Pokazywanie postów oznaczonych etykietą ciągłość. Pokaż wszystkie posty
Pokazywanie postów oznaczonych etykietą ciągłość. Pokaż wszystkie posty

8 października 2012

Ta niedoceniana integralność (i nie tylko)

W trakcie wielu projektów obserwowałem specyficzny rozdział dotyczący pojmowania różnych aspektów bezpieczeństwa: poufności, integralności i dostępności (że skoncentruję się na tych podstawowych). Potężna część osób – studentów czy klientów przede wszystkim utożsamia bezpieczeństwo z poufnością. Coś jest bezpieczne jeżeli inni tego nie znają – tak można podsumować definicję bezpieczeństwa w ich wykonaniu. Przy lekkim naprowadzeniu dość szybko udaje nam się podkreślić aspekt dostępności. Jednak osoby, które dopiero zaczynają zajmować się bezpieczeństwem często nie są w stanie podkreślić istotności „integralności” dla ich pracy czy zadań wykonywanych przez ich pracodawców.

Wczorajsze zamieszanie z Play jest świetnym przykładem na to, że integralność danych potrafi stać się niezmiernie istotną kwestią nie tylko dla IT, ale również dla przedstawicieli działów biznesowych. Nie chcę kopać leżącego (zarówno w tej kwestii jak i komunikacji kryzysowej) – inni już to zrobili, więc tylko dodam parę wniosków. Tak często niedoceniana integralność danych może spowodować wielkie straty wizerunkowe. Może też doprowadzić do bardzo poważnych problemów prawnych, gdyż zdziwiłbym się gdyby Play nie został przez przynajmniej niektórych z klientów pozwany za naruszenie tajemnicy korespondencji – MMS w końcu do takich należy. Nie jest przypadkiem, że awaria miała miejsce w niedzielę – soboty to w końcu bardzo popularny dzień na wdrażanie wszelkiego rodzaju poprawek. Niemniej dobrze przygotowana poprawka po pierwsze jest odpowiednio przetestowana na środowiskach testowych, po drugie jest odpowiednio zweryfikowana po wdrożeniu jej na środowisko testowe a po trzecie zawiera przygotowany plan czynności na wypadek niepowodzenia.

W tym przypadku nie zadziałały wszystkie z tych elementów poddając w zapytanie jakość procesu zarządzania zmianą oraz jego integrację z procesem zarządzania incydentami i dalej zarządzania kryzysowego. Play powinien teraz wyciągnąć wnioski i dokonać szybkich zmian by podkreślić swoją wiodącą rolę wśród polskich telekomów.
.

19 kwietnia 2012

Szybkimi krokami zbliża się ISO 22301

2 tygodnie temu, bez szczególnego rozgłosu ISO poinformowało, że norma ISO 22301 przeszła własnie do stanu "w publikacji". Oznacza to, że w najbliższych tygodniach można oczekiwać jej publikacji. Dlaczego to jest ważne? Dlatego, że (poniekąd) będzie ona stanowić ISO'wską odpowiedź na BS 25999. O tym jak to będzie wyglądało w rzeczywistości zobaczymy, niemniej ponieważ obecnie standardem (nawet w polskiej administracji publicznej) staje się bazowanie na brytyjskim standardzie, być może rynek uzna, że warto będzie w projektach zacząć korzystać z akurat tego, międzynarodowego standardu. Warto to mieć na uwadze, za jakiś czas zobaczymy czy ISO 22301 stanie się na równi popularne z BS25999
.

9 lutego 2012

Zarządzanie ciągłością na biegunie południowym...

Marcin Fronczak napisał ciekawy tekst porównując planowanie ciągłości funkcjonowania do zdobywania bieguna południowego
Robert Falcon Scott i Roald Amundsen stosowali trochę inne podejście - podejście Amundsena można określić powiedzeniem, że "im więcej trenuję tym więcej mam szczęścia".
Jak pokazuje Marcin planowanie i odpowiednie ćwiczenie niepomyślnych scenariuszy generuje korzyści w skrajnie różnych sytuacjach. W końcu podstawowe zasady są takie same.
Zachęcam do lektury całego artykułu.
.

25 lipca 2011

Badań ciąg dalszy - koszt przestojów

IDG opublikowało artykuł "Przestoje wynikające z problemów w działaniu IT kosztują miliardy euro". Podsumowuje on badania CA Technologies.

