Menetapkan Efektif Pemulihan Bencana TI Proses

 

            Seiring berjalannya waktu, auditor TI dan profesional bisnis lainnya menyadari bahwa suatu perusahaan perlu melakukan lebih dari sekadar mengembalikan operasi sistem komputernya ketika dihadapkan dengan beberapa peristiwa yang berhubungan dengan bencana, seperti kebakaran atau banjir di fasilitas operasi utama.      
            Selalu ada kebutuhan untuk memulihkan dan mengembalikan semua operasi bisnis dan berfungsi ini umumnya dikenal sebagai perencanaan kesinambungan bisnis dan akan dibahas menekankan aspek TI dari perencanaan pemulihan, yang oleh auditor TI disebut perencanaan pemulihan bencana TI.
            Dengan fokus pada server komputer, perangkat penyimpanan, dan sumber daya TI lainnya, bisnis harus memiliki prosedur pemulihan bencana TI yang efektif untuk menjaga versi cadangan file yang lebih lama di lokasi yang aman bersama dengan proses untuk memulihkan file data cadangan tersebut.
            Bab ini membahas praktik-praktik terbaik sebelum perencanaan efektif dari perencanaan pemulihan bencana untuk auditor TI untuk digunakan ketika meninjau kontrol internal dalam perusahaan-kritis ini. Selain itu, manajemen di semua tingkatan umumnya mengakui perlunya ketentuan pemulihan bencana TI yang efektif.

BENCANA TI DAN PERENCANAAN LANJUTAN BISNIS HARI INI

Laporan audit TI selama bertahun-tahun telah menimbulkan masalah tentang risiko suatu perusahaan kehilangan elemen substansial dari sumber daya TI-nya karena beberapa peristiwa bencana.Solusi pemulihan bencana TI yang umum adalah untuk membuat perjanjian dengan menggunakan pemulihan bencana dan memproses fasilitas untuk menghadapi dan memproses proses darurat.          
            Bab ini berfokus pada subset BCP, Rencana Pemulihan Bencana (DRP). Pengguna sistem pemrosesan pesanan online kurang peduli tentang apakah server beroperasi tetapi jika pesanan pelanggan, yang dikirimkan melalui situs Internet, dapat diproses dengan baik dan efisien. Aplikasi harus dipulihkan dan dioperasikan secepat dan seefisien mungkin tetapi tujuan utamanya adalah untuk mendukung dan memulihkan proses bisnis.

MEMBANGUN DAN MEMERIKSA RENCANA PEMULIHAN BENCANA IT

Beberapa perusahaan menggunakan istilah yang berbeda untuk memasukkan pemulihan sistem TI, data, sistem dan proses manajemen informasi, dan sistem terkait lainnya, tetapi suatu perusahaan harus mengembangkan DRP terperinci yang mendokumentasikan strategi pemulihan sistem TI dan manajemen informasinya.
Contoh komponen yang dapat dipulihkan sebagai bagian dari DRP meliputi:

·         Penjelasan terperinci tentang komponen sistem TI, termasuk server TI, sumber daya penyimpanan, dan koneksi jaringan lainnya:

-          Ringkasan aplikasi dan data pendukung utama yang diperlukan oleh organisasi

-          Deskripsi terperinci tentang server dan perangkat keras lainnya

-           Jaringan komunikasi, seperti telepon , radio, nirkabel, dan hubungan Internet

-           Eksternal, koneksi pihak ketiga

·         Komponen infrastruktur TI, termasuk layanan logon, distribusi perangkat lunak, dan layanan akses jarak jauh

·        Semua sistem manajemen informasi pendukung, termasuk kamar file dan sistem manajemen dokumen manual dan listrik

Tinjauan Audit Terpusat untuk Pusat Pemulihan Bencana Pusat Data IT

DRP adalah garis besar dari langkah-langkah yang diperlukan untuk membantu perusahaan pulih dari gangguan layanan utama, baik kebakaran darurat atau cuaca yang serius, peralatan komputer atau kegagalan peralatan jaringan, atau segala bentuk gangguan besar lainnya.  
            Tujuan DRP adalah untuk membantu perusahaan mengurangi dampak pemadaman bencana atau gangguan layanan yang diperluas ke tingkat yang dapat diterima dan untuk mengembalikan operasi bisnis.

