ما المقصود باستمرارية الأعمال والتعافي من الكوارث (BCDR)؟

مع تزايد تكلفة منع فقدان البيانات وتجنب فترة التعطل تعمل كثير من المجموعات على زيادة استثماراتها في إدارة الطوارئ. في عام 2023، كان من المقرر أن تنفق الشركات في جميع أنحاء العالم 219 مليار دولار أمريكي على الأمن السيبراني، بزيادة قدرها 12% عن العام السابق.

تُعد خطة التعافي من الكوارث (DRP) خطة طوارئ لكيفية تعافي المؤسسة من حدث غير متوقع. وتساعد خطط DRP الشركات في إدارة سيناريوهات الكوارث المختلفة، مثل فترات التعطل الطويلة والكوارث الطبيعية وهجمات برامج الفدية والبرامج الضارة وغيرها الكثير.

على غرار خطط DRP، تؤدي خطط استمرارية الأعمال (BCP) دورًا مهمًا في التعافي من الكوارث وتساعد المنظمات في العودة إلى أداء مهام العمل العادية عند وقوع كارثة. وفي حين تركز خطة DRP بشكل خاص على أنظمة تقنية المعلومات، تركز إدارة استمرارية الأعمال بشكل أوسع على جوانب مختلف من الاستعداد.

تقسم معظم المنظمات تخطيط BCDR إلى عمليتين منفصلتين: استمرارية الأعمال والتعافي من الكوارث. وهذا النهج فعال لأنه في حين أن العمليتين تشتركان في كثير من الخطوات، إلا أن هناك أيضا اختلافات رئيسية في كيفية إنشاء المنظمات للخطط وتنفيذها واختبارها.

الفرق الرئيسي هو أن خطط BCP استباقية، حيث تهدف إلى الحفاظ على العمليات قبل الكارثة وأثنائها وبعدها مباشرةً. ومن ناحية أخرى، فإن خطط DRP هي خطط تفاعلية، حيث تركز على كيفية الاستجابة والتعافي من الحادث. ويجب أن يوجه هذا التمييز في إنشاء إستراتيجية BCDR، مع تركيز خطط BCP على العمليات والأدوار الهامة، وخطط DRP على إجراءات التعافي بعد الحوادث.

تعتمد كلتا العمليتين بشكل كبير على عنصرين أساسيين: هدف وقت الاسترداد وهدف نقطة الاسترداد.

يشير RTO إلى مقدار الوقت اللازم لاستعادة عمليات الأعمال بعد وقوع حدث غير مخطط له. ويعد إنشاء RTO معقول أحد الأشياء الأولى التي يتعين على الشركات القيام بها عند إنشاء خطة DRP الخاصة بهم.

إن RPO الخاص بشركتك هو مقدار البيانات التي يمكن أن تخسرها في كارثة وما تزال تتعافى منها. ونظرًا لأن حماية البيانات تُعد قدرة أساسية لكثيرٍ من المؤسسات الحديثة، فإن بعضها يقوم بنسخ البيانات باستمرار إلى مركز بيانات بعيد لضمان استمرارية الأعمال في حالة حدوث اختراق كبير. ويقوم آخرون بتعيين RPO لبضع دقائق—أو حتى ساعات—لاستعادة بيانات الأعمال من نظام النسخ الاحتياطي، حتى يعرفوا أنهم قادرون على استرداد ما فقدوه خلال ذلك الوقت.

لبناء خطة BCP فعالة، تحتاج أولاً إلى فهم المخاطر المختلفة التي تواجهها منظمتك. يُعد تحليل تأثير الأعمال (BIA) أمرًا حيويًا في إدارة المخاطر ومرونة الأعمال. كما أنه عملية تحديد وتقييم التأثير المحتمل للكارثة على العمليات العادية. ويتضمن BIA القوي نظرة عامة على جميع التهديدات ونقاط الضعف الحالية المحتملة - الداخلية والخارجية - وخطط مفصلة للتخفيف. ويجب أن يُحدد BIA أيضًا احتمالية وقوع حدث ما حتى تتمكن المنظمة من تحديد الأولويات وفقًا لذلك.

عند اكتمال BIA الخاص بك، فإن الخطوة التالية في بناء خطة BCP الخاصة بك هي التخطيط لاستجابات فعالة لكل من التهديدات التي حددتها. وتتطلب التهديدات المختلفة بطبيعة الحال استراتيجيات مختلفة للتعافي من الكوارث، لذلك يجب أن يكون لكل استجابة من استجاباتك خطة مفصلة لكيفية اكتشاف المنظمة لتهديد معين والتصدي له.

