Service Continuity Management (SCM), częściej opisywane jako IT Service Continuity Management (ITSCM), to praktyka w ramach IT Service Management (ITSM), która zarządza ryzykiem poważnego zakłócenia usług IT. Jej celem jest utrzymanie co najmniej uzgodnionego minimalnego poziomu świadczenia usług oraz przywrócenie pełnej sprawności w określonym czasie po katastrofie. ITSCM to IT-skoncentrowany element szerszego zarządzania ciągłością działania (BCM), spięty ze standardem ISO 22301.

Analiza wpływu na biznes – punkt wyjścia dla ITSCM

Analiza wpływu na biznes (BIA) porządkuje całą praktykę. Sprawdzasz w niej, które procesy biznesowe są krytyczne, jak mocno zależą od konkretnych systemów IT oraz ile kosztuje ich przestój w wymiarze finansowym i operacyjnym. Wyniki BIA decydują o kolejności przywracania usług i o tym, ile pieniędzy ma sens zainwestować w zabezpieczenia. Bez tego etapu plany ciągłości opierają się na przeczuciach, a nie na danych o realnych stratach.

RTO i RPO – dwa parametry, które wyliczysz z BIA

ITSCM definiuje dwa kluczowe parametry odtworzeniowe:

• Recovery Time Objective (RTO) – maksymalny dopuszczalny czas przywrócenia usługi po awarii;
• Recovery Point Objective (RPO) – maksymalny akceptowalny zakres utraty danych liczony wstecz od momentu awarii.

Oba wynikają bezpośrednio z analizy BIA. Jeśli system płatności ma RTO równe 15 minut i RPO 5 minut, potrzebujesz replikacji w czasie rzeczywistym i automatycznego failover. Usługa raportowa z RTO liczonym w godzinach obejdzie się tańszym rozwiązaniem. Te liczby przekładają dyskusję o ciągłości na konkretne wymagania techniczne i budżet.

DRP i BCP – dwa dokumenty, które łatwo pomylić

Business Continuity Plan (BCP) i Disaster Recovery Plan (DRP) są powiązane, lecz odpowiadają za co innego. DRP skupia się na technicznym przywróceniu systemów IT po awarii i należy do zespołów IT. BCP obejmuje ciągłość wszystkich krytycznych funkcji firmy, w tym ludzi, lokalizacje i dostawców, i jest zarządzany przez kierownictwo wyższego szczebla. Więcej o granicy między tymi podejściami znajdziesz w opracowaniu Business Continuity vs. Disaster Recovery – IBM.

ITSCM w ITIL 4 i powiązane praktyki

W ITIL 4 ITSCM jest zintegrowane z czterema wymiarami zarządzania usługami:

• organizacje i ludzie;
• informacja i technologia;
• partnerzy i dostawcy;
• strumienie wartości i procesy.

Praktyka współpracuje ściśle z Incident Management, Availability Management oraz Change Control, a jej powiązanie z Problem Management domyka obraz zarządzania ryzykiem operacyjnym w IT. Szczegółowy opis procesu według ITIL opisuje IT Process Wiki.

Testy i ćwiczenia – weryfikacja planów przed prawdziwą awarią

Plan, którego nigdy nie uruchomiłeś, jest tylko dokumentem. Regularne testy i ćwiczenia to obowiązkowy element ITSCM. Dwa najczęstsze formaty to:

• testy failover – faktyczne przełączenie ruchu na infrastrukturę zapasową;
• symulacje tabletop – przejście zespołu przez scenariusz kryzysowy przy stole, bez ingerencji w systemy produkcyjne.

Takie ćwiczenia ujawniają luki w procedurach, nieaktualne kontakty czy brakujące uprawnienia, zanim wykryje je rzeczywisty incydent. Po każdym teście aktualizujesz plany i wracasz do pętli analizy. Praktyczne wskazówki dotyczące wdrożenia zebrano w materiale ITSCM: Definition, Objectives, Best Practices – OTRS.

Korzyści biznesowe z wdrożenia SCM

Dobrze prowadzone ITSCM ogranicza straty finansowe z przestojów, chroni reputację firmy i wspiera zgodność z wymogami prawnymi oraz regulacyjnymi. Standard ISO 22301 dostarcza certyfikowalnych wymagań dla systemu zarządzania ciągłością działania (BCMS), który tworzy nadrzędne ramy dla ITSCM i porządkuje cykl analizy, strategii, planowania, testowania oraz audytu. Dzięki temu decyzje o kolejności przywracania usług i wysokości inwestycji opierasz na parametrach RTO i RPO, a nie na reakcji w panice podczas awarii.

FAQ

Czym różni się ITSCM od zarządzania ciągłością działania (BCM)?

BCM obejmuje ciągłość wszystkich krytycznych funkcji organizacji, w tym ludzi, lokalizacje i dostawców. ITSCM to jego IT-skoncentrowany element, który odpowiada za utrzymanie i przywracanie usług IT. ITSCM działa w ramach nadrzędnego BCMS opisanego w ISO 22301.

Co dokładnie oznaczają RTO i RPO?

RTO to maksymalny dopuszczalny czas przywrócenia usługi po awarii. RPO to maksymalny akceptowalny zakres utraty danych liczony wstecz od momentu incydentu. Oba parametry ustalasz na podstawie analizy BIA i to one wyznaczają wymagany poziom zabezpieczeń.

Jak często testować plany ciągłości?

Testy prowadź cyklicznie oraz po każdej istotnej zmianie w infrastrukturze lub procesach biznesowych. Naprzemienne stosowanie symulacji tabletop i faktycznych testów failover pomaga wykryć różne rodzaje luk, od błędów proceduralnych po problemy techniczne przełączania.

Kto odpowiada za DRP, a kto za BCP?

DRP należy do zespołów IT i dotyczy technicznego odtworzenia systemów. BCP jest zarządzany przez kierownictwo wyższego szczebla i obejmuje ciągłość całego biznesu. Oba dokumenty powinny być spójne i wzajemnie do siebie odwoływać się.