Apa itu RTO dan RPO dalam ISO 22301? Pelajari perbedaan antara Recovery Time Objective dan Recovery Point Objective serta cara menetapkannya dalam perencanaan kelangsungan bisnis, khususnya untuk organisasi dan BUMN di Indonesia

ini adalah suplemen kalo kata trainer ISO, jadi ada 2 istilah yang sangat berbeda dari ISO mutu atau lingkungan yaitu RTO RPO

Berikut ini terjemahan dari artikel “RTO and RPO: What is the difference between Recovery Time Objective and Recovery Point Objective?”

RTO dan RPO: Apa Perbedaan antara Recovery Time Objective dan Recovery Point Objective?

Dejan Kosutic
Diperbarui: 13 Desember 2023

Saat mengembangkan Business Continuity Plans (BCP) atau Disaster Recovery Plans (DRP), dua istilah yang sering muncul adalah: Recovery Time Objective (RTO) dan Recovery Point Objective (RPO). Meskipun sangat penting dalam BCP dan DRP, RTO dan RPO bukanlah konsep yang mudah dipahami, sehingga dapat menyebabkan rencana yang terlalu banyak menggunakan sumber daya, atau rencana yang tidak mencapai hasil yang diharapkan.

Dalam artikel ini, Anda akan melihat bagaimana ISO 22301, standar ISO utama untuk manajemen kelangsungan bisnis, mendefinisikan parameter ini, serta contoh penerapannya dan bagaimana keduanya dapat digunakan untuk membangun rencana yang kuat dan andal yang memungkinkan optimalisasi sumber daya sesuai dengan hasil yang diinginkan.

Definisi RTO: Jumlah waktu setelah terjadi bencana di mana operasi bisnis harus dilanjutkan dan sumber daya harus tersedia untuk digunakan.

Definisi RPO: Jumlah kehilangan data yang dapat diterima oleh organisasi sebagai konsekuensi dari suatu bencana.

Apa itu RTO?

Definisi RTO (Recovery Time Objective) adalah jumlah waktu setelah terjadi bencana di mana operasi bisnis harus dilanjutkan dan sumber daya kembali tersedia untuk digunakan. Definisi RTO dapat ditemukan dalam ISO 22300, yang mendefinisikan kosakata untuk ISO 22301.

Contohnya, jika RTO adalah dua jam, maka ini berarti Anda harus melanjutkan pengiriman produk atau layanan, atau pelaksanaan aktivitas, dalam dua jam – oleh karena itu, rencana kelangsungan bisnis dan pemulihan bencana Anda harus mempertimbangkan RTO selama pengembangannya.

Apa itu RPO?

Definisi RPO (Recovery Point Objective) adalah jumlah kehilangan data yang dapat diterima oleh organisasi sebagai akibat dari suatu bencana (misalnya, kehilangan perangkat lunak atau perangkat keras secara besar-besaran).

Makna RPO juga diberikan oleh ISO 22301: definisi dari Recovery Point Objective, atau RPO, adalah jumlah data yang dapat ditoleransi oleh suatu bisnis untuk hilang baik dalam bentuk waktu, atau dalam jumlah informasi.

Sebagai contoh, bayangkan sebuah basis data yang merekam semua transaksi dalam sebuah bank (misalnya pembayaran, transfer, penjadwalan, dll.). Biasanya, dalam kasus seperti ini, RPO adalah nol, karena bahkan dalam beberapa menit saja, ratusan transaksi bisa terjadi, dan informasi ini tidak boleh hilang serta tidak dapat dipulihkan dengan cara lain.

Sekarang bayangkan repositori kode sumber tempat para pengembang perangkat lunak menyimpan pekerjaan mereka. Relatif mudah untuk menulis ulang kode yang hilang dalam satu hari kerja, tetapi lebih dari itu bisa menjadi sulit atau tidak mungkin untuk dibuat ulang. Dalam hal ini, RPO-nya adalah 24 jam, yang berarti backup harus dilakukan setidaknya setiap 24 jam.

Intinya, semakin sulit untuk memulihkan atau membuat ulang data tersebut, maka semakin pendek pula RPO-nya harus dibuat.

RTO vs. RPO: Apa perbedaannya?

