Äritegevuse järjepidevuse planeerimine ebaõnnestub enamasti mitte kriisi ajal, vaid sellele eelneva hindamise käigus. Organisatsioonid teevad ärimõju analüüse, dokumenteerivad taastamisaja eesmärgid, loovad põhjalikud taastamisplaanid ja avastavad seejärel halvimal võimalikul hetkel, et pealtnäha mittekriitiline pärandautentimisteenus on kogu nende e-kaubandusplatvormi ainus rikkekoht, et COBOL-i partiiprogramm, mida kõik pidasid madala prioriteediga, toidab reaalajas maksete valideerimise teenust või et kahel samale taastamistasandile määratud rakendusel on dokumenteerimata sõltuvus, mis muudab järjestikuse taastamise võimatuks. Hindamine oli tehtud. Sõltuvusi mitte.
Rakenduse kriitilisuse hindamine on protsess, mille käigus määratakse igale organisatsiooni portfelli rakendusele kvantitatiivne või astmeline olulisuse mõõt, mis määrab selle taastamisprioriteedi, koondamisinvesteeringute taseme, muudatuste juhtimise nõuded ja positsiooni katastroofidejärgse taastamise järjestuses. Kui see hindamine põhineb ainult ärimõju uuringutel ja rakenduste omanike intervjuudel, peegeldab see seda, mida inimesed rakenduste kohta arvavad. Kui see põhineb struktuurianalüüsil selle kohta, mida rakendused tegelikult teevad, kes keda kutsub, millised andmed milliste programmide kaudu voolavad ja millised jagatud komponendid asuvad mitme kõrgema prioriteediga süsteemi kriitilisel teel, peegeldab see operatiivset reaalsust.
Uskumuste ja reaalsuse vaheline lõhe ongi see, kus äritegevuse järjepidevuse plaanid ebaõnnestuvad.
Taastumisjärjestused, mis peegeldavad tegelikke sõltuvusi
SMART TS XL tuvastab iga programmi teie 1. taseme rakenduste kriitilisel teel – kõigis teie portfoolio keeltes.
SAAGE LISATEAVET…Mida rakenduse kriitilisuse hindamine tegelikult mõõdab
Kriitilisus ei ole üksikmõõde. Ettevõtte rakenduse kriitilisuse skoori määramiseks võib arvesse võtta kasutaja sisendit, et hinnata ettevõtte rakenduse kriitilisust või olulisust, sealhulgas suurimat mõju strateegilistele ärivajadustele, mõju äripartneritele, klientidega suhtlemisele ja mõju teistele ettevõtte rakendustele. Igaüks neist mõõtmetest hõlmab „kriitilise” tähenduse erinevat aspekti:
Mõju ettevõttele ehk kui palju organisatsioon iga seisakutunni kohta kaotab. Tulude vähenemine on kõige nähtavam mõõde: maksete töötlemise süsteemil, mis töötleb 10 miljonit dollarit tunnis, on katkestuse minuti kohta mõõdetav kulu. Kuid mõju ettevõttele ulatub tuludest kaugemale regulatiivse riski (millised vastavuskohustused katkestus käivitab?), mainekahjustuse (kas kliendid on otseselt mõjutatud?) ja lepinguliste karistusteni (kas teenusetaseme lepingud käivitavad trahviklauslid?).
Operatiivne sõltuvus ehk kui palju teisi süsteeme või protsesse sellest rakendusest sõltub. Rakendusel, millel on väike otsene ärimõju, võib olla kõrge kriitilisus, kuna see asub suure otsese mõjuga rakenduste sõltuvusteel. Autentimisteenus, mis võimaldab kõiki teisi kliendiga suhtlevaid rakendusi, on kriitilisem, kui selle enda funktsioon eeldab.
Taastamise keerukus ehk kui keeruline ja aeganõudev on rakenduse taastamine. Mõõduka ärimõjuga rakendus, mille taasteaeg on 48 tundi, võib vajada suuremat investeeringut koondamisse kui suurema ärimõjuga rakendus, mille taasteaeg on 2 tundi, kuna seisakute kogurisk on suurem.
