Disaster Recovery Warszawa

Kto podejmuje decyzję, gdy nikogo nie ma w biurze

W centrali kierującej oddziałami awaria ma inny zasięg niż w firmie jednooddziałowej. Zatrzymuje się nie jedno biuro, tylko każde miejsce, które korzysta z centralnego systemu, a to bywa kilkanaście adresów w kilku województwach. Skala decyzji rośnie, a osób uprawnionych do jej podjęcia najczęściej ubywa, bo w warszawskich centralach delegacja, spotkanie u kontrahenta i praca z domu są stanem normalnym, a nie wyjątkiem.

Stąd bierze się najczęstszy błąd, jaki widzimy w dokumentach ciągłości działania: opisany jest przebieg techniczny, a nie moment, w którym ktoś mówi „to jest awaria”. Bez zapisanego progu i bez wskazanej osoby pierwsze dwie godziny schodzą na ustalaniu, czy sytuacja jest wystarczająco poważna, żeby kogoś niepokoić. Plan zaczyna się więc od zdania, po którym nie trzeba już nikogo pytać o pozwolenie.

Jak wygląda pierwsza doba, godzina po godzinie

Poniższa oś powstaje przy każdym wdrożeniu od nowa, ale rytm jest powtarzalny. Kolumna po prawej bywa najważniejsza, bo wypisuje rzeczy, które w napięciu robi się odruchowo i które właśnie wtedy szkodzą najbardziej.

Czas od stwierdzenia	Kto działa	Co się dzieje	Czego świadomie nie robimy
do 15 minut	osoba dyżurna po Waszej stronie	ogłoszenie zdarzenia według zapisanego progu	nie zaczynamy odtwarzania
do 30 minut	inżynier i osoba decyzyjna	odcięcie zajętych systemów, ocena zakresu	nie kasujemy niczego, co jest dowodem
do 1 godziny	osoba decyzyjna	wybór punktu, z którego wracamy	nie przywracamy dostępu użytkownikom
do 2 godzin	wskazana osoba z centrali	wiadomość do oddziałów i do spółek grupy	nie podajemy terminu, którego nie znamy
2 do 8 godzin	inżynier	powrót systemów w ustalonej kolejności	nie uruchamiamy wszystkiego naraz
8 do 24 godzin	osoba decyzyjna i inżynier	potwierdzenie kompletności, powrót użytkowników	nie zamykamy sprawy bez zapisu przebiegu

Ostatni wiersz decyduje o tym, czy z tego zdarzenia cokolwiek zostanie. Zapis przebiegu jest potrzebny przy rozliczeniu z dostawcą, przy ewentualnym zgłoszeniu i przy kolejnym przeglądzie planu, a odtworzenie go z pamięci tydzień później nigdy się nie udaje.

Co robią oddziały, gdy centrala nie odpowiada

To jest część planu pisana nie dla informatyków, tylko dla kierowników w terenie, i dlatego mieści się na jednej kartce. Odpowiada na trzy pytania: co wolno wydać albo potwierdzić bez systemu, co trzeba zanotować do późniejszego wprowadzenia i pod jaki numer dzwonić, gdy centralny adres nie działa.

Bez tej kartki każdy oddział wymyśla własny sposób. Jeden zatrzymuje pracę i czeka, drugi działa dalej i notuje wszystko po swojemu, trzeci dzwoni do prezesa. Po powrocie systemu okazuje się, że dane z trzech miejsc nie dają się pogodzić, i praca nad tym zajmuje więcej czasu niż samo odtworzenie.

Przy okazji ustalamy jedną rzecz, która wygląda drobno, a bywa rozstrzygająca: kto ma w telefonie numery do kierowników oddziałów zapisane poza systemem firmowym. Lista kontaktów dostępna wyłącznie w narzędziu, które właśnie nie działa, jest listą, której nie ma.

Kto rozmawia z audytorem po zakończeniu zdarzenia

Warszawska centrala rzadko odpowiada wyłącznie przed sobą. Jest spółka matka, bywa badanie sprawozdania, bywają ankiety bezpieczeństwa od dużych kontrahentów i coraz częściej pytanie o zgodność z NIS 2. Wszystkie te ścieżki kończą się tym samym: ktoś prosi o opis, co się stało, kiedy, kto podjął decyzję i jak długo trwał powrót.

Dlatego plan zawiera nie tylko procedury, ale i format zapisu przebiegu oraz wskazanie, kto go prowadzi w trakcie zdarzenia. Norma ISO 22301 opisuje ten sam mechanizm od strony systemowej: analiza wpływu, ustalone czasy, procedury i regularne testy. Nasz dokument układamy tak, żeby dało się go położyć na stole bez tłumaczenia, a raporty z prób były dowodem, nie notatką służbową. Wdrożenie całego systemu zarządzania bezpieczeństwem opisuje osobno ISO 27001.

Jak ćwiczyć plan z zespołem rozproszonym po mieście

Dwie próby w roku i żadna nie wymaga zwoływania wszystkich w jedno miejsce. Pierwsza jest omówieniowa: prowadzimy zespół przez scenariusz krok po kroku, zdalnie, notując każdy moment wahania. Przy pracy z trzech adresów wychodzą tam zwykle inne braki niż w firmie siedzącej razem, bo najsłabszym punktem okazuje się nie wiedza, tylko sposób, w jaki ludzie zdobywają informację o tym, że coś się dzieje.

Druga próba jest techniczna i odbywa się w środowisku zapasowym, więc produkcja przez ten czas pracuje normalnie. Sprawdzamy nie to, czy maszyny wstają, tylko czy aplikacje na nich odpowiadają, i mierzymy czas każdego kroku. Wynik obu prób trafia do raportu razem z listą poprawek, a wykonanie tych poprawek sprawdzamy przy kolejnym przeglądzie.

Gdzie kończy się to, co da się zapisać w planie

Plan nie skróci powrotu, jeżeli jedyna kopia leży u tego samego dostawcy, u którego stoi produkcja. Nie zastąpi wydatku: powrót liczony w minutach wymaga przygotowanego środowiska i to jest pozycja w budżecie, a nie akapit w dokumencie. Nie zadziała też, gdy przez rok nikt go nie otworzył, a firma w tym czasie przejęła kolejną spółkę i zmieniła system.

Kopie, na których cały ten dokument stoi, prowadzi backup danych firmy, a zawartość poczty i dokumentów kopia dzierżawy. Zakres i termin pierwszego spotkania ustalimy przez kontakt, także w naszym warszawskim biurze przy Jerzego Waldorffa 24.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026