Z analiz przeprowadzonych na zlecenie firmy CA Technologies wynika, że przypadające na jedną, zatrudniającą ponad 50 osób firmę przestoje wynikające z wadliwego działania rozwiązań teleinformatycznych trwają łącznie ok. 14 godzin w skali roku. Statystycznie kolejne 9 godzin w roku zajmuje przywracanie danych i pełnej sprawności organizacji.

24 marca 2011

Zarządzanie kryzysowe a Apple Japan

Mało kto słyszał, a takie postawy warto rozgłaszać...
W trakcie ostatniego tragicznego trzęsienia ziemi w Japonii wyjątkową postawą wykazał się personel Apple.

Nie dość, że umożliwili przypadkowym osobom ukrywanie się we sklepie, to zapewnili im schronienie, jedzenie oraz możliwość komunikacji ze światem, absolutnie z własnej nieprzymuszonej woli.
Naprawdę miło czytać takie artykuły - polecam

22 marca 2011

Bezpieczeństwo informacji a polityka

Polityka raczej nie zajmuje się zanadto zagadnieniami dotyczącymi bezpieczeństwa informacji (no, może ewentualnie poufnością). Z tym większą przyjemnością załączam wczorajszą informację.
Okazało się, że PJN usuwając ze swoich szeregów Adama Bielana zapomniało, że wcześniej popełniło 2 kardynalne błędy związane z ochroną informacji - zagwarantowaniu dostępu do krytycznych danych oraz zależności od kluczowej osoby.
Otóż okazało się, że były członek PJN jest równocześnie jedyną osobą posiadającą hasła dostępowe do witryny www partii. Cóż, pozostaje tylko mieć nadzieje, że na innych sprawach politycy znają się trochę lepiej...

7 lutego 2011

Koszt przestoju systemów teleinformatycznych

CA Technologies przeprowadziło bardzo interesujące badania. Wynika z nich, że przestoje wynikające z wadliwego działania rozwiązań teleinformatycznych przypadające na jedną, zatrudniającą ponad 50 osób firmę trwają łącznie ok. 14 godzin w skali roku.
Statystycznie kolejne 9 godzin w roku zajmuje przywracanie danych i pełnej sprawności organizacji. Zdaniem ekspertów w skali całej Unii Europejskiej przekłada się to straty rzędu 17 mld euro.

Powiedziałbym, że to ciut dużo...

9 grudnia 2010

START czyli ustalanie priorytetów ratowania ofiar wypadków

Paweł Krawczyk w jednym z ostatnich felietonów w CW wspomniał o metodzie START opracowanej na potrzeby ustalania priorytetów podczas potężnych wypadków.
Tak się właśnie zastanawiam, że przy minimalnych przeróbkach, biorąc pod uwagę czasy RTO można by to zastosować również w przypadku katastrof dotyczących infrastruktury IT.

Może kiedyś siądę dłużej nad tym zagadnieniem i coś stworzę...chyba, że już któryś z czytelników ma własne przemyślenia na ten temat, którymi będzie się chciał podzielić?

28 października 2010

Duże, niebezpieczne zabawki

Duzi chłopcy lubią duże zabawki, tyle, że jak pokazują ostatnie newsy nie zawsze potrafią się nimi bawić.

W ostatnich dniach pojawiły się dwie dość zaskakujące informacje o arsenale nuklearnym USA. najpierw wyszło na jaw, że za czasów prezydentury B.Clintona na kilka miesięcy zgubiono kody nuklearne, teraz okazało się, że w wyniku awarii sieci utracono na 45 nadzór nad 50 głowicami atomowymi. Jako pocieszenie autor artykułu zaznacza, że (tym razem) był to raczej błąd człowieka niż atak. Co za ulga.

13 września 2010

Planowanie ciągłości funkcjonowania e-biznesu

W części Expert Room portalu IMMUSEC zamieściłem ostatnio jeden z moich najdawniejszych artykułów dotyczących ciągłości działania w e-biznesie.

Mimo, że tekst ma już 5 lat (co w tym fachu jest naprawdę znacznym okresem), większość z jego tez wciąż jest aktualnych. Zachęcam do lektury całego artykułu.