Regulatiivne kohustus , mille kohaselt rakendused kuuluvad regulatiivsete järjepidevuse nõuete alla. DORA-le alluvad finantsasutused peavad tõendama, et kriitilised või olulised funktsioonid taluvad kindlaksmääratud katkestusstsenaariume. HIPAA-le alluvad tervishoiuorganisatsioonid peavad kaitsma kaitstud terviseteavet sisaldavate süsteemide kättesaadavust. Regulatiivne mõõde võib konkreetsete rakenduste puhul ärimõju hindamise tühistada.
Kriitilisuse skoor on kõigi nelja dimensiooni liitsumma, mida kaaluvad organisatsiooni spetsiifiline riskitaluvus, regulatiivne keskkond ja ärimudel.
Standardsed kriitilisuse astmed
Enamik ettevõtte rakenduste portfelle kasutab neljatasandilist kriitilisuse mudelit. Rakenduse kriitilisuse maatriksi kriitilisuse kategooriad on missioonikriitiline, ärikriitiline, äritegevuse operatiivne ja administratiivne. Allpool olevad definitsioonid kajastavad praegust tööstuspraktikat, mis on kooskõlas standardiga ISO 22301 (äritegevuse järjepidevuse juhtimissüsteemid) ja äritegevuse järjepidevuse instituudi heade tavade suunistega:
1. tase, missioonikriitilised rakendused, mille rike peatab koheselt põhitegevuse või tekitab vastuvõetamatu regulatiivse või ohutusriski. Taasteaja eesmärk (RTO): tavaliselt 0–4 tundi. Taastepunkti eesmärk (RPO): tavaliselt 0–1 tund. Näited: pangatehingute põhitöötlus, reaalajas kauplemissüsteemid, hädaolukordade dispetšisüsteemid, tööstuslikud juhtimisliidesed, maksete autoriseerimissüsteemid. Need rakendused õigustavad suurimat infrastruktuuriinvesteeringut: aktiivne-aktiivne koondamine, null-RPO replikatsioon, automatiseeritud tõrkesiire ja kõige rangem muudatuste kontroll.
2. tase, ärikriitilised rakendused, mille rike kahjustab oluliselt äritegevust, kuid ei peata seda kohe. Taasteaja eesmärk: tavaliselt 4–24 tundi. Taastepunkti eesmärk: tavaliselt 1–4 tundi. Näited: CRM-süsteemid, ERP-moodulid, tellimuste haldus, personalisüsteemid palgaarvestusperioodidel, aruandlussüsteemid regulatiivsete dokumentide esitamise ajavahemike ajal. Need rakendused õigustavad kõrge käideldavusega infrastruktuuri, regulaarselt testitud tõrkesiirde ja prioriteetse taastamise järjestamise vajadust.
3. tase, äritegevuse rakendused, mis toetavad äritegevust, kuid mille ajutist kättesaamatust saab hallata käsitsi lahendustega. Taasteaja eesmärk: tavaliselt 24–72 tundi. Taastepunkti eesmärk: tavaliselt 4–24 tundi. Näited: sisemised koostöövahendid, klientidega mitteseotud aruandlus, haldusportaalid, koolitusplatvormid. Standardsed varundus- ja taasteprotseduurid on sobivad.
4. tase, haldusrakendused, mis toetavad haldusfunktsioone ilma otsese operatiivse mõjuta. Taasteaja eesmärk: tavaliselt 72+ tundi. Taastepunkti eesmärk: 24+ tundi või viimane varukoopia. Näited: sisemine dokumentatsiooni wikid, mittevajalikud arendustööriistad, ajalooline aruandlus. Taastamine varukoopiast võimalusel.
Taseme määramine ei ole püsiv. Rakendus, mis on suurema osa aastast 3. tasemel, võib kuu lõpu finantsaruannete, regulatiivsete aruandlusperioodide või tipptundide ajal muutuda 2. tasemele. Dünaamiline kriitilisus, kus taseme määramine muutub vastavalt tegevuskalendrile, on täiustus, mida organisatsioonid, millel on küpsed JCP programmid, rakendavad pärast baastaseme struktuuri loomist.
