Patakaran sa Paghahanda, Pagtugon, Pagbangon, at Katatagan sa Sakuna (DPR3)

Ang Lungsod at County ng San Francisco (Lungsod) ay nakatuon sa paghahanda para sa natural (hal., lindol, baha) at dulot ng tao (hal., cyber, aktibong pag-atake) na mga sakuna at anumang iba't ibang mga insidente na maaaring makaapekto sa mga operasyon ng negosyo ng Lungsod. Ang isang kritikal na elemento ng aming kahandaan ay ang katatagan ng aming mga IT system, sa pamamagitan ng wastong pag-iwas at proteksyon ng mga system na ito at ng kanilang mga kapaligiran, at ang kakayahang mabilis na mabawi ang mga ito kapag nabigo ang mga application, system, o mga kapaligiran sa imprastraktura. Ang Patakaran sa Disaster Preparedness, Response, Recovery and Resilience (DPR3) na nakatuon sa IT ay nagbibigay ng malinaw, pare-pareho, at makakamit na mga pamantayan para sa IT resilience ng Lungsod, na naaangkop sa lahat ng departamento ng Lungsod, bago, habang, at pagkatapos ng kalamidad. Ang mga pamantayang ito ay nilalayong tiyakin ang patuloy na paghahatid ng mga kritikal, umaasa sa IT na mga pampublikong serbisyo bilang tugon sa anumang insidente.

Inaatasan ng Patakaran ng DPR3 ang lahat ng departamento ng Lungsod na bumuo, sumubok, at magpanatili ng plano ng Continuity of Operations (IT COOP) na nakatuon sa IT ng departamento, na tinatawag ding IT Contingency Plan para sa lahat ng Kritikal na Sistema/Aplikasyon ng IT na pinamamahalaan at sinusuportahan ng mga departamento ng lungsod upang matugunan ang mga pangangailangan ng mga kritikal na operasyon ng sistema kung sakaling magkaroon ng pagkagambala.

Ang mga layunin ng IT COOP ay kinabibilangan ng:

1. Pagprotekta at pagpapanumbalik ng datos
2. Pagprotekta sa hardware, software, at mga pasilidad
3. Pagpapatuloy ng mga kritikal na proseso ng negosyo sa pamamagitan ng high-availability at automate/manual failover recovery strategy

Ang Patakaran ng DPR3 ay nag-aatas sa lahat ng departamento na:

1. Magtalaga ng IT COOP/DR Lead at/o Disaster Preparedness Coordinator (DPC) liaison upang i-coordinate ang pagpaplano at pagpapatupad ng mga kinakailangan sa patakaran ng DPR3
2. Tukuyin at suriin ang kakayahang umahon ng mga kritikal na sistema
3. Magpatibay at magpatupad ng balangkas ng IT COOP National Institute of Standard and Technology (NIST)
4. Pagrepaso at i-update ang IT COOP ng departamento taun-taon at ang Disaster Recovery Plans (DRP) para sa bawat kritikal na sistema kada dalawang taon
5. Magsanay sa IT COOP nang hindi bababa sa isang taon at magsagawa ng aktibong Disaster Recovery (DR) test ng bawat kritikal na sistema kada dalawang taon.
6. Ang mga Pinuno ng Departamento ay may pananagutan sa pagtiyak ng pagsunod sa patakarang ito 

