- תוכנית המשכיות עסקית עונה על שאלה אחת: אם מחר בבוקר המערכות לא עובדות, איך העסק ממשיך?
- לא צריך מסמך של מאה עמודים. לעסק קטן מספיקים כמה עמודים ברורים: מה קריטי, מי אחראי, איך מתקשרים ואיך חוזרים לעבודה.
- הבסיס הטכני: גיבוי שנבדק, גישה מרחוק, תיעוד ואנשי קשר מעודכנים.
- תוכנית שלא תורגלה היא תוכנית על הנייר. תרגול קצר פעם בתקופה חושף את הפערים.
רוב העסקים לא חושבים על המשכיות עסקית עד היום שבו משהו קורה. השרת לא עולה. האינטרנט במשרד נפל לכמה ימים. כופרה הצפינה את הקבצים. המשרד לא נגיש. או פשוט האדם היחיד שיודע את כל הסיסמאות לא זמין. ברגע כזה, ההבדל בין עסק שחוזר לעבודה תוך שעות לבין עסק שמשותק ימים הוא לרוב לא הטכנולוגיה, אלא ההכנה.
תוכנית המשכיות עסקית (Business Continuity Plan, או BCP) היא ההכנה הזו. במדריך הזה נסביר מה היא כוללת, איך כותבים גרסה פשוטה שמתאימה למשרד, ואיך בודקים שהיא באמת עובדת.
המשכיות עסקית מול התאוששות מאסון
שני מונחים שהולכים יחד:
- המשכיות עסקית היא התמונה הרחבה: איך העסק ממשיך לתת שירות ללקוחות בזמן שיבוש. היא כוללת אנשים, תהליכים, תקשורת וטכנולוגיה.
- התאוששות מאסון (Disaster Recovery) היא החלק הטכני: איך משחזרים את המערכות, השרתים והמידע.
עסק קטן לא צריך שתי תוכניות נפרדות. מספיק מסמך אחד, שמכסה את שני הצדדים.
אילו תרחישים כדאי לתכנן
לא צריך לתכנן כל תרחיש אפשרי. כדאי לחשוב על כמה תרחישים טיפוסיים, ולשאול לגבי כל אחד "מה נעשה?":
- תקלה בשרת או במערכת מרכזית: השרת לא עולה, מערכת הנהלת החשבונות לא זמינה.
- מתקפת כופרה: הקבצים מוצפנים, וייתכן שגם הגיבויים המקומיים. ראו את המדריך לכופרה בעסק.
- נפילת אינטרנט או חשמל במשרד לזמן ממושך.
- המשרד לא נגיש: נזק, תקלה בבניין או כל סיבה אחרת שבגללה אי אפשר להגיע.
- פריצה לחשבון מייל: מישהו שולח מיילים בשם העסק, או מחק מידע.
- אדם מפתח לא זמין: האדם שמחזיק את הידע או את הסיסמאות לא זמין לתקופה.
חמשת הרכיבים של תוכנית פשוטה
1. מה קריטי, ותוך כמה זמן צריך אותו
רשימה קצרה של המערכות והמידע שבלעדיהם העסק לא עובד: מייל, קבצים, מערכת הנהלת חשבונות, מערכת ניהול לקוחות, טלפוניה. לכל אחת מהן שתי שאלות:
- תוך כמה זמן חייבים לחזור לעבוד איתה? (RTO)
- כמה מידע אפשר להרשות לאבד? (RPO)
התשובות קובעות את הגיבוי ואת ההכנות. אם מערכת חייבת לחזור תוך שעות, צריך עותק מקומי לשחזור מהיר, ולא רק גיבוי בענן. הרחבנו על זה במדריך לבדיקת שחזור.
2. מי אחראי ומי מחליט
בזמן אירוע, אף אחד לא צריך לנחש מי מחליט. מגדירים:
- מי מכריז שמדובר באירוע ומפעיל את התוכנית.
- מי מדבר עם ספק ה-IT, ומי מעדכן את העובדים.
- מי מדבר עם לקוחות, ספקים, וכשצריך, עם חברת הביטוח או גורמים רשמיים.
- מחליף לכל תפקיד, למקרה שהאחראי לא זמין.
