Kontinuitet for IKT systemer Innledning til kontinuitetsplanlegging for IKT Rolf Sture Normann, CSO UNINETT AS
Introduksjon IKT og andre automatiserte systemer er sentrale i de fleste organisasjoner i dag Det er avgjørende for en organisasjon å etablere prosesser som sikrer at disse systemene er operative uten kritisk lange avbrudd Kontinuitetsplanlegging bidrar til å etablere grundige planer og prosedyrer som kan bidra til at systemene på en effektiv måte kan reetableres etter et avbrudd som kan komme til å vedvare.
Inneholder IKT Kontinuitetsplanlegging består av planer, prosedyrer og tekniske beskrivelser som muliggjør en reetablering av kritiske IT systemer, operasjoner og data etter et avbrudd, enten dette skyldes katastrofe eller andre hendelser. Generelt inneholder kontinuitetsplanlegging en eller flere av følgende: Reetablere IKT operasjoner på en alternativ lokalisering Reetablere IKT operasjoner ved hjelp av alternativt IT utstyr Reetablere ved å benytte manuelle operasjoner for å gjøre virksomhetsprosesser (typisk bare for korte avbrudd).
Formål Bidra til at institusjonene utvikler og opprettholder en effektiv IKT kontinuitetsplan (ISCP) Bidra til å øke forståelsen av systemer og prosesser slik at man kan evaluere IKT systemene og hvilke prosesser de understøtter. Dermed gjøre riktige valg med tanke på hvor kritiske systemene er og gjøre riktige prioriteringer dersom en hendelse skulle oppstå Bidra til at man kan etablere reetableringsprosedyrer (recovery procedures).
Risikovurdering Alle IKT systemer er sårbare for forstyrrelser eller nedetid, enten dette er korte, mindre alvorlige eller lange, mer katastrofelignende hendelser Kontinuitetsplanlegging skal bidra til å redusere risikoen for at systemene uteblir ved å ha et spesielt fokus på kontinuitet av tjenester eller systemer. (SDLC) Risikostyring skal beskytte IT systemer fra 3 klassifiserte trusler: Natur (Storm, tornado, flom, brann etc..) Menneskelig (Brukerfeil, sabotasje, ødeleggende programvare, terror, hærverk etc) Miljø (Utstyrsfeil, programvarefeil, kommunikasjonsfeil, nettverk, strøm etc..) Risikostyringen skal avdekke trusler og sårbarheter slik at man kan etablere risikoreduserende tiltak. Det vil allikevel være en restrisiko. Det er her kontinuitetsplanlegging kommer inn i bildet. Risikostyring er viktig for kontinuitetsplanen!
Mange planer Kilde: NIST Special Publication 800-34
Ulike planers relasjoner Kilde: NIST Special Publication 800-34
Oppgaver IT Kontinuitetsplan (ISCP) Utarbeide kontinuitetsplan policy dokument Gjennomføre business impact analysis (BIA) Identifisere preventive tiltak som allerede er etablert Utvikle en kontinuitets-strategi Utvikle selve kontinuitetsplanen Planlegge testing av kontinuitetsplan og opplæring av denne Planlegge vedlikehold av planen
Kontinuitetsplanleggingen Kilde: NIST Special Publication 800-34
Utvikle Business Impact Analysis (BIA) Dette er en nøkkel aktivitet i ISCP Formål: Finne kritiske virksomhetsprosesser Linke kritiske virksomhetsprosesser til IKT systemer. På bakgrunn av dette komme frem til prioriteringer i reetableringen
BIA ny versjon Kilde: NIST Special Publication 800-34
BIAs 3 steg Bestemme virksomhetskritiske prosesser og tjenester Finne hvilke kritiske virksomhetsprosesser de ulike systemene betjener og vurdere konsekvensen ved bortfall. Vurdere maksimalt tillatt nedetid Identifisere krav til ressurser for reetablering Bestemme prioritet for reetablering (recovery) av systemer/ressurser Systemer linkes enda tettere til kritiske virksomhetsprosesser, og ved å vurdere kritikalitet og behov for ressurser kan man bestemme en prioritering av reetableringen Gjøres sammen med relevant representant fra ledelsen Systemeier/tjenesteeier
Identifisere konsekvens av nedetid og bestemme akseptable rammer for nedetid Nedetid og konsekvens av nedetid MTD: Maksimalt Tillatt Nedetid RTO: Recovery Time Objective RPO: Recovery Point Objective RTO og MTD henger sammen. RTO kan ikke være større enn MTD
ISCP Information Systems Contingency Plan Planen skal være: -Formet for å kunne leses raskt -Tydelig -Konsis -Enkel å implementere -Bruk sjekklister -Step by step prosedyrer Kilde: NIST Special Publication 800-34
Erfaringer Gjør problemstillingen så enkel å forstå som mulig Toppledelse må enes om hvilke tjenester som må være på plass Skjemavelde og for avanserte modeller kan være en felle Hvem skal aktivere planen? Det bli væl likar i mårrå?? Røyk ut egentlig MTD Be tjenesteeiere om en vurdering, presenter deretter regninga ;-) Prosedyrer for reetablering er mye arbeid
Prosjekt sammen HiOA Startfasen Komme frem til riktig nivå på skjematikk Høste erfaringer og utvikle beste praksis i UH Erfaringer skal deles