1. Dapat kumpletuhin ng lahat ng departamento ng Lungsod ang isang IT COOP/DRP at ia-update taon-taon.
2. Dapat subukan ng bawat Departamento ang IT COOP/DRP nito nang hindi bababa sa isang taon. Ang partikular na uri, dalas, at lawak ng pagsusuri ng DR ay depende sa:
   1. Kritikalidad ng sistema
   2. Pagiging kumplikado ng mga aplikasyon, imprastraktura, network, at mga kapaligiran ng mga sistema ng impormasyon
   3. Mga resulta ng naunang pagsusuri
3. Dapat sanayin ng bawat Departamento ang mga kaugnay na empleyado nito upang maisagawa ang IT COOP/DRP nito. Ang pagsasanay ay binubuo ng:
   1. Kamalayan sa COOP at sa elementong IT COOP/DRP nito
   2. Mga patakaran at pamamaraan ng DPR3 at mga departamento
   3. Pagpapatupad ng IT COOP/DRP pagtugon sa isang insidente
   4. Mga tungkulin at responsibilidad ng empleyado
4. Ang mga departamentong umaasa sa mga network at sistema sa buong lungsod na nasa ilalim ng operasyon, o pinamamahalaan ng, Departamento of Technology (DT) ay kailangang magtatag ng mga memorandum of understanding (MOU) at/o mga kasunduan sa antas ng serbisyo (SLA) kasama ang DT para sa DR, upang maisama ang mga target na oras ng pagbangon batay sa pagiging kritikal ng sistema.
5. Ang mga departamentong umaasa sa mga third-party vendor para sa mga serbisyo ng IT ay kailangang magtatag ng MOU at/o SLA kasama ang mga vendor na ito para sa DR, kasama ang mga target na oras ng pagbawi, batay sa kahalagahan ng mga serbisyo ng mga vendor.
6. Dapat tugunan ng lahat ng bagong kontrata, patakaran, at pamamaraan ng City IT ang katatagan at pagbangon mula sa sakuna. Dapat baguhin ang mga kasalukuyang kontrata sa pag-renew upang matugunan ang kakayahang umahon at pagbangon mula sa sakuna.
7. Kung ang isang Departamento ay tumatanggap ng mga serbisyong IT mula sa ibang Departamento o ikatlong partido, ang mga SLA ay dapat itatag upang matugunan ang kakayahang umahon at pagbangon mula sa sakuna.

COIT

• Magbigay ng direksyon sa patakaran sa mga kagawaran
• Magbigay ng kinakailangang suporta sa mga Departamento upang mabuo at makumpleto nila ang kanilang IT COOP/DRPs

Pinuno ng Departamento

• Magtalaga ng IT COOP/DR Lead at Disaster Preparedness Coordinator (DPC) liaison staff upang i-coordinate ang pagpaplano at pagpapatupad ng DPR3, mga kinakailangang pagsasanay, at mga update sa IT COOP
• Tiyakin ang pagsunod sa DPR3
• Responsable sa pagtatatag ng MOU kasama ang DT, iba pang Departamento ng lungsod, at mga vendor para sa kanilang mga serbisyong umaasa tulad ng network, sistema, at iba pang serbisyong suporta na may kaugnayan sa DR SLA at estratehiya.

Departamento ng IT COOP/DR Lead at DPC Liaison

• Responsable sa pagbuo ng IT COOP/DRPs at patuloy na pagsubok at sinusubaybayan sa DR ng pagsunod sa DPR3
• Responsable para sa mga operasyon ng negosyo ng departamento upang suportahan ang panahon/pagkatapos ng natural o dulot ng tao na sakuna at pagsunod at pagtukoy sa mga layunin ng oras/punto ng pagbawi
• Malapit na nakikipag-ugnayan sa mga IT Leader para sa pagsunod sa DRP3

Departamento ng Teknolohiya

• Responsable sa pagsuporta at pagpapatupad ng IT COOP/DRP para sa suporta sa imprastraktura ng IT sa buong lungsod, kabilang ang, ngunit hindi limitado sa, DT managed business network, internet connectivity, telekomunikasyon, email, emergency radio communications at pagpapanatili ng mga emergency data set sa pamamagitan ng mga Departamento data coordinator pati na rin ang pagtulong sa mga departamentong walang internal IT staff sa pagbuo ng kanilang IT COOP/DRPs.

Mga Pag-audit ng CSA

• Pana-panahong ia-audit ng mga CSA Audit ang mga departamentong IT COOP/DRP at susuriin ang mga resulta para sa pagsunod sa patakaran at pamantayan ng DPR3.

Nakasaad sa SEC. 22A.3. (c) ng Administrative Code ng Lungsod, “ Pagrepaso at aaprubahan ng COIT ang mga rekomendasyon ng City CIO para sa mga pamantayan, patakaran, at pamamaraan ng ICT upang maisakatuparan ang matagumpay na pagpapaunlad, operasyon, pagpapanatili, at suporta sa ICT ng Lungsod.”