Manajemen Proyek DRP, Analisis Risiko, dan Analisis Dampak Bisnis

Ketika meninjau DRP di tempat untuk unit TI, auditor TI biasanya tidak akan terlibat dalam proses manajemen proyek yang sangat penting untuk membangun rencana tersebut. Kecuali jika audit TI terlibat dalam proses pra-implementasi pembuatan DRP, mirip dengan pendekatan yang digunakan untuk aplikasi audit sedang dikembangkan.

Operasi Rencana Tanggap Darurat           
Sebagai bagian dari setiap tinjauan perencanaan kontinuitas, auditor TI harus berusaha untuk mendapatkan jaminan bahwa ada prosedur darurat yang sesuai untuk merespons dan menstabilkan situasi setelah insiden atau peristiwa. Di masa lalu IT, rencana pemulihan bencana sering diterbitkan dalam buku-buku tebal dan terletak di meja beberapa manajer perusahaan kunci.     
            Perusahaan harus membuat Rencana Tanggap Darurat dengan penekanan pada dua jenis insiden darurat yang signifikan. Yang pertama adalah jenis insiden kebakaran di gedung di mana rencana tanggap darurat pendukung akan mencakup pintu keluar yang dipasang dan latihan kebakaran yang sering. Jenis rencana tanggap darurat ini harus mencakup semua operasi perusahaan, Rencana tanggap darurat tingkat kedua harus mencakup insiden individu tertentu yang mungkin atau mungkin tidak menjadi signifikan, tetapi harus segera diperbaiki diikuti dengan penyelidikan dan rencana tindakan korektif untuk mencegah insiden lebih lanjut. Ini disebut insiden darurat, dan sering kali mencakup hal-hal seperti pelanggaran keamanan atau pencurian perangkat keras atau perangkat lunak. Rencana tanggapan kejadian darurat dapat dipisahkan menjadi empat bagian:

·         Aktivitas Respon Segera.

·         Investigasi Insiden.

·         Koreksi atau Pemulihan.

·         Pelaporan Insiden Darurat.

Prosedur Audit TI Perencanaan Keberlanjutan Client-Server
Lingkungan TI client-server dapat berisi beberapa sistem server yangmencakup aplikasi, basis data, dan operasi Web. Ini adalah karakteristik dari sebagian besar perusahaan saat ini di mana ada perusahaan terbatas yang mendukung IT tetapi di mana sistemnya sangat penting untuk mendorong operasi bisnis.
            Perusahaan kecil hingga menengah yang tidak memiliki DRP efektif untuk operasi TInya menghadapi risiko besar. Langkah-langkah dasar untuk membangun DRP yang efektif untuk perusahaan kecil hingga menengah pada dasarnya sama dengan membangun rencana seperti itu untuk perusahaan yang lebih besar.

Membangun Disaster Recovery Planning   
Jika suatu perusahaan sudah memiliki DRP yang ada untuk sebagian atau semua kegiatan bisnisnya, DRP ini mungkin perlu ditinjau untuk menentukan apakah rencana yang ada dapat secara efektif memenuhi proyeksi pemulihan dan kebutuhan kesinambungan bisnis. DRP harus terkini atau telah diperbarui secara berkala.
            Tujuan utama proyek Disaster Recovery Planning adalah untuk mengembangkan dan menguji rencana yang terstruktur dan koheren yang akan memungkinkan perusahaan untuk memulihkan operasi bisnis normal dengan cepat dan efektif.    
Hasil DRP harus terdiri dari:

·         Analisis risiko dan dampak bisnis

·         Kegiatan terdokumentasi yang diperlukan untuk mempersiapkan perusahaan menghadapi berbagai kemungkinan keadaan darurat

·         Kegiatan terperinci untuk awalnya menghadapi peristiwa bencana

·         Prosedur untuk mengelola proses pemulihan bisnis, termasuk rencana pengujian

