Che cos'è la continuità aziendale? Come pianificare per un'emergenza

Un'oncia di preparazione vale una libbra di cura.

Indipendentemente dalle dimensioni della tua organizzazione, il rischio di interruzione aziendale è reale. Molti pericoli possono interrompere le funzioni aziendali critiche, inclusi attacchi fisici o informatici, disastri naturali, pandemie e impatti sulla catena di approvvigionamento.

La continuità aziendale è il pilastro della capacità della tua organizzazione di rispondere alle interruzioni. Affronta i principali rischi aziendali che possono portare a interruzioni e aiuta a pianificare la risposta prevista.

I servizi tecnologici comuni orientati alla continuità aziendale includono software di disaster recovery as a service (DRaaS) per guasti infrastrutturali e politiche di sicurezza gestite che proteggono da attacchi informatici più sofisticati, tra gli altri.

Poiché la continuità aziendale è essenziale per mantenere sotto controllo la tua infrastruttura IT durante un disastro, dovrebbe essere sviluppata attraverso un processo ben orchestrato.

La continuità aziendale ha due aspetti:

1. Pianificazione della continuità aziendale (BCP) definisce processi di gestione del rischio e tecniche per prevenire interruzioni di servizi critici per la missione e riprendere le operazioni complete il più rapidamente ed efficientemente possibile. Questi piani spesso includono processi, soluzioni manuali e procedure di backup per affrontare la perdita di spazio di lavoro, infrastrutture, persone, software e fornitori.
2. Gestione della continuità aziendale (BCM) è un approccio olistico alla valutazione del rischio e al suo impatto sui processi operativi. Combina risposta alle emergenze, gestione delle crisi, recupero dai disastri e continuità aziendale.

Perché la continuità aziendale è importante?

Ogni istituzione, dalle piccole imprese alle grandi corporazioni, si affida alla tecnologia digitale per generare entrate, fornire servizi e supportare i consumatori che vogliono servizi e dati disponibili in ogni momento. I clienti non sono gli unici a soffrire per le interruzioni. Un incendio, un'inondazione, un attacco ransomware o altri disastri possono causare perdite finanziarie significative, danneggiare l'immagine dell'azienda e, nel peggiore dei casi, costringere un'azienda a chiudere definitivamente.

Le organizzazioni enfatizzano la continuità aziendale perché mantenere servizi vitali durante una crisi o un'interruzione può fare la differenza tra successo e fallimento. Se le capacità aziendali critiche falliscono, un breve tempo di recupero per il ripristino del sistema può essere di grande valore.

La continuità aziendale può:

• Garantire la sicurezza del personale, dei contrattisti, dei clienti e dei visitatori
• Ridurre l'impatto di un'interruzione accelerando lo sforzo di recupero
• Proteggere l'immagine, i processi e le relazioni con gli stakeholder di un'azienda

La pianificazione e la preparazione sono essenziali per una strategia di continuità aziendale olistica. I professionisti possono assistere un'azienda nello sviluppo di un piano di resilienza. Stabilire una tale strategia è un processo che richiede tempo e che comporta la conduzione di un business impact analysis (BIA) e un'analisi del rischio e la progettazione di piani BC, test, esercitazioni e formazione.

Ad esempio, recuperare set di dati massicci da un backup può richiedere un tempo dolorosamente lungo. Pertanto, il failover a un data center distante è un'alternativa preferibile per le aziende con grandi set di dati.

Un piano di contingenza può essere l'ultima alternativa quando gli sforzi di resilienza e recupero falliscono o si verifica un evento imprevisto. Un piano di contingenza contiene un approccio praticato e una strategia per le esigenze di ultima risorsa. Queste esigenze possono variare dal trovare supporto di terze parti al localizzare un secondo sito per spazio ufficio urgente o server di backup remoto.

Tipi di rischio di continuità aziendale

I rischi di continuità aziendale influenzano notevolmente le organizzazioni. L'impatto della pandemia di Covid-19 sulle aziende in tutto il mondo è forse il miglior esempio di rischi di continuità aziendale.

Le aziende hanno subito gravi perdite poiché hanno chiuso definitivamente e i clienti sono stati costretti a rimanere in casa durante i lockdown. Molti dipendenti sono stati licenziati poiché le aziende lottavano per pagare salari e affitti.

