המשכיות עסקית

המשכיות עסקית (Business Continuity) היא מערך מקיף של תהליכים, נהלים ומשאבים המבטיחים שהפעילות הקריטית של הארגון תימשך במהלך אירועים משבשים ולאחריהם - בעוד שהתאוששות מאסון מתמקדת באופן ספציפי בשחזור מערכות IT ונתונים לאחר כשלים טכניים, להמשכיות עסקית יש היקף רחב יותר המקיף את כל ההיבטים הנדרשים לשמירה על תפקוד הארגון, לרבות אנשים (זמינות כוח אדם מפתח, תכנון ירושה, הכשרה רב-תחומית), מתקנים פיזיים (אתרי עבודה חלופיים, יכולות עבודה מרחוק), שרשרת אספקה (ספקי גיבוי, מלאי חיץ) ותהליכים עסקיים (נהלים ידניים כאשר מערכות אוטומטיות נכשלות). כשלים בתכנון ההמשכיות גורמים להשלכות הרסניות: אובדן הכנסות במהלך השבתה ממושכת (מחקרים מראים כי עסקים קטנים מפסידים בממוצע 10000 $ לכל שעת השבתה, וארגונים גדולים עלולים להפסיד מיליונים בשעה), שחיקת אמון הלקוחות ומוניטין המותג (לקוחות עוברים למתחרים המפגינים אמינות גבוהה יותר), אי-עמידה ברגולציה ובהסכמי SLA חוזיים המובילה לקנסות ולהתדיינות משפטית, אובדן נתח שוק העלול להיות קבוע אם המתחרים לוכדים לקוחות בתקופת אי-הזמינות, ובמקרים קיצוניים פשיטת רגל (Gartner מעריכה כי 40 אחוז מהעסקים החווים אובדן נתונים הרסני לעולם אינם נפתחים מחדש, ו-90 אחוז נכשלים בתוך שנתיים). תכנון המשכיות עסקית אפקטיבי פועל לפי גישה מובנית: ניתוח השפעה עסקית (BIA) מזהה תהליכים קריטיים ומכמת את ההשפעה הכספית והתפעולית של הפרעות, הערכת סיכונים מעריכה את הסבירות וההשפעה הפוטנציאלית של תרחישי איום שונים (אסונות טבע כגון רעידות אדמה ושיטפונות, כשלים טכנולוגיים כגון הפסקות חשמל ותוכנות כופר, גורמים אנושיים כגון שביתות ומגפות), פיתוח אסטרטגיות המשכיות המגדירות כיצד פונקציות קריטיות יישמרו או ישוחזרו במהירות, יצירה ותיעוד של תוכניות מפורטות הכוללות נהלים ופרטי קשר, בדיקות סדירות באמצעות תרגילי שולחן וסימולציות מלאות המאמתות שהתוכניות פועלות בפועל, ושיפור מתמיד המשלב לקחים שנלמדו מבדיקות ומאירועים בפועל.

ניתוח השפעה עסקית (BIA)

ניתוח השפעה עסקית הוא התהליך השיטתי של זיהוי והערכת ההשפעות הפוטנציאליות של הפרעות על פעילות עסקית קריטית, המספק בסיס כמותי לתעדוף מאמצי ההתאוששות והקצאת המשאבים. תהליך ה-BIA: זהו פונקציות עסקיות קריטיות באמצעות ראיונות עם מנהלי יחידות עסקיות ובעלי תהליכים (תהליך ייצור, מילוי הזמנות, תמיכת לקוחות, עיבוד שכר, דיווח ציות), קבעו תלויות של כל פונקציה במונחי מערכות IT (ERP, CRM, דוא"ל), מתקנים (מפעל ייצור, מרכז נתונים, מוקד טלפוני), כוח אדם (תפקידים מתמחים, רמות איוש מינימליות), ספקים וקבלנים (חומרי גלם, שירותי ענן, מעבדי תשלומים) ותשתיות (חשמל, קישוריות אינטרנט, מים). כמתו את ההשפעה הכספית של ההפרעה עבור כל פונקציה במרווחי זמן שונים: השפעה מיידית (השעה הראשונה, היום הראשון), טווח קצר (שבוע), טווח בינוני (חודש) וטווח ארוך (מעל 3 חודשים) - כללו עלויות ישירות (אובדן הכנסות ממכירות, עלויות כוח עבודה לא פעיל, משלוח מזורז לצורך התאוששות, שכר טרחת יועצים) ועלויות עקיפות (נטישת לקוחות, קנסות רגולטוריים, פגיעה במוניטין, אחריות משפטית). קבעו את משך ההשבתה המרבי הנסבל (MTD) עבור כל פונקציה קריטית - כמה זמן יכול הארגון לשרוד ללא אותה פונקציה לפני שיחווה נזק בלתי הפיך או כשל (שכר יכול לסבול שבוע לפני בעיות משפטיות, מכירות מקוונות יכולות לסבול שעות בלבד לפני אובדן הכנסות משמעותי ונטישת לקוחות). חשבו את יעדי זמן ההתאוששות (RTO) - זמן היעד לשחזור כל פונקציה קריטית לאחר תחילת ההפרעה, אשר חייב להיות קצר מה-MTD עם מרווח ביטחון (אם ה-MTD הוא 24 שעות, ה-RTO צריך להיות 12-18 שעות). הגדירו את יעדי נקודת ההתאוששות (RPO) - אובדן הנתונים המרבי המקובל הנמדד בזמן, הנקבע על ידי השאלה "אם נאבד נתונים, כמה נוכל לאבד ללא השפעה בלתי מקובלת?" (לעסקאות פיננסיות עשוי להיות RPO של דקות המחייב שכפול בזמן אמת, לנתונים פחות קריטיים עשוי להיות RPO של 24 שעות המקבל גיבויים יומיים). תעדו את הממצאים בדוח BIA הכולל רשימה מתועדפת של פונקציות קריטיות, מיפוי תלויות, השפעות מכומתות ו-RTO/RPO מומלצים - השתמשו בממצאים אלה כדי להצדיק השקעות BC ולהנחות את פיתוח האסטרטגיה.