Perbedaan utama antara RTO dan RPO adalah tujuannya – karena berfokus pada waktu, RTO berkaitan dengan waktu henti layanan, aplikasi, dan proses, membantu dalam menentukan sumber daya yang harus dialokasikan untuk kelangsungan bisnis; sedangkan RPO, yang berfokus pada jumlah data, hanya bertujuan untuk menentukan frekuensi backup.

Perbedaan lain yang relevan adalah, dalam kaitannya dengan waktu terjadinya gangguan:

RTO melihat ke depan (yakni berapa lama waktu yang Anda butuhkan untuk melanjutkan operasi),
RPO melihat ke belakang (yakni berapa banyak waktu atau data yang Anda bersedia hilangkan).

Apa itu RTO dan RPO dalam pemulihan bencana dan kelangsungan bisnis?

RTO digunakan untuk menentukan jenis persiapan yang diperlukan dalam menghadapi bencana, dalam bentuk uang, fasilitas, telekomunikasi, sistem otomatis, personel, dan sebagainya. Semakin pendek RTO, semakin besar sumber daya yang dibutuhkan.

RPO digunakan untuk menentukan frekuensi backup data guna memulihkan data yang dibutuhkan jika terjadi bencana. Jika RPO Anda adalah empat jam, maka Anda harus melakukan backup setidaknya setiap empat jam; backup setiap 24 jam akan sangat berisiko, tetapi jika dilakukan setiap jam, biayanya bisa sangat tinggi dan mungkin tidak memberikan nilai tambah bagi bisnis.

Keduanya – Recovery Time Objective dan Recovery Point Objective – berhubungan dengan kelangsungan bisnis melalui analisis dampak bisnis (BIA), tempat di mana keduanya ditentukan, serta strategi kelangsungan bisnis, tempat di mana persiapan untuk mencapainya dirancang.

Apakah RTO dan RPO saling terkait?

Meskipun RTO dan RPO sama-sama penting untuk analisis dampak bisnis dan manajemen kelangsungan bisnis, keduanya tidak saling berkaitan secara langsung, dan tidak saling bertentangan satu sama lain (karena yang satu berhubungan dengan waktu dan yang satu lagi dengan jumlah data), jadi tidak masuk akal untuk membandingkan RPO vs. RTO.

Apakah RPO harus lebih pendek dari RTO?

Karena RTO dan RPO tidak saling berkaitan langsung, maka RPO tidak harus lebih pendek dari RTO, atau sebaliknya – Anda bisa saja memiliki RTO 24 jam dan RPO 1 jam, atau RTO 2 jam dan RPO 12 jam.

Contoh: Sebuah situs e-commerce perlu online kembali 4 jam setelah terjadi gangguan, maka RTO-nya adalah 4 jam. Situs yang sama memiliki dua basis data, satu untuk katalog produk yang diperbarui seminggu sekali, dan satu lagi untuk mencatat penjualan (ribuan per hari). RPO untuk basis data katalog bisa seminggu, tetapi untuk basis data penjualan, RPO-nya harus mendekati nol.

Pentingnya RTO dan RPO dalam keamanan siber

Meskipun RTO dan RPO awalnya diperkenalkan untuk peristiwa gangguan terkait bencana alam dan serangan langsung oleh manusia (misalnya vandalisme dan terorisme), ketergantungan bisnis terhadap sistem digital saat ini membuat RTO dan RPO juga penting dalam keamanan siber. Misalnya, RTO dan RPO memungkinkan tim keamanan siber merencanakan respons terhadap serangan seperti DoS dan ransomware.

Manajemen kelangsungan adalah soal perencanaan, bukan spekulasi

Rencana kelangsungan bisnis dan pemulihan bencana adalah sesuatu yang harus dimiliki organisasi, dengan harapan tidak perlu digunakan – dan dalam hal ini, mereka harus menemukan keseimbangan antara investasi sumber daya seminimal mungkin dan keyakinan maksimal bahwa rencana akan berhasil.

Untuk mencapai keseimbangan ini, RPO dan RTO sangat penting. Tanpa menetapkannya dengan benar, Anda hanya akan menebak-nebak – dan menebak adalah cara terbaik untuk memastikan kegagalan pemulihan dari bencana, bukan kesuksesan pemulihan setelah bencana.

Cari Blog Ini

Kayu Lantai