Hindamismetoodika: mõõtmete teisendamine numbriteks
Struktureeritud hindamismetoodika teisendab neli kriitilisuse dimensiooni numbriliseks skooriks, mis suunab taseme määramist objektiivselt, mitte organisatsioonipoliitika alusel. Allolev lähenemisviis annab kaalutud kriteeriumide abil koondskoori 0–100:
Mõõde 1: Ettevõtte mõju (kaal: 35%)
| Tulude mõju seisaku tunni kohta | Punktisumma |
|---|---|
| > 1 miljon dollarit tunnis | 35 |
| 100 000–1 miljon dollarit tunnis | 28 |
| 1000–100 000 dollarit tunnis | 21 |
| 1000–10 000 dollarit tunnis | 14 |
| < 1 dollarit tunnis | 7 |
| Otsese mõju tuludele puudub | 0 |
Regulatiivne mõju (DORA, HIPAA, PCI-DSS, SOX vastavuskohustused, mis käivituvad elektrikatkestuse tõttu) lisab sellele dimensioonile veel 10 punkti.
2. mõõde: Operatiivne sõltuvus (kaal: 30%)
| Fan-In: rakendused, mis sõltuvad sellest rakendusest | Punktisumma |
|---|---|
| > 20 sõltuvat rakendust | 30 |
| 10–20 sõltuvat rakendust | 24 |
| 5–9 sõltuvat rakendust | 18 |
| 2–4 sõltuvat rakendust | 12 |
| 1 sõltuv rakendus | 6 |
| Ülalpeetavaid pole (eraldiseisev) | 0 |
Siinne fänn-sõltuvuste arv on struktuuriliste sõltuvuste arv ehk rakenduste arv, mis seda rakendust kutsuvad, selle väljundeid loevad või selle andmetest sõltuvad, mitte kasutajate arv ega tajutav olulisus. See mõõde on uuringutes kõige sagedamini valesti arvutatud, kuna rakenduste omanikud ei tunne kõiki oma allkasutajaid.
3. mõõde: Taastumise keerukus (kaal: 20%)
| Eeldatav taastumisaeg ilma eelnevalt ehitatud DR-ita | Punktisumma |
|---|---|
| > 72 tundi | 20 |
| 24-72 tundi | 16 |
| 8-24 tundi | 12 |
| 2-8 tundi | 8 |
| <2 tundi | 4 |
| Automaatne tõrkesiire < 15 minutit | 0 |
4. mõõde: andmete tundlikkus ja regulatiivne kohustus (kaal: 15%)
| Andmete klassifitseerimine ja regulatiivsed nõuded | Punktisumma |
|---|---|
| Reguleeritud PII / PHI / CHD koos selgesõnalise taastumisaja kohustusega | 15 |
| Reguleeritud andmed ilma konkreetse taastumisaja kohustuseta | 12 |
| Tundlikud siseandmed (ärisaladused, finantsdokumendid) | 9 |
| Sisemised operatiivandmed | 6 |
| Mittetundlikud siseandmed | 3 |
| Andmeid ei salvestata | 0 |
Koondskoori ja taseme kaardistamine:
| Liitskoor | Taseme määramine |
|---|---|
| 75-100 | 1. tase, missioonikriitiline |
| 50-74 | 2. tase, ärikriitiline |
| 25-49 | 3. tase, äritegevus |
| 0-24 | 4. tase, administratiivne |
Sõltuvusprobleem: miks küsitluspõhine hindamine eksib
Operatiivse sõltuvuse dimensiooni puhul on kõige tõenäolisem valesti arvutada ja valearvestuse korral on sellel suurimad tagajärjed. Näiliselt mittekriitiline pärandautentimisteenus võib olla kogu e-kaubandusplatvormi üksik rikkepunkt ja selle rike võib peatada kõik tulu teenivad tehingud. See protsess liigub abstraktsetest ohtudest konkreetsete ja mõõdetavate mõjude poole teenustaseme lepingutes.
Rakenduste omanikud teavad oma otseseid ülesvoolu sõltuvusi ehk süsteeme, mida nad kutsuvad. Nad harva teavad oma täielikke allavoolu sõltuvusi ehk süsteeme, mis neid kutsuvad. Sisemist kasutaja autentimisteenust võib selle omanik pidada madala kriitilisusega teenuseks (see ei too tulu, see on lihtne ja harva ebaõnnestub), samal ajal kui sellest sõltuvad kaksteist kliendiga suhtlevat rakendust, mis kõik on 1. taseme rakendused. Autentimisteenuse tegelik kriitilisus on 1. tasemel, mitte selle enda funktsiooni, vaid selle positsiooni tõttu kõrgema taseme süsteemide sõltuvusgraafikus.
