Backup, disaster recovery och business continuity är tre olika delar av företagets beredskap för dataförlust, IT-störningar och andra allvarliga incidenter. Backup handlar främst om att skapa och skydda kopior av data. Disaster recovery, ofta förkortat DR, handlar om att återställa IT-system och data efter en incident. Business continuity handlar bredare om hur verksamheten ska kunna fortsätta eller återuppta sina viktigaste funktioner även när IT-system eller andra resurser påverkas.
De tre områdena kompletterar varandra. En fungerande backup gör det möjligt att återställa data, en disaster recovery-plan beskriver hur IT-miljön återställs och business continuity planerar hur verksamheten ska hantera störningen som helhet. Tillsammans skapar de en strukturerad beredskap för driftstopp, cyberangrepp, tekniska fel och andra avbrott.
Backup som grund för dataskydd
Backup innebär att företaget skapar separata kopior av data som kan användas om originalinformationen förloras, skadas eller raderas. Säkerhetskopiering kan omfatta dokument, databaser, servrar, affärssystem, molntjänster och annan verksamhetskritisk information.
En backupstrategi omfattar bland annat backupfrekvens, retention, lagringsplatser, åtkomstkontroll och återställningstester. Målet är att skapa förutsättningar för att det finns användbara återställningspunkter när data behöver återskapas.
Disaster recovery för återställning av IT-miljön
Disaster recovery beskriver hur företagets IT-system, infrastruktur och data ska återställas efter en allvarlig incident. Det kan exempelvis handla om ett större serverfel, ransomware, omfattande driftstörningar eller förlust av en viktig IT-miljö.
En disaster recovery-plan kan innehålla prioriterade system, återställningsordning, tekniska procedurer, ansvar, kommunikationsvägar och krav på återställning. RPO och RTO används för att definiera hur mycket data som får förloras och hur snabbt systemen behöver vara tillbaka i drift.
Business continuity för verksamhetens fortsatta drift
Business continuity fokuserar på hur verksamheten ska kunna upprätthålla sina viktigaste funktioner under och efter en störning. Perspektivet är bredare än IT och kan även omfatta personal, lokaler, leverantörer, kommunikation, manuella processer och alternativa arbetssätt.
En business continuity-plan identifierar vilka verksamhetsprocesser som är mest kritiska och hur de kan fortsätta även om vissa resurser inte är tillgängliga. IT-återställning är därför en viktig del, men inte hela kontinuitetsplaneringen.
Skillnaden mellan data, IT-system och verksamhetsprocesser
Den tydligaste skillnaden mellan områdena ligger i vad som ska skyddas och återställas. Backup fokuserar på data och återställningskopior, disaster recovery fokuserar på IT-system och teknisk återställning, medan business continuity fokuserar på verksamhetens förmåga att fortsätta fungera.
Exempelvis kan ett företag ha fungerande backup av sitt affärssystem men fortfarande sakna en plan för hur kundservice, orderhantering eller ekonomiprocesser ska fungera under ett längre IT-avbrott. Därför behöver nivåerna planeras tillsammans.
RPO, RTO och verksamhetens prioriteringar
RPO och RTO hjälper företaget att översätta verksamhetens behov till konkreta krav på backup och återställning. RPO beskriver hur långt tillbaka i tiden data får gå förlorad, medan RTO beskriver hur lång tid ett system eller en tjänst får vara otillgänglig.
Business continuity kompletterar dessa mål genom att identifiera vilka verksamhetsprocesser som måste fungera och vilka alternativa lösningar som kan användas under en störning. På så sätt kopplas tekniska återställningsmål till faktisk affärspåverkan.
Hur backup, disaster recovery och business continuity samverkar
Backup, disaster recovery och business continuity bör ses som sammanhängande skyddslager snarare än separata aktiviteter. Backup ger tillgång till återställningsbara data, disaster recovery använder tekniska metoder för att återställa IT-miljön och business continuity beskriver hur verksamhetens kritiska funktioner kan hanteras under störningen.
Om backupen fungerar men återställningsprocessen inte är testad kan disaster recovery ändå misslyckas. Om IT-systemen kan återställas snabbt men verksamheten saknar alternativa processer kan ett avbrott fortfarande få stor affärspåverkan.
