Intuicja podpowiada, że najbardziej zagrożone są firmy zaniedbane: bez kopii, bez procedur, bez ludzi od bezpieczeństwa. Rynek pokazuje coś innego. Najbardziej narażone są organizacje, które myślą, że mają odporność. Przekonanie zamyka temat, a zamkniętego tematu nikt już nie sprawdza.

Ten mechanizm przybiera w praktyce kilka powtarzalnych postaci. Cztery z nich warto znać, bo wracają najczęściej.

Profil pierwszy: średnie firmy z własną serwerownią prowadzoną po staremu. Serwerownia działa od lat, więc wydaje się sprawdzona. Tyle że przez te lata zmieniło się wszystko dookoła: zagrożenia, regulacje, zależności od dostawców i skala biznesu, który na tej serwerowni wisi. Sprawdzona przeszłość bywa mylona z gotowością na przyszłość.

Profil drugi: firmy w hybrydzie bez architektury. Trochę systemów u siebie, trochę w chmurze, zero spójności. Taki układ zwykle nie jest efektem decyzji, tylko historii: kolejne potrzeby załatwiano kolejnymi rozwiązaniami. Każdy element osobno może działać dobrze. Problem w tym, że nikt nie zaprojektował całości, więc nikt nie wie, jak ta całość zachowa się w kryzysie.

Profil trzeci: firmy szybko rosnące, w których technologia nie nadąża za biznesem. Wzrost to dobra wiadomość, ale ma swój cień. Środowisko projektowane na firmę sprzed dwóch lat dźwiga dziś firmę dwa razy większą. Każdy nowy klient i każdy nowy proces zwiększają obciążenie konstrukcji, której nikt w międzyczasie nie wzmocnił.

Profil czwarty: organizacje uzależnione od jednego dostawcy albo jednego ekosystemu. O tym, dlaczego taka zależność stała się ryzykiem strategicznym, pisaliśmy w tej serii szeroko. Tu wystarczy przypomnienie: wygoda jednego ekosystemu ma swoją cenę, którą widać dopiero przy zmianie warunków po drugiej stronie.

Czy to lista dla banków i wielkich instytucji? Nie tylko. Żaden z czterech profili nie zawiera kryterium wielkości. Dotyczą one także, a może przede wszystkim, średnich firm. Jeśli szukać wspólnego mianownika branżowego, jest nim zależność od ciągłości działania. Produkcja, handel, logistyka, zdrowie, sektor publiczny: wszędzie tam zatrzymanie systemów oznacza zatrzymanie podstawowej działalności. Im większa zależność od ciągłości, tym szybciej trzeba zacząć myśleć o odporności.

Jest też wyraźny sygnał, że firma dojrzała do zmiany sposobu myślenia. Moment przejścia z myślenia operacyjnego na architektoniczne poznaje się po tym, że IT przestaje być wsparciem, a staje się warunkiem działania biznesu. Dopóki systemy tylko pomagają, wystarczy nimi zarządzać. Gdy bez systemów firma nie produkuje, nie sprzedaje i nie obsługuje klientów, trzeba je projektować jak fundament, a nie jak narzędzie.

Wspólny morał wszystkich czterech profili brzmi przewrotnie. Zagrożeniem nie jest brak odporności, bo ten da się uzupełnić. Zagrożeniem jest pewność, że odporność już jest, bo ona zatrzymuje wszelkie działania. Dlatego najlepsze, co firma może zrobić po lekturze tej listy, to zadać sobie pytania, od których zaczynaliśmy tę serię. I sprawdzić, czy poczucie bezpieczeństwa wytrzyma konfrontację z odpowiedziami.