Prije ili kasnije sustav stane. Razlog može biti ransomware, kvar diska, požar u poslužiteljskoj sobi, ispad pružatelja u oblaku ili ljudska greška pri promjeni konfiguracije. Pitanje za svaku tvrtku nije hoće li se prekid dogoditi, nego koliko brzo se vraća u rad i koliko podataka pritom izgubi. Na to odgovaraju dva povezana, ali različita plana: plan kontinuiteta poslovanja (BCP) i plan oporavka od katastrofe (DR).
Za regulirane tvrtke u Hrvatskoj, od financija i zdravstva do kritične infrastrukture i SaaS pružatelja, kontinuitet više nije samo dobra praksa. Propisi poput NIS2, prenesenog kroz Zakon o kibernetičkoj sigurnosti, i Uredbe DORA za financijski sektor izričito traže dokazanu otpornost i sposobnost oporavka. Ovaj tekst objašnjava razliku između BCP-a i DR-a, pokazuje kako se analizom učinka na poslovanje (BIA) dolazi do ciljeva RTO i RPO, prolazi kroz strategije oporavka i pokazuje zašto plan koji nije testiran gotovo sigurno ne radi onako kako mislite.
Ovo je dio našeg pregleda sigurnosnog programa. Pomažemo izraditi i testirati planove kroz upravljanje, rizik i usklađenost, a kad prekid stvarno nastupi, kroz odgovor na incidente.
BCP i DR: u čemu je razlika
Plan kontinuiteta poslovanja gleda cijelu tvrtku. Odgovara na pitanje kako nastaviti raditi i kad ključni sustavi nisu dostupni. Obuhvaća ljude, procese, komunikaciju, alternativne lokacije i privremene načine rada, na primjer ručnu obradu ili rad na zamjenskom sustavu. BCP je poslovni dokument, ne samo tehnički.
Plan oporavka od katastrofe je uži i tehnički. Opisuje kako vratiti IT sustave, aplikacije i podatke nakon ispada: redoslijed obnove, gdje su sigurnosne kopije, kako se prebacuje na pričuvnu lokaciju i tko to izvodi. DR je dio BCP-a, a ne njegova zamjena. Tvrtka koja ima samo DR zna kako vratiti poslužitelje, ali ne i kako će odjel nastaviti raditi dok obnova traje. Tvrtka treba oba plana.
Jednostavan primjer pokazuje razliku. Ako požar onesposobi poslužiteljsku sobu, DR opisuje kako se podaci vraćaju iz kopija i kako se usluge dižu na pričuvnoj lokaciji. BCP istovremeno odgovara na pitanje gdje će zaposlenici raditi, kako će primati narudžbe dok sustav nije dostupan, što reći klijentima i koga obavijestiti od regulatora. Bez BCP-a tehnička obnova teče, ali poslovanje svejedno staje.
Analiza učinka na poslovanje (BIA) je polazište
Prije nego što se postave ikakvi ciljevi, treba znati što tvrtka uopće mora zaštititi i kojim redom. To je zadatak analize učinka na poslovanje, poznate kao BIA. BIA odgovara na pitanje koliko košta nedostupnost svakog procesa: koliki je gubitak prihoda po satu, koje su ugovorne i regulatorne posljedice, kakva je šteta za ugled i postoje li ovisnosti o drugim procesima ili dobavljačima.
Rezultat BIA-e je popis kritičnih procesa poredanih po prioritetu i njihovim dopuštenim prekidima. Bez tog koraka tvrtke obično rade jednu od dvije greške: ili sve proglase kritičnim, što čini plan preskupim i neizvedivim, ili kritične procese podcijene i otkriju to tek tijekom stvarnog ispada. BIA se naslanja na procjenu rizika, ali nije isto: procjena rizika gleda vjerojatnost i prijetnje, a BIA gleda posljedicu prekida bez obzira na uzrok.
BIA otkriva i skrivene ovisnosti koje plan inače previdi. Glavna aplikacija možda ovisi o jednom servisu za prijavu, o vanjskom pružatelju plaćanja ili o bazi koju održava jedan dobavljač. Ako se te ovisnosti ne uzmu u obzir, oporavak jednog sustava može zapeti jer drugi, naizgled manje važan, nije vraćen na vrijeme. Zato BIA mora gledati i redoslijed obnove, ne samo pojedinačne sustave.
Ključni ciljevi: RTO i RPO
Iz BIA-e se izvode dva ključna cilja koja određuju koliko je plan ambiciozan i koliko košta. RTO (Recovery Time Objective) je dopušteno vrijeme do povratka u rad. RPO (Recovery Point Objective) je dopuštena količina izgubljenih podataka, izražena vremenom: ako radite kopiju svaka 24 sata, RPO vam je do 24 sata podataka.
| Sustav | Razuman RTO | Razuman RPO | Što to znači u praksi |
|---|---|---|---|
| Sustav za naplatu / transakcije | Minute do 1 sat | Gotovo nula | Traži replikaciju u stvarnom vremenu i pričupnu lokaciju u stanju pripravnosti. |
| Glavna poslovna aplikacija (ERP, CRM) | Nekoliko sati | Do 1 sat | Česte kopije i jasan, uvježban postupak obnove. |
| Interni alati, dijeljeni dokumenti | 1 do 2 dana | Do 24 sata | Dnevna kopija je dovoljna; obnova može čekati kritičnije sustave. |
| Arhiva i povijesni podaci | Više dana | Do nekoliko dana | Niski prioritet; jeftina, rjeđa kopija. |
Pravilo je jednostavno: što su RTO i RPO kraći, to je rješenje skuplje. Replikacija u stvarnom vremenu i pričuvna lokacija u toplom stanju koštaju mnogo više od dnevne kopije na drugu lokaciju. Zato se ciljevi postavljaju po važnosti sustava, a ne jedinstveno za sve. Po našem iskustvu, najveći trošak nastaje kad tvrtka nesvjesno traži minutni RTO za sustave kojima bi dan bio sasvim dovoljan.