·         Rencana pelatihan DRP di berbagai tingkatan di perusahaan

·          Prosedur untuk memperbarui DRP

Risiko, Analisis Dampak Bisnis, dan Dampak Potensi Keadaan darurat

Identifikasi dan analisis risiko, sebagai bagian dari perencanaan audit TI  adalah komponen analisis DRP yang penting. Analisis risiko atau dampak bisnis adalah proses yang sangat penting untuk menentukan aplikasi dan proses untuk apa termasuk dalam DRP keseluruhan.           
            Setiap proses bisnis utama yang terpisah akan dicantumkan di kolom pada dibiarkan dengan risiko faktor kegagalan dipertimbangkan untuk setiap proses bisnis utama seperti faktor Kegagalan Layanan Pelanggan, Kehilangan Pelanggan, dan sejenisnya. Dalam masing-masing faktor risiko ini, dampak atau kekritisan berbagai tingkat pemadaman harus dipertimbangkan. Faktor-faktor seperti kegagalan aplikasi yang ditentukan kurang dari dua jam yang akan berdampak pada layanan pelanggan tetapi akan menyebabkan Kerugian Pelanggan minimal dan pada dasarnya tidak ada risiko terpapar pada Kemungkinan Litigas.           
            langkah-langkahnya yang diperlukan untuk kembali beroperasi adalah komponen dari apa yang biasanya disebut Bisnis Analisis Dampak (BIA). Istilah baru dalam dunia pemulihan bencana dan bisnis perencanaan kontinuitas, BIA adalah proses mendefinisikan risiko proses bisnis utama yang akan berdampak pada operasi bisnis sebagai akibat dari hilangnya layanan.           
            Konsep di balik jenis jadwal ini adalah untuk melihat semua perusahaan yang signifikan aplikasi atau proses dan menilai dampak kegagalan berdasarkan waktu mereka. Misalnya, di bawah kolom Kewajiban Keuangan, setiap aplikasi utama akan dinilai ketika ada mungkin merupakan pertanggungjawaban keuangan bagi perusahaan jika permohonan yang diberikan dikurangi dua jam atau lebih.    Berdasarkan risiko pemadaman, tim DRP harus mempelajari dan mendokumentasikan pemulihannya persyaratan untuk proses bisnis utama mereka. Ini termasuk prosedur proses bisnis, sistem otomatis, dan persyaratan perangkat keras plus perangkat lunak.

Mempersiapkan Kemungkinan Kontinjensi

Setelah tim proyek DRP telah meninjau sistem TI utama untuk mendukung bisnis utama proses dan menilai risiko bisnis terkait, langkah selanjutnya harus meminimalkan efek dari potensi kedaruratan. Tujuan di sini adalah untuk mengidentifikasi cara-cara mencegah suatu situasi darurat berubah menjadi bencana yang bahkan lebih parah bagi perusahaan karena kurangnya kesiapan. Sebuah perusahaan pada umumnya harus berkomitmen pada satu atau lebih dari strategi berikut:

·         Operasi Pemulihan Penuh Cermin

·         Fasilitas Situs Hot Switchable

·         akan menjamin untuk mempertahankan situs yang identik dengan komunikasi untuk mengaktifkan transfer semua operasi pemrosesan data ke situs pemulihan panas ini dalam kesepakatan jangka waktu, biasanya kurang dari satu hingga dua jam

·         Situs Panas Tradisional

·         Fasilitas Situs Dingin

·         Pindahkan dan Pulihkan.

·         Tidak Ada Strategi.

Apa pun strategi cadangan yang digunakan, file dan dokumen utama harus selalu ada disimpan di lokasi

di luar lokasi yang aman. Tim pemulihan bisnis dan pemulihan bisnis harus ditunjuk  dan dilatih, dengan

 tes berkala untuk memastikan keakraban mereka dengan proses.   

Pemulihan Bencana: Menangani Darurat

ketika suatu peristiwa darurat telah terjadi Salah satu tugas pertama adalah menentukan sampai level apa 

situasi darurat membutuhkan aktivasi DRP lengkap dan pemberitahuan dari tim tanggap darurat. 