Un piano di continuità aziendale può aiutare a prevenire tali potenziali minacce e mantenere operazioni fluide ed efficaci. Esaminiamo cinque principali rischi di continuità aziendale che un'azienda dovrebbe monitorare e gestire:

1. Attacchi informatici sono una grande preoccupazione. I criminali informatici possono danneggiare la reputazione e le finanze di un'azienda causando danni alla rete e al sistema. Ad esempio, nell'ottobre 2020, Clop ransomware ha colpito Software AG, un'azienda tecnologica tedesca. I criminali informatici hanno minacciato di divulgare i dati dei clienti (come informazioni di contatto e altre informazioni personali identificabili (PII)) se l'azienda non avesse pagato un riscatto di 23 milioni di dollari.
2. Violazione dei dati si verifica quando informazioni essenziali, private e sensibili vengono rilasciate o rivelate a una persona o ambiente non affidabile. Le violazioni dei dati includono la perdita di unità USB, dispositivi mobili o informatici, laptop e reti di computer. Tali violazioni possono esporre informazioni aziendali e dei clienti critiche a individui sconosciuti e causare danni significativi all'azienda.
3. Terrorismo minaccia un paese o una comunità. Instilla paura e incertezza tra il pubblico generale. I dipendenti e le forze di sicurezza in un'azienda sono mal equipaggiati per affrontare attacchi terroristici. Le conseguenze più visibili del terrorismo sono la distruzione di proprietà e l'interruzione aziendale. Inoltre, il turismo e la vita quotidiana sono fortemente influenzati dopo un evento terroristico. Ci vuole del tempo perché le aziende riprendano le attività normali.
4. Incendi si verificano tipicamente improvvisamente e senza preavviso. Qualsiasi cosa può causare loro di malfunzionare la proprietà aziendale o abusare di strumenti e dispositivi organizzativi, come configurazioni IT difettose o surriscaldate. Mantenere una strategia di controllo degli incendi che includa brigate antincendio, allarmi ed estintori come misura preventiva per prevenire e combattere gli incendi è necessario per tutti i tipi di aziende.
5. Interruzione della catena di approvvigionamento: Le aziende dovrebbero anche essere caute riguardo all'interruzione della catena di approvvigionamento. Calamità naturali come inondazioni, uragani, terremoti, tsunami e tempeste causano frequentemente tali interruzioni. Di conseguenza, il sistema di distribuzione tra aziende e fornitori crolla e la catena di approvvigionamento ne soffre.

Cosa include la continuità aziendale?

La continuità aziendale affronta la pianificazione e la preparazione essenziali per rafforzare e attrezzare un'azienda a condurre servizi aziendali vitali durante una crisi. Determina, pianifica e sviluppa:

• I team necessari per gestire le emergenze
• Come comunicare con i consumatori, i fornitori e altri intermediari per fornire informazioni e assistenza accurate
• La sequenza e il tempo essenziali per ripristinare le operazioni
• Come garantire che i clienti continuino a ricevere servizi o prodotti
• La tecnologia essenziale per supportare i flussi di lavoro aziendali
• Come assistere i dipendenti in caso di emergenza
• Dove e come spostare gli stakeholder interni se i siti aziendali sono colpiti o non disponibili
• Procedure di workaround che entrano in gioco quando i processi non sono disponibili
• Esercizi regolari per garantire che i piani e le azioni soddisfino gli standard e funzionino durante un incidente reale
• Documentazione dei processi aziendali e dei passaggi necessari

Una corretta continuità aziendale incorpora diverse classi di risposta. Poiché non tutto è critico per la missione, è essenziale separare ciò che è più critico per continuare a funzionare e ciò che può aspettare un po' più a lungo. È fondamentale essere imparziali riguardo agli obiettivi di tempo di recupero (RTO) e agli obiettivi di punto di recupero (RPO).

Componenti di un piano di continuità aziendale

Un piano di continuità aziendale ha tre componenti principali: resilienza, recupero e contingenza.

La resilienza di un'organizzazione migliora quando pianifica servizi essenziali e infrastrutture considerando scenari di crisi multipli, come rotazioni della forza lavoro, ridondanza dei dati e surplus di capacità. Garantire la resilienza contro varie situazioni può anche aiutare le aziende a mantenere servizi vitali in loco e fuori sede senza interruzioni.

Il recupero rapido è fondamentale per ripristinare i servizi dopo un disastro. Stabilire obiettivi di tempo di recupero per diversi sistemi, reti o app può determinare quali componenti devono essere recuperati inizialmente. Altre opzioni di recupero includono inventari delle risorse, partnership con aziende terze per assumere operazioni aziendali e strutture modificate per operazioni critiche per la missione.

Un piano di contingenza include tecniche per una gamma di eventi esterni e una gerarchia che distribuisce compiti all'interno di un'azienda. Questi compiti possono anche coinvolgere la sostituzione dell'hardware, l'acquisizione di spazio ufficio di emergenza, la valutazione dei danni e l'assunzione di fornitori terzi.