Strategije oporavka
Kad su ciljevi poznati, biraju se tehnička rješenja koja ih mogu ispuniti. U praksi se kombinira nekoliko pristupa, razmjerno tome koliko je sustav kritičan.
- Sigurnosne kopije i testiranje obnove: temelj svega. Kopija ima vrijednost samo ako se iz nje dokazano može vratiti, pa testiranje obnove nije izborno.
- Pravilo 3-2-1: tri kopije podataka, na dvije različite vrste medija, s jednom kopijom izvan lokacije i nedostupnom s glavne mreže.
- Redundancija: dupli poslužitelji, diskovi u RAID polju, više internetskih veza, kako kvar jedne komponente ne sruši cijeli sustav.
- Pričuvne lokacije: hladna lokacija (oprema postoji, ali se mora postaviti), topla lokacija (djelomično spremna) ili vruća lokacija (replicira u stvarnom vremenu i preuzima gotovo odmah).
- Oblak i georedundancija: pružatelji u oblaku nude replikaciju između zona i regija, što za mnoge tvrtke daje brz oporavak uz niži trošak od vlastite pričuvne lokacije.
Oblak ne ukida potrebu za planom. Pad jedne regije pružatelja, pogrešno obrisani podaci ili kompromitiran račun i dalje vas mogu zaustaviti, a model podijeljene odgovornosti znači da je sigurnosna kopija vaših podataka vaša obveza, ne pružateljeva. Većina tvrtki u praksi miješa pristupe: replikaciju u stvarnom vremenu za nekoliko najvažnijih sustava, dnevne kopije za ostalo i jednu kopiju izvan dosega koja preživljava i napad i ljudsku grešku. Cilj nije najskuplje rješenje, nego rješenje koje za svaki sustav stvarno ispunjava njegov RTO i RPO.
Kako izraditi i održavati plan
Dobar plan je konkretan, dodijeljen poimence i uvježban. Apstraktan dokument koji nitko nije pročitao ne pomaže u tri ujutro kad sustav stane.
- 01Provedite BIAUtvrdite kritične procese, njihove ovisnosti i trošak nedostupnosti po satu i danu.
- 02Postavite RTO i RPOZa svaki kritični sustav odredite koliko brzo i do koje točke se mora oporaviti.
- 03Odaberite strategiju oporavkaIzaberite kopije, redundanciju, pričuvnu lokaciju ili oblak razmjerno ciljevima i proračunu.
- 04Definirajte postupke i ulogeOpišite tko što radi, redoslijed obnove i kako se komunicira s timom, klijentima i regulatorom.
- 05Osigurajte i odvojite kopijeVodite kopije po pravilu 3-2-1 i držite barem jednu izvan dosega istog napada.
- 06Testirajte i ažurirajteRedovito provjeravajte vraćaju li se sustavi i ažurirajte plan kad se infrastruktura ili procesi promijene.
Zašto je testiranje plana nužno
Plan koji nije testiran samo je pretpostavka. Testiranje otkriva pogrešne pretpostavke prije nego što to učini stvarna katastrofa: kopija koja se ne vraća, dokumentacija s neispravnim koracima, osoba koja je jedina znala lozinku, a više nije u tvrtki, ili obnova koja traje deset sati umjesto planiranih dva.
Postoje dvije osnovne razine vježbi. Tabletop vježba je razgovor za stolom: tim prolazi kroz scenarij i provjerava bi li plan funkcionirao, bez stvarnog diranja sustava. Jeftina je i dobra za provjeru uloga i komunikacije. Stvarna vježba ide dalje i zaista obnavlja sustave iz kopija ili prebacuje rad na pričuvnu lokaciju, pa mjeri stvarni RTO i RPO.2 Tabletop pronalazi rupe u planu, a stvarna vježba dokazuje da plan radi. Testiranje BCP-a i DR-a usko je povezano s planom odgovora na incidente: isti tim, isti telefonski imenik, ista prva sat vremena kaosa.
Veza s ransomwareom i s usklađenošću
Kontinuitet i oporavak danas su prva crta obrane od ransomwarea. Kad napadač šifrira sustave, sposobnost brze obnove iz odvojene, neoštećene kopije je razlika između prekida od nekoliko sati i plaćanja otkupnine ili tjedana zastoja. Zato napadači sve češće prvo ciljaju same sigurnosne kopije. Plan oporavka mora pretpostaviti da je napadač imao pristup mreži i da kopije na istoj mreži možda više nisu pouzdane.
Otpornost je i pravna obveza. NIS2, prenesen kroz Zakon o kibernetičkoj sigurnosti, traži upravljanje kontinuitetom poslovanja i upravljanje sigurnosnim kopijama kao dio mjera. DORA za financijski sektor ide dalje i izričito propisuje testiranje planova oporavka, ciljeve oporavka i scenarije za teške, ali vjerojatne prekide. Dobro postavljen plan tako pokriva i regulatornu obvezu i stvarnu sigurnost.
Sigurnosna kopija nije oporavak. Oporavak je ono što ste dokazali da možete vratiti.
Kako Raptoric pomaže
Pomažemo provesti analizu učinka na poslovanje, postaviti realne RTO i RPO ciljeve, odabrati strategiju oporavka i izraditi planove kroz upravljanje, rizik i usklađenost. Vodimo tabletop i stvarne vježbe oporavka, a kad prekid nastupi, pomažemo kroz odgovor na incidente. Dogovorite uvodni razgovor.