Waarom elke organisatie een Minimal Viable Company nodig heeft

Cyberaanvallen worden geavanceerder en hebben tot gevolg dat organisaties tot wel maanden niet in staat zijn tot reguliere bedrijfsvoering. Traditionele disaster recovery-strategieën zijn er vaak op gericht de schade aan het volledige IT-landschap te herstellen. Het Minimum Viable Company-model laat organisaties nadenken over de kleinste operationele versie van een organisatie die nog klanten kan bedienen tijdens een verstoring. Zo kan de gemiddelde hersteltijd van circa 23 dagen worden teruggebracht tot enkele uren of een dag.

Veel organisaties erkennen het belang van een MVC, maar hebben moeite deze concreet vast te stellen. De knelpunten zitten vaak in de complexe IT-omgeving, maar ook in het probleem om onderscheid te maken tussen kritieke en niet-kritieke systemen, stelt Darren Thomson, Field CTO EMEAI bij Commvault, in een expert-artikel op Information Age.

Een eerste stap om tot een MVC te komen is na te gaan welke processen essentieel zijn voor directe omzet of dienstverlening en als eerste moeten worden hersteld. Is er een mogelijkheid om ze tijdelijk te omzeilen? De processen die overblijven zijn waarschijnlijk ondersteunend en kunnen langer wachten op herstel.

Een handige oefening is om te vragen:

• Kunnen we zonder dit systeem klanten bedienen?
• Kunnen we factureren?
• Kunnen medewerkers werken?
• Kunnen we leveranciers aansturen?

Als het antwoord op één van deze vragen "nee" is, hoort het systeem waarschijnlijk in de MVC.

Vervolgens moeten de afhankelijkheden in kaart worden gebracht. De centrale vraag moet zijn: Als dit systeem uitvalt, welke processen stoppen dan direct?

Afhankelijkheden ontstaan vaak doordat teams in silo’s werken, waardoor de afhankelijkheden onvoldoende zichtbaar zijn. Het organiseren van workshops waaraan de werkvloer en IT deelnemen is een belangrijk deel van het inventarisatieproces.

Als vuistregel wordt in het MVC-model voorgesteld om ongeveer 20 procent van de productieomgeving beschikbaar te houden om de herstelprocedure mee uit te voeren. Die omgeving moet los staan (air-gapped) van de rest van de omgeving en voorzien zijn van immutable storage.

Het inrichten van een MVC-strategie is geen eenmalige exercitie. De marktbehoeften veranderen en daar speelt een organisatie op in met nieuwe producten en diensten, of overnames. De MVC moet daarom behandeld worden als een levend model, dat meebeweegt met de organisatie.