Кад смо писали о 11 докумената које препоручујемо поред Акта о безбедности ИКТ система, два су у пракси најчешће неразумљена: План континуитета пословања („Business Continuity Plan“, скраћено BCP) и План опоравка од катастрофе („Disaster Recovery Plan“, скраћено DRP). Оба одговарају на питање које Акт о безбедности само начелно помиње — шта фирма конкретно ради кад се нешто озбиљно поквари — па заслужују посебан текст.
BCP је документ који дефинише како фирма наставља да послује док је главни систем, локација или процес недоступан — без обзира на узрок (сајбер напад, нестанак струје, пожар, поплава). Одговара на питања: који процеси су критични и морају да наставе да раде, колико дуго фирма сме да их не обавља пре него што настане озбиљна штета, ко преузима координацију у таквој ситуацији и где се посао наставља ако главна локација постане недоступна. BCP је, другим речима, пословни документ — пише се за менаџмент и кључне процесе, не само за ИТ сектор.
DRP је технички парњак BCP-а, фокусиран искључиво на ИТ системе и податке. Прописује редослед којим се системи враћају у рад, ко конкретно спроводи опоравак и две мере које му дају мерљив оквир:
Ако BCP каже „служба за кориснике мора да ради и без главног система“, DRP каже тачно како се тај систем технички враћа у рад и за колико времена.
Фирме често мешају BCP/DRP са планом реаговања на инциденте, али су то три различите фазе исте ситуације. План реаговања на инциденте покрива прве сате — ко се обавештава, како се инцидент пријављује Националном ЦЕРТ-у у законском року од 24 сата, како се штета ограничава. BCP и DRP преузимају посао одатле — како посао и системи настављају да функционишу док се инцидент санира, и како се систем потпуно враћа у нормалу. Без сва три документа, фирма зна како да пријави проблем, али не и како да настави да ради док се он не реши.
Дефиниција информационе безбедности из члана 2 Закона о информационој безбедности изричито наводи расположивост — доступност система и података када су потребни — као једно од својстава које се штити. Техничке мере (резервне копије, редундантни системи) ту расположивост омогућавају, али BCP и DRP су документи који доказују да је фирма унапред испланирала како ће ту расположивост заиста и остварити у кризној ситуацији — што је и оно што ISO 27001 (контроле додате у верзији из 2022) и NIST Cybersecurity Framework траже као засебан део документације, не као напомену унутар Акта о безбедности.
Овај текст је информативног карактера и не представља правни ни технички савет. Обим и детаљност BCP-а и DRP-а зависе од делатности, величине и критичности ИКТ система сваке фирме.