تحدد هذه الخطوة كيفية استجابة الأعضاء الرئيسيين في فريقك عند مواجهة أزمة أو حدث تخريبي. يوثق التوقعات لكل عضو في الفريق وكذلك الموارد المطلوبة لهم لأداء أدوارهم. هذا الجزء من العملية جيد للنظر في كيفية تواصل الأفراد عند وقوع حادث. تؤدي بعض التهديدات إلى إغلاق الشبكات الرئيسية - مثل الاتصال الخلوي أو بالإنترنت - لذلك من المهم أن يكون لديك طرق اتصال احتياطية موثوقة.

لكي تكون خطة استمرارية الأعمال والتعافي من الكوارث (BCDR) الخاصة بك قابلة للتنفيذ، فأنت بحاجة إلى التدرب عليها وتحسينها باستمرار، ويؤدي الاختبار والتدريب المستمر للموظفين إلى التنفيذ السلس للخطط عند وقوع كارثة فعلية. واحرص على التمرن على سيناريوهات واقعية مثل الهجمات الإلكترونية، والحرائق، والفيضانات، والأخطاء البشرية، وانقطاع التيار لفترات طويلة والتهديدات الأخرى ذات الصلة، حتى يتمكن أعضاء الفريق من تعزيز الثقة في أدوارهم ومسؤولياتهم.

وعلى غرار خطط BCP، تتطلب خطة DRPs تحليل BIA - تحديد الأدوار والمسؤوليات والاختبار المستمر والتحسين. ولكن نظرًا لأن خطط DRP أكثر تفاعلاً بطبيعتها، فإن هناك تركيزًا أكبر على تحليل المخاطر والنسخ الاحتياطي للبيانات واستعادتها. الخطوتان 2 و3 من تطوير خطط DRP وتحليل المخاطر وإنشاء مخزون للأصول ليست جزءا من عملية تطوير خطة BCP على الإطلاق.

في ما يأتي عملية مكونة من خمس خطوات تُستخدم على نطاق واسع لإنشاء خطط DRP:

كما هو الحال في عملية BCP الخاصة بك، ابدأ بتقييم كل تهديد قد تواجهه شركتك وحدد تداعياته. وضع في اعتبارك كيف يمكن أن تؤثر التهديدات المحتملة على العمليات اليومية وقنوات الاتصال المنتظمة وسلامة العمال. تشمل الاعتبارات الأخرى لـ BIA القوي خسارة الإيرادات، وتكلفة فترة التعطل، وتكلفة تحسين السمعة (العلاقات العامة)، وفقدان العملاء والمستثمرين (على المدى القصير والطويل) وأي عقوبات متكبدة من انتهاكات الامتثال.

تتطلب خطط DRP عادةً تقييمًا أكثر دقة للمخاطر من خطط BCP لأن دورها هو التركيز على جهود التعافي من كارثة محتملة. وأثناء جزء تحليل المخاطر في التخطيط، فكر في احتمالية المخاطر وتأثيرها المحتمل على عملك.

لإنشاء خطة DRP فعالة، يجب أن تعرف بالضبط ما تمتلكه مؤسستك والغرض منه أو وظيفته وحالته، ويساعد إجراء جرد منتظم للأصول في تحديد الأجهزة والبرامج والبنية التحتية لتقنية المعلومات وأي شيء آخر قد تمتلكه منظمتك والذي يعد أمرًا بالغ الأهمية لعمليات أعمالك. وعندما تحدد أصولك، يمكنك تقسيمها إلى ثلاث فئات: بالغة الأهمية، مهمة وغير مهمة.

• بالغة الأهمية: لا تصنف الأصول بأنها بالغة الأهمية إلا إذا كانت مؤسستك تحتاجها في عمليات الأعمال العادية.
• مهم: امنح هذا التصنيف للأصول التي تستخدمها مرة واحدة على الأقل يوميًا والتي سيكون لها تأثير في عمليات الأعمال (ولكن ليس إيقافها بالكامل) إذا تعطلت.
• غير مهمة: هي الأصول التي تستخدمها الشركة بشكل غير متكرر وغير ضرورية لتنفيذ عمليات الأعمال العادية.