3. איך מתקשרים כשהמערכות לא עובדות
אם המייל לא עובד, איך מעדכנים את העובדים? מחזיקים רשימת טלפונים של כל העובדים, של ספק ה-IT, של ספק האינטרנט ושל ספקים קריטיים, מחוץ למערכות של העסק. למשל, מודפסת ושמורה גם בטלפון של המנהלים. כדאי להגדיר מראש ערוץ חלופי, כמו קבוצת הודעות של הצוות.
4. איך ממשיכים לעבוד
- עבודה מהבית כגיבוי למשרד: עובדים יכולים להתחבר מבחוץ בצורה מאובטחת? יש להם מחשב מתאים? ראו את המדריך לעבודה מהבית מאובטחת.
- מערכות בענן נגישות מכל מקום, ולכן מפחיתות את התלות במשרד.
- חיבור אינטרנט חלופי: קו גיבוי, או לפחות נקודה חמה סלולרית לעמדות הקריטיות.
- עבודה ידנית זמנית: אילו תהליכים אפשר להמשיך גם בלי המערכת, למשל רישום ידני שיוזן אחר כך.
5. איך חוזרים לשגרה
- סדר עדיפויות לשחזור: מה חוזר קודם.
- מי מבצע את השחזור, ואיפה נמצא הגיבוי.
- בדיקה שהמערכות חזרו תקינות, ושהמידע שלם.
- תחקיר קצר אחרי האירוע: מה עבד, מה לא, ומה משנים.
התיעוד שצריך להיות מוכן מראש
חלק גדול מהזמן באירוע הולך על חיפוש מידע. מה שצריך להיות כתוב ונגיש:
- רשימת מערכות, ספקים ומספרי תמיכה, כולל מספרי לקוח וחוזים.
- איפה נמצאים הגיבויים, ואיך משחזרים מהם.
- סיסמאות ניהול קריטיות, במנהל סיסמאות עם גישת חירום לשני אנשים לפחות. הרחבנו במדריך לסיסמאות.
- פרטי הדומיין, ה-DNS ו-Microsoft 365: מי מנהל, ואיפה.
- תרשים פשוט של הרשת והציוד.
לתרגל: חצי שעה שחוסכת ימים
תוכנית שאף פעם לא נבדקה תפתיע ביום האמת. תרגול לעסק קטן לא צריך להיות מסובך:
- תרגיל שולחני: יושבים חצי שעה עם האחראים, מציגים תרחיש ("הבוקר השרת לא עולה"), ועוברים על התוכנית שלב אחרי שלב. איפה נתקענו? מה חסר?
- בדיקת שחזור: משחזרים בפועל קובץ, תיבת דואר או שרת לסביבת בדיקה.
- בדיקת עבודה מהבית: יום אחד שבו חלק מהצוות עובד מבחוץ, כדי לוודא שהכול עובד.
- עדכון: אחרי כל תרגול, ואחרי שינויים בעסק, מעדכנים את המסמך.
דוגמה: איך זה נראה בפועל
נניח משרד של חמישה-עשר עובדים, עם שרת קבצים, Microsoft 365 ותוכנת הנהלת חשבונות. בבוקר מסוים השרת לא עולה. עם תוכנית:
- מנהלת המשרד, שהוגדרה כאחראית, מתקשרת לספק ה-IT ומעדכנת את העובדים בקבוצת ההודעות.
- העובדים ממשיכים לעבוד במייל ובקבצים שב-OneDrive וב-SharePoint, שלא תלויים בשרת.
- ספק ה-IT מאבחן, ומתחיל שחזור מהגיבוי המקומי, לפי סדר העדיפויות שנקבע מראש: קודם תוכנת הנהלת החשבונות, אחר כך תיקיות הקבצים.
- אחרי השחזור, בודקים שהמידע שלם, ומתעדים מה קרה ומה לשפר.
בלי תוכנית, אותו בוקר נראה אחרת: כולם מחכים, אף אחד לא יודע מי מטפל, ומחפשים את מספר הטלפון של הספק.
טעויות נפוצות
- "הגיבוי הוא התוכנית." גיבוי הוא חלק הכרחי, אבל בלי לדעת מי משחזר, מה קודם ואיך עובדים בינתיים, הוא לא מספיק.
- הכול אצל אדם אחד. אם רק אדם אחד יודע איך הכול עובד, הוא נקודת הכשל הגדולה ביותר.
- התוכנית נמצאת על השרת. אם השרת לא עובד, גם התוכנית לא זמינה. שומרים