Ang pagpaplano ng mga contingency sa sistema ng impormasyon ay kumakatawan sa isang malawak na saklaw ng mga aktibidad na idinisenyo upang mapanatili at mabawi ang mga kritikal na serbisyo ng sistema kasunod ng isang pangyayaring pang-emerhensya. Sa huli, gagamit ang isang organisasyon ng isang hanay ng mga plano upang maayos na maihanda ang mga aktibidad sa pagtugon, pagbawi, at pagpapatuloy para sa mga pagkagambala na nakakaapekto sa mga sistema ng impormasyon, proseso ng misyon/negosyo, tauhan, at pasilidad ng organisasyon. Dahil mayroong likas na ugnayan sa pagitan ng isang sistema ng impormasyon at ng proseso ng misyon/negosyo na sinusuportahan nito, dapat mayroong koordinasyon sa pagitan ng bawat plano sa panahon ng pagbuo at mga pag-update upang matiyak na ang mga diskarte sa pagbawi at mga sumusuportang mapagkukunan ay hindi nagpapawalang-bisa sa isa't isa o nagdodoble ng mga pagsisikap.

Ang sumusunod ay maikling naglalarawan ng mga uri ng plano na kinakailangang isagawa ng bawat Departamento sakaling magkaroon ng sakuna:

• Ang Pagpaplano ng mga Pangyayari sa Sistema ng Impormasyon ay akma sa mas malawak na pagsisikap sa pamamahala ng seguridad at emerhensiya na kinabibilangan ng pagpapatuloy ng proseso ng organisasyon at negosyo, pagpaplano ng pagbangon mula sa sakuna, at pamamahala ng insidente.
• Ang Continuity at Contingency Planning ay mga kritikal na bahagi ng pamamahala ng emergency at kakayahang umahon ng organisasyon ngunit kadalasang nalilito sa paggamit ng mga ito. Ang continuity planning ay karaniwang naaangkop sa misyon/negosyo mismo; ito ay tumutukoy sa kakayahang ipagpatuloy ang mga kritikal na tungkulin at proseso habang at pagkatapos ng isang emergency event.
• Ang Contingency Planning ay karaniwang naaangkop sa mga sistema ng impormasyon, at nagbibigay ng mga hakbang na kinakailangan upang maibalik ang operasyon ng lahat o bahagi ng mga itinalagang sistema ng impormasyon sa isang umiiral o bagong lokasyon sa panahon ng emergency.
• Ang Cyber ​​Incident Response Planning ay isang uri ng plano na karaniwang nakatuon sa pagtuklas, pagtugon, at pagbawi mula sa isang insidente o kaganapan sa seguridad ng computer.

Plano ng Pagpapatuloy ng Negosyo (BCP)**

• Layunin: Nagbibigay ng mga pamamaraan para sa pagpapanatili ng misyon/mga operasyon sa negosyo habang bumabangon mula sa isang malaking pagkagambala.
• Saklaw: Tinutugunan ang mga proseso ng misyon/negosyo sa mas mababa o pinalawak na antas mula sa mga COOP Mission Essential Functions (MEF).
• Ugnayan sa Plano: Planong nakatuon sa misyon/proseso ng negosyo na maaaring isaaktibo kasabay ng isang plano ng COOP upang suportahan ang mga hindi MEF.

Plano ng Pagpapatuloy ng Operasyon (COOP)**

• Layunin: Nagbibigay ng mga pamamaraan at patnubay upang mapanatili ang mga MEF ng isang organisasyon sa ibang lugar nang hanggang 30 araw; na iniuutos ng mga pederal na direktiba.
• Saklaw: Tinutugunan ang mga MEF sa isang pasilidad; ang mga sistema ng impormasyon ay tinutugunan batay lamang sa kanilang suporta sa mga mahahalagang tungkulin ng misyon.
• Ugnayan sa Plano: Planong nakatuon sa MEF na maaari ring mag-activate ng ilang BCP, ISCP, o DRP sa antas ng yunit ng negosyo, kung naaangkop.

