Planification de la reprise après sinistre pour les nuls - Cheat Sheet

Par Peter H. Gregory, Philip Jan Rothstein

Le but d'un plan de reprise après sinistre informatique est de récupérer les systèmes informatiques et l'infrastructure qui supportent les processus critiques pour la survie de l'organisation. Que vous soyez victime d'une catastrophe naturelle ou d'une attaque de piratage, demandez conseil aux Boy Scouts: Soyez prêts. Savoir ce qui se passe dans un plan intérimaire; déterminer l'impact commercial d'une catastrophe; découvrez ce dont vous avez besoin dans un plan de rétablissement; et assurez-vous de tester votre plan.

10 Éléments d'un plan de reprise après sinistre informatique provisoire

Si vous ne disposez pas d'un plan de reprise après sinistre entièrement détaillé (DRP), implémentez un intérim plan de reprise après sinistre (IDRP) au fur et à mesure que vous développez votre filet de sécurité à long terme. Séquestrer deux ou trois experts pour une journée afin d'élaborer un plan provisoire de reprise après sinistre qui contient:

• Une liste de personnes faisant partie de l'équipe d'intervention d'urgence

• Procédures de déclaration d'une catastrophe

• Procédures d'invocation du plan de reprise après sinistre

• Communications d'urgence

• Exécution des plans de reprise de base

• Alternatives de centres de traitement viables

• Comment adopter des mesures préventives

• Un plan de reprise d'activité intérimaire documenté

• Listes de contacts d'urgence de format portefeuille

• Méthodes de formation pour les membres de l'équipe d'intervention d'urgence

8 parties d'une analyse d'impact métier dans un plan de reprise après sinistre

Utilisez une analyse d'impact métier pour déterminer les processus et systèmes justifiant les coûts et les efforts liés au développement de la récupération après sinistre informatique plan. A bu siness i mpact a nalysis (BIA) est un inventaire détaillé des principaux processus, systèmes, actifs, personnes et fournisseurs qui sont associés aux principales activités commerciales d'une organisation.

L'objectif principal d'une analyse d'impact sur les activités est d'identifier les processus et les systèmes les plus critiques pour la survie d'une organisation.

Procédez comme suit pour terminer l'analyse d'impact sur les opérations:

1. Définissez l'équipe de projet, la portée et le budget; nommer un chef de projet.

2. Obtenez un soutien exécutif.

3. Inventaire des éléments clés de votre activité:

   • Processus métier

   • Systèmes d'information / applications

   • Actifs

   • Personnel

   • Fournisseurs

   Développez des formulaires d'admission que vous pouvez utiliser pour recueillir des informations cohérentes. Interviewer des experts clés dans toute l'entreprise. Obtenir des informations sur les stocks.

4. Tabulez les résultats dans une feuille de calcul ou un document.

5. Pour chaque processus métier, déterminez le MTD (Maximum Tolerable Downtime)

   MTD est le délai le plus long pendant lequel le processus peut rester désactivé avant qu'il ne menace la survie de l'organisation.

6. Pour chaque processus de gestion, déterminez un objectif de temps de récupération (RTO) et un objectif de point de récupération (RPO) raisonnables.

7. Triez la liste des processus métier dans l'ordre MTD ou RTO.

   Les processus avec le MTD ou le RTO le plus court sont les processus métier les plus critiques. Obtenez l'accord de la haute direction.

8. Effectuez une analyse des risques sur chaque processus critique afin d'identifier les vulnérabilités existantes, ainsi que des mesures permettant d'atténuer ces vulnérabilités.

6 parties d'un plan de reprise après sinistre informatique efficace

Lorsque vous vous préparez à développer et à documenter les plans de reprise après sinistre informatique pour les composants prenant en charge les processus métier critiques, vous devez savoir exactement ce qu'il faut faire. et comment gérer le contenu du plan.

Les plans de reprise après sinistre doivent contenir

• des procédures de déclaration de sinistre.

• Listes de contacts d'urgence.

• Leadership d'urgence et sélection des rôles.

• Procédures d'évaluation des dommages.

• Procédures de reprise et de redémarrage du système.

• Procédure de transition vers les opérations normales.

Conservez les documents du plan sous contrôle de version, utilisez une mise en forme cohérente, demandez à des experts de revoir le plan, de tester l'efficacité du plan et de distribuer les documents à tout le personnel de l'équipe de reprise après sinistre.

Après avoir rédigé le plan de reprise après incident, publiez-le dans des formulaires qui le mettent à la disposition du personnel de récupération: Diffusez-le sous plusieurs formes (copie papier, CD-ROM, clé USB, etc.). ces plans, où qu'ils se trouvent, sans avoir à dépendre des mêmes systèmes informatiques que ceux qu'ils pourraient récupérer.

5 façons de tester les plans de reprise après sinistre informatique

Les tests font naturellement partie du cycle de vie de nombreux efforts de développement technologique: logiciels, processus et, oui, planification de la reprise après sinistre. Les catastrophes ne se produisent pas très souvent, vous pouvez donc rarement dire clairement si ces plans de DR fonctionneront réellement. Et étant donné la nature des catastrophes, si votre plan de reprise après sinistre échoue, l'organisation peut ne pas survivre à la catastrophe.

Voici les cinq types de tests de reprise après sinistre:

• Test papier: Les individus lisent et annotent les plans de récupération.

• Test de procédure pas à pas: Les groupes parcourent les plans pour identifier les problèmes et les modifications.

• Simulation: Les groupes subissent une catastrophe simulée pour déterminer si les plans d'intervention d'urgence sont adéquats.

• Test parallèle: Les systèmes de récupération sont construits / mis en place et testés pour voir s'ils peuvent effectuer des transactions commerciales réelles pour soutenir les processus clés. Les systèmes primaires portent toujours la totalité de la charge de travail de production.

• Test de transition: Les systèmes de récupération sont construits / configurés pour assumer la charge de travail de production complète. Vous déconnectez les systèmes primaires.

Structurez vos tests DR de la même manière que vous structurez d'autres entreprises complexes, telles que le développement logiciel et les tests associés. Suivez simplement ces étapes:

1. Déterminez à quelle fréquence vous devez effectuer chaque type de test.

2. Testez les composants individuels.

   Notez les divergences, puis transmettez le plan aux personnes qui ont écrit chaque section pour qu'elles puissent le mettre à jour.Ce processus améliore la qualité et l'exactitude du plan de reprise après sinistre, ce qui augmente la probabilité que l'organisation survivra à une catastrophe, le cas échéant.

3. Effectuez des tests plus larges des composants combinés.

4. Testez le plan entier.

En effectuant ces quatre étapes, vous pouvez identifier de nombreuses erreurs lors de tests individuels et corriger ces erreurs avant d'effectuer des tests plus complets. Ce processus fait gagner du temps en empêchant les petites erreurs d'interrompre les tests complets qui impliquent beaucoup de gens.