Küsitlusel põhinev kriitilisuse hindamine tekitab selle vea süstemaatiliselt. Rakenduse omaniku küsitlus küsib: „Kui kriitiline see rakendus on?“. Autentimisteenuse omanik vastab teenuse enda funktsiooni põhjal „madalalt keskmiseni“. Kaksteist sõltuvat rakenduse omanikku ei vasta sellele küsitlusele autentimisteenuse, vaid oma rakenduste kohta. Sõltuvussuhet ei jäädvustata kunagi.
Tagajärg ilmneb taastamise järjestuses: JPP määrab uuringust saadud kriitilisuse skooride põhjal taastamisjärjestuse ja autentimisteenus on ajastatud 3. taseme taastamiseks. Tegeliku intsidendi ajal ei saa 1. taseme rakendused, mis peaksid esimesena taastuma, taastuda, kuna autentimisteenust, millest nad sõltuvad, pole taastatud. Taastejärjestus ebaõnnestub oma kõige kriitilisema sõltuvuse hetkel.
Kolm sõltuvustüüpi, mida uuringud pidevalt ei suuda tuvastada:
Varjatud jagatud komponendid. Sisemine COBOL-programm, mis tegeleb valuuta konverteerimisega kolme eraldi äriprotsessi jaoks, millest ükski uuring ei tuvastanud ühist komponenti, on varjatud sõltuvus, mis mõjutab kõigi kolme taastamist. Kui valuuta konverteerimise programm on 3. tasemel ja mõni kolmest äriprotsessist on 1. tasemel, on valuuta konverteerimise programmi efektiivne kriitilisus 1. tasemel.
Andmekanali sõltuvused. Rakendustel, mis tarbivad teiste rakenduste partiitöötlusel saadud andmeid, on sõltuvus, mis on pigem ajaline kui reaalajas. Risk ei ole samaaegne tõrge, vaid järjestikune: allavoolu rakendus taastub, kuid selle andmeallikas ei ole taastatud samasse taastepunkti, mis tekitab aegunud andmete puhul korrektse toimimise mulje. Seda sõltuvusklassi ei esine võrgu topoloogiakaartidel ega kõnegraafiku analüüsis, kui andmevoogu ennast ei jälgita.
Jagatud konfiguratsiooni ja skeemi sõltuvused. Rakendustel, mis jagavad andmebaasi skeeme, konfiguratsiooniteenuseid või identiteedipakkujaid, on kaudne sõltuvus isegi siis, kui nad üksteist otse ei kutsu. Skeemi muutmine jagatud andmebaasis võib mõjutada mitut rakendust. Ühe rakenduse taastamine pärast skeemi rikkumist ilma kõiki skeemi jagavaid rakendusi taastamata tekitab rakenduste portfellis ebajärjekindla oleku.
BCP integreerimine: kuidas kriitilisuse skoorid mõjutavad taastamisotsuseid
Kriitilisuse skoor on sisendiks kuuele konkreetsele JKP kavandamise otsusele:
1. Taastumisjärjestuse määratlus. Rakendused taastuvad kriitilisuse järjekorras, 1. aste enne 2. astet ja enne 3. astet, kuid astme sees määrab järjestuse sõltuvusgraafik. Rakendused, millel puuduvad sissetulevad sõltuvused (ükski teine rakendus ei sõltu neist), saavad oma astme sees taastuda mis tahes järjekorras. Suure sissetulevate rakenduste arvuga rakendused peavad taastuma enne oma ülalpeetavaid, olenemata nende suhtelisest skoorist astme sees. Taastumisjärjestus on seega järgmine: astmete järjestus, mida rakendatakse iga astme sõltuvusega piiratud alamjärjestusele.
2. RTO ja RPO eesmärkide seadmine. Kriitilisuse skoor kalibreerib RTO ja RPO eesmärke. Iga tootmisrakenduse maksimaalne talutav seisakuaeg (MTD) ja taastepunkti eesmärk (RPO) moodustavad kogu järjepidevusstrateegia tehnilise aluse. MTD on maksimaalne aeg, mille jooksul ettevõte talub rakenduse kättesaamatust. RTO peab olema väiksem kui MTD. RTO ja MTD vaheline varu on ohutuspuhver. Esimese taseme rakendustel, millel on seisakutunni kohta suur mõju ettevõttele, on kitsad MTD/RTO varud ja need vajavad kiireks automatiseeritud taastamiseks loodud infrastruktuuri.
