O 8:12 pracownicy nie mogą zalogować się do poczty, systemu sprzedażowego ani plików. O 9:00 dzwoni pierwszy klient, który czeka na ofertę. W takiej chwili plan ciągłości działania IT nie jest formalnością przygotowaną na potrzeby audytu. To instrukcja, dzięki której firma wie, co robić, kto podejmuje decyzje i jak długo może działać w trybie awaryjnym.
Dla małej lub średniej firmy nawet kilkugodzinny przestój oznacza więcej niż niedogodność. Może zatrzymać wystawianie faktur, obsługę zamówień, kontakt z kontrahentami, produkcję albo pracę zdalną. Jeżeli przyczyną jest ransomware, awaria serwera, przerwa w dostawie prądu lub zwykły błąd użytkownika, presja czasu rośnie bardzo szybko. Właśnie dlatego warto przygotować scenariusze wcześniej, gdy decyzje można podejmować spokojnie i rozsądnie.
Czym jest plan ciągłości działania IT?
Plan ciągłości działania IT, często określany skrótem BCP od Business Continuity Plan, opisuje, jak przedsiębiorstwo utrzyma kluczowe procesy po incydencie. Nie chodzi wyłącznie o odtworzenie serwera czy przywrócenie plików z kopii zapasowej. Plan ma odpowiedzieć na pytanie: jak firma będzie nadal obsługiwać klientów, realizować zobowiązania i chronić dane, gdy część technologii przestanie działać.
Warto odróżnić go od planu odtwarzania po awarii, czyli disaster recovery. Disaster recovery koncentruje się na technicznym przywróceniu infrastruktury: danych, systemów, konfiguracji i dostępu. Ciągłość działania patrzy szerzej – uwzględnia ludzi, procesy, komunikację, lokalizację pracy oraz priorytety biznesowe. Oba dokumenty powinny się uzupełniać.
Plan nie musi być obszernym opracowaniem, którego nikt później nie przeczyta. W firmie liczącej kilkanaście lub kilkadziesiąt osób skuteczniejszy będzie krótki, aktualny dokument z jasnym podziałem odpowiedzialności niż rozbudowana procedura pełna ogólników.
Zacznij od procesów, a nie od sprzętu
Pierwszym błędem jest tworzenie planu od listy komputerów, routerów i aplikacji. Sprzęt jest ważny, ale firma nie istnieje po to, aby utrzymywać serwery. Istnieje po to, aby realizować swoje usługi, sprzedawać, produkować, prowadzić dokumentację lub obsługiwać klientów.
Dlatego należy wskazać procesy krytyczne. Dla biura rachunkowego będzie to bezpieczny dostęp do dokumentów i programów księgowych. Dla firmy handlowej – zamówienia, magazyn, fakturowanie i kontakt z klientem. W zakładzie produkcyjnym szczególne znaczenie mogą mieć systemy sterujące, komunikacja z dostawcami oraz dostęp do danych technologicznych.
Przy każdym procesie warto ustalić dwie wartości. Pierwsza to maksymalny akceptowalny czas przestoju, czyli RTO. Druga to dopuszczalna utrata danych, czyli RPO. Jeżeli firma może odtworzyć system sprzedażowy w ciągu czterech godzin, ale utrata danych z całego dnia jest nieakceptowalna, backup musi działać częściej niż raz na dobę. To prosta zależność, o której łatwo zapomnieć przy wyborze najtańszego rozwiązania.
Nie każda aplikacja wymaga identycznej ochrony. Poczta, system finansowy i dane klientów zwykle mają wyższy priorytet niż archiwalne materiały marketingowe. Rozsądne ustalenie priorytetów pozwala kontrolować koszty, zamiast próbować zapewnić najwyższą dostępność absolutnie wszystkiego.
Co powinien zawierać dobry plan ciągłości działania IT
Dokument powinien być zrozumiały także dla osoby zarządzającej, która nie administruje siecią. Techniczne szczegóły są potrzebne, lecz muszą prowadzić do konkretnych decyzji operacyjnych. Przydatny plan obejmuje co najmniej pięć obszarów:
- opis krytycznych usług, aplikacji, danych i zależności między nimi;
- wskazanie osób odpowiedzialnych za decyzje, kontakt z dostawcami i komunikację z pracownikami;
- procedury reakcji na typowe incydenty, takie jak ransomware, awaria internetu, uszkodzenie serwera czy brak dostępu do biura;
- zasady tworzenia, przechowywania i testowania kopii zapasowych;
- sposób pracy awaryjnej oraz komunikacji z klientami, gdy podstawowe narzędzia są niedostępne.