Pemberitahuan ini biasanya harus dikomunikasikan dalam daftar panggilan yang disetujui sebelumnya

yang digerakkan format dengan anggota tim pemulihan bencana diinstruksikan untuk berkumpul 

di ditunjuk lokasi di luar lokasi.                

Tujuan dari fase DRP ini adalah untuk membuat perusahaan kembali beroperasi. Ini hampir selalu

 melibatkan menghubungi tempat pemrosesan alternatif yang ditunjuk, mengaktifkan jalur komunikasi,

 membuat pengaturan untuk membawa tim ke situs itu, dan sebaliknya mengambil langkah-langkah 

untuk memulihkan operasi.  Agar DRP dan pemulihan yang dihasilkannya menjadi efektif, tim

 pemulihan harus mempertimbangkan dengan cermat dan merencanakan serangkaian kegiatan  

 kompleks yang mungkin perlu dilakukan pulih dari keadaan darurat yang serius.               

Pelatihan Kesinambungan Rencana Bisnis

Proses DRP yang luas dan dokumen yang diterbitkan bernilai kecil kecuali jika orang-orang  

bertanggung jawab untuk melaksanakan proses DRP tersebut dilatih secara teratur dalam 

penggunaannya.                

Tim proyek DRP perlu meluncurkan pelatihan perencanaan kesinambungan bisnis program untuk 

anggota perusahaan pada banyak level yang perlu diketahui dengan empat tingkat pelatihan DRP yang

 disarankan:

Pelatihan Level 1: Tinjauan Umum Manajemen. Pelatihan di sini harus diberikan

kepada banyak orang, mulai bahkan dengan komite audit, untuk menguraikan

strategi keseluruhan untuk pemulihan jika terjadi peristiwa darurat dan untuk menggambarkannya 

 harapan bagaimana perusahaan akan beroperasi dalam kelangsungan bisnis lingkungan Hidup.

Pelatihan Level 2: Pengguna Sistem Aplikasi Utama. Pelatihan di sini harus difokuskan tentang 

prosedur pemulihan untuk aplikasi kritis. 

Pelatihan Level 3: Staf Operasi dan Sistem TI. Staf TI, keduanya dalam infrastruktur dukungan 

operasi dan sistem, adalah orang-orang yang biasanya akan paling dipengaruhi oleh kelangsungan 

bisnis yang membutuhkan operasi dalam mode pemulihan. Pelatihan di sini harus menekankan dan

 menekankan kembali elemen-elemen kunci DRP; Itu harus mengambil format latihan kebakaran reguler 

dan berkala. 

Pelatihan Level 4: Anggota Tim DRP. Tim yang membangun dan meluncurkan DRP harus memiliki 

keakraban terbesar dengan prosedur DRP yang ditetapkan. Namun, pengetahuan mereka perlu disegarkan

dan diperbarui secara berkelanjutan.

Program pelatihan yang efektif adalah langkah terakhir untuk membangun DRP yang efektif. 

Sementara itu auditor, sebagai bagian dari kegiatan tingkat jaminan normal mereka, biasanya tidak

 akan memimpin proyek perusahaan untuk membangun dan meluncurkan DRP perusahaan, mereka 

akan sering sangat terlibat dalam pengembangan dan praktiknya.

PERENCANAAN DAN LAYANAN PEMULIHAN BENCANA

PERJANJIAN TINGKAT

Agar DRP berfungsi secara efektif antara TI dan unit bisnis, DRP tim harus menegosiasikan harapan 

pemulihan mereka melalui perjanjian tingkat layanan formal (SLA). SLA adalah kontrak antara

pemilik proses bisnis dan penyedia layanan TI untuk tujuan layanan yang ditentukan Auditor TI

seharusnya menyadari pentingnya SLA dan harus mencari implementasi SLA yang efektif.  

Sebuah SLA adalah perjanjian antara TI dan operasi bisnis untuk menentukan level minimum

cadangan dan pemulihan sistem komputer yang diharapkan SLA pemulihan bisnis sering disusun

 untuk mencakup sebagian besar jika tidak semua departemen atau fungsi di perusahaan. 

