כל מה שרציתם לדעת על תוכנית התאוששות מאסון DRP
ותוכנית המשכיות עסקית BCP
מהו אסון DRP?
אסון מוגדר כל אירוע שגורם לאי תפקוד של חלק במערכות המידע, וגורם נזק לפעילות העסקית של הארגון.האסון מוערך על-פי משך הזמן בו המערכת אינה מתפקדת, ובקריטיות המידע אשר אינו זמין.
אירוע האסון מחייב ביצוע פעולה יזומה מצד הארגון על מנת לקיים התאוששות DRP ולחזור לפעילות:שחזור קובץ או שחזור ממערכת גיבויים, מעבר לשרתים חלופיים, בדיקת מצב שירותי ענן או לאתר חלופי ועוד.
המידע המלא על התאוששות מאסון באתר אקסיטו.
מה זה BCP, DRP ומה ההבדל בניהם ?
BCP – תוכנית להמשכיות עסקית:
הינה תוכנית המיועדת להפחית את הסיכון לשיבוש בלתי צפוי לפעילויותיו הממוחשבות הקריטיות של הארגון, והיכולת להבטיח המשכיות של רמת השירותים המינימלית הקריטית לפעולותיו של העסק
DRP – תוכנית להתאוששות מאסון:
הינה תוכנית המבוצעת על-ידי מחלקת מערכות המידע על-מנת לאושש חלק ממערכת המידע,או על-ידי היחידות העסקיות על-מנת לאושש חלק מהמערכת העסקית.התוכניות הינן באחריות ההנהלה ומבוצעת על – ידי מערכת המידע וחייבת להיות עקביתותומכת בתוכנית העסקית הכוללת של הארגון.
מטרות תוכנית המשכיות עסקית BCP והתאוששות מאסון DRP :
מניעת אסון (קדם אסון)
זיהוי מקדים של סיכונים ודרכי התמודדות איתם כגון וירוס כופר, מתקפות סייבר והגנות רוחביות ( חומת אש / Firewall ) בפריסה ארגונית. תכנון מוקדם הממקסם את יכולתו של הארגון לעמוד בפני אסונות מערכתיים וכשלים טכנולוגיים
BCP – המשכיות עסקית (במהלך האסון)
תהליך של שמירה על מערכות הליבה הארגוניות, מערכות קריטיות הנדרשים לשמירת הארגון במעמד התפעולי / או ייזום אתרים חמים משניים במהלך אסון. אמצעי המשכיות מונעים מהארגון כולו מלחדול באמצעות שימור מערכות ומשאבים חיוניים וקריטיים לתפקוד עסקי.
בשלב זה בד”כ מוגדרים התהליכים הבאים:
אתר מערכות מידע נוסף DRP, בין אם אתר חם Active – Active או ברמות שונות של Active Passive
הסכמים לזמן עליית האתר במידת הצורך ונמדד בין מספר דקות ועד ליממה שלמה.
קווי תקשורת לגיבוי, יתירות רשת או ניתובים חלופיים שונים עבור התמודדות מול בעיות של רשתות תקשורת
DRP – התאוששות מאסון (לאחר אסון)
הצעדים הדרושים להחזרת כל המערכות והמשאבים למעמד תפעולי מלא. ארגונים יכולים לצמצם את זמן ההחלמה בהתאם לעמידה בתוכנית והבנת הצרכים הארגוניים, ספקי שירות מתאימים ועוד.
ניתוח סיכונים והשלכות :
ניתוח סיכונים טכנולוגיים :
בתהליך זה נקבעת הקריטיות של משאבי מערכת המידע (כגון: יישומים, נתונים, רשתות, תוכניות מערכת, מתקני חומרה וכיוצא באלה), אשר תומכים בפעילותו של הארגון.
משום כך, ניתוח סיכונים זה הינו ייעודי לכל ארגון באשר הואולא ניתן להסיק מארגון אחד על הקריטיות של המערכות לארגונים אחרים.
על כל ארגון לנתח את הסיכונים הטכנולוגיים וההשלכות העסקיות האופציונאליותולבחון מענה בהתאם להם בצורה מחושבת עלות – תועלת.
השאלות העיקריות בבחינת את השלכות עסקיות בארגון :
מה הם משאבי המידע הקריטיים הקשורים לתהליכים עסקיים קריטיים?
מהם אורכי הזמן הקריטיים במסגרתם על הארגון להשיב את פעילות מערכותיו, טרם התרחשותם של נזקים או הפסדים משמעותיים?
מהו דירוג הסיכון של המערכת ? דירוג הסיכון מורכב מהשפעת השיבוש המהווה פונקציה של אורך הזמן הקריטי להתאוששות מהשיבוש יחד עם ההסתברות לשיבוש.
דירוג הסיכון מתחלק למספר רמות :
קריטי (CRITICAL) :
חיוני (VITAL) :
רגיש (SENSITIVE) :
לא קריטי (NONCRITICAL)
אסטרטגיית התאוששות והמשכיות DRP, BCP
אסטרטגיית התאוששות מאסון DRP יעילה נבנית מתוך התחשבות בעלות של אורך זמן קריטי סביר,תוך התייחסות להשפעה של השיבוש וההסתברות של השיבוש,כפי שהוערכו בשלב ניתוח הסיכונים הטכנולוגיים וניתוח השלכות עסקיות.
לכל מערכת המפעילה יישום התומך בפעולה עסקית קריטית תידרש אסטרטגיית התאוששות.
נקודות ציון בכתיבת תוכנית התאוששות מאסון והמשכיות עסקית DRP / BCP :
המטרות, הדרישות והתוצרים של כל אחד משלבי התוכנית.
מתקנים חלופיים לביצוע המשימות והפעילויות.
משאבי מידע קריטיים כולל רשימת נתונים ומערכות.
כוח האדם האחראי להשלמת המשימות.
תזמון המשימות ותעדוף ממוקד.
שמירת עותקים עדכניים מהתוכנית מחוץ לארגון.
התייחסות לאנשי מפתח חיצוניים (ספקי שירות, חומרה ותוכנה), אנשי מפתח פנימיים וחלוקת סמכויות במצב של אסון – יש לציין דרכי התקשרות עם אנשי הקשר הרלוונטיים.
רשתות תקשורת.
כיסוי ביטוחי.
ניסוי ובדיקת התוכנית :
מטרת הניסוי הינה לבחון את היעילותוהאפקטיביות של תוכנית הארגון להמשכיות עסקית – BCP והתאוששות מאסון – DRP.הניסוי אמור לכלול את כל המרכיבים הקריטיים ולדמות מצב של אסון.
הבדיקות שיש לבצע :
בדיקת יעילותה ומוקדי יתרון חסרון בתוכנית.
הערכת ביצועיהם של הגורמים המעורבים בביצוע התוכנית (אנושי מערכתי וספקים).
הערכה של מודעות ושל איכות ההדרכה של אנשי הצוותים בארגון.
הערכת התיאום והזרימה בתהליכי התוכנית – בין הצוותים לבין הספקים וגורמים נוספים.
מדידת היכולת של אתר ההתאוששות לביצועים הנדרשים.
הערכת תהליך אחזור הנתונים החיוניים : על הארגון לתעד את תוצאות הניסוי שבוצע,
תחזוקת תוכניות ההתאוששות וההמשכיות
מחלקת מערכות המידע היא האחראית לתחזוקה השוטפת של התוכניות ויעילותן :
לוודא כי תוכניות ה- BCP / DRP משקפות את צורכי הארגון המשתנים.
שינויים באסטרטגיה עסקית של הארגון סביר להניח שישפיעו גם על תוכניות,
לוודא שקיים לוח זמנים לסקירה תקופתית של התוכנית, עם בעלי התפקידים הרלוונטיים.
לוודא קיום תוכנית הדרכה לכוח האדם הרלוונטי, בנוגע לפעולות הגיבוי והתאוששות.
ביצוע תיעוד אשר כולל עריכת ניסויים, הדרכה וסקירות, דוחות ומעקב.
המלצות :
אקסיטו ממליצה לתת עדיפות עליונה להקצאת המשאבים הדרושים לטיפול בנושא תוכניות BCP ותוכניות DRPוכיוצא באלו גם היערכות לשעת חירום.
הערכות נכונה ויעילה עשויה להבטיח שהארגון יוכל לחזור במהירות למצב של פרודוקטיביות לאחר אסון.אם לא תבוצענה השקעות מספיקות להגנה על מערכות מידע קריטיות,הרי האסונות עלולים להיות ממושכים ויקרים יותר ולהביא אף להפסדים חמורים.
חברות ציבוריות ותחת רגולציות כבר עומדות תחת תקנים ומבצעות סקר אתר להתאוששות מאסון והמשכיות עסקית ומעקב ותיעוד באופן קבוע ומבוקר.