1 września 2010

Zarządzanie kryzysem a zarządzanie ryzykiem

Na blogu 112 PR pojawił się ciekawy post dotyczący różnicy między komunikację w zarządzaniu kryzysem z zarządzaniu ryzykiem.

Komunikacja kryzysowa najczęściej dotyczy rzeczy, które się nie powiodły, na przykład, potrąciłeś staruszka na przejściu dla pieszych, mechanik zapomniał wyregulować hamulce w samochodzie i dziennikarze dzwonią z pytaniami dlaczego jechałeś tak szybko.
Komunikacja ryzyka dotyczy z kolei przykrych rzeczy, które mogą się wydarzyć. Czy jest prawdopodobne, że jadąc za szybko potrącisz człowieka na przejściu, mechanik zapomni sprawdzić hamulce i dziennikarze będą żądać wyjaśnień?

Polecam lekturę całości.

27 lipca 2010

Walka z powodzią - ciągłość działania w praktyce

Onet opublikował na swoim blogu bardzo ciekawe studium przypadku. Tegoroczna powódź bardzo zagroziła ich głównej serwerowni - by zapewnić ciągłość działania onet.pl trzeba było uruchomić plany kryzysowe. Polecam zarówno lekturę całej historii, jak i przejrzenie galerii zdjęć - szczególnie tych ostatnich.

Marcin Kluczewski - Kierownik Zespołu Administratorów Drugiej Linii Wsparcia w onet.pl zwrócił też uwagę na jedną prawidłowość o której często się zapomina (moje pogrubienie):
"Następnym krokiem, jaki został podjęty w związku z zagrożeniem było przepięcie wszystkich usług i systemów działających produkcyjnie na infrastrukturę zapasową w innych centrach danych. Decyzja była trudna, ponieważ architektura części z przepinanych systemów powodowała, że przepięcie możliwe było „w jedną stronę” a w każdym razie powrót z danym systemem z powrotem do lokalizacji początkowej wiązałby się z dużym nakładem pracy."
No i oczywiście koniecznie trzeba podkreślić tę myśl:
"I na koniec jeszcze jedna ważna uwaga: choćbyśmy mieli najlepsze i najbardziej szczegółowe plany są one niewiele warte, jeżeli nie są przetestowane. Tylko regularne testy zapewnią nas, że plan jest realny i wykonalny, oraz że żadne zmiany, które wykonaliśmy w infrastrukturze nie spowodowały, że stał się on nieaktualny."

26 lipca 2010

Sektor bankowy jako potencjalny cel ataku cyberterrorystycznego

W publikacji "CYBERTERRORYZM - nowe wyzwania XXI wieku" powstałej po ubiegłorocznej konferencji pod tym samym tytułem przedstawiłem referat "Sektor bankowy jako potencjalny cel ataku cyberterrorystycznego".

Wymieniłem w nim między innymi kilka potencjalnych zagrożeń dla całego sektora bankowego, na których nadejście należy być przygotowanym. Cyberterrorystyczne ataki skierowane na sektor bankowy mogą między innymi skutkować:
- Zakłóceniem swobodnego przepływu środków pieniężnych;
- Zafałszowaniem danych dotyczących bieżącej sytuacji gospodarczej i finansowej;
- Manipulowaniem notowaniami kursowymi bądź giełdowymi;
- Odebraniem firmom i osobom prywatnym bieżącego dostępu do zgromadzonych środków;
- Zafałszowaniem informacji dotyczących poziomu zadłużenia;
- Kradzieżą i legalizacją znacznych sum.

Źródło: Syta J., Sektor bankowy jako potencjalny cel ataku cyberterrorystycznego. Cyberterroryzm - nowe wyzwania XXI wieku. Praca zbiorowa Jemioła T., Kisielnicki J. i Rajchel K. [red.], Wydział Wydawnictw i Poligrafii Wyższej Szkoły Policji w Szczytnie, Warszawa 2009, str. 696-703

Najlepszą metodą zabezpieczenia się przed tego typu atakami jest przeciwdziałanie - wykrycie ataku zanim nastąpi i skuteczne przeciwdziałanie. Co jednak jeśli nie uda się go wykryć wcześniej? Czy banki są przygotowane na reakcję post factum?

