Konzultační hodina na téma Business Continuity Management (BCM) s Vladimírem Jeřábkem nabídla hluboký pohled na to, jak zajistit, aby vaše firma obstála v jakékoli bouři. Vladimír Jeřábek je zkušený odborník na kybernetickou bezpečnost s více než 20 lety praxe, specializující se na ochranu informací, kybernetickou bezpečnost a kryptografii.

Můžete si pustit záznam, nebo si pod videem přečíst naše zápisky.

Co je Business Continuity Management (BCM)? 

• BCM není jen obnova po katastrofě, ale disciplína, která umožňuje udržet organizaci v chodu.
• Jde především o ochranu byznysu.
• Kořeny BCM sahají do dob, kdy se firmy potýkaly s požáry nebo povodněmi, a v dnešní době stále častěji čelí kybernetickým incidentům a útokům.

Legislativní a normativní podpora

• BCM je podporován normou ISO 22301 a britskou normou PAS56 (poslední verze z roku 2023).
• Zakotvení v legislativě ČR – zákon o kybernetické bezpečnosti a jeho prováděcích vyhláškách.
• V novém připravovaném zákoně o kybernetické bezpečnosti je kontinuita činností dokonce ještě více podpořena a je součástí řízení rizik.

Základní principy BCM

Základem pro zajištění kontinuity byznysu je důkladné poznání kontextu celé organizace. Musíte znát:

• Procesy
• Aktiva
• Rizika a hrozby, které mohou ovlivňovat váš byznys
• Hodnotu celé organizace – co vlastně chráníte a proč

Je klíčové si uvědomit, že Business Continuity Management není projekt, ale proces. Nikdy nekončí.

Co potřebujete pro nasazení BCM? 

• Podporu z oblasti procesů a zdrojů
• Identifikaci procesů
• Analýzu dopadů (Business Impact Analysis – BIA)
• Stanovení cílů 
• Plánování
• Testování plánů

Klíčové zkratky a jejich významy

• RTO (Recovery Time Objective – Maximální tolerovaná doba přerušení)
  • Maximální doba, po kterou si organizace může dovolit, aby daná služba nebo proces nefungoval. Například, pokud systém pro vyřizování objednávek spadne, do kdy musí být obnoven. RTO určuje, jak rychle musí IT oddělení nebo krizový štáb reagovat a mít vše připraveno (náhradní infrastrukturu, krizový tým, zálohy, dodavatele).
• RPO (Recovery Point Objective – Bod obnovení dat)
  • Množství dat, která jste schopni a ochotni ztratit při výpadku. Čím menší ztráta dat je tolerována, tím vyšší jsou náklady na zálohování a zajištění služeb.
• MTPoD (Maximum Tolerable Period of Disruption – Maximální tolerovaná doba přerušení)
  • Doba, kdy je služba ještě akceptovatelně nefunkční, ale po jejím překročení dojde k nevratnému poškození (např. ztráta důvěry, porušení zákona, fatální dopady na životy v nemocnicích). Tato hodnota je klíčová pro prioritizaci obnovy procesů a služeb.
• MBCO (Minimum Business Continuity Objective – Minimální objem provozu)
  • Krizová varianta, kdy je služba poskytována v minimální úrovni. Například úřad s 20 přepážkami může v krizi fungovat se 3 přepážkami, aby zajistil alespoň minimální příjem žádostí.
• Backlog (Nahromaděná neobsloužená zátěž)
  • Práce, která se nahromadí během provozu v nouzovém režimu. Je nutné počítat s dostatečnou kapacitou pro zvládnutí této nahromaděné práce v reálném období. Často se na ni zapomíná.

Kdo má odpovědnost za BCM? 

Hlavní odpovědnost nese vrcholové vedení. Vedení stanovuje politiku, cíle a musí přiřadit zdroje. BCM manažer je zodpovědný spíše za koordinaci procesu, cvičení a aktualizace plánů. Do procesu se zapojují odpovědní pracovníci za dané procesy nebo garanti aktiv a služeb.

Implementace BCM

Na BCM lze aplikovat Demingův cyklus (PDCA – Plan (Plánuj), Do (Dělej), Check (Kontroluj), Act (Jednej):

1. Plan: Identifikace kritických procesů, hrozeb a rizik, provedení BIA, stanovení strategie kontinuity a obnovy.
2. Do: Zavedení plánů (BCP, DRP), realizace školení a cvičení.
3. Check: Audity a monitorování. Bez monitoringu a testování nevíte, zda BCM funguje a zda jste schopni dodržet definované hodnoty RPO, RTO.
4. Act: Neustálé zlepšování procesů, zvyšování efektivity a aktualizace plánů na základě zjištění z cvičení a testů.