Plano ng Komunikasyon sa Krisis

• Layunin: Nagbibigay ng mga pamamaraan para sa pagpapalaganap ng mga panloob at panlabas na komunikasyon; paraan upang magbigay ng mahahalagang impormasyon tungkol sa katayuan at kontrolin mga sabi-sabi; tsimis.
• Saklaw: Tumutugon sa mga komunikasyon sa mga tauhan at publiko; hindi nakatuon sa sistema ng impormasyon.
• Ugnayan ng Plano: Ang planong nakabatay sa insidente ay kadalasang isinaaktibo gamit ang isang COOP o BCP ngunit maaaring gamitin nang mag-isa sa panahon ng isang kaganapan ng pampublikong exposure (pagkalantad) .

Plano ng Proteksyon sa Kritikal na Imprastraktura (CIP)

• Layunin: Nagbibigay ng mga patakaran at pamamaraan para sa proteksyon ng mga pambansang kritikal na bahagi ng imprastraktura, gaya ng tinukoy sa Pambansang Plano proteksyon ng Imprastraktura.
• Saklaw: Tinutugunan ang mga kritikal na bahagi ng imprastraktura na sinusuportahan o pinapatakbo ng isang Ahensiya o organisasyon.
• Relasyon sa Plano: Plano sa pamamahala ng peligro na sumusuporta sa mga plano ng COOP para sa mga organisasyong may kritikal na imprastraktura at mahahalagang asset ng mapagkukunan.

Plano ng Pagtugon sa Insidente sa Siber (CIRP)

• Layunin: Nagbibigay ng mga pamamaraan para sa pagpapagaan at pagwawasto ng isang cyber-attack, tulad ng virus (sakit), worm, o Trojan horse.
• Saklaw: Tinutugunan ang pagpapagaan at isolation (pagbubukod) ng mga apektadong sistema, paglilinis, at pagliit ng pagkawala ng impormasyon.
• Ugnayan ng Plano: Planong nakatuon sa sistema ng impormasyon na maaaring mag-activate ng ISCP o DRP, depende sa lawak ng pag-atake.

Plano sa Pagbangon mula sa Sakuna (DRP)**

• Layunin: Nagbibigay ng mga pamamaraan para sa paglilipat ng mga operasyon ng mga sistema ng impormasyon sa ibang lokasyon.
• Saklaw: Ina-activate pagkatapos ng malalaking pagkaantala ng sistema na may pangmatagalang epekto.
• Ugnayan ng Plano: Planong nakatuon sa sistema ng impormasyon na nagpapagana ng isa o higit pang mga ISCP para sa pagbawi ng mga indibidwal na sistema.

Plano ng Pang-emerhensiyang Sistema ng Impormasyon (ISCP)**

• Layunin: Nagbibigay ng mga pamamaraan at kakayahan para sa pagbawi ng isang sistema ng impormasyon.
• Saklaw: Tinutugunan ang iisang pagbawi ng sistema ng impormasyon sa kasalukuyan o, kung naaangkop, alternatibong lokasyon.
• Ugnayan ng Plano: Planong nakatuon sa sistema ng impormasyon na maaaring i-activate nang hiwalay sa ibang mga plano o bilang bahagi ng isang mas malaking pagsisikap sa pagbawi na itinaguyod kasama ang isang DRP, COOP, at/o BCP.

Plano para sa Emergency ng Nakatira (OEP)

• Layunin: Nagbibigay ng mga koordinadong pamamaraan para sa pagbabawas ng pagkawala ng buhay o pinsala at pagprotekta sa pinsala sa ari-arian pagtugon sa isang pisikal na banta.
• Saklaw: Nakatuon sa mga tauhan at ari-arian na partikular sa partikular na pasilidad; hindi nakabatay sa misyon/proseso ng negosyo o sistema ng impormasyon.
• Ugnayan ng Plano: Planong nakabatay sa insidente na sinisimulan kaagad pagkatapos ng isang kaganapan, bago ang pag-activate ng COOP o DRP.

**May iba't ibang tawag ang mga Departamento sa mga contingency plan na ito tulad ng IT Resiliency and Recovery, Emergency Response and Recovery, DR Redbook, DR Runbook, atbp.

Inaatasan ng Patakaran ng DPR3 ang lahat ng departamento ng lungsod na magpatibay ng isang Continuity/Contingency of Operations/Disaster Recovery Framework upang bumuo ng mga contingency plan.