1 lipca 2010

Rola biznesu w zarządzaniu ciągłością działania

W trakcie konferencji "Doskonalenie Organizacji" zorganizowanej kilka dni temu przez Uniwersytet Ekonomiczny w Krakowie przedstawiłem referat pt. "ROLA ZARZĄDU W ZAPEWNIANIU CIĄGŁOŚCI FUNKCJONOWANIA ORGANIZACJI"

Oprócz dyskutowania roli zarządu zwróciłem uwagę na podstawowe obowiązki działów biznesowych, do których między innymi zaliczyłem:
- określenie krytycznych procesów;
- podanie maksymalnych dopuszczalnych czasów przestoju poszczególnych procesów;
- wskazanie krytycznych zasobów;
- akceptacja alternatywnych możliwości;
- zapewnienie właściwego finansowania projektu;
- zapewnienie właściwego wsparcia organizacyjnego.

Podkreślałem, że to właśnie działy biznesowe powinny być głównymi zainteresowanymi gdyż to one:
- zapłacą za dostarczone rozwiązanie;
- będą korzystać z rozwiązań w sytuacji katastrofy;
- będą docelowo (przez klientów) rozliczane ze skuteczności zastosowanych rozwiązań.

Więcej znajduje się w publikacji pokonferencyjnej, w naszym artykule: Syta J., Tkaczyk S., Rola zarządu w zapewnianiu ciągłości funkcjonowania organizacji. Praca zbiorowa Sikora T. [red.], Uniwersytet Ekonomiczny w Krakowie 2010

23 czerwca 2010

Ciągłość działania - maszynka do robienia pieniędzy czy rzeczywista potrzeba

W ubiegłym tygodniu miałem okazję przeprowadzić dość ciekawą i oryginalną rozmowę. Mój oponent - osoba wykształcona, z wieloletnim doświadczeniem zawodowym (również na wysokich stanowiskach) zaczęła zadawać mi serię pytań dotyczących zarządzania ciągłością funkcjonowania, a dokładniej sensowności stosowania tego typu rozwiązań. Bardzo rzadko spotykam się już z tego typu utwardzonym stanowiskiem, zazwyczaj dyskusje, które prowadzę dotyczą zagadnień "jak" a nie "po co", dlatego pozwolę sobie w skrócie podać parę argumentów za normą BS 25999 i całym BCMS (Business Continuity Management System).

Otóż norma powstała w dużej mierze na żądanie środowisk związanych z bezpieczeństwem i ciągłością. Korzystanie z niej nie jest (jeszcze - w Wielkiej Brytanii może się to niedługo zmienić) obowiązkowe. Jej celem jest dbanie o interes klientów poprzez "wymuszanie" właściwych zachowań w organizacji. Myśląc o prowadzeniu interesu należy się zabezpieczyć. Ponieważ łatwiej to powiedzieć niż zrobić stworzono BS 25999 by stał się swoistym przewodnikiem, narzędziem z którego należy korzystać.
Zapewnienie ciągłości funkcjonowania jest strategicznym celem wszystkich organizacji. Brak działalności nie tylko może destrukcyjnie wpłynąć na organizację (tu trzeba zaznaczyć, że nie ma obowiązku prowadzenia działalności, więc teoretycznie każdy może sobie bankrutować kiedy chce) ale również na inne strony, zależne od firmy (przede wszystkim klientów). Poważniejsza awarie, katastrofa czy atak nie powinny niszczyć całej struktury (jak bywa obecnie). Niewielka liczba najlepszych praktyk pozwoli bardzo ograniczyć rozmiary tego typu incydentów, znacznie skrócić czas potrzebny na przywrócenie działalności.

Argumenty typu "Jak przyjdzie powódź to takimi planami nawet nie da się uszczelnić rowów" są niezasadne. Jeżeli firma wcześniej przeanalizuje ryzyko biorąc pod uwagę zagrożenia dla ciągłości funkcjonowania to:
- będzie się mogła dobrze ubezpieczyć;
- będzie mogła wybudować własne wały;
- będzie mogła przenieść zakłady w inne miejsce;
- będzie mogła zastanowić się nad zapewnieniem redundancji - prowadzeniem działalności z innej lokalizacji.

Możliwości jest jeszcze trochę. Trzeba jednak się nad nimi zastanowić, w czym bardzo pomaga korzystanie ze standardów.