3. Taristuinvesteeringute kalibreerimine. Kriitilisuse skoorid mõjutavad otseselt DR-i taristuinvesteeringute otsuseid. 1. taseme rakendused õigustavad aktiivse-aktiivse mitme piirkonna koondamist. 2. taseme rakendused õigustavad aktiivse-passiivset varundamist testitud tõrkesiirdega. 3. taseme rakendused õigustavad regulaarset varundamist dokumenteeritud taastamisprotseduuridega. 4. taseme rakendused saavad tugineda standardsetele varunduspoliitikatele. Ilma kriitilisuse skoorideta on taristuinvesteeringute otsuste vaikimisi eesmärk kas ühtlane üleinvesteerimine (kallis) või ühtlane alainvesteerimine (riskantne).
4. Muudatuste kontrolli nõuded. Kõrgema kriitilisuse skooriga rakendused vajavad rangemat muudatuste kontrolli: pikemad muudatuste külmutamise aknad, kohustuslikumad kinnitajad, ulatuslikum muudatusteeelne testimine, konservatiivsemad tagasipööramisprotseduurid. 1. taseme muudatuste kontrolli rakendamine 4. taseme rakendustele raiskab inseneriaega. 4. taseme muudatuste kontrolli rakendamine 1. taseme rakendustele loob vastuvõetamatu riski.
5. Testimise ja valideerimise sagedus. JKP nõuab taasteprotseduuride perioodilist testimist, lauamänguharjutusi, komponentide tasemel tõrkesiirde teste ja täielikke õnnetustestide simulatsioone. Kriitilisuse skoorid määravad testimise sageduse: 1. taseme rakendused vajavad kvartalisisest tõrgetetaaste testimist; 4. taseme rakendused vajavad iga-aastaseid teste. Iga rakenduse sama sagedusega testimine ei ole ei praktiline ega vajalik.
6. Tarnija SLA nõuded. Rakenduste puhul, mis sõltuvad kolmandate osapoolte teenustest, määrab kriitilisuse skoor SLA nõuded, mis peavad olema tarnija lepingutes. 1. taseme rakendus, mille RTO on 4-tunnine, nõuab kolmanda osapoole SLA-d, mis tagab selle RTO-ga kooskõlas oleva käideldavuse. 4. taseme rakendus seda ei vaja.
Pärandsüsteemi komplikatsioon
Pärandsüsteemid muudavad kriitilisuse hindamise keeruliseks viisil, mida tänapäevased rakenduste portfelli haldusraamistikud piisavalt ei käsitle. Standardne kriitilisuse hindamine eeldab, et rakenduste omanikud teavad, mida nende rakendused teevad ja kes neist sõltub. Pärandsüsteemide, COBOL-programmide, mida on haldanud mitu arendajate põlvkonda, JCL-töövoogude, mille sõltuvused dokumenteeriti viimati 2008. aastal, ja RPG-programmide puhul, mis toodavad väljundfaile, mida kasutavad protsessid, mida keegi organisatsioonis hetkel ei kirjutanud, see eeldus ei kehti.
Pärandsüsteemi tegelik sõltuvusstruktuur on nähtav ainult koodis endas. COBOL-programmil, mis kirjutab andmekogumile, mida loeb kaksteist allavoolu programmi, on kaksteist allavoolu sõltuvust, kuid see asjaolu ei pruugi olla teada COBOL-programmi omanikule, kes näeb ainult programmi funktsiooni (töötleda igapäevaseid tehinguid), mitte selle struktuurilist rolli (luua andmekogum, mis võimaldab kahtteist muud protsessi).
Pärandsüsteemide puhul nõuab kriitilisuse hindamise sõltuvusmõõde pigem koodianalüüsi kui omanike uuringuid. COBOL-programmi kaasatud programmide arvu saab tuletada ainult siis, kui uurida kõiki teisi keskkonnas olevaid programme ja teha kindlaks, millised neist viitavad esimese programmi väljundandmekogumitele, kutsumiskonventsioonidele või jagatud koodiraamatutele. Seda analüüsi pakuvad struktuurilise koodi analüüsi platvormid ja ilma selleta on pärandprogrammile määratud kriitilisuse skoori sõltuvusmõõde parimal juhul teadlik oletus.
