ICT-continuïteit voor bedrijfscontinuïteit

De ICT-continuïteit dient te worden gepland, geïmplementeerd, onderhouden en getest op basis van bedrijfscontinuïteitsdoelstellingen die zich moeten vertalen in ICT-continuïteitseisen. De ICT-continuïteit voor bedrijfscontinuïteit is een fundamenteel onderdeel van bedrijfscontinuïteitsbeheer en informatiebeveiligingsbeheer om te bewerkstelligen dat ook tijdens een verstoring aan de doelstellingen van de organisatie kan blijven worden voldaan.

Business Impact Assessment (BIA)

Een business impact assessment (BIA) van een ICT-dienst is een proces waarbij de potentiële effecten van een verstoring van de ICT-dienst op de bedrijfsactiviteiten worden geïdentificeerd en geëvalueerd. Het richt zich op het bepalen van de impact van een gebeurtenis op de bedrijfsvoering, financiën en reputatie. Een BIA geeft organisaties objectieve parameters om prioriteit aan herstelmaatregelen en middelen toe te wijzen op basis van de ernst van de impact.

Een BIA heeft als als uitkomst een Recovery Time Objective (RTO) en een Recovery Point Objective (RPO).

Deze en andere termen worden gedefinieerd in het algemene Strategiedocument “Business Continuity Management” van Digitaal Vlaanderen, editie 2024. Hieronder worden ze specifiek verwoord voor de ICT-diensten.

Recovery Time Objective (RTO)

RTO staat voor Recovery Time Objective en is de maximale toegestane tijd die kan verstrijken na een onderbreking voordat de continuïteit van de bedrijfsvoering en de ICT-diensten hersteld moeten zijn om onaanvaardbare gevolgen te voorkomen. Het bepaalt de tijdslimieten voor herstelwerkzaamheden, inclusief het herstellen van systemen, netwerken en applicaties na een incident. Het vaststellen van een RTO helpt organisaties bij het prioriteren van herstelinspanningen en het toewijzen van de benodigde middelen om de bedrijfscontinuïteit te waarborgen.

Recovery Point Objective (RPO)

RPO staat voor Recovery Point Objective en verwijst naar het maximale toegestane verlies van informatie ten gevolge van een incident. Het vertegenwoordigt de hoeveelheid gegevens die een organisatie zich kan veroorloven te verliezen zonder significante negatieve gevolgen. Het definiëren van een RPO is cruciaal voor het plannen van gegevensherstelstrategieën en het implementeren van een passend back-up schema en replicatiemethoden.

Business Continuity Management (BCM) en Business Continuity Plan (BCP)

Op het BCM-portaal wordt verder toegelicht hoe bedrijfscontinuïteit wordt beheerd voor Digitaal Vlaanderen. Hier vindt men onder meer een Business Continuity Plan (BCP) voor meerdere verschillende scenario’s dat telkens beschrijft hoe Digitaal Vlaanderen omgaat met een verstoring van bedrijfsactiviteiten. Een BCP is bijgevolg algemener dan een ICT-continuïteitsplan dat specifiek beschrijft hoe een specifieke ICT-dienst of kritisch systeem wordt behandeld in geval van een verstoring. Alsdusdanig zijn ICT-continuïteitsplannen een onderdeel van BCM en één of meerdere BCPs.

ICT-continuïteitsplan

Het beheer van de ICT-continuïteit vormt een essentieel onderdeel van de bedrijfscontinuïteitseisen met betrekking tot beschikbaarheid om in staat te zijn:

1. Te reageren op en te herstellen van verstoringen van ICT-diensten ongeacht de oorzaak;

2. Te bewerkstelligen dat de continuïteit van geprioriteerde activiteiten door de vereiste ICT-diensten wordt ondersteund;

3. Te reageren voordat er zich een verstoring van de ICT-diensten voordoet en zodra er ten minste één incident is waargenomen dat kan leiden tot een verstoring van de ICT-diensten.

Disaster Recovery Plan (DRP)

Een DRP, oftewel Disaster Recovery Plan, is een uitgebreid plan dat de ICT-organisatie implementeert om de ICT-diensten en kritische systemen te herstellen na een grote calamiteit, zoals een natuurramp, brand, terroristische aanval, of pandemie.

Belangrijke onderdelen:

Informatiebeveiliging tijdens een verstoring