Continuità aziendale vs. recupero dai disastri

La continuità aziendale e il recupero dai disastri (DR) sono strettamente allineati e aiutano un'organizzazione a rimanere attiva dopo un disastro. Integrare la continuità aziendale e il recupero dai disastri in un unico termine, BCDR, deriva da una crescente comprensione che i dirigenti aziendali e tecnologici dovrebbero lavorare a stretto contatto per prepararsi a soluzioni di crisi piuttosto che costruire strategie in isolamento. BCDR mira a ridurre i rischi e a far ripartire un'organizzazione il più rapidamente possibile dopo un'interruzione non pianificata.

La continuità aziendale è più proattiva e si riferisce alla gestione di sistemi e processi critici per la missione per garantire il funzionamento continuo durante e dopo una crisi. Include una pianificazione più approfondita che mira a minacce a lungo termine per il successo aziendale. La continuità aziendale si concentra tipicamente sui processi organizzativi.

Il recupero dai disastri è più reattivo e coinvolge misure specifiche che un'azienda deve seguire dopo un'interruzione per riprendere le operazioni. Il recupero dai disastri avviene dopo il disastro, con tempi di reazione che vanno da secondi a giorni. DR si occupa dell'infrastruttura tecnica.

A differenza dei piani di continuità aziendale, le strategie di recupero dai disastri possono anche includere precauzioni aggiuntive per la sicurezza dei dipendenti come esercitazioni antincendio o forniture di emergenza. Combinare i due aiuta un'azienda a concentrarsi contemporaneamente sulle operazioni e sulla sicurezza dei dipendenti.

Il recupero dai disastri è un componente essenziale dei programmi di continuità aziendale che rendono i dati accessibili dopo un disastro. Questo aspetto è incluso nella BC, ma considera anche la gestione del rischio e altre preparazioni che un'azienda deve fare per rimanere a galla durante un'emergenza.

La continuità aziendale e il recupero dai disastri hanno alcune somiglianze. Considerano entrambi vari eventi imprevisti, come attacchi informatici, errori umani e disastri naturali. Si concentrano sul recupero aziendale, specialmente per le applicazioni critiche per la missione. In molte situazioni, lo stesso team lavora sia sulla BC che sulla DR.

Piani di continuità aziendale di successo riducono i tempi di inattività operativa, mentre piani di recupero dai disastri efficaci riducono le funzioni di sistema anomale o inefficienti. Le aziende possono prepararsi completamente alle emergenze solo integrando le due strategie.

Resilienza aziendale vs. continuità aziendale

Mentre i piani di continuità aziendale sono fondamentali per il successo in un mondo imprevedibile, la resilienza aziendale va oltre i piani per promuovere una cultura agile.

La resilienza aziendale è la volontà di un'organizzazione di adattarsi alle situazioni e funzionare efficacemente di fronte a rischi o cambiamenti esterni o interni. Le aziende resilienti possono adattarsi e gestire minacce alla sicurezza, al rischio, alla preparazione e alla sopravvivenza.

La resilienza aziendale risponde ai rischi e incorpora la continuità aziendale e la gestione delle crisi. Comprende anche la capacità di un'azienda di adattarsi a nuovi ambienti e di unire diverse discipline in un unico insieme di procedure integrate. È un approccio più strategico alla gestione del rischio. La resilienza aziendale è personalizzata per ogni azienda poiché diverse aziende hanno esigenze diverse.

In poche parole, si tratta di assorbire un colpo e riprendersi da esso. Per un'azienda, questo significa che in caso di interruzione, hai misure in atto per assorbire l'impatto senza interrompere gravemente le tue attività. Le aziende devono seguire determinati principi per creare un quadro per una resilienza organizzativa di successo.

La resilienza di solito richiede:

• Comportamento coerente con una visione e un obiettivo condivisi
• Una comprensione aggiornata dell'ambiente di un'azienda
• La capacità di assorbire, adattarsi e rispondere efficacemente al cambiamento
• Buona leadership e gestione
• Coordinamento tra discipline manageriali e contributi di esperti tecnici e scientifici

Standard di continuità aziendale

Gli standard di continuità aziendale promuovono l'uniformità in un particolare approccio alla continuità aziendale. Seguire norme e processi stabiliti consente alle aziende di ottenere rapidi tempi di risposta.