Incidenthantering och återställningsprocesser
Beredskapen kan omfatta identifiering av incidenten och bedömning av dess omfattning innan återställningen genomförs. Vid en cyberincident kan det exempelvis vara nödvändigt att isolera drabbade system, kontrollera konton och säkerställa att återställningspunkten är tillförlitlig.
Disaster recovery beskriver de tekniska stegen för att återställa IT-miljön, medan business continuity kan innehålla åtgärder för att hålla verksamheten igång under tiden. Backup blir en viktig resurs när data behöver återställas.
Återställningsordning och systemberoenden
Systemberoenden behöver dokumenteras eftersom ett system sällan fungerar helt isolerat från andra IT-tjänster. Ett affärssystem kan exempelvis vara beroende av databaser, identitetstjänster, nätverk, integrationer eller lagringssystem.
Disaster recovery-planen bör därför ange vilken ordning systemen ska återställas i. Business continuity-planen bör samtidigt beskriva vilka verksamhetsprocesser som kan prioriteras och vilka alternativa arbetsmetoder som kan användas om ett system fortfarande är otillgängligt.
Testning och verifiering av beredskapen
Regelbundna tester kan visa om backup, disaster recovery och business continuity fungerar i praktiken. Backup kan testas genom återställning av data, medan disaster recovery kan testas genom att återställa hela system eller delar av IT-miljön.
Business continuity kan testas genom scenarier där kritiska processer behöver genomföras utan tillgång till ordinarie system, lokaler eller andra resurser. Resultaten bör dokumenteras och användas för att förbättra planerna.
Samordnad kontinuitets- och återställningsstrategi
Företagets övergripande strategi bör koppla samman backup, disaster recovery och business continuity med samma riskbild och verksamhetsprioriteringar. Det gör det möjligt att dimensionera tekniska lösningar utifrån vad verksamheten faktiskt behöver skydda.
Planerna bör uppdateras när verksamheten förändras, exempelvis när nya molntjänster, affärssystem, integrationer eller arbetsprocesser införs. Regelbunden uppföljning kan bidra till att beredskapen fortsätter vara relevant.
Vanliga frågor om backup, disaster recovery och business continuity
Vad är skillnaden mellan backup och disaster recovery?
Backup handlar om att skapa och skydda kopior av data. Disaster recovery handlar om processen och tekniken för att återställa IT-system, data och infrastruktur efter en allvarlig incident.
Vad är skillnaden mellan disaster recovery och business continuity?
Disaster recovery fokuserar främst på återställning av IT-system och data. Business continuity omfattar hela verksamhetens förmåga att fortsätta sina viktigaste funktioner under och efter en störning.
Är backup en del av disaster recovery?
Ja. Backup är ofta en viktig komponent i disaster recovery eftersom återställningsbara kopior av data behövs när information eller system ska återställas.
Är disaster recovery en del av business continuity?
Disaster recovery kan vara en viktig del av business continuity eftersom verksamhetens kontinuitet ofta är beroende av att kritiska IT-system kan återställas.
Vad betyder RPO och RTO i dessa planer?
RPO anger hur långt tillbaka i tiden data får gå förlorad, medan RTO anger hur lång tid ett system eller en tjänst maximalt får vara otillgänglig innan återställning behöver vara genomförd.
Behöver ett mindre företag både backup och disaster recovery?
Behovet behöver bedömas utifrån verksamhetens beroende av digital information och IT-system samt dess risker och återställningskrav. Backup och rutiner för återställning bör anpassas efter verksamhetens behov.
Varför behöver företag testa sina återställningsplaner?
Tester kan visa om backupen går att återställa, om systemen kan återställas inom planerade mål och om verksamhetens kritiska processer kan hanteras under ett avbrott.
Sammanfattning
Backup, disaster recovery och business continuity har olika fokus men kompletterar varandra. Backup skyddar data genom återställningsbara kopior, disaster recovery beskriver hur IT-system och data återställs och business continuity beskriver hur verksamhetens viktigaste funktioner kan fortsätta vid en störning.
En robust strategi kopplar samman alla tre områden genom tydliga prioriteringar, RPO- och RTO-mål, dokumenterade rutiner och regelbundna tester. Det ger företaget bättre förutsättningar att hantera dataförlust, cyberincidenter, tekniska fel och längre driftstörningar.