אסטרטגיות המשכיות וחלופות

בהתבסס על ממצאי ה-BIA, פתחו אסטרטגיות לשמירה או לשחזור מהיר של פונקציות קריטיות במהלך הפרעות. עבור מערכות IT ונתונים: זמינות גבוהה באמצעות מערכות מיותרות עם מעבר לכשל אוטומטי (אשכולות active-active, שכפול מסדי נתונים, שרתי יישומים מאוזני עומס), פתרונות מבוססי ענן עם מיותרות מובנית בין אזורי זמינות ואזורים גיאוגרפיים, מערכות גיבוי במיקומים חלופיים (hot site עם תשתית מוכנה ונתונים המשוכפלים ברציפות, warm site עם חומרה מותקנת מראש אך הדורשת תצורה, cold site עם חלל ריק וחוזים לאספקת ציוד), והתאוששות מאסון כשירות (DRaaS) שבה הספק מנהל את תשתית המעבר לכשל. עבור מתקנים ומרחב עבודה: מיקומי עבודה חלופיים מזוהים ומתוקצרים מראש (שטח משרד גיבוי באזור גיאוגרפי אחר, חללי עבודה משותפים, חדרי כנסים במלונות), יכולות עבודה מרחוק עם גישת VPN, כלי שיתוף פעולה ומחשבים ניידים מוגדרים מראש עבור כל כוח האדם הקריטי, ופעילות ניידת/נישאת לעבודת שטח. עבור כוח אדם: הכשרה רב-תחומית של עובדים לכיסוי תפקידים קריטיים (לכל תפקיד קריטי צריך להיות אדם גיבוי מיומן), תכנון ירושה עם ממלאי מקום ייעודיים למנהיגים מרכזיים, צוותים מבוזרים גיאוגרפית כדי להימנע מנקודת כשל יחידה (אם מיקום הצוות הראשי נפגע, המיקום החלופי ממשיך), וקשרים עם סוכנויות כוח אדם לתגבור מהיר אם כוח העבודה נפגע באופן משמעותי. עבור שרשרת אספקה: גיוון ספקים כדי להימנע מתלות במקור יחיד, ספקים חלופיים מוכשרים מראש וחוזים בתוקף המאפשרים הפעלה מהירה, מלאי ביטחון או מלאי חיץ של חומרים קריטיים, וסידורי לוגיסטיקה לשעת חירום (ספקי משלוח חלופיים, מסלולים). עבור תקשורת: ערוצי תקשורת מיותרים (מערכות טלפון ראשיות וגיבוי, טלפונים לווייניים, מערכות רדיו), תבניות התראות חירום כתובות מראש, עצי הסלמה עם פרטי קשר המתעדכנים בקביעות, ודובר ייעודי המיומן בתקשורת משבר. אסטרטגיות חייבות לאזן בין עלות לסיכון: אין זה כדאי כלכלית להחזיק מעבר לכשל חם לכל מערכת; תעדפו בהתבסס על ממצאי ה-BIA תוך מיקוד המשאבים בפונקציות הקריטיות ביותר.