TEKNOLOGI PERENCANAAN PEMULIHAN BENCANA BARU: TEKNIK CERMIN DATA               

Auditor TI secara berkala menanyakan apakah file-file utama dicadangkan secara berkala kapan 

 meninjau sistem umum atau kontrol aplikasi. Namun, banyak cadangan sistem prosedur untuk

 mengunduh salinan transaksi penting tidak efektif di dunia saat ini aliran konstan transaksi real-time. 

File lengkap atau cadangan basis data diambil setiap minggu, setiap hari, atau bahkan setiap jam 

bersama dengan aliran transaksi sementara yang ditangkap tidak efektif di dunia aplikasi kita yang 

terus diperbarui.

               Mandat hukum dan peraturan untuk kesinambungan bisnis sering kali menjadikan ini 

tinggi ketersediaan prioritas utama, dan suatu perusahaan perlu memindahkan dan menyalin data 

untuk cepat memulihkan operasi bisnis penting jika terjadi kehilangan data, korupsi data, atau bencana. 

Ada banyak kemajuan teknologi baru selama beberapa tahun terakhir itu memungkinkan pencadangan 

yang cepat dan sering.

               Mungkin strategi cadangan paling efisien saat ini adalah melalui apa yang disebut mirroring.  

Mirroring adalah metode yang berkembang untuk pengambilan cadangan data hari ini, dan auditor TI 

 tentu tidak perlu menjadi ‘‘ pakar ’pada aplikasi atau menggunakan metode ini. Lebih penting lagi, 

seorang auditor TI harus secara umum menyadari bahwa instan tersebut tersedia dan dapat diinstal 

untuk mempromosikan kelangsungan bisnis.

RENCANA KONTINUITAS BISNIS AUDIT

Auditor TI dapat dan harus memainkan peran penting dalam pengembangan DRP perusahaan serta

proses pengujiannya. Audit TI mungkin menawarkan sumber dayanya untuk mengamati dan 

berkomentar pada hasil tes DRP, untuk menyarankan skenario pengujian, atau untuk menawarkan saran 

konsultasi tentang kemajuan pengembangan DRP.

        Sementara audit TI dapat memainkan peran pengamat dalam proses pengujian DRP, TI formal  

audit harus dijadwalkan untuk secara berkala menilai semua aspek kesiapan DRP dan proses kecukupan 

di tempat. Audit TI harus berhati-hati terhadap garis tipis antara bertindak sebagai seorang konsultan

 internal untuk tim DRP dan mengaudit proses mereka, di mana audit Komite mungkin pihak yang 

tertarik dalam kecukupan keseluruhan proses DRP untuk kelanjutan korporasi. Tinjauan audit TI atas 

proses DRP perusahaan seharusnya berdasarkan pada hal-hal seperti kecukupan dan mata uang

dokumentasi DRP-nya, hasil tes terjadwal, dan sejumlah masalah lainnya.

PEMULIHAN BENCANA DAN LANJUTAN BISNIS PERENCANAAN AKAN MAJU

Ketika perusahaan semakin tergantung pada sistem bisnis otomatis mereka, prosedur untuk  menjaga

 proses-proses tersebut beroperasi dalam keadaan darurat atau lainnya bencana menjadi 

semakin penting Aturan 'pemulihan bencana' yang lama juga telah berubah. Tidak lagi cukup untuk   

Operasi TI untuk pindah ke lokasi cadangan situs panas untuk mulai memproses dan mengasumsikan 

 perusahaan akan segera kembali beroperasi.

               Auditor TI miliki peran penting di sini dalam membantu manajemen menerapkan proses 

DRP yang efektif dan secara teratur menilai operasi dan kontrol mereka. Semua auditor TI harus  

memiliki setidaknya pengetahuan umum tentang persyaratan DRP dan bagaimana menilai proses. 

 pemahaman tentang persyaratan DRP dan praktik terbaik harus menjadi bagian dari rangkaian 

keterampilan auditor TI. Mereka juga merupakan komponen kunci dari rencana kesinambungan bisnis.