3.2 Kritische middelen
noodzakelijk
Een tweede stap in het opstellen van uw bcp is het identificeren van de kritische middelen binnen uw onderneming. Dit zijn alle middelen die noodzakelijk zijn om de continuïteit van uw kernprocessen te garanderen. Analyseer welke benodigdheden essentieel zijn in de uitvoering van het proces.
Vergelijking
denk breed
Het hangt helemaal af van uw onderneming hoeveel kritische middelen u heeft en welke dit precies zijn. Produceert uw bv een fysiek product in een fabriekshal, dan zult u meer kritische middelen hebben in vergelijking met een onderneming die alleen een laptop nodig heeft om haar kritische processen uit te kunnen voeren. Ook hier geldt: denk breed en betrek personen die het betreffende proces van binnenuit kennen. Welke middelen gebruiken zij om hun werkzaamheden uit te voeren? Denk aan IT-systemen, laptops, telefoons, software, machines of zelfs gebouwen.
Voorbeeld van verschil kritische middelen
andere locatie
Stel dat er brand is in een bedrijvencomplex. Een onderneming in de dienstverlenende sector kan zich daar sneller van herstellen, omdat zij enkel werkt met laptops en dit ook vanuit andere locaties kan, als er een goedwerkende internetverbinding aanwezig is. Dit geldt niet voor een meubelfabriek. Een onderneming die meubels produceert, zal na een brand in de fabriek een alternatieve locatie nodig hebben om daar meubels te kunnen maken.
Bedrijfsmiddelen
software
bezoekersregistratie
firewall
communicatie
Het is belangrijk om deze analyse ook uit te voeren als het gaat om uw bedrijfsmiddelen. Met bedrijfsmiddelen wordt bedoeld: goederen die u gebruikt in uw onderneming en die niet zijn aangeschaft met het doel deze (meteen door) te verkopen. Hierbij gaat het bijvoorbeeld om werktuigen, machines, computers, servers, software en scanners. Beveilig deze bedrijfsmiddelen om de continuïteit van uw onderneming bv te kunnen waarborgen. Neem dus preventieve maatregelen om de risico’s te beperken. Denk hierbij:
- fysieke beveiliging (bijvoorbeeld sloten op deuren en kasten en bezoekersregistratie);
- beveiliging van uw apparatuur, zoals periodiek onderhoud, voorschriften bij hergebruik en vernietiging van apparatuur waar data op staan en omgang met laptops;
- beveiliging van systemen door bijvoorbeeld firewalls, toegangsbeveiliging en tijdige softwareupdates;
- beveiliging van informatie door ‘clear desk policy’, ‘clear screen policy’ en toegangsbeheer;
- communicatie met werknemers om te zorgen voor risicobewustzijn door introductie tijdens onboarding en het opnemen in het beleid of een reglement.
Leg een IT-assetregister aan
Om overzicht te houden van alle bedrijfsmiddelen die uw bv heeft, legt u een IT-assetregister aan. Dit is een instrument waarmee u uw IT-hardware, pc’s en apparatuur kunt registreren en controleren. Met dit register kunt u niet alleen de bedrijfsmiddelen in real time volgen, maar ook aangepaste rapporten uitvoeren over welke hardware uw bv heeft en wie deze heeft.
Analyse
herstellingstijdsdoel
Recovery Point Objective
Aan de hand van de informatie die u verkrijgt uit uw analyse van kritische middelen moet er een herstellingstijdsdoel (Recovery Time Objective (RTO)) vastgesteld worden voor elk middel in uw onderneming. Daarnaast moet u bepalen hoeveel informatie er verloren mag gaan. Dit wordt de Recovery Point Objective genoemd (RPO). De RPO drukt de tijd uit waarin uw bv minimaal de gegevenssystemen met informatie moet kunnen herstellen en wat dus de acceptabele hoeveelheid gegevensverlies is in tijd uitgedrukt.