Stabilire il budget

​

Una volta stabiliti i rischi, ci si deve chiedere come si può prevenire ogni rischio e quanto costa la prevenzione, nonché che impatto avrebbe un tale evento sul piano del business. Per esempio un sistema di virtualizzazione nel proprio ufficio potrebbe richiedere l'uso di un gruppo di continuità per proteggere da sbalzi di tensione, i dati potrebbero essere backuppati due volte al giorno e trasferiti in un luogo remoto per sicurezza, se si dovesse verificare un furto. Maggiori sono i rischi che si riescono a prevenire, maggiore è il valore della prevenzione; come dice Cole Emerson: "Un dollaro speso in prevenzione vale più di un dollaro speso nel ripristino della situazione". Il risultato dell'analisi dei rischi dovrebbe essere una lista dei rischi con la corrispondente soluzione e il costo di implementazione. È dovere dell'IT manager presentare ai titolari un elenco del genere perché spesso gli imprenditori non sono nemmeno a conoscenza dei potenziali rischi legati all'IT. Un buon punto di partenza per presentare questi piani alla Direzione consiste nell'evidenziare i costi legati al downtime dei sistemi informativi: quanto a lungo può stare ferma l'azienda senza sistemi informativi? Sarà poi la Direzione ad assumersi la responsabilità di valutare quali rischi possono essere tollerati e quali no. Ma anche in questo caso l'IT manager è fondamentale, infatti la Direzione e gli IT manager devono concordare di comune accordo quali siano i sistemi critici e quali no. Per esempio, nel caso precedente, l'azienda potrebbe decidere di risparmiare sul backup fuori sede ma di investire in un secondo server per ridondanza. I budget variano da azienda ad azienda e da settore a settore, ma statisticamente un budget tipico per sistemi di backup e disaster recovery va dal 5% al 15% di tutto il budget dedicato all'IT.