Ang pagpaplano kung paano epektibong mababawasan, at makakabangon mula sa, mga epekto ng isang sakuna na nakakaapekto sa serbisyo ay dapat na ikoordina sa buong lungsod, dahil ang tagumpay ay nakasalalay sa tulong, mga mapagkukunan, at kadalubhasaan ng maraming ahensya ng Lungsod. Ang epektibong pagbangon ay nakasalalay sa pagsunod ng bawat Ahensiya ng Lungsod sa mga napagkasunduang pamamaraan at kasanayan upang matugunan ang pangkalahatang mga layunin ng napapanahong pagtugon at pagbangon.

Ang IT COOP ay nakatuon sa pagpapanumbalik ng mga mahahalagang tungkulin ng misyon (mission essential functions o MEF) ng isang organisasyon sa isang alternatibong lugar at pagsasagawa ng mga tungkuling iyon nang hanggang 30 araw bago bumalik sa mga normal na operasyon. Ang mga maliliit na banta o pagkagambala na hindi nangangailangan ng paglipat sa isang alternatibong lugar ay karaniwang hindi tinutugunan sa isang plano ng COOP.

PANGKALAHATANG-IDEYA

Ang epektibong pagpaplano ng mga pangyayari ay nagsisimula sa pagbuo ng isang patakaran sa pagpaplano ng mga pangyayari sa organisasyon at pagsasailalim sa bawat sistema ng impormasyon sa isang business epekto; impakt (do NOT use: impakto) analysis (BIA). Pinapadali nito ang pagbibigay-priyoridad sa mga sistema at proseso batay sa antas ng epekto; impakt (do NOT use: impakto) at pagbuo ng mga estratehiya sa pagbawi ng prayoridad para mabawasan ang pagkalugi.

Ang mga alituntunin sa pagtukoy ng epekto; impakt (do NOT use: impakto) ng impormasyon at sistema ng impormasyon sa mga operasyon at asset ng organisasyon, mga indibidwal, iba pang organisasyon at sa bansa sa pamamagitan ng isang pormula na sumusuri sa tatlong layunin ng seguridad: pagiging kompidensiyal, integridad, at kakayahang magamit.

• Pinapanatili ng pagiging kompidensiyal ang mga awtorisadong paghihigpit sa pag-access at pagsisiwalat ng impormasyon, kabilang ang mga paraan para protektahan ang personal na privacy at impormasyong pagmamay-ari.
• Ang integridad ay nagbabantay laban sa hindi wastong pagbabago o pagkasira ng impormasyon at kabilang dito ang pagtiyak na ang impormasyon ay hindi itinatanggi at tunay.
• Tinitiyak ng pagkakaroon ng impormasyon ang napapanahon at maaasahang pag-access at paggamit nito. Ang epekto; impakt (do NOT use: impakto) para sa bawat layunin sa seguridad ay tinutukoy na mataas, katamtaman, o mababa. Ang pinakamataas sa mga indibidwal na antas ng epekto; impakt (do NOT use: impakto) ng layunin sa seguridad ay ginagamit upang matukoy ang pangkalahatang antas ng epekto; impakt (do NOT use: impakto) sa seguridad ng sistema ng impormasyon. Ang mga konsiderasyon at estratehiya sa contingency planning ay tumutugon sa antas ng epekto; impakt (do NOT use: impakto) ng layunin sa seguridad ng availability ng mga sistema ng impormasyon. Ang mga estratehiya para sa mga high-impact na sistema ng impormasyon ay dapat isaalang-alang ang mga opsyon sa high availability at redundancy sa kanilang disenyo. Maaaring kabilang sa mga opsyon ang ganap na redundant na load balanced system sa mga alternatibong site, data mirroring, at offsite database replication. Ang mga opsyon sa high-availability ay karaniwang mahal i-set up, patakbuhin, at panatilihin at dapat isaalang-alang lamang para sa mga high-impact na sistema ng impormasyon na nakategorya na may high-availability na layunin sa seguridad. Ang mga low-impact na sistema ng impormasyon ay maaaring gumamit ng mas murang mga opsyon sa contingency at tiisin ang mas mahahabang downtime para sa pagbawi o pagpapanumbalik ng data.