בדיקות, תרגילים ואימות תוכניות

תוכניות המשכיות עסקית שאינן נבדקות אינן אלא משאלת לב - רק בדיקות חושפות פערים, מאמתות הנחות, מכשירות את כוח האדם ובונות את זיכרון השריר הארגוני הנדרש לתגובה אפקטיבית במהלך משבר אמיתי, כאשר הלחץ גבוה והזמן מוגבל. יישמו תוכנית בדיקות מתקדמת בעלת מורכבות הולכת וגוברת: תרגילי שולחן (ההשפעה הנמוכה ביותר, התדירות הגבוהה ביותר) מכנסים את בעלי העניין המרכזיים בחדר ישיבות ומעבירים תרחיש מילולית - מנחה מציג אירוע משבש (מתקפת כופר המצפינה את מרכז הנתונים הראשי, רעידת אדמה הפוגעת במטה) והמשתתפים דנים בתגובות בהתבסס על התוכניות המתועדות, מזהים בעיות כגון פרטי קשר חסרים, נהלים מיושנים, תפקידים לא ברורים ופערים בתלויות, מבלי לבצע בפועל פעולות התאוששות (רבעוני לתרחישים בעדיפות גבוהה, שנתי לסקירה מקיפה של כל הסיכונים). בדיקות הליכה מאמתות פיזית שהמשאבים נגישים - בקרו באתר העבודה החלופי ואשרו שהשטח זמין ומתאים, בדקו את מערכות הגישה מרחוק ואמתו שהעובדים אכן יכולים להתחבר מהבית, ודאו שמערכות הגיבוי נדלקות ומכילות נתונים עדכניים, ואשרו שחוזי הספקים פעילים ושהספקים מגיבים לבקשות הפעלת בדיקה (חצי-שנתי). תרגילי סימולציה מבצעים חלקים מתוכנית ה-BC באופן מבוקר - הפעילו את האתר החלופי והעבירו תת-קבוצה של הצוות ליום, בצעו מעבר לכשל של מערכות שאינן ייצוריות כדי לבדוק נהלים טכניים, בצעו הפעלה של עץ התקשורת ואמתו שפרטי הקשר פועלים (שנתי לפונקציות קריטיות). תרגילים בקנה מידה מלא מבצעים את תוכנית ה-BC המלאה כאילו אירע אסון אמיתי - דמו אובדן של המתקן הראשי המחייב הפעלה של כל האתרים והתהליכים החלופיים, ערבו את כל כוח האדם ולא רק את צוות ה-BC, פעלו במצב המשכיות לתקופה ממושכת (24-72 שעות), וצפו בביצועים אל מול ה-RTO/RPO (אחת ל-2-3 שנים בשל ההשקעה המשמעותית במשאבים והשיבוש לעסק). לאחר כל בדיקה: ערכו תחקיר הלוכד את התצפיות, עדכנו את התוכניות תוך טיפול בפערים שזוהו, ספקו משוב למשתתפים, ועקבו אחר פעולות מתקנות עד להשלמתן - בדיקות אינן תרגיל של סימון תיבה אלא הזדמנות לשיפור מתמיד.

הפעלה, ניהול משבר ופיקוד על אירוע

כאשר מתרחש אירוע משבש, תהליך הפעלה מובנה מבטיח תגובה מתואמת: זיהוי והתראה - מישהו מזהה שהמצב עומד בקריטריונים להפעלת תוכנית ה-BC (השבתת מערכת חורגת מהסף, מתקן נפגע, מגפה הפוגעת בכוח העבודה) ומתריע למתאם ה-BC או למנהל התורן באמצעות נתיב הסלמה מוגדר. הערכה ראשונית - מתאם ה-BC מעריך במהירות את חומרת המצב, היקף ההשפעה, משך הזמן הצפוי, והאם המצב מחייב הפעלה של תוכנית ה-BC (אירועים קלים ניתן לטפל בהם באמצעות ניהול אירועים תקני, אסונות גדולים מפעילים הפעלת BC מלאה). החלטת הפעלה והתראה - מנהיג בכיר (CEO, COO, CIO בהתאם למודל הממשל) מקבל את החלטת ההפעלה הרשמית, מתאם ה-BC מודיע לחברי צוות ניהול המשבר (CMT) באמצעות מערכת התראת חירום (עץ טלפונים, פלטפורמת התראה המונית), וה-CMT מתכנס פיזית במרכז מבצעי חירום (EOC) או וירטואלית באמצעות גשר שיחות ועידה. מבנה צוות ניהול המשבר: מפקד האירוע מספק את המנהיגות הכוללת ואת סמכות ההחלטה, ראש המבצעים מנהל את ביצוע פעולות ההתאוששות, ראש התכנון עוקב אחר הסטטוס אל מול היעדים ומפתח תוכניות פעולה לתקופות הבאות, ראש הלוגיסטיקה רוכש את המשאבים הנדרשים (ציוד, אספקה, שירותים), ראש הכספים עוקב אחר העלויות ומאשר הוצאות, ראש התקשורת מנהל את המסרים הפנימיים והחיצוניים, וראש הטכנולוגיה מתאם את פעילויות ההתאוששות של ה-IT. קצב פיקוד: קבעו פגישות עדכון סדירות (כל 2-4 שעות בתחילה, במרווחים גדולים יותר ככל שהמצב מתייצב), השתמשו בפורמט תדרוך מובנה המכסה את מצב המצב, היעדים לתקופה הבאה, צורכי המשאבים וההחלטות הנדרשות, תעדו את כל ההחלטות והפעולות ביומן אירועים לצורך אחריותיות וסקירה שלאחר האירוע, וספקו עדכונים סדירים לארגון הרחב תוך שמירה על שקיפות וניהול החרדה. חידול גיוס ומעבר: כאשר הפעילות הרגילה מתחדשת, סגרו את האירוע באופן רשמי, ערכו סקירה שלאחר הפעולה, עדכנו את תוכניות ה-BC תוך שילוב הלקחים שנלמדו, הכירו בתרומות הצוות, וטפלו בצורכי העובדים (ייעוץ נפשי במקרה הצורך).