كما هو الحال تمامًا في تطوير خطة BCP الخاصة بك، ستحتاج إلى تحديد المسؤوليات بوضوح والتأكد من أن أعضاء الفريق لديهم ما يحتاجون إليه لأداء واجباتهم المطلوبة. وبدون هذه الخطوة المهمة، لن يعرف أحد كيف يتصرف أثناء وقوع الكارثة. فيما يلي بعض الأدوار والمسؤوليات التي يجب وضعها في الاعتبار عند إنشاء DRP:

• مراسل الحوادث: الشخص الذي يحتفظ بمعلومات الاتصال الخاصة بالأطراف ذات الصلة ويتواصل مع قادة الأعمال والأطراف المعنية عند وقوع أحداث تؤدي إلى التعطل .
• مشرف خطة DRP: يضمن المشرف على خطة DRP أداء أعضاء الفريق للمهام التي تم تكليفهم بها في أثناء وقوع الحادث.
• مدير الأصول: شخص تتمثل مهمته في تأمين الأصول الحساسة وحمايتها عند وقوع كارثة.
• مسؤول الاتصال مع الجهة الخارجية: الشخص الذي ينسق مع أي موردين أو مزودي خدمات خارجيين قمت بتعيينهم كجزء من خطة DRP التي أعدتها، ويُطلع الأطراف المعنية على كيفية سير خطة DRP.

وعلى غرار خطة BCP الخاصة بك، تتطلب خطة DRP تدريبًا وتحسينًا مستمرًا لتكون فعالة. احرص على التدرب عليها وتحديثها باستمرار وفقًا لأي تغييرات ذات مغزى ضرورية. فعلى سبيل المثال، إذا استحوذت شركتك على أصل جديد بعد تشكيل خطة DRP، فستحتاج إلى دمجه في خطتك للتأكد من حمايته في المستقبل.

فيما يتعلق بـ BCDR، سيكون لكل شركة مجموعة فريدة من احتياجاتها. وفيما يلي بعض الأمثلة على الخطط الفعالة للشركات ذات الأحجام والصناعات المختلفة:

خطة إدارة الأزمات، والمعروفة أيضا باسم خطة إدارة الحوادث، هي خطة مفصلة لإدارة حادث معين، حيث توفر تعليمات تفصيلية حول كيفية استجابة منظمتك لأزمة معينة، مثل انقطاع التيار الكهربائي أو الهجوم الإلكتروني أو الكوارث الطبيعية.

تحدد خطة الاتصالات كيفية تعامل منظمتك مع العلاقات العامة (PR) في حالة وقوع كارثة. وعادة ما يُنسق قادة الأعمال مع متخصصي الاتصالات لصياغة خطط الاتصالات التي تكمل أي أنشطة لإدارة الأزمات واللازمة للحفاظ على استمرار عمليات الأعمال أثناء وقوع حادث غير مخطط له.

تتركز خطة استرداد مركز البيانات على أمن مرفق مركز البيانات وقدرته على استئناف العمل بعد حدث غير مخطط له. وتشمل بعض التهديدات الشائعة التي تواجه تخزين البيانات الموظفين المُجهدين، ما قد يؤدي إلى الخطأ البشري والهجمات الإلكترونية وانقطاع التيار الكهربائي وصعوبة الالتزام بمتطلبات الامتثال.

تساعد خطط استعادة الشبكة المنظمات في التعافي من انقطاع خدمات الشبكة، بما في ذلك الوصول إلى الإنترنت، وبيانات الخلوية، والشبكات المحلية والشبكات الواسعة. ونظرًا للدور المهم للغاية الذي تلعبه الخدمات الشبكية في عمليات الأعمال، يجب أن تحدد خطط استرداد الشبكة بوضوح الخطوات والأدوار والمسؤوليات اللازمة لاستعادة الخدمات بسرعة وفعالية بعد اختراق الشبكة.

تعتمد خطة الاسترداد الافتراضية على مثيلات الأجهزة الافتراضية (VM) التي يمكن أن تكون جاهزة للعمل في غضون دقيقتين من الانقطاع. والأجهزة الافتراضية هي تمثيلات أو محاكاة لأجهزة الكمبيوتر الفعلية التي توفر خدمات استرداد التطبيقات الحساسة من خلال التوافر العالي، أو قدرة النظام على العمل بشكل مستمر دون تعطل.

يساعد تخطيط BCDR المنظمات في فهم التهديدات التي تواجهها بشكل أفضل والاستعداد بشكل أفضل لمواجهتها. وتواجه الشركات التي لا تجري تخطيط BCDR مخاطر مختلفة، بما في ذلك فقدان البيانات، والتعطل عن العمل، وعقوبات مالية، وإضرار بالسمعة. ويساعد تخطيط BCDR الفعال في ضمان استمرارية الأعمال والاستعادة السريعة للخدمات بعد تعطل الأعمال. وفيما يلي بعض الميزات التي تتمتع بها الشركات التي لديها تخطيط BCDR قوي: