Een rampenherstelplan is de gedocumenteerde procedure voor het herstellen van technologische diensten na een storing. Het beschrijft welke systemen in welke volgorde weer operationeel moeten worden, hoe lang elk systeem nodig heeft, hoeveel dataverlies acceptabel is en wie het werk uitvoert. Het vormt de technische laag van de continuïteitsplanning. Waar een continuïteitsplan de bedrijfsvoering op welke manier dan ook gaande houdt, richt een herstelplan zich specifiek op het weer operationeel krijgen van de systemen zelf.
- Een geprioriteerde systeemlijst, overgenomen van de bedrijfsanalyse in plaats van uitgevonden door IT.
- Een hersteldoel en een acceptabel gegevensverliespercentage voor elk systeem.
- De draaiboeken zijn gedetailleerd genoeg zodat ook iemand anders dan de gebruikelijke persoon ze kan volgen.
- De volgorde van afhankelijkheden is belangrijk, omdat systemen die in de verkeerde volgorde worden hersteld, niet opstarten.
- Een testverslag, aangezien een ongeteste herstelprocedure een hypothese is.
Wat is een rampenherstelplan?
Een rampenherstelplan beschrijft hoe technologische diensten worden hersteld na een gebeurtenis die ze platlegt: hardwarestoring, verlies van data in een datacenter, een mislukte wijziging, een uitval van een cloudregio, ransomware. Het beantwoordt drie vragen voor elk systeem dat onder de reikwijdte valt: hoe snel moet het weer operationeel zijn, hoeveel recente gegevens kunnen we ons veroorloven te verliezen en wat moet er precies gebeuren om het weer operationeel te krijgen?
Het woord 'ramp' is misleidend. De meeste noodsituaties zijn niet dramatisch. Een beschadigde database, een mislukte migratie of een verlopen certificaat voor een kritieke dienst leiden tot hetzelfde noodplan als een overstroming. Door het plan alleen voor catastrofale scenario's op te stellen, moet je improviseren bij de veel vaker voorkomende situaties.
Herstelplanning is een onderdeel van de bredere capaciteit die wordt beschreven onder bedrijfscontinuïteit , waaruit de prioriteiten en hersteltermijnen voortkomen. Als het technologische perspectief zonder deze factoren is opgebouwd, beschermt het plan systemen in een volgorde die niemand heeft gevalideerd aan de hand van de bedrijfsbehoeften.
Hoe kies je een herstelmethode?
Het hersteldoel bepaalt de architectuur, en de architectuur bepaalt de kosten. Dit is de afweging die alles in het plan bepaalt, en het is de moeite waard om deze expliciet te maken in plaats van te accepteren wat de infrastructuur toevallig ondersteunt. Er zijn drie algemene opties, en de terminologie eromheen is onnodig technisch voor wat eigenlijk vrij eenvoudige ideeën zijn.
| Back-up herstellen | Warme stand-by | Actief-actief | |
|---|---|---|---|
| Wat het is | Herstel de service vanuit de laatste back-up na een storing. | Een tweede exemplaar bleef wel draaien, maar was inactief; het werd ingeschakeld wanneer nodig. | Twee live-exemplaren delen het werk, dus er hoeft niets aangezet te worden. |
| Gegevensverliesperiode | Sinds de laatste back-up | Minuten aan gegevens | Bijna nul |
| Tijd om te herstellen | Uren tot dagen | Minuten tot uren | Bijna nul |
| Beschermt tegen | Ongeldige of versleutelde gegevens | Infrastructuurverlies | Verlies van locatie of regio |
| Vaste kosten | Alleen opslag | Onderdeel van een tweede landgoed | Twee landgoederen |
| Geschikt voor | Diensten die een storing kunnen verdragen. | Meest essentiële diensten | Diensten die niet kunnen stoppen |
Weinig organisaties hebben overal dezelfde aanpak nodig. Een nuttige aanpak is gelaagd te werken: een klein aantal services die echt niet mogen uitvallen, krijgt dure bescherming, de meeste services krijgen een proportionele oplossing en de rest wordt hersteld vanuit een back-up. Het uniform toepassen van één aanpak leidt ofwel tot overbesteding aan activiteiten die een dag uitval zouden kunnen verdragen, ofwel tot een hersteltijd voor de cruciale services die de organisatie al heeft afgekeurd.
Twee faalscenario's komen steeds terug. Het eerste is een hersteldoel dat gekozen wordt zonder de kosten van de architectuur die dit mogelijk maakt te berekenen, waardoor het plan zich vastlegt op iets wat de infrastructuur niet kan waarmaken. Het tweede is het aanschaffen van replicatie en ervan uitgaan dat dit herstel is, terwijl een beschadigde of versleutelde dataset net zo betrouwbaar gerepliceerd kan worden als een intacte dataset. Replicatie beschermt tegen infrastructuurverlies. Backups beschermen tegen slechte data, en de twee zijn geen vervangingen.