Jak implementovat BCM prakticky?

• Začněte shora: Podpora vedení (boardu) je klíčová. Bez ní to nemá smysl.
• Vycházejte z kontextu organizace, Business Impact Analýzy a analýzy rizik.
• Vypracujte Business Continuity Plány (BCP) a Disaster Recovery Plány (DRP).
• Školte a testujte.

Výstup z BCM

Výsledkem BCM je dokumentace (politiky, směrnice), dobře provedená analýza dopadů (BIA), včetně finančních dopadů a dopadů na reputaci. Je nezbytné mít plány připravené a dostupné i offline.

Jak určit rozsah kontinuity řízení aneb 6 klíčových otázek pro board

Tyto otázky jsou zásadní pro vymezení rozsahu BCM programu:

1. Hlavní cíl: Čeho se organizace snaží dosáhnout (poslání, cíle, výstupy).
2. Klíčové služby: Jaké služby naplňují tyto cíle (mapa procesů a služeb, určení core a podpůrných služeb).
3. Ekonomický/provozní dopad: Jaká je hodnota každé služby (v tržbách, důsledcích, poškození zdraví, ztráta důvěry).
4. Klíčové procesy a systémy: Definice lidí, technologií, systémů za realizací konkrétní služby. Toto je vstup pro BIA.
5. Potenciální narušení: Co může procesy narušit (analýza rizik, identifikace vnitřních a vnějších hrozeb – lidská chyba, výpadek dodavatele, požár, pandemie, kybernetický útok).
6. Celkový dopad výpadku: Finanční ztráty, reputační škody, narušení zákonných povinností, ohrožení zdraví nebo bezpečnosti. Tato otázka stanovuje RTO, RPO, MBCO.

Vazba mezi BCM, BCP a DRP

• BCM (Business Continuity Management)
  • Je systém řízení, strategická úroveň, která se zaměřuje na celý podnik. Odpovědnost nese top management, risk management, nebo BCM manažer.
• BCP (Business Continuity Plan)
  • Je konkrétní plán, jak udržet klíčové procesy nebo služby při narušení/incidentu/katastrofě. Zaměřuje se na procesy, činnosti, lokality, krizový tým a jeho koordinaci. Vytváří se pro specifické scénáře.
• DRP (Disaster Recovery Plan)
  • Je technický plán, zaměřený především na IT infrastrukturu a obnovu dat po incidentu/havárii/kybernetickém útoku. Vychází z RTO a RPO a týká se IT oddělení.

Obsah Business Continuity Plánu (BCP)

BCP nesmí vznikat izolovaně, vychází z BCM. Říká kdo, kdy, co, jak, čím a s kým. Je to živý dokument, který musí být testovaný a přístupný offline. Obsah BCP:

• Identifikace dokumentu (název, verze, schvalování, zodpovědná osoba)
• Rozsah a účel (daný scénář, vztah k DRP a krizovému řízení)
• Seznam krizového týmu včetně zastupitelnosti
• Pravidla pro aktivaci a řízení krizového týmu
• Výčet kritických činností a procesů s hodnotami RTO, RPO, MTPD
• Závislosti na systémy, lokality, lidi, dodavatele
• Typické scénáře: Lidská chyba, výpadek dodavatele, požár, pandemie, výpadek elektřiny, kybernetický útok. Scénáře musí být adekvátní pro danou organizaci a její rizika.
• Komunikační plán: Kdo s kým hovoří (interní/externí komunikace, regulátoři, média, zákazníci, dodavatelé), nastavení komunikačních kanálů (e-mail, online platformy, SMS, telefon). Důležité jsou auditní stopy.
• Přechod do nouzového provozu a jeho obnova: Postup přechodu na záložní režim (záložní budova, home-office, přesměrování linek).
• Definované zdroje a závislosti (např. dodávky paliva pro diesel agregáty).
• Ověřování plánu (testování): Zda je plán reálný, funkční a technicky proveditelný.
• Přílohy: Checklisty pro aktivaci, kontaktní matice. Krátká verze (např. A5) pro krizový tým, dostupná kdekoliv, kdykoliv.
• Offline dostupnost (papírová podoba, externí média, QR kódy pro přístup k aktuálním DRP plánům).