Pärandrakenduste kriitilisuse vale hindamise tagajärg on eriti ränk, kuna pärandsüsteemid kipuvad olema nii väga kriitilised (need sisaldavad sageli aastakümnete jooksul kogunenud põhilist äriloogikat) kui ka halvasti hinnatud (nende omanikud ei suuda sõnastada, mis neist sõltub, seega määravad nad konservatiivsed hinded). Tulemuseks on 3. taseme pärandprogrammid, mis tegelikult asuvad 1. taseme äriprotsesside kriitilisel teel – täpselt samas režiimis, mis ilmneb taastamisjärjestuse tõrgete korral tegelike intsidentide ajal.
Kuidas SMART TS XL Pakub sõltuvustõendeid kriitilisuse hindamiseks
SMART TS XL käsitleb otseselt rakenduse kriitilisuse hindamise sõltuvusmõõdet rakenduste klassi puhul, kus küsitluspõhised lähenemisviisid on kõige vähem usaldusväärsed.
Rakenduse sõltuvuste kaardistamise võimalus loob täieliku sõltuvusgraafiku iga keskkonnas oleva keele ulatuses: iga COBOL-programmi ulatuses, mis kutsub esile iga teise keele, iga JCL-töö etapi ulatuses, mis loob andmeid, mida tarbivad allavoolu programmid, iga jagatud õpiku, mis loob implitsiitse sõltuvuse programmide vahel, mis kunagi üksteist otse ei kutsu, ja iga andmestiku ulatuses, mis liigub tootja- ja tarbijaprogrammide vahel. See graafik on struktuurne tõendusbaas kriitilisuse hindamise sõltuvusmõõtme, sisse- ja väljalülitatud komponentide arvu, jagatud komponentide identifitseerimiste ja peidetud andmekanali sõltuvuste kohta, mida uuringud ei suuda usaldusväärselt tabada.
Mõjuanalüüsi võimalus muudab sõltuvusgraafiku BCP planeerimiseks päringuliseks: iga portfelli rakenduse puhul loetlege kõik teised rakendused, mis sellest otseselt või transitiivselt sõltuvad ja seega pärivad selle käideldavusnõude. COBOL-programmil , millel on kolm otsest sõltuvat ja kakskümmend transitiivset sõltuvat (programmid, mis sõltuvad otsestest sõltuvatest), on efektiivne kriitilisus, mis peegeldab kahtekümmet kolme programmi, mille kriitilisel teel see asub, mitte ainult oma funktsiooni.
Staatilise koodi analüüsi võimekus toob esile struktuurilise keerukuse mõõdikud, mis mõjutavad taastamise keerukuse dimensiooni: tsüklomaatiline keerukus, sidumismõõdikud, surnud koodi protsent ja tehnilise võla indikaatorid, mis ennustavad, kui pikk ja riskantne iga rakenduse taastamine on. Suure keerukusega ja tiheda sidumisega rakenduse taastamine on kallim, selle 3. dimensiooni taastamise keerukuse skoor on kõrgem kui samaväärse funktsiooniga puhta arhitektuuriga rakendusel.
Ettevõtte otsinguvõimalus muudab kogu sõltuvuste inventuuri päringuliseks kogu BCP elutsükli vältel: leia iga programm, mis pääseb juurde konkreetsele andmestikule (tuvastades kõik programmid, mis sõltuvad selle kättesaadavusest), iga programm, mis jagab konkreetset koopiaraamatut (tuvastades kõik programmid, mida selle kättesaadavus mõjutab), iga JCL-töö, mis töötab kindlas partiiaknas (tuvastades kõik programmid, mis peavad enne akna algust taastuma). See otsinguvõimalus toetab iga-aastast kriitilisuse skoori ülevaatamist – värskendamisprotsessi, mis hoiab skoorid rakenduste portfelli arenedes ajakohasena.
Organisatsioonidele, kes korraldavad pärand moderniseerimine programmid koos BCP arendamisega, SMART TS XLanalüüs teenib mõlemat eesmärki samaaegselt: sõltuvuskaart, mis mõjutab kriitilisuse hindamist, määrab ka migreerimise järjestuse ning keerukusmõõdikud, mis mõjutavad taastamise keerukuse hindamist, määravad ka moderniseerimise pingutuse hinnangu.
Hindede ajakohasena hoidmine: iga-aastane ülevaatustsükkel
Äritegevuse järjepidevuse küpsuse hindamine peaks aitama teil teha kolme asja: mõista oma praegust olukorda, tuvastada kõige olulisemad lüngad ja luua realistlik tee parendusteks. See muudab küpsuse hindamise paremaks programmiks.