Wat moet een rampenherstelplan bevatten?
Per systeem, niet per organisatie. Een enkel document waarin de aanpak in het algemeen wordt beschreven, is niet bruikbaar om drie uur 's ochtends voor degene die dienst heeft.
- Hersteldoelen: het tijdsdoel en het acceptabele gegevensverlies voor dat systeem, terug te voeren op de bedrijfsanalyse die ze heeft vastgesteld.
- AfhankelijkheidsvolgordeWat moet er als eerste draaien? Authenticatie, netwerken, DNS en databases gaan over het algemeen vooraf aan de applicaties die ze nodig hebben.
- Het draaiboek: de daadwerkelijke stappen, zo beschreven dat een bekwame engineer die niet de eigenaar van het systeem is, ze kan uitvoeren.
- Toegang en inloggegevens: hoe bevoorrechte toegang wordt verkregen tijdens een incident, en hoe deze toegang ergens wordt bewaard die de storing overleeft.
- Herstel van gegevensWaar back-ups zich bevinden, hoe de integriteit te controleren is en hoe lang een herstel daadwerkelijk duurt bij grote hoeveelheden data.
- VerificatieHoe je bevestigt dat de service daadwerkelijk werkt en niet alleen maar draait.
- Rollen en escalatieWie besluit de actie te starten, wie voert deze uit, wie communiceert en wie autoriseert een alternatief?
Van al deze aspecten verdient de volgorde van afhankelijkheden de meeste aandacht, omdat een fout daarin leidt tot storingen die lijken op een defect systeem in plaats van een fout in de volgorde. Een applicatie die wordt hersteld voordat de database die deze leest, of de identiteitsservice waarmee deze zich authenticeert, wordt hersteld, zal niet opstarten en het team verliest tijd met het diagnosticeren van het verkeerde probleem. Deze algemene structuur geldt voor de meeste omgevingen.
Het detail dat vaak over het hoofd wordt gezien, is hoe lang een herstel daadwerkelijk duurt. Een back-up die 's nachts wordt voltooid, kan bij een productievolume aanzienlijk langer duren om te herstellen, en als niemand dit heeft gemeten, is de hersteltijd slechts een schatting.
Eén grens moet duidelijk worden getrokken. Een herstelplan zorgt ervoor dat de systemen weer operationeel zijn. De tijdelijke oplossing die het bedrijf gebruikt tijdens dat proces, voor een specifiek benoemd risico, hoort thuis in een noodplan . Organisaties die alleen een technologieplan bijhouden, komen er vaak achter dat niemand heeft afgesproken hoe het werk in de tussentijd moet worden voortgezet.
Er zit een groter geheel achter.
Deze pagina behandelt een onderdeel van bedrijfsveerkracht. Real Resilience – het raamwerk van IO voor het verbinden van beveiliging, privacy en AI-governance – is waar het volledige plaatje samenkomt.
Hoe test je een rampenherstelplan?
Testen is waar herstelplannen hun geloofwaardigheid bewijzen, en er is een bepaalde progressie. Elk niveau kost meer en bewijst meer, en een programma dat nooit verder komt dan het eerste niveau heeft weinig bereikt.
| Testtype | Wat het bewijst | Wat het kost |
|---|---|---|
| walkthrough | Dat de documentatie compleet en begrijpelijk is voor iemand die deze niet zelf heeft geschreven. | Een paar uur. Geen systemen aangeraakt. |
| Tafelblad oefening | Dat mensen hun rol kennen en dat besluitvorming en escalatie ook onder druk werken. | Een halve dag van de tijd van de juiste mensen. |
| Componentherstel | Dat back-ups daadwerkelijk herstelbaar zijn en dat de werkelijke hersteltijd bekend is. | Gemiddeld. Vereist een afgezonderde omgeving. |
| Gedeeltelijke failover | Dat een enkele service vanuit zijn herstelpositie kan worden uitgevoerd, inclusief afhankelijkheden. | Grondige planning. Enig risico met betrekking tot de dienstverlening. |
| Volledige failover | Dat de hele omgeving vanuit een herstelmodus kan blijven draaien, onder belasting, terwijl de bedrijfsactiviteiten erop voortbouwen. | Hoog. Vereist meestal een geplande planning. |
Leg vast wat er misging. Een testlogboek met gevonden en opgeloste problemen is een sterker bewijs van een functionerend systeem dan een reeks probleemloze tests, die er vooral op wijzen dat de tests niet veeleisend genoeg waren. Bevindingen in overleg met de eigenaren en de bijbehorende data zorgen ervoor dat testen leiden tot verbetering in plaats van louter geruststelling.