Obsah Disaster Recovery Plánu (DRP)

DRP je technický dokument zaměřený na obnovu IT služeb. Obsah DRP:

• Cíl a účel, vazba na BCP
• Role a odpovědnosti (administrátoři, bezpečnostní role, dodavatelé)
• Výčet kritických systémů a služeb (databáze, zálohování)
• Přiřazené RTO a RPO a priorita obnovy (vychází z MTPD v BCM)
• Spouštěcí podmínky aktivace DRP: Je třeba si uvědomit, že aktivace DRP často znamená ztrátu dat (návrat k poslední záloze).
• Konkrétní technické postupy a kroky obnovy (fyzické/virtuální servery, síťová infrastruktura, přístup k internetu, firewally). Plán by měl být tak podrobný, aby ho mohl provést i kdokoliv jiný než původní administrátor.
• Komunikační protokoly: Kdo s kým komunikuje, jak informovat, jaké nástroje použít. Důležité je instruovat lidi, aby nevolali přímo technikům pod stresem.
• Testování DRP: Jak se testuje plán (harmonogram, typy testů – validita dat, spuštění služby, funkčnost vazeb). Měřit RTO a RPO. Testování odhaluje nedostatky (změny v infrastruktuře, zapomenuté kroky).

Specifika DRP pro cloudové služby

• Většina poskytovatelů cloudu negarantuje data, proto je nutné zálohovat i data v cloudu.
• Poskytovatelé negarantují dostupnost (nebo ji deklarují s možností nezaplatit za výpadek). Plné garance jsou výrazně dražší.
• Je potřeba mít exit plan pro případ, že cloudový poskytovatel přestane službu poskytovat, změní bezpečnostní úroveň nebo zanikne.

Testování BCM/BCP/DRP

• Tabletop cvičení (BCM)
  • Simulace scénářů „u stolu“ s krizovým týmem.
  • Je optimální mít někoho, kdo scénář provází a sleduje reakce.
  • Někdy se provádí jako neohlášené cvičení pro členy týmu.
  • Doporučeno dvakrát do roka.
• Kybernetický útok jako testovací scénář
  • Umožňuje otestovat BCP i DRP zároveň, zapojit právní oddělení a PR.
  • Je klíčové mít připravené scénáře komunikace s veřejností a médii.
• Měření hodnot RTO a RPO
  • Je nezbytné měřit reálné doby obnovy a porovnávat je s definovanými cíli.
  • IT oddělení často podcení složitost obnovy celého datového centra a závislosti mezi systémy, což vede k výrazně delším RTO.
• Finanční únosnost testování (např. stínová infrastruktura v cloudu)
  • Vždy vycházejte z analýzy dopadů (BIA). Pokud je dopad výpadku milión Kč za měsíc, nemá smysl budovat záložní doménu za 20 miliónů.

• Nereálné požadavky managementu na RTO/RPO
  • Manažeři často požadují minimální výpadky. IT by mělo provést testy DRP, zjistit reálné možnosti a prezentovat je byznysu.
  • Pokud je požadavek na snížení RTO/RPO, je potřeba poskytnout také  rozpočet na nové technologie.
  • Často pomůže, když management zažije reálný dopad výpadku.

Co si odnést – klíčové body

• BCM začíná workshopem s vedením.
• Nepište dlouhé BCP. Dokumenty musí být použitelné, bodové a stručné.
• Testujte plány, udržujte je jednoduché a aktuální.
• Pravidelně ověřujte kontakty v krizovém týmu (např. jednou za kvartál).
• Pracujte s konkrétními riziky a vazbami na hrozby, ne s domněnkami.
• Propojujte BCM s legislativní povinností (Zákon o kybernetické bezpečnosti, NIS2) a řiďte své dodavatele. Ujistěte se, že SLA s dodavateli koresponduje s vašimi RTO/RPO.
• Nepřepisujte normu ISO 22301 do BCP; norma je metodický návod, nikoli text, který se kopíruje.

Mustr pro hrozby

Pro inspiraci ohledně hrozeb se můžete podívat na doporučení na stránkách NÚKIBu. Důležité je ale používat selský rozum a zohledňovat jen hrozby relevantní pro danou organizaci a službu. Například, pokud máte firmu na Sněžce, neřešíte povodně. Pokud máte plně automatizovaný sklad, neřešíte výpadek personálu. Ale v organizacích závislých na lidech, může být relevantní scénář hromadné pracovní neschopnosti (např. pandemie nebo otrava jídlem v závodní jídelně).

Vzorový import hrozeb, který si dále upravíte na míru, si můžete také stáhnout v našem návodu Hrozby.

Klíčové je velmi dobře znát své podnikání a kontext celé organizace. To je základ pro ochranu aktiv a efektivní BCM.