Plan Ciągłości Działania (BCP) i Odtwarzania po Awarii (DRP)
1. Cel i Zakres
Plan Ciągłości Działania (BCP) określa procedury umożliwiające organizacji kontynuację lub szybkie odtworzenie świadczenia usług kluczowych po wystąpieniu zdarzenia zakłócającego. Plan Odtwarzania po Awarii (DRP) stanowi techniczną część BCP.
2. Analiza Wpływu na Biznes (BIA)
Na podstawie BIA określono krytyczność usług i celów czasowych odtworzenia:
| Usługa kluczowa | Krytyczność | MAD (Max Allowable Downtime) |
RTO (Recovery Time Obj.) |
RPO (Recovery Point Obj.) |
Właściciel |
|---|---|---|---|---|---|
| ▸ [Nazwa usługi 1, np. System OT/SCADA] | ▸ [Krytyczna] | ▸ [np. 4h]zgodnie z KSC | ▸ [np. 2h] | ▸ [np. 15 min] | ▸ [Imię Nazwisko] |
| ▸ [Nazwa usługi 2] | ▸ | ▸zgodnie z KSC | ▸ | ▸ | ▸ |
| ▸ [Nazwa usługi 3] | ▸ | ▸ | ▸ | ▸ | ▸ |
| Poczta e-mail (wewnętrzna) | ▸ [Ważna] | ▸ [np. 24h] | ▸ [np. 4h] | ▸ [np. 1h] | ▸ [Administrator IT] |
| System zarządzania ERP | ▸ [Ważna] | ▸ | ▸ | ▸ | ▸ |
RTO = czas odtworzenia (od awarii do pełnej sprawności) | RPO = maksymalna utrata danych (wstecz) | MAD = maksymalny dopuszczalny czas niedostępności
3. Scenariusze Zagrożeń i Procedury Reagowania
| Scenariusz | Prawdop. (1–5) | Wpływ (1–5) | Procedura awaryjnaref. |
|---|---|---|---|
| Atak ransomware na systemy IT | ▸ 4 | ▸ 5 | DOC-007 PB-001 + sekcja 4 poniżej |
| Awaria centrum danych / serwerowni | ▸ 2 | ▸ 5 | Sekcja 4.2 poniżej |
| Utrata zasilania (długotrwała) | ▸ 3 | ▸ 4 | Sekcja 4.3 poniżej |
| Awaria połączenia internetowego / łącza | ▸ 3 | ▸ 4 | Sekcja 4.4 poniżej |
| Kluczowy pracownik IT niedostępny | ▸ 4 | ▸ 3 | Lista zastępstęw (DOC-004) |
| żywioł / katastrofa fizyczna | ▸ 1 | ▸ 5 | Procedura ewakuacji + DR site (sekcja 4.5) |
4.1 Procedura – Awaria systemu krytycznego (ogólna)
- Wykrycie i zgłoszenie do administratora IT i CISO → uruchomienie rejestru incydentów (DOC-005).
- Ocena: jaka usługa niedostępna, jaki wpływ, czy RTO jest zagrożony?
- Jeśli tak → aktywacja BCP: powiadomienie zespołu kryzysowego (DOC-004).
- Uruchomienie procedury backupowej / failover (DOC-012).
- Komunikacja do użytkowników i kierownictwa o statusie.
- Odtwarzanie → testowanie → przywracanie do produkcji.
- Dokumentacja zdarzenia, PIR.
4.2 Procedura – Awaria centrum danych
Główne DC (Primary): ▸ [adres, dane kontaktowe]
Zapasowe DC (DR site): ▸ [adres / chmura / kolokacja – nazwa dostawcy, adres]
Typ replikacji: ▸ [cold / warm / hot standby]hot – RTO <1h; warm – 1–4h; cold – >4h
RPO do DR site: ▸ [np. 15 min, 1h, 24h]
4.3 Procedura – Utrata zasilania
- UPS zapewniający zasilanie przez co najmniej ▸ [30 minut]min. 15 min dla systemu kontrolowanego włączenia.
- Agregat prądotwórczy: ▸ [dostępny / brak / wymagany] – czas rozruchu: ▸ [np. 30 sek].
- Procedura kontrolowanego wyłączania serverów przy długotrwałej awarii zasilania.
4.4 Procedura – Utrata łącza internetowego
Główny dostawca (łącze 1): ▸ [nazwa ISP, BW, numer umowy, tel. supportu]
Zapasowe łącze (failover): ▸ [nazwa ISP / LTE/5G backup / MPLS]
Czas przełączenia na backup: ▸ [np. automatyczny / ręczny w 15 min]
4. Testowanie BCP i DRP
| Typ testu | Częstotliwość | Zakres | Odpowiedzialny |
|---|---|---|---|
| Ćwiczenie Tabletop (symulacja stołowa) | ▸ [co roku]min. 1×/rok – NIS2 | Scenariusz awarii z udziałem kierownictwa | ▸ CISO |
| Test technicznego odtwarzania (DRP test) | ▸ [co 6 miesięcy]min. 1×/rok | Test failover, odtwarzanie z backupu (DOC-012) | ▸ Administrator IT |
| Test komunikacji awaryjnej | ▸ [co kwartał] | Weryfikacja kontaktów i kanałów kommunikacji | ▸ CISO |
Wyniki testów są dokumentowane. Stwierdzone luki skutkują aktualizacją planu w ciągu ▸ [30 dni] od testu.
5. Komunikacja Kryzysowa – Drzewo Kontaktów
| Rola | Imię i Nazwisko | Telefon 24/7 | Zastępca | |
|---|---|---|---|---|
| Koordynator Kryzysowy (CISO) | ▸ | ▸ | ▸ | ▸ |
| Prezes / CEO | ▸ | ▸ | ▸ | ▸ |
| Administrator IT | ▸ | ▸ | ▸ | ▸ |
| Radca prawny / DPO | ▸ | ▸ | ▸ | ▸ |
| Rzecznik prasowy | ▸ | ▸ | ▸ | ▸ |
6. Historia Zmian i Testy
| Wersja | Data | Autor | Opis | Zatwierdził |
|---|---|---|---|---|
| ▸ 1.0 | ▸ DD.MM.RRRR | ▸ | ▸ Pierwsze wydanie | ▸ Zarząd |