Nel precedente articolo di ieri abbiamo spiegato che la resilienza non ha bisogno di piani. Vediamo ora quali sono, invece le capacità che devono essere allenate per affrontare le emergenze e non farsi sopraffare da esse.
Capacità della linea di base
Esempi: servizi di accesso remoto per la tua forza lavoro in grado di supportare tutte le persone connesse contemporaneamente, uffici fisici dispersi e siti di backup, contratti pre-negoziati per espandere lo spazio ufficio o aggiungere nuove sedi temporanee, benessere dei dipendenti/ supporto medico, distribuzione di tecnologia dispersa, comunicazioni vocali e video distribuite, compresa la capacità di essere utilizzato su dispositivi non aziendali in modo sicuro e operazioni aziendali critiche pre-disperse tra località o regioni diverse.
Usa le Capacità
Eseguile giorno per giorno utilizzando queste funzionalità il più possibile, in modo che siano assicurate del corretto funzionamento. Se non è possibile, poi testarli regolarmente in modo che soddisfino i livelli di servizio definiti. Esempio: se le vostre tecnologie di comunicazione di crisi non sono le stesse delle tecnologie che le persone usano ogni giorno, allora è improbabile che vengano utilizzate con successo in una crisi, invece creare approcci di comunicazione intrinsecamente resilienti.
Capienza
Comprendi i vincoli di capacità delle tue capacità e, se non riesci a correre economicamente con capacità in eccesso, esegui test regolari sulla tua capacità di aumentare rapidamente.
Scenario Cataloghi
Sviluppa un catalogo di scenari che può essere utilizzato per valutare se le tue capacità hanno i mezzi per rispondere e operare bene in tale scenario. Scegli scenari che esercitino l’intero spettro della distribuzione del rischio da eventi attesi a eventi di coda. Ricordate, gli scenari non sono piani, e non dovrebbero diventare piani dettagliati.
Test di capacità
Separare i test operativi di capacità dalle esercitazioni di risposta alle crisi. Mi sono imbattuto in molte esercitazioni su larga scala che hanno avuto problemi a causa di fallimenti nelle capacità di base come la tecnologia di comunicazione di crisi (ad es. linee di ponte, videoconferenza), carenze tecnologiche nei siti di back-up, mancanza di accesso al back-up siti. Bisogna assicurarsi che tutte le capacità necessarie per la resilienza siano sottoposte a test regolari in modo che il loro fallimento non deve mai essere rivelato durante un’esercitazione.
Ma sulle esercitazioni torneremo nel prossimo articolo (2-continua)
*Vice Presidente e Chief Information Security Officer di Google Cloud