ISTRUKTURA NG IT COOP

Ang mga karaniwang elemento ng isang plano ng COOP ay kinabibilangan ng:

• Pamamahala para sa pagpapanatili ng bawat Plano ng COOP
• Mga pamamaraan para sa pag-activate ng bawat Plano ng COOP
• Sino ang nangunguna sa bawat tugon ng COOP at sino ang kanilang mga kinatawan
• Pag-katalogo at Pag-prioritize ng mga Mahalaga at Lubos na Mahalagang Proseso ng IT
• Pag-katalogo ng mga proseso ng IT na maaaring suspindihin hanggang sa maging matatag ang kapaligiran
• IT at iba pang mga asset na kinakailangan para sa pagpapatupad ng COOP (hal. mga serbisyo ng vendor, backup data, mga gastos sa asset, atbp.)
• Mga alternatibong lokasyon para sa pagsasagawa ng paggaling at mga normal na gawain (pangunahin at pangalawang lokasyon)
• Mga kinakailangan sa tauhan para sa unang 120 oras ng tugon sa pagbangon
• Mga dependency sa impormasyon at serbisyo sa loob at labas ng Departamento
• Impormasyon sa pakikipag-ugnayan sa nagbebenta
• Checklist para sa pagtugon sa isang malaking insidente
• Ang DR Plan/Runbooks ay magsasama ng mga sunud-sunod na pamamaraan upang mabawi ang mga kritikal na sistema
• Mga pamamaraan at checklist para sa pagbabalik sa ni-renovate o bagong lugar ng trabaho
• Listahan ng mga kontak ng kawani

MGA HAKBANG PARA BUMUO NG ISANG IT COOP

Ang proseso upang bumuo at mapanatili ang isang epektibong plano sa pagbawi mula sa sakuna ng sistema ng impormasyon ay nakalista sa ibaba. Ang prosesong ito na inilalahad ay karaniwan sa lahat ng mga sistema ng impormasyon.

Ang limang hakbang sa proseso ay:

1. Magsagawa ng pagsusuri ng epekto; impakt (do NOT use: impakto) sa negosyo (BIA)
2. Tukuyin ang mga kontrol na pang-iwas
3. Gumawa/Magpatupad ng mga estratehiya para sa mga hindi inaasahang pangyayari/pagbangon
4. Tiyakin ang pagsasanay at pagsubok sa plano ng DR
5. Tiyakin ang pagpapanatili ng plano

1. Pagsusuri ng epekto; impakt (do NOT use: impakto) sa Negosyo (BIA)

Ang BIA ay isang mahalagang hakbang sa proseso ng pagpaplano ng mga emergency. Ang BIA ay nagbibigay-daan sa Contingency Planning Coordinator na lubos na makilala ang mga kinakailangan, proseso, at interdependensya ng sistema at gamitin ang impormasyong ito upang matukoy ang mga kinakailangan at prayoridad ng mga emergency. Ang mga departamento ay dapat magsagawa ng BIA. Ang BIA ay isang proseso upang matukoy at suriin ang mga potensyal na epekto ng isang pagkaantala sa mga kritikal na operasyon ng negosyo bilang resulta ng isang sakuna, aksidente o emergency. Ang mga resulta mula sa BIA ay dapat na naaangkop na maisama sa mga pagsisikap sa pagsusuri at pagbuo ng estratehiya para sa COOP ng organisasyon.

Ang BIA ay isang kritikal na bahagi ng plano ng Continuity of Operations at Disaster Recovery ng isang departamento at tumutulong sa mga departamento na:

• Tukuyin ang mga Kritikal na Mapagkukunan at mga dependency ng IT
• Tukuyin ang mga Epekto ng Pagkagambala at Pinahihintulutang Oras ng Pagkawala ng Serbisyo; Unahin ang mga kinakailangan sa uptime, Mga Layunin sa Oras ng Paggaling (RTO) at Mga Layunin sa Recovery Point (RPO)
• Magtatag ng mga estratehiya, prayoridad, at mga kinakailangan para sa mga mapagkukunan at oras para sa pagbangon

