ISO 27031: Realan trošak i pristup uvođenju IRBC-a

Kod ISO 27001 i ISO 22301, sertifikacija sama nameće rok – audit je zakazan, neko spolja proverava da li je posao urađen. Kod ISO 27031 tog pritiska nema, jer standard nije sertifikacioni. To je najveći skriveni trošak celog poduhvata: bez roka, IRBC lako postane tačka na listi koja se svaki kvartal pomera za sledeći, dok infrastruktura raste, a spremnost ostaje ista.

Od čega se trošak sastoji

Najveća stavka skoro nikad nije oprema – nego vreme ljudi: BIA razgovori, mapiranje zavisnosti, pisanje i održavanje runbook-ova, koordinacija testiranja. Za firmu veličine VoxServis-a, to realno znači nedelje angažovanja kroz IT i poslovne funkcije, raspoređeno kroz nekoliko meseci, ne dve nedelje pa gotovo.

Tehnička ulaganja dolaze tek posle mapiranja – redundansa, replikacija, bekap koji stvarno pokriva i cloud stranu. Njihova visina zavisi od toga šta mapiranje otkrije, ne od unapred određenog budžeta. Spoljna ekspertiza je opciono ubrzanje, ne preduslov – konsultant za prvu BIA rundu uštedi vreme, ali dobra interna disciplina može isto sama, samo sporije.

Gde se para dobro troši

• Restore testovi – bekap koji "uspešno završava" godinama, a nikad nije stvarno testiran za restore, jedna je od najskupljih iluzija u IT-u.
• Zatvaranje stvarno kritičnih tačaka otkaza – često ne zahteva veliku investiciju, samo da neko prvi put nacrta ceo lanac i primeti gde je tanka cev.
• Planovi dostupni van sistema koji su pali – plan sačuvan samo na serveru koji je upravo otkazao je čest i jeftin propust da se ispravi.
• Osnovni monitoring sa jasnim okidačima – ne treba enterprise alat da bi neko znao kad situacija prelazi iz "čudno" u "ovo je incident".

Gde se para troši uzalud

• Kupovina alata pre mapiranja – firma kupi rešenje pre nego što zna koje servise uopšte štiti.
• Ista visoka spremnost za sve servise, bez obzira na prioritet – budžet potrošen ravnomerno umesto tamo gde uticaj najviše boli.
• Poliranje dokumentacije pre prvog testa – savršeno formatiran plan koji nikad nije proveran vredi manje od rogobatnog koji jeste.
• Velika konsultantska kuća za nešto što interni tim, uz malo strukture, može sam.

Razuman prvi korak

1. Jedan sponzor u menadžmentu, pre svega ostalog.
2. Mapirati dve do tri najkritičnije aktivnosti do kraja, ne trideset površno.
3. Iskoristiti ono što već postoji – stari DR plan, risk registar iz 27001, BIA iz 22301 – ne graditi paralelan sistem.
4. Jedan pravi test, makar mali. Vredi više za kredibilitet nego mesec dana pisanja dokumentacije.
5. Sledeći servis po prioritetu iz BIA rezultata, ne po abecedi.

Najčešća greška: čekanje na "pravi trenutak" da se počne, jer nema spoljnjeg roka koji primorava. Hitno se uvek nađe. Razlika između firmi koje su spremne i onih koje nisu retko je novac – najčešće je odluka da se počne sa malim, opipljivim korakom.