea producerii și vânzării produselor și serviciilor.
Standardul introduce doi indicatori existențiali: RTO și RPO. Aceștia sunt doi termeni importanți în planul de recuperare după dezastre și continuitatea afacerilor. Ei măsoară cât timp poate sta un sistem oprit și câte date se pot pierde. RTO vine de la Recovery Time Objective (Obiectivul de Timp de Recuperare) și măsoare timpul maxim în care un sistem/proces trebuie repus în funcțiune după o cădere. RPO vine de la Recovery Point Objective (Obiectivul Punctului de Recuperare) și măsoară cantitatea maximă de date pe care o companie își permite să o piardă, măsurată în timp. De exemplu, să presupunem că faci backup în fiecare luni și ai un incident care apare duminică seară, ultimul backup este de lunea trecută, ai pierdut o săptămână de date. RPO înseamnă cât de multe zile îți permiți să pierzi.
Dacă RTO-ul tău ar fi de douăzeci și patru de ore, ar putea supraviețui afacerea ta? O zi este o perioadă foarte lungă din viața unei afaceri! Unele companii vor spune „da, nicio problemă, putem face față”, pentru altele însă, câteva ore pot avea efecte devastatoare. De aceea nu există un RTO standard, totul depinde de afacere și de aplicațiile sale – până la urmă, nu toate afacerile și aplicațiile sunt la fel, deci obiectivele RTO se stabilesc în funcție de cât sunt de importante pentru afacerea ta. Acest proces se cheamă Business Impact Analysis.
Totul se stabilește în funcție de BIA. Business Impact Analysis este, pe scurt, un exercițiu prin care o companie încearcă să răspundă la o întrebare simplă: „Ce se întâmplă dacă o activitate importantă se oprește?”. Nu vorbim doar despre incidente IT, ci despre orice situație care poate întrerupe activitatea firmei, de la o pană de curent până la indisponibilitatea unor persoane-cheie sau a unui furnizor esențial.
În cadrul unei BIA, organizația identifică procesele cele mai importante pentru funcționarea afacerii și stabilește cât de grav ar fi impactul unei întreruperi. De exemplu, pentru o firmă de distribuție, blocarea sistemului de facturare pentru câteva ore poate crea întârzieri, dar o oprire de câteva zile poate genera pierderi financiare semnificative și nemulțumirea clienților.
Un aspect important este că analiza nu se limitează la bani. Se evaluează și efectele asupra reputației companiei, relațiilor cu clienții, respectării obligațiilor contractuale și conformității cu cerințele legale. Uneori, impactul asupra imaginii poate fi mai costisitor pe termen lung decât pierderea financiară imediată.
BIA ajută managementul să stabilească priorități clare în cazul unei situații de criză. Dacă resursele sunt limitate, compania va ști exact ce procese trebuie repornite primele și care pot aștepta. Astfel, deciziile nu sunt luate sub presiune „după instinct”, ci pe baza unei evaluări realizate din timp.
Rezultatele analizei sunt folosite pentru dezvoltarea planurilor de continuitate a activității și a planurilor de recuperare în caz de dezastru. Cu alte cuvinte, BIA răspunde la întrebarea „ce este critic pentru afacere?”, iar planurile de continuitate explică „cum ne asigurăm că acele activități continuă sau sunt reluate rapid?”.
Pentru firmele mici și mijlocii, Business Impact Analysis nu este un proces complicat. Poate fi un instrument foarte util pentru a înțelege vulnerabilitățile afacerii și pentru a pregăti măsuri simple care reduc efectele unui incident. În final, scopul este ca firma să poată traversa perioade dificile cu pierderi minime și să revină cât mai repede la activitatea normală.
Lucrurile însă nu se opresc după BIA și după planul de recuperare în caz de dezastre. Un alt element extrem de important este testarea. Această testare nu trebuie să fie numai sub forma unei simulări, ar trebui să existe și un exercițiu efectiv pentru a vedea viabilitatea planului: sunt ok backupurile? Se restaurează mașinile în timpul preconizat? Este locația alternativă disponibilă și funcțională? Altfel, totul este doar pe hârtie și, deși e o vorbă din bătrâni că „prin hârtie nici glonțul nu trece”, dezastrul sigur da.
