Plan kontinuiteta poslovanja i oporavka od katastrofe — šta su BCP i DRP

Kad smo pisali o 11 dokumenata koje preporučujemo pored Akta o bezbednosti IKT sistema, dva su u praksi najčešće nerazumljena: Plan kontinuiteta poslovanja („Business Continuity Plan“, skraćeno BCP) i Plan oporavka od katastrofe („Disaster Recovery Plan“, skraćeno DRP). Oba odgovaraju na pitanje koje Akt o bezbednosti samo načelno pominje — šta firma konkretno radi kad se nešto ozbiljno pokvari — pa zaslužuju poseban tekst.

Šta je Plan kontinuiteta poslovanja (BCP)

BCP je dokument koji definiše kako firma nastavlja da posluje dok je glavni sistem, lokacija ili proces nedostupan — bez obzira na uzrok (sajber napad, nestanak struje, požar, poplava). Odgovara na pitanja: koji procesi su kritični i moraju da nastave da rade, koliko dugo firma sme da ih ne obavlja pre nego što nastane ozbiljna šteta, ko preuzima koordinaciju u takvoj situaciji i gde se posao nastavlja ako glavna lokacija postane nedostupna. BCP je, drugim rečima, poslovni dokument — piše se za menadžment i ključne procese, ne samo za IT sektor.

Šta je Plan oporavka od katastrofe (DRP)

DRP je tehnički parnjak BCP-a, fokusiran isključivo na IT sisteme i podatke. Propisuje redosled kojim se sistemi vraćaju u rad, ko konkretno sprovodi oporavak i dve mere koje mu daju merljiv okvir:

• RTO (Recovery Time Objective) — koliko vremena sme da prođe pre nego što se sistem vrati u funkciju;
• RPO (Recovery Point Objective) — koliko je podataka (izraženo u vremenu, npr. „poslednji sat rada“) prihvatljivo izgubiti, što direktno zavisi od učestalosti rezervnih kopija.

Ako BCP kaže „služba za korisnike mora da radi i bez glavnog sistema“, DRP kaže tačno kako se taj sistem tehnički vraća u rad i za koliko vremena.

Po čemu se razlikuju od plana reagovanja na incidente

Firme često mešaju BCP/DRP sa planom reagovanja na incidente, ali su to tri različite faze iste situacije. Plan reagovanja na incidente pokriva prve sate — ko se obaveštava, kako se incident prijavljuje Nacionalnom CERT-u u zakonskom roku od 24 sata, kako se šteta ograničava. BCP i DRP preuzimaju posao odatle — kako posao i sistemi nastavljaju da funkcionišu dok se incident sanira, i kako se sistem potpuno vraća u normalu. Bez sva tri dokumenta, firma zna kako da prijavi problem, ali ne i kako da nastavi da radi dok se on ne reši.

Zašto ih zakon i standardi traže posebno

Definicija informacione bezbednosti iz člana 2 Zakona o informacionoj bezbednosti izričito navodi raspoloživost — dostupnost sistema i podataka kada su potrebni — kao jedno od svojstava koje se štiti. Tehničke mere (rezervne kopije, redundantni sistemi) tu raspoloživost omogućavaju, ali BCP i DRP su dokumenti koji dokazuju da je firma unapred isplanirala kako će tu raspoloživost zaista i ostvariti u kriznoj situaciji — što je i ono što ISO 27001 (kontrole dodate u verziji iz 2022) i NIST Cybersecurity Framework traže kao zaseban deo dokumentacije, ne kao napomenu unutar Akta o bezbednosti.