2. Tukuyin ang mga Pang-iwas na Kontrol

Ang mga epektong natukoy sa BIA ay maaaring mapagaan o maalis sa pamamagitan ng mga hakbang na pang-iwas na pumipigil, nakakakita, at/o nakakabawas ng mga epekto sa sistema. Kung saan magagawa at matipid, mas mainam ang mga pamamaraang pang-iwas kaysa sa mga aksyon na maaaring kailanganin upang maibalik ang sistema pagkatapos ng isang pagkagambala. Ang mga kontrol na pang-iwas ay dapat idokumento sa IT COOP Plan, at ang mga tauhang nauugnay sa sistema ay dapat sanayin kung paano at kailan gagamitin ang mga kontrol. Maraming uri ng mga kontrol na pang-iwas ang magagamit, depende sa uri at configuration ng sistema. Ang mga kontrol na ito ay dapat mapanatili sa mabuting kondisyon upang matiyak ang kanilang pagiging epektibo sa isang emergency.

3. Bumuo ng mga Istratehiya sa Pagbangon

Ang mga estratehiya sa pagbawi ay nagbibigay ng paraan upang maibalik ang mga operasyon ng IT nang mabilis at epektibo kasunod ng pagkagambala ng serbisyo. Dapat tugunan ng mga estratehiya ang mga epekto ng pagkagambala at mga pinahihintulutang oras ng pagkawala ng kuryente na natukoy sa BIA. Maraming alternatibo ang dapat isaalang-alang kapag binubuo ang estratehiya, kabilang ang gastos, pinahihintulutang oras ng pagkawala ng kuryente, seguridad, at pagsasama sa mas malaki, mga planong pang-emerhensiya sa antas ng organisasyon.

4. Magplano ng Pagsusulit, Pagsasanay at Ehersisyo

Ang pagsubok sa plano ay isang kritikal na elemento ng isang mabubuhay na kakayahan sa mga maaaring mangyari. Ang pagsubok ay nagbibigay-daan upang matukoy at matugunan ang mga kakulangan sa plano. Nakakatulong din ang pagsubok na suriin ang kakayahan ng mga kawani ng pagbawi na ipatupad ang plano nang mabilis at epektibo. Ang bawat elemento ng plano sa mga maaaring mangyari sa IT ay dapat subukan upang kumpirmahin ang katumpakan ng mga indibidwal na pamamaraan sa pagbawi at ang pangkalahatang bisa ng plano.

Ang mga sumusunod na aspeto ay dapat tugunan sa isang contingency test:

• Patunayan at i-update ang mga DR Plan/Runbook upang mabawi ang kritikal na sistema
• Pagbawi ng system sa isang alternatibong platform mula sa backup medya
• Koordinasyon sa mga pangkat ng pagbawi
• Panloob at panlabas na koneksyon
• Pagganap ng sistema gamit ang alternatibong kagamitan
• Pagpapanumbalik ng mga normal na operasyon
• Mga pamamaraan ng abiso

5. Pagpapanatili ng Plano

Upang maging epektibo, ang plano ng IT COOP ay dapat mapanatili sa isang handa na estado na tumpak na sumasalamin sa mga kinakailangan, pamamaraan, istruktura ng organisasyon, at mga patakaran ng sistema. Ang mga sistema ng IT ay madalas na sumasailalim sa mga pagbabago dahil sa nagbabagong mga pangangailangan sa negosyo, mga pag-upgrade ng teknolohiya, o mga bagong panloob o panlabas na patakaran. Samakatuwid, mahalaga na ang plano ng mga hindi inaasahang pangyayari ay regular na suriin at i-update, bilang bahagi ng proseso ng pamamahala ng Pagbabago ng organisasyon, upang matiyak na ang mga bagong impormasyon ay naidokumento at ang mga hakbang sa mga hindi inaasahang pangyayari ay binabago kung kinakailangan. Sa pangkalahatan, ang plano ay dapat suriin para sa katumpakan at pagkakumpleto nang hindi bababa sa taun-taon o tuwing may mga makabuluhang pagbabago na nangyayari sa anumang elemento ng plano. Ang ilang elemento ay mangangailangan ng mas madalas na pagsusuri, tulad ng mga listahan ng contact. Batay sa uri at pagiging kritikal ng sistema, maaaring makatuwiran na suriin ang mga nilalaman at pamamaraan ng plano nang mas madalas.