• ISO 22301: Questo standard BC stabilisce una struttura per tattiche di risposta e metodi di recupero tramite un sistema di gestione definito. Include pianificazione strategica, progettazione, implementazione, facilità di operabilità, monitoraggio, valutazione, gestione e aggiornamenti tempestivi.
• ISO 22313: Questo protocollo è un'estensione dell'ISO 22301 che evidenzia clausole normative particolari.
• ISO 27001: Questa strategia si concentra sui sistemi di gestione della sicurezza delle informazioni (ISMS). Coinvolge la progettazione, l'implementazione, la gestione e la promozione di una cultura di miglioramento continuo.
• ISO 22320: Questo standard BC definisce le condizioni di risposta agli incidenti e un approccio fondamentale alla struttura di comando, alle informazioni operative e al coinvolgimento con i gruppi di risposta agli incidenti.
• ISO 31000: Questo è un quadro generale di gestione del rischio che può essere adattato a qualsiasi azienda, indipendentemente dal tipo, dalle dimensioni o dalla complessità delle sue attività. Copre la gestione del rischio e l'allocazione efficace delle risorse.
• ISO 27000: Questo è un insieme di regole normative applicabili agli ISMS. Si concentra sulla sicurezza dei sistemi informativi, inclusi dati finanziari, profili del personale, dati dei consumatori e database di terze parti.
• ISO 28000: Questo standard descrive i requisiti per un sistema di gestione della sicurezza dal punto di vista della gestione della catena di approvvigionamento.
• NFPA 1600: È una fonte di riferimento che spiega come prepararsi, affrontare e recuperare dai disastri.
• NFPA 72: Questo standard fornisce le migliori pratiche per il dispiegamento di sistemi di rilevamento incendi, segnalazione, allarme, notifica di massa, gestione meteorologica e sistemi di notifica simili per avvisare i team di continuità aziendale dei potenziali pericoli.

Strumenti di continuità aziendale

Puoi scegliere tra una vasta gamma di strumenti di continuità aziendale, ognuno con il proprio set di funzionalità:

• Backup: Il backup dei dati è una delle tecniche più basilari per garantire la continuità aziendale. Mentre mantenere i dati fuori sede o su un'unità remota assicura una certa continuità aziendale, sono necessari altri sistemi per eseguire il backup dell'infrastruttura IT e mantenerla operativa in caso di disastro. Il software di backup protegge i dati aziendali replicando i dati da server, database, desktop e altri dispositivi quando errori umani, file danneggiati o calamità fisiche rendono inaccessibili i dati essenziali.
• Backup as a Service (BaaS): Il Backup as a Service è paragonabile al backup dei dati in una posizione distante, ma viene eseguito da una fonte di terze parti. Ancora una volta, i dati vengono eseguiti il backup, ma l'infrastruttura IT no.
• DRaaS: DRaaS migra l'elaborazione dei dati di un'organizzazione su una piattaforma cloud. I fornitori di DRaaS offrono un modello di abbonamento o pay-per-use per le aziende per utilizzare il servizio. Un vantaggio del DRaaS è che le aziende possono continuare a operare normalmente dal sito del fornitore anche se i loro server non sono disponibili. Utilizzare un fornitore di DRaaS locale comporta una minore latenza, ma se i server del fornitore sono troppo vicini al sito del disastro, i loro server potrebbero essere colpiti dalla stessa crisi.

Vantaggi della continuità aziendale

Eventi imprevisti possono far deragliare un'organizzazione in qualsiasi momento. Che l'incidente sia un disastro naturale o un incidente, un contrattempo intenzionale o un attacco, l'impatto sulla tua azienda può essere grave. Se non pianifichi per tale emergenza, le conseguenze possono essere molto più gravi.

Le strategie di continuità aziendale possono aiutarti a:

• Assicurarti che la tua azienda continui a funzionare durante e dopo un evento
• Proteggere la reputazione della tua azienda
• Ripristinare le operazioni il prima possibile dopo un'interruzione
• Ridurre le spese per affrontare i tempi di inattività aziendali
• Ridurre i rischi e l'impatto dei rischi sulla tua azienda
• Aumentare la fiducia e la fiducia dei clienti

Le sfide della continuità aziendale

Con la continuità aziendale che fornisce tutti i vantaggi sopra elencati, potrebbe essere controintuitivo supporre che adottare una strategia di continuità aziendale possa avere svantaggi. Forse "limitazioni" è un termine migliore da usare quando si discutono gli svantaggi. Sebbene la pianificazione della continuità aziendale offra diversi vantaggi, può dare alle aziende un falso senso di sicurezza e portare a una preparazione inadeguata.

Ecco alcune sfide comuni della continuità aziendale:

• È un processo che richiede tempo. Sviluppare una strategia di continuità aziendale richiede tempo. Inoltre, stabilirla come parte critica della cultura organizzativa non è affatto facile.
• Viene con vincoli finanziari. Un piano di continuità aziendale può comportare perdite economiche sostanziali se eseguito in modo errato.

Pianifica per il peggio

Non c'è molto da organizzare piani di recupero dai disastri e di continuità aziendale se non li mantieni aggiornati. Rivedi regolarmente le ipotesi su cui si basava il tuo programma. Sviluppa più di uno scenario di recupero per scegliere la soluzione più appropriata per ogni situazione. Infine, identifica i sistemi e i dati critici da recuperare rapidamente e completamente.

Vuoi valutare i rischi aziendali e pianificarli? Scopri come il software di gestione della continuità aziendale aiuta le aziende a identificare e recuperare da interruzioni operative.