Risicobeheer blijft prioriteiten stellen

De komst van betaalbare internetinfrastructuur op afroep heeft uitwijk van IT aanzienlijk goedkoper gemaakt. Maar een wondermiddel zijn deze commerciële datacenters nu ook weer niet. Als it-manager zul je nog steeds door een woud aan bedrijfspolitiek heen moeten kappen om de meest waardevolle informatie aan te wijzen.

Informatie mag dan in de meeste organisaties van wezenlijk belang zijn, van een adequate borging is in maar weinig organisaties sprake. Recent onderzoek van CA Technologies onder een kleine 2 duizend bedrijven in Europa, waaronder 100 Nederlandse laat zien dat de overgrote meerderheid van organisaties nog steeds weinig continuïteitsvoorzieningen klaar heeft liggen. Dit komt vooral omdat dit risicobeheer geen prioriteit heeft bij het management, aldus 59 procent van de ondervraagden. De tweede reden (45 procent) is slechte opleiding van it-personeel in risicobeheer en data recovery planning. In hetzelfde onderzoek geven alle ondervraagde Nederlandse bedrijven wel aan dat ze applicatie- en dataverlies hebben geleden het afgelopen jaar. Oorzaken hiervoor lopen uiteen van it-storingen (76 procent), aanvallen van buitenaf (68 procent) tot fouten in menselijk handelen (43 procent).
 
De tradionele backup is in de markt aangevuld met online uitwijk in commerciële datacenters. “Steeds meer bedrijven komen tot de conclusie dat de cloud goede mogelijkheden biedt voor back-up en herstel”, zegt Jheroen Diekstra, channel account director CA Technologies Nederland. “Het biedt de mogelijkheid om te besparen op het inrichten van eigen alternatieve it-locaties en er hoeft minder tijd besteed te worden aan data recovery-procedures. Neem het voorbeeld van een e-mail voorziening die in kopie gehouden wordt in een uitwijkcentrum. Met een mix van back-uptoepassingen voor conventionele servers, virtuele machines en cloud-data zoals deze in het beheersysteem CA ARCserve r16 zijn ondergebracht, kun je ervoor zorgen dat er samenhang komt in disaster recovery zodat je het risico op uitval of verlies van data kunt minimaliseren.”
 
Beperkingen
Maar ook dit ei van columbus heeft ook zijn beperkingen. “Deze medaille heeft een heel duidelijke keerzijde”, vult Jasper Geraerts van CA aan. “Het is één ding om je data in de cloud te zetten. Bij een calamiteit komt het er bij zo'n commerciële uitwijkvoorziening ook op aan hoeveel tijd je nodig hebt om applicaties en bijbehorende data weer in de lucht te brengen. Als je snel wilt herstellen dan is een lokale backup van informatie nog steeds essentieel. Vaak zie je dat organisaties informatie die minder snel voorhanden moet zijn remote in de cloud kopiëren. Maar het moet altijd een mix zijn tussen data die lokaal en remote gebackupped wordt.”
 
En hier duikt het issue op waar zoveel goede voornemens op stuk lopen. Organisaties moeten data kwalificeren en aangeven of informatie belangrijk is of niet en hoe lang het mag duren voordat deze informatie na een verstoring weer beschikbaar is. “ Naast de afstand tussen it-management en algemeen management is deze prioritering uitermate lastig in veel organisaties”, stelt Diekstra. “Neem een zorginstelling waarvan een door de raad van bestuur aangestelde security officer lijnrecht tegenover de it-manager kwam te staan. De laatste vond dat patiënteninformatie best mee kon in de reguliere backup en dus maximaal een dag dataverlies mocht hebben. De security officer vond een recovery point van 5 minuten maximaal toelaatbaar. Twee totaal verschillende afdelingen waren beleidsmatig niet in gesprek met elkaar over dit onderwerp, terwijl de keuzes over backup hier allesbepalend zijn.”
 
Bij veel organisaties volgt een stevig potje touwtrekken over het belang van informatie. Geraerts noemt het voorbeeld van een archiveringsproject rond patientendossiers in de geestelijke gezondheidsdossiers. “Er gaat een hele bedrijfspolitiek schuil achter een definitie wat er precies in zo'n dossier moet en wat niet. Zo vindt een therapeut dat een video-opname van een therapiesessie er zeker in hoort. Weer een ander vindt dat röntgenfoto er ook hoort of behandelplannen en complexe therapieën. Maar technisch is het onhaalbaar om dossiers met deze omvangrijke data-bestanden goed te backuppen. De it-manager heeft er vaak een zware dobber aan om de mensen die het informatiebeleid bepalen wat enig realisme bij te brengen.“