21 czerwca 2010

Zabezpieczyć się czy nie...

Bruce Schneider odnalazł w sieci bardzo interesujący artykuł o ludzkich zachowaniach - o uczeniu się na błędach, podejmowaniu strategicznych decyzji.

Howard Kunreuther oraz Robert Meyer ze Philadelphia school’s Risk Management and Decision Processes Center przeprowadzili serię symulacji w których studentom (oraz szefom firm) dano zadanie - zbudować mocny dom i go utrzymywać w terenie w którym zdarzają się trzęsienia ziemi. Oczywiście pieniądze przeznaczone na dom można było również ulokować w banku na eleganckie 10%.

Okazało się, że wszyscy uczestnicy symulacji przegrywali. Obserwowali poczytania innych uczestników i nakręcali się w poczuciu, że ryzyko jest niewielkie, że nic się nam złego nie zdarzy. Po początkowych inwestycjach w dom ignorowano resztę zabezpieczeń aż do katastrofy. Uczestnicy woleli zyski z krótkim czasie niż konsekwentne podążanie zgodnie ze strategicznym celem. Polecam lekturę całości artykułu.

Czytając ten artykuł miałem nieodparte wrażenie, że coś mi to przypomina. Jakże często ignorujemy sygnały o zagrożeniach poprzez obserwację innych osób nic nie robiących by się zabezpieczyć. Jakże często wiedząc, że zagrożenie jest realne wolimy jednak odłożyć inwestycję w czasie troszcząc się o krótkoterminowe zyski.

Niejednokrotnie słyszałem, że jest to rezultatem braku zrozumienia dla bezpieczeństwa, niezrozumienia prawdziwej skali zagrożeń. A tu wygląda, że jest to kwestia psychologiczna. Ludzie po prostu tacy są...

18 czerwca 2010

Nasz plan odtwarzania działalności wygląda następująco

Dzisiaj w Krakowie na Uniwersytecie Ekonomicznym będę opowiadać o "Roli zarządu w zapewnianiu ciągłości funkcjonowania organizacji", dlatego też pozwolę przypomnieć jedną z moich ulubionych grafik Scotta Adamsa:


11 czerwca 2010

Burze słoneczne

Rafał Rudnicki opublikował niedawno na swoim blogu bardzo interesujący artykuł o burzach słonecznych i związanym z tym "Efektem Carringtona".
Pozwolę sobie zacytować fragment, po resztę zapraszam na stronę autora.

Tegoroczny raport opublikowany przez The Academmy of Natural Sciences w Filadelfii szacuje, że skutki ekonomiczne burzy elektromagnetycznej o skali zjawiska Carringtona spowodują straty w wysokości od biliona (milion milionów) do dwóch bilionów dolarów - tylko w samych Stanach Zjednoczonych. W tym 30 miliardów dziennie traciłyby sieci energetyczne, a 70 miliardów dziennie operatorzy sieci komórkowych. Nic dziwnego, że utworzono rządowy Space Weather Prediction Center, a zagrożeniem interesuje się nawet NASA, która kontroluje kilka satelitów dedykowanych obserwacji aktywności słońca. Istniejący system bezpieczeństwa daje nam wyprzedzenie rzędu 15 do maksymalnie 60 minut - tyle czasu mamy, aby uchronić najbardziej eksponowane części sieci enegrgetycznych przed przeładowaniem i zniszczeniem. System sprawdził się już 12 lat temu, kiedy alarm wysłany przez NASA z 40 minutowym wyprzedzeniem, uratował amerykańska sieć energetyczną.

10 czerwca 2010

Przeciwdziałanie bojkotowi

Wczoraj pisałem o bojkocie firm w mediach. Internet doskonale ułatwia zawiązywanie tego typu grup.
Od paru tygodni świat interesuje się skutkami potężnej katastrofy ekologicznej w związku ze zniszczeniem platformy BP. Koncern postanowił się ratować (w końcu takie akcje stanowią zagrożenie dla ciągłości działania) i wykupił potężne ilości sponsorowanych linków w głównych wyszukiwarkach prowadzących na strony "wybielające" skandal BP.

To tylko dowodzi temu jak potężne może być jednak oddziaływanie społeczeństwa w walce przeciw wspólnemu wrogowi