Een cyberaanval, een grote hardwarestoring, een brand in een serverruimte of een cruciale menselijke fout zijn geen hypothetische risico's meer, maar statistische zekerheden. Geconfronteerd met een plotselinge uitval van het informatiesysteem, hangt het voortbestaan van een bedrijf niet af van het vermogen om de ramp te voorkomen, maar van de snelheid waarmee deze wordt overwonnen. Dit is waar het bedrijfscontinuïteitsplan (BCP) van pas komt.
PRA versus PCA: Wat is het verschil?
Een bedrijfscontinuïteitsplan (BCP) en een bedrijfsherstelplan (BRP) worden vaak door elkaar gehaald.
- Het BCP (Business Continuity Plan): heeft als doel de bedrijfsactiviteiten tijdens de crisis te handhaven (bijv. overschakelen op handmatige processen, gedwongen thuiswerken).
- Het rampenherstelplan (DRP): richt zich strikt op de technologische infrastructuur. Het definieert de technische procedures voor het herbouwen en herstarten van het informatiesysteem (servers, netwerken, data) na een totale storing.
De twee fundamentele pijlers: RTO en RPO
Het ontwerp van een rampenherstelplan (DRP) is gebaseerd op twee cruciale meetpunten, die in overleg met het senior management en de verschillende bedrijfsonderdelen worden vastgesteld:
| Metrisch | Betekenis | Een belangrijke vraag om jezelf te stellen | Voorbeeld van een doelwit |
|---|---|---|---|
| RPO (Recovery Point Objective) | Maximaal toelaatbaar gegevensverlies. | "Hoeveel uren of dagen werk kunnen we accepteren dat we kwijtraken en opnieuw moeten doen?" | 4 uur (vereist zeer frequente back-ups). |
| RTO (Recovery Time Objective) | Maximale toegestane onderbrekingstijd. | "Hoe lang kunnen we overleven zonder onze servers en applicaties?" | 12 uur (vereist een snelle back-upinfrastructuur). |
Strategische tip: Hoe dichter RTO en RPO bij nul komen, hoe meer de infrastructuurkosten (synchrone replicatie, hoge beschikbaarheid) de pan uit rijzen. Het hele punt van een rampenherstelplan is het vinden van de juiste balans tussen de kosten van de oplossing en de kosten van productieuitval.
De 4 stappen voor het opstellen van een waterdicht rampenherstelplan
1. Bedrijfsimpactanalyse (BIA)
Voordat u een technische oplossing aanschaft, is het essentieel om het bestaande systeem te auditeren. Business Intelligence (BIA) stelt u in staat om bedrijfsprocessen in kaart te brengen en cruciale bedrijfsmiddelen te identificeren.
- Niveau 1 (kritiek): ERP, klantdatabases, berichtenverkeer (RTO < 4 uur).
- Niveau 2 (Belangrijk): Interne bestandsservers, intranet (RTO < 24 uur).
- Tier 3 (niet-kritiek): Archieven, testservers (RTO > 48 uur).
2. Een noodhulpstrategie kiezen
Afhankelijk van het budget en de kritische aard van de situatie, moet het bedrijf het type back-upinfrastructuur kiezen:
| Sitetype | Beschrijving | Voordelen / Nadelen |
|---|---|---|
| Koude locatie | Een pand voorzien van elektriciteit/netwerk, maar zonder vooraf geïnstalleerde apparatuur. | Goedkoop, maar zeer lange RTO (meerdere dagen). |
| Warme plek | De hardware is aanwezig, maar de gegevens moeten worden hersteld vanuit back-ups. | Goede prijs-prestatieverhouding (RTO van 12 tot 48 uur). |
| Populaire site | Realtime reproductie van de productie. Exacte spiegeling. | De RTO (Recovery Time Off) is vrijwel nul, maar extreem duur. |
| DRaaS (Cloud) | Disaster Recovery as a Service. Omschakeling naar een publieke/private cloud in geval van een storing. | Flexibel, schaalbaar, zet investeringskosten om in operationele kosten. |
3. Het opstellen van technische procedures
Een bedrijfscontinuïteitsplan (BCP) is geen vage richtlijn, maar een stapsgewijs noodplan. Het moet het volgende bevatten:
- De beslissingsboom: wie heeft de bevoegdheid om de PRA in gang te zetten?
- De contactgegevens van de crisisdienst (intern personeel, dienstverleners, verzekeringsmaatschappijen).
- De strikte volgorde van systeemherstarts (bijvoorbeeld de domeincontroller, het netwerk, vervolgens de databases en ten slotte de webservers).
- Netwerkherconfiguratieprocedures (DNS, IP-omleidingen, VPN).
4. Testen en operationeel onderhoud (MCO)
Een rampenherstelplan (DRP) dat niet is getest, bestaat niet. De technologische omgeving evolueert elke week (nieuwe servers, updates, nieuwe netwerken).
- Voer elke 6 maanden een proefexamen (tabletop-oefening) uit.
- Voer minstens één keer per jaar, gedurende een weekend, een echte technische failover-test uit.
Het implementeren van een robuust rampenherstelplan (DRP) is nu een wettelijke en regelgevende vereiste, met name sinds de inwerkingtreding van de Europese NIS2-richtlijn, die concrete cyberweerbaarheidsmaatregelen voorschrijft. Bij Onetosecure ondersteunen we bedrijven bij het auditeren van hun infrastructuur, het definiëren van bedrijfsimpactanalyses (BIA's) en het technisch implementeren van oplossingen voor bedrijfscontinuïteit, zodat zelfs het worstcasescenario beheersbaar wordt.