Disaster recovery plan (DRP)

NIST SP 800-34 Rev. 1 definerer DRP'en snævert som en plan med fokus på informationssystemer, der flytter systemer til et alternativt sted efter større, typisk fysisk skade, som gør det primære anlæg ubrugeligt, og adskiller den fra beredskabsplanen for et enkelt informationssystem (ISCP), der genopretter ét system på stedet. I almindelig sprogbrug dækker DRP'en begge dele: de tekniske procedurer, ressourcer og den rækkefølge, der skal til for at genoprette IT-tjenester inden for de mål for genoprettelsestid og tolereret datatab, som konsekvensanalysen har fastsat. ISO 22301 behandler disaster recovery-planer som en del af genopretningsprocedurerne under afsnit 8.4, og ISO/IEC 27031 giver vejledning i IKT-parathed til driftskontinuitet.

Genopretningsstrategier vælges ved at afveje omkostning mod RTO og RPO. De klassiske muligheder er cold sites (kun plads og strøm), warm sites (forhåndsinstalleret hardware, data gendannes efter behov) og hot sites eller active-active-opsætninger med løbende replikering. Cloududbydere beskriver det samme spektrum som backup and restore, pilot light, warm standby og multi-site active-active. Synkron replikering kan komme tæt på en RPO på nul, men replikerer trofast korruption og ransomwarekryptering, så der stadig er brug for kopier fra bestemte tidspunkter som snapshots, journalført replikering eller uforanderlige og offline backups.

Kernen i planen er en runbook ordnet efter afhængigheder. De grundlæggende tjenester kommer først: netværk, DNS, tidssynkronisering, identitet (typisk Active Directory eller cloudens identitetsudbyder), nøglehåndtering og backupinfrastruktur, derefter databaser, applikationslag og til sidst de tjenester, brugerne ser. Hvert trin angiver ansvarlig, forventet varighed, valideringstjek og beslutningspunkt. Adgangsoplysninger, licensnøgler, leverandørkontrakter og selve runbooken skal være tilgængelige, når katalogtjenesten og dokumentsystemerne er nede. Maersks genopretning efter NotPetya i 2017 afhang berømt nok af den ene domænecontroller, der havde overlevet, fordi den var offline under en strømafbrydelse på kontoret i Ghana.

Cyberangreb ændrer forudsætningerne for DR. Efter ransomware kan en gendannelse af den nyeste backup føre angriberen tilbage, fordi indtrængen ofte ligger dage eller uger før krypteringen, så genopretning kræver, at man finder et rent gendannelsespunkt, genopbygger i et isoleret genopretningsmiljø, scanner de gendannede data, nulstiller adgangsoplysninger inklusive krbtgt-kontoen og sikrer forensiske spor, før systemer slettes. Kun øvelser, der måler faktisk genoprettelsestid og faktisk datatab op mod målene, viser, om en DRP virker; utestede gendannelser, manglende applikationskonsistente backups og begrænset båndbredde ved store datamængder er de typiske fejl. DRP'en får teknikken tilbage, mens BCP'en holder forretningen i gang imens.