תקינה והסמכות · המשכיות
המשכיות עסקית - תוכנית שמישהו יודע להפעיל בשלוש לפנות בוקר
מבחן ההמשכיות העסקית אינו עובי הקלסר אלא השאלה אם מי שנמצא במשמרת יודע מה לעשות. תוכניות רבות נכתבות ברמת פירוט גבוהה ונכשלות בדיוק שם: הן ארוכות מדי מכדי לפתוח אותן באירוע.
העבודה שלי היא לבנות מערך שמבוסס על ניתוח השפעה אמיתי, ושתוכניות ההפעלה שלו קצרות מספיק כדי לשמש בפועל.
מה כולל הליווי
- ניתוח השפעה עסקית לפי המתודולוגיה של ISO 22317: אילו תהליכים קריטיים ובאיזה טווח זמן
- בניית מדיניות המשכיות עסקית ומסמך המערך הכולל
- כתיבת תוכניות המשכיות והתאוששות ליחידות ולתהליכים
- הגדרת תפקידים בחירום ומנגנון הפעלה
- תרגילים ובחינת התוכניות מול תרחישים
- עדכון המערך אחרי שינויים ארגוניים ואחרי תרגילים
- הכנה למבדק ISO 22301 וליווי בו
ההבחנה בין שלוש התוכניות
| מסמך | מה הוא עונה |
|---|---|
| מדיניות המשכיות | מה הארגון מתחייב אליו ומי אחראי |
| תוכנית המשכיות (BCP) | איך ממשיכים לספק את השירות הקריטי |
| תוכנית התאוששות (DRP) | איך משחזרים את המערכות והתשתית |
בלבול בין השניים האחרונים הוא הטעות הנפוצה: ארגונים כותבים תוכנית התאוששות טכנית ומניחים שהיא תוכנית המשכיות. היא לא - היא לא עונה על השאלה מה עושים עם הלקוחות בינתיים.
החיבור לסיכונים ולאבטחת המידע
ניתוח ההשפעה העסקית אינו עבודה נפרדת מסקר הסיכונים - הוא ההמשך הטבעי שלו. הסקר מזהה מה עלול לקרות; ה-BIA קובע כמה זמן הארגון יכול לעמוד בזה.
בפועל, רוב אירועי ההמשכיות שארגונים חווים היום מגיעים מאבטחת מידע: כופרה, נפילת ספק ענן, או השבתה של מערכת ליבה. לכן תוכנית ההמשכיות ותוכנית התגובה לאירועי אבטחה צריכות לדבר זו עם זו, ולא להיכתב בשני מסמכים שאיש לא קרא יחד.
שאלות נפוצות
באיזו תדירות מתרגלים?
לפחות פעם בשנה לתרחיש מרכזי, ובנוסף תרגילי שולחן קצרים ליחידות. תרגיל שלא נערך הופך את התוכנית להשערה.
מי צריך ISO 22301?
בעיקר ארגונים שמספקים שירות חיוני או שלקוחותיהם דורשים זאת. גם בלי הסמכה, המתודולוגיה שווה.
יש לנו תוכנית מלפני חמש שנים. היא עדיין טובה?
כמעט בוודאות לא. שינויים במבנה, בספקים ובמערכות הופכים תוכנית ישנה למסוכנת יותר מאשר היעדר תוכנית, כי היא מייצרת ביטחון שגוי.
בדיקה מול תרחיש אחד
אם יש לכם מערך קיים, בדיקה שלו מול תרחיש אחד מספיקה כדי להבין את מצבו.