Welke normen hebben betrekking op rampenherstel?
Er bestaat geen standaard die uitsluitend gericht is op rampenherstel, waardoor de eisen over meerdere standaarden verspreid zijn. Dit is een van de redenen waarom herstelplanning vaak losstaat van de rest van het proces.
- ISO 22301 Het gecertificeerde beheersysteem voor bedrijfscontinuïteit. Het stelt de analyse- en herstelprioriteiten vast die in een technologieplan moeten worden opgenomen.
- ISO / IEC 27031: richtlijnen specifiek gericht op ICT-gereedheid voor bedrijfscontinuïteit, wat het meest overeenkomt met rampenherstel als discipline.
- ISO 27001 Bijlage A bevat controles op informatiebeveiliging tijdens verstoringen, ICT-gereedheid voor continuïteit en informatieback-up, zodat de herstelmogelijkheid tijdens een audit wordt onderzocht.
- SectorregelsGereguleerde organisaties worden geconfronteerd met aanvullende verwachtingen, bijvoorbeeld de continuïteits- en herstelvereisten onder de regelgeving. NIS 2 implementatierichtlijnen.
Door te werken volgens ISO 22301 en ISO 27001 wordt het grootste deel van het bewijsmateriaal dat deze normen vereisen, geleverd in een vorm die al onafhankelijk is gecontroleerd.
Start uw gratis proefperiode
Wil je verkennen?
Meld u vandaag nog aan voor uw gratis proefperiode en maak kennis met alle compliance-functies die ISMS.online te bieden heeft
Hoe hangt rampenherstel samen met veerkracht?
Rampenherstel herstelt systemen. Veerkracht is het bredere vermogen om verstoringen van welke aard dan ook op te vangen, inclusief gebeurtenissen die in geen enkel draaiboek zijn voorzien. Het verband tussen beide is dat herstel volledig afhangt van controles die buiten het herstelplan vallen: of back-ups onveranderlijk zijn, of bevoorrechte toegang nog steeds werkt wanneer de identiteitsprovider uitvalt, of de leverancier van de herstelomgeving is beoordeeld en of het incidentresponsproces functioneert.
De Resilience Loop combineert informatiebeveiliging volgens ISO 27001, gegevensbescherming volgens ISO 27701 en AI-governance volgens ISO 42001 als één samenhangend systeem, met herstel als extra controlemechanisme. Ransomware maakt dit duidelijk. Het is tegelijkertijd een beveiligingsincident, mogelijk een datalek en een herstelproces, en een organisatie die deze drie aspecten als aparte programma's beheert, moet er drie keer op reageren. De structuur die dit voorkomt, is vastgelegd in het raamwerk voor bedrijfscontinuïteit.
Hoe bewijs je dat rampenherstel werkt?
Niemand die geloofwaardig is, accepteert het bestaan van een plan als bewijs. Wat standhoudt, is het plan zelf, met de huidige hersteldoelen, testverslagen met data en deelnemers, de tekortkomingen die uit die tests naar voren zijn gekomen, de daaropvolgende herstelmaatregelen en een bevestiging dat het plan nog steeds overeenkomt met de situatie zoals die wordt beschreven.
Deze gegevens worden tijdens het werkproces gegenereerd en zijn dus altijd beschikbaar. Verzameld vóór een audit of een due diligence-onderzoek bij een klant, laten ze vaak zien in hoeverre de gedocumenteerde situatie afwijkt van de werkelijke situatie. De aanpak wordt beschreven in ' Hoe veerkracht aan te tonen' , en de Veerkrachtscore biedt een basislijn om mee te werken.
Waarom kiezen voor ISMS.online voor uw rampenherstelplanning?
Herstelplannen mislukken veel vaker op het gebied van valuta dan op het gebied van inhoud. ISMS.online is ontwikkeld om ervoor te zorgen dat ze aansluiten bij de bestaande systemen.
- Plannen gekoppeld aan de systemen die ze dekkenElke vermelding is gekoppeld aan het object, de eigenaar ervan en de beheermechanismen waarop het vertrouwt, waardoor afwijkingen zichtbaar worden.
- Hersteldoelen zijn overgeërfd, niet nieuw.De doelstellingen die voortkomen uit de bedrijfsanalyse worden doorgevoerd in het technologieplan.
- Testschema's en bevindingen samenPlan oefeningen, noteer wat er misging en houd corrigerende maatregelen bij op dezelfde plek als het plan.
- Eén set besturingselementen, elk framework: back-up-, toegangs- en leverancierscontroles worden eenmalig in kaart gebracht en hergebruikt in ISO 22301, ISO 27031, ISO 27001, ISO 27701 en ISO 42001.
- Afhankelijkheden van leveranciers beoordeeldDe derde partijen waarvan uw herstel in stilte afhankelijk is, worden in hetzelfde systeem beheerd.
- Gebaseerd op diepgaande expertise: begeleide implementatie door specialisten die herstelprogramma's hebben uitgevoerd in gereguleerde omgevingen.
- Ontwikkeld voor de Britse en gereguleerde markten.: ontworpen voor organisaties die hun herstelvermogen moeten aantonen aan auditors en klanten.
Bekijk hoe alles samenhangt op het platform voor bedrijfscontinuïteit , of vraag een demo aan.
Veelgestelde vragen
Wat is het verschil tussen een rampenherstelplan en een bedrijfscontinuïteitsplan?
Een rampenherstelplan herstelt technologische diensten. Een bedrijfscontinuïteitsplan zorgt ervoor dat de bedrijfsactiviteiten tijdens een verstoring door kunnen gaan met alle beschikbare middelen, waaronder handmatig werken terwijl systemen uitvallen. Herstel is een onderdeel van continuïteit en geen alternatief ervoor, en de hersteldoelen in het technologieplan moeten voortkomen uit de bedrijfsanalyse waarop het continuïteitsplan is gebaseerd.
Wat zouden de RTO en RPO moeten zijn?
Beide doelstellingen zijn gebaseerd op de impactanalyse op de bedrijfsvoering, en niet op wat de infrastructuur momenteel kan leveren. De hersteltijd wordt bepaald aan de hand van het punt waarop verstoring van de activiteiten onaanvaardbaar wordt, met een marge binnen die grens. De herstelpuntdoelstelling volgt uit de hoeveelheid recente data die het bedrijf kan reconstrueren of zich kan veroorloven te verliezen. Het vaststellen van een van beide op basis van de huidige technische mogelijkheden leidt tot doelstellingen die altijd worden gehaald en die niets bewijzen.
Wat is het verschil tussen warm standby en active-active?
Warm standby houdt een tweede exemplaar van de service actief, maar inactief. Deze is niet actief totdat er een failover plaatsvindt, waardoor herstel een bewuste overschakeling vereist. Deze overschakeling kost tijd en kan misgaan. Active-active betekent dat twee actieve exemplaren tegelijkertijd daadwerkelijk werk verrichten. Als er één uitvalt, blijft de andere dus actief en hoeft er niets te worden ingeschakeld. Active-active elimineert de failover-stap en is daardoor duurder, omdat u twee productieomgevingen beheert en licentieert in plaats van één en een reserveomgeving.
Hoe vaak moet een rampenherstelplan worden getest?
Minimaal jaarlijks een zinvolle test uitvoeren, met vaker lichtere controles en een evaluatie wanneer de situatie wezenlijk verandert. Frequentie is minder belangrijk dan vooruitgang: een organisatie die elk jaar dezelfde simulatie uitvoert, weet dat haar medewerkers hun rol begrijpen, maar heeft nog steeds geen bewijs dat een herstelprocedure op productieniveau werkt. Wissel het type test af, zodat verschillende aannames worden onderzocht.
Maakt cloudhosting een rampenherstelplan overbodig?
Nee. Cloudplatforms bieden de bouwstenen voor een veerkrachtige architectuur, maar beschikbaarheidszones en beheerde services zijn configuratieopties in plaats van standaardinstellingen, en regionale storingen komen wel degelijk voor. De cloud biedt ook geen oplossing voor verwijderde of versleutelde gegevens, verkeerde configuraties of gecompromitteerde accounts. Het plan verandert van vorm in de cloud en draait meer om configuratie, onveranderlijke back-ups en accountherstel dan om hardware, maar het verdwijnt niet.
Is ransomware een scenario voor noodherstel?
Het is dat en meer. Ransomware is een beveiligingsincident, vaak tegelijkertijd een inbreuk op persoonsgegevens en een herstelproces, en het ondermijnt de aannames die bij een normale herstelplanning horen. Back-ups kunnen versleuteld of verwijderd zijn, waardoor onveranderlijkheid en offline kopieën van belang zijn. Bovendien moet de omgeving mogelijk volledig opnieuw worden opgebouwd in plaats van ter plaatse te worden hersteld, omdat herstel naar een gecompromitteerde omgeving deze simpelweg opnieuw infecteert.