Rakenduste kriitilisuse skoorid kalduvad organisatsioonide muutudes reaalsusest kõrvale. Lisandub uusi rakendusi. Vanad rakendused eemaldatakse, kuid neid ei deaktiveerita täielikult. Integratsioonid luuakse rakenduste vahel, millel varem puudus sõltuvus. Äriprotsessid muutuvad ja koos nendega ka rakendused, millele nad toetuvad. Regulatiivsed nõuded arenevad ja kehtestavad uusi taastamiskohustusi.
Kriitilisuse skooride iga-aastane läbivaatamistsükkel peaks hõlmama järgmist:
Struktuuriline uuestianalüüs. Käivitage sõltuvuste kaardistamine uuesti, et tuvastada pärast viimast ülevaadet lisandunud uued sõltuvused. Eraldiseisvatel rakendustel võivad nüüd olla sõltuvused, mis suurendavad nende kriitilisust. Rakendustel, millest varem suuresti sõltuti, võidi oma tarbijad migreerida uuematesse süsteemidesse, mis vähendas nende kriitilisust.
Ärimõju ümberhindamine. Tulude ja tegevusalase mõju näitajad muutuvad ettevõtte kasvades ja rakenduste portfelli arenedes. Rakendus, mis kolm aastat tagasi teenis 1 dollarit tunnis äriväärtust, võib nüüd pärast ärikasvu teenida kümme korda rohkem.
Taastustesti tulemuste kaasamine. DR-testid näitavad erinevusi eeldatava ja tegeliku taastekekestuse vahel. Rakendus, mis esialgses hindamises sai taastekekestuse osas madala hinde, võis lauamängu testis halvasti toimida, mis viitab hinde ülespoole korrigeerimisele.
Regulatiivsete muudatuste ülevaade. Uued eeskirjad või olemasolevate eeskirjade muudatused võivad kehtestada konkreetsetele rakendustele uusi taastumisaja kohustusi. Näiteks DORA määruse operatiivse vastupidavuse nõuded ELi finantsasutustele on kehtestanud konkreetsed taastumisaja kohustused „kriitiliste või oluliste funktsioonide” jaoks, mis ei pruugi olla kajastunud DORA-eelsetes kriitilisuse skoorides.
Küpsete JCP programmidega organisatsioonid ei käsitle kriitilisuse hindamist ühekordse toiminguna, vaid pideva protsessina: hindeid ajakohastatakse, kui rakenduste sõltuvustes, ärimõjus või regulatiivsetes kohustustes toimuvad olulised muutused, ja neid valideeritakse igal aastal struktureeritud ülevaatuse kaudu.
Skoor on sama hea kui selle sõltuvustõend
Rakenduse kriitilisuse hindamine annab kõige rohkem väärtust siis, kui selle sõltuvusmõõde põhineb struktuurilistel tõenditel, mitte uuringutel. Ärimõju ja regulatiivsete kohustuste mõõdet saab usaldusväärselt hinnata intervjuude ja äriprotsesside analüüsi abil. Operatiivse sõltuvuse mõõdet aga mitte, sest see nõuab teadmist, mis igast rakendusest sõltub, ja rakenduste omanikud alahindavad süstemaatiliselt oma allkasutajaid.
Rikkerežiim on etteaimatav: uuringust tuletatud kriitilisuse skooridel põhinev taastamisjada ebaõnnestub peidetud sõltuvuste korral. Pärandautentimisteenus taastab andmed hilja. COBOL-i valuutakonverteerimisprogramm on võrguühenduseta, kui sellest sõltuvad rakendused üritavad taastada. Jagatud andmebaasi skeem on teises taastepunktis kui rakendused, mis sellest loevad. Kõiki neid tõrgeid saab struktuurianalüüsi pakutavate sõltuvustõendite abil vältida ja igaüks neist on kulukas siis, kui see toimub tegeliku intsidendi ajal, mitte lauamänguharjutuse ajal.
Hindamismetoodika on paigas. Raamistikud on olemas. Enamiku organisatsioonide puhul ei seisne lünk mitte hindamisraamistikus, vaid selle kõige olulisema dimensiooni tõendusbaasis. See lünk tuleks struktuurianalüüsiga sulgeda enne, kui järgmine intsident nõuab järjepideva järelevalve plaani (BCP) toimimist.