W praktyce plan powinien też zawierać aktualne dane kontaktowe. Numer do operatora internetu zapisany wyłącznie w niedostępnej skrzynce pocztowej nie pomoże podczas awarii. Podobnie nie pomoże hasło administratora znane tylko jednej osobie, która akurat jest na urlopie. Dostępy uprzywilejowane wymagają kontroli, ale nie mogą tworzyć pojedynczego punktu awarii.
Warto opisać zależności, których na co dzień nie widać. System działający w chmurze może wymagać lokalnego łącza internetowego, poprawnie działającego uwierzytelniania wieloskładnikowego i dostępu do firmowego telefonu. Z kolei serwer w siedzibie zależy od zasilania, chłodzenia, urządzeń sieciowych oraz fizycznej ochrony pomieszczenia. Chmura ogranicza część ryzyk, ale nie zwalnia z planowania.
Backup to fundament, ale nie cały plan
Kopia zapasowa jest jednym z najważniejszych elementów ochrony przed awarią i cyberatakiem. Nie wystarczy jednak informacja, że backup jest wykonywany. Trzeba wiedzieć, jakie dane obejmuje, gdzie są przechowywane, czy są zaszyfrowane i czy można je odtworzyć w wymaganym czasie.
Dobrą praktyką jest zasada 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, w tym jedna poza podstawową lokalizacją. W wielu firmach warto pójść dalej i zastosować kopię odizolowaną lub niemodyfikowalną. Ma to znaczenie przy ransomware, które potrafi szyfrować nie tylko pliki produkcyjne, lecz także dostępne w sieci kopie zapasowe.
Najbardziej kosztowny backup to ten, który istnieje tylko w raporcie. Odtwarzanie należy testować regularnie – zarówno pojedynczego dokumentu, jak i całej krytycznej usługi. Test ujawnia problemy z uprawnieniami, brakujące konfiguracje, za małą pojemność czy czas przywracania dłuższy, niż zakładano. Lepiej odkryć to podczas zaplanowanej próby niż w poniedziałek rano po ataku.
Ludzie i komunikacja pod presją
W czasie incydentu pracownicy często chcą pomóc, ale działając bez instrukcji mogą pogorszyć sytuację. Przykładowo samodzielne restartowanie urządzeń, kasowanie podejrzanych wiadomości lub logowanie się na prywatne konta może utrudnić analizę zdarzenia i zabezpieczenie dowodów.
Plan powinien jasno określać, komu zgłasza się problem i czego nie robić bez zgody osoby odpowiedzialnej. Pracownicy potrzebują prostego komunikatu: odłączyć zainfekowany komputer od sieci, nie wyłączać go, nie podłączać prywatnych nośników i natychmiast zgłosić zdarzenie. W przypadku podejrzenia wycieku danych osobowych liczy się również szybka ocena ryzyka oraz prawidłowe działania wynikające z RODO.
Osobny temat to komunikacja z klientami. Nie zawsze należy informować wszystkich o każdym technicznym problemie. Jeżeli jednak przestój wpływa na terminy, dostępność usług lub bezpieczeństwo danych, brak informacji szybko podważa zaufanie. Wcześniej przygotowany szablon komunikatu pozwala przekazać fakty bez chaosu i bez składania obietnic, których firma nie jest w stanie dotrzymać.
Testuj plan, zanim zrobi to awaria
Plan ciągłości działania nie jest dokumentem do szuflady. Zmienia się wraz z firmą: pojawiają się nowe aplikacje, pracownicy, lokalizacje, urządzenia i dostawcy. Dlatego warto przeglądać go co najmniej raz w roku, a także po większej zmianie infrastruktury lub po każdym poważniejszym incydencie.
Nie każdy test musi oznaczać pełną symulację katastrofy. Dobrym początkiem jest rozmowa z właścicielami procesów: co robimy, jeśli nie działa poczta? Jak wystawiamy faktury bez systemu? Kto zatwierdza przełączenie na tryb awaryjny? Następnie można przeprowadzić kontrolowane testy odtwarzania danych, pracy z alternatywnej lokalizacji i dostępów zdalnych.
Zewnętrzny partner IT może pomóc spojrzeć na środowisko bez przyzwyczajeń, które często przesłaniają ryzyko. W Ceprobi takie działania warto łączyć z audytem infrastruktury, przeglądem uprawnień, licencji, zabezpieczeń sieciowych oraz procedur ochrony danych. Dzięki temu plan opiera się na rzeczywistym stanie firmy, a nie na założeniach sprzed kilku lat.
Najlepszy moment na przygotowanie planu to nie dzień po awarii. Wystarczy zacząć od rozmowy o kilku najważniejszych procesach, realnym czasie ich odtworzenia i osobach, które mają zadziałać pod presją. Taka praca porządkuje nie tylko IT – daje firmie więcej kontroli wtedy, gdy kontrola jest najbardziej potrzebna.