דלג לתוכן

DRP – מהי תוכנית התאוששות מאסון ?

כל מה שרציתם לדעת על תוכנית התאוששות מאסון
ותוכנית המשכיות עסקית

מהו אסון DR ?

אסון מוגדר כל אירוע שגורם לאי תפקוד של חלק במערכות המידע,
וגורם נזק לפעילות העסקית של הארגון.
האסון מוערך על-פי משך הזמן בו המערכת אינה מתפקדת,
ובקריטיות המידע אשר אינו זמין.
אירוע האסון מחייב ביצוע פעולה יזומה מצד הארגון על מנת לקיים התאוששות DRP ולחזור לפעילות :
שחזור קובץ או שחזור ממערכת גיבויים, מעבר לשרתים חלופיים או לאתר חלופי ועוד.

מזה תוכנית התאוששות מאסון ותוכנית המשכיות עסקית

מה זה BCP, DRP ומה ההבדל בניהם ?

BCP – תוכנית להמשכיות עסקית :
הינה תוכנית המיועדת להפחית את הסיכון לשיבוש בלתי צפוי
לפעילויותיו הממוחשבות הקריטיות של הארגון,
והיכולת להבטיח המשכיות של רמת השירותים המינימלית הקריטית לפעולותיו של העסק.

DRP – תוכנית להתאוששות מאסון :
הינה תוכנית המבוצעת על-ידי מחלקת מערכות המידע על-מנת לאושש חלק ממערכת המידע,
או על-ידי היחידות העסקיות על-מנת לאושש חלק מהמערכת העסקית.
התוכניות הינן באחריות ההנהלה ומבוצעת על – ידי מערכת המידע וחייבת להיות עקבית
ותומכת בתוכנית העסקית הכוללת של הארגון.

נהל את הסיכונים שלך

מטרות תוכנית המשכיות עסקית והתאוששות מאסון :

מניעת אסון (קדם אסון)
זיהוי מקדים של סיכונים ודרכי התמודדות איתם כגון וירוס כופר, מתקפות סייבר והגנות רוחביות בפריסה ארגונית. תכנון מוקדם הממקסם את יכולתו של הארגון לעמוד בפני אסונות מערכתיים וכשלים טכנולוגיים

BCP – המשכיות עסקית (במהלך האסון)
תהליך של שמירה על מערכות הליבה הארגוניות, מערכות קריטיות הנדרשים לשמירת הארגון במעמד התפעולי / או ייזום אתרים חמים משניים במהלך אסון. אמצעי המשכיות מונעים מהארגון כולו מלחדול באמצעות שימור מערכות ומשאבים חיוניים וקריטיים לתפקוד עסקי. בשלב זה בד”כ מוגדרים התהליכים הבאים:

  1. אתר מערכות מידע נוסף DRP, בין אם אתר חם Active – Active או ברמות שונות של Active Passive
  2. הסכמים לזמן עליית האתר במידת הצורך ונמדד בין מספר דקות ועד ליממה שלמה.
  3. קווי תקשורת לגיבוי, יתירות רשת או ניתובים חלופיים שונים עבור התמודדות מול בעיות של רשתות תקשורת

DRP – התאוששות מאסון (לאחר אסון)
הצעדים הדרושים להחזרת כל המערכות והמשאבים למעמד תפעולי מלא. ארגונים יכולים לצמצם את זמן ההחלמה בהתאם לעמידה בתוכנית והבנת הצרכים הארגוניים, ספקי שירות מתאימים ועוד.

ניתוח סיכונים

ניתוח סיכונים והשלכות :

ניתוח סיכונים טכנולוגיים :
בתהליך זה נקבעת הקריטיות של משאבי מערכת המידע (כגון: יישומים, נתונים, רשתות, תוכניות מערכת, מתקני חומרה וכיוצא באלה),
אשר תומכים בפעילותו של הארגון.
משום כך, ניתוח סיכונים זה הינו ייעודי לכל ארגון באשר הוא
ולא ניתן להסיק מארגון אחד על הקריטיות של המערכות לארגונים אחרים.

על כל ארגון לנתח את הסיכונים הטכנולוגיים וההשלכות העסקיות האופציונאליות
ולבחון מענה בהתאם להם בצורה מחושבת עלות – תועלת.

השאלות העיקריות בבחינת את השלכות עסקיות בארגון :

  1. מה הם משאבי המידע הקריטיים הקשורים לתהליכים עסקיים קריטיים?
  2. מהם אורכי הזמן הקריטיים במסגרתם על הארגון להשיב את פעילות מערכותיו, טרם התרחשותם של נזקים או הפסדים משמעותיים?
  3. מהו דירוג הסיכון של המערכת ? דירוג הסיכון מורכב מהשפעת השיבוש המהווה פונקציה של אורך הזמן הקריטי להתאוששות מהשיבוש יחד עם ההסתברות לשיבוש.
רמות סיכון

דירוג הסיכון מתחלק למספר רמות :

  1. קריטי (CRITICAL) :
    פעולות שאינן יכולות להתבצע, אלא על-ידי החלפה במערכת זהה.
    כמו-כן, פעולות מחשב שלא ניתנות להחלפה באמצעות שימוש בנהלים ידניים.
    מידת הסובלנות כלפי שיבושים הינה נמוכה מאוד,
    וכן עלות שיבושים בד”כ הינה גבוהה מאוד.
  2. חיוני (VITAL) :
    ניתן להחליף את פעולות המחשב באמצעות נהלים ידניים, אך לפרק זמן קצר בלבד.
    מידת הסובלנות לשיבושים גבוהה בייחס לדירוג קריטי, ועלות השיבושים – נמוכה יותר.
  3. רגיש (SENSITIVE) :
    פעולות אשר יכולות להתבצע באופן ידני,
    בעלות סבירה למשך זמן ממושך גם במידת הצורך.
    בד”כ נדרש כוח-אדם נוסף לאכיפת הנהלים הידניים.
  4. לא קריטי (NONCRITICAL) :
    פעולות אשר מסוגלות להתבצע באופן ידני למשך זמן ארוך יחסית.
    עלותן נמוכה מאוד, וכן הן דורשות עדכונים ספורים בשלבי ההתאוששות.
אסטרטגיית יעדים

אסטרטגיית התאוששות והמשכיות DRP, BCP

אסטרטגיית התאוששות מאסון DRP יעילה נבנית מתוך התחשבות בעלות של אורך זמן קריטי סביר,
תוך התייחסות להשפעה של השיבוש וההסתברות של השיבוש,
כפי שהוערכו בשלב ניתוח הסיכונים הטכנולוגיים וניתוח השלכות עסקיות.

לכל מערכת המפעילה יישום התומך בפעולה עסקית קריטית תידרש אסטרטגיית התאוששות.

נקודות ציון בכתיבת תוכנית התאוששות מאסון והמשכיות עסקית DRP / BCP :

  1. המטרות, הדרישות והתוצרים של כל אחד משלבי התוכנית.
  2. מתקנים חלופיים לביצוע המשימות והפעילויות.
  3. משאבי מידע קריטיים כולל רשימת נתונים ומערכות.
  4. כוח האדם האחראי להשלמת המשימות.
  5. תזמון המשימות ותעדוף ממוקד.
  6. שמירת עותקים עדכניים מהתוכנית מחוץ לארגון.
  7. התייחסות לאנשי מפתח חיצוניים (ספקי שירות, חומרה ותוכנה), אנשי מפתח פנימיים וחלוקת סמכויות במצב של אסון – יש לציין דרכי התקשרות עם אנשי הקשר הרלוונטיים.
  8. רשתות תקשורת.
  9. כיסוי ביטוחי.
רשימת ביצוע

ניסוי ובדיקת התוכנית :

מטרת הניסוי הינה לבחון את היעילות
והאפקטיביות של תוכנית הארגון להמשכיות עסקית – BCP והתאוששות מאסון – DRP.
הניסוי אמור לכלול את כל המרכיבים הקריטיים ולדמות מצב של אסון.

הבדיקות שיש לבצע :

  1. בדיקת יעילותה ומוקדי יתרון חסרון בתוכנית.
  2. הערכת ביצועיהם של הגורמים המעורבים בביצוע התוכנית (אנושי מערכתי וספקים).
  3. הערכה של מודעות ושל איכות ההדרכה של אנשי הצוותים בארגון.
  4. הערכת התיאום והזרימה בתהליכי התוכנית – בין הצוותים לבין הספקים וגורמים נוספים.
  5. מדידת היכולת של אתר ההתאוששות לביצועים הנדרשים.
  6. הערכת תהליך אחזור הנתונים החיוניים : על הארגון לתעד את תוצאות הניסוי שבוצע,
    ולתעד את התצפיות והבקרה שנערכו במהלך הבדיקות,
    כמו כן להתריע על הבעיות שהופיעו והחלופות המוצעות לפתרון.

 

תחזוקה

תחזוקת תוכניות ההתאוששות וההמשכיות

מחלקת מערכות המידע היא האחראית לתחזוקה השוטפת של התוכניות ויעילותן :

  1. לוודא כי תוכניות ה- BCP / DRP משקפות את צורכי הארגון המשתנים.
  2. שינויים באסטרטגיה עסקית של הארגון סביר להניח שישפיעו גם על תוכניות,
    כיוון והם עלולים להשפיע על רמת הקריטיות של תהליכים ויישומים מסוימים.
  3. לוודא שקיים לוח זמנים לסקירה תקופתית של התוכנית, עם בעלי התפקידים הרלוונטיים.
  4. לוודא קיום תוכנית הדרכה לכוח האדם הרלוונטי, בנוגע לפעולות הגיבוי והתאוששות.
  5. ביצוע תיעוד אשר כולל עריכת ניסויים, הדרכה וסקירות, דוחות ומעקב.

המלצות :
לתת עדיפות עליונה להקצאת המשאבים הדרושים לטיפול בנושא תוכניות BCP ותוכניות DRP
וכיוצא באלו גם היערכות לשעת חירום.

הערכות נכונה ויעילה עשויה להבטיח שהארגון יוכל לחזור במהירות למצב של פרודוקטיביות לאחר אסון.
אם לא תבוצענה השקעות מספיקות להגנה על מערכות מידע קריטיות,
הרי האסונות עלולים להיות ממושכים ויקרים יותר ולהביא אף להפסדים חמורים.

חברות ציבוריות ותחת רגולציות כבר עומדות תחת תקנים ומבצעות סקר אתר להתאוששות מאסון והמשכיות עסקית ומעקב ותיעוד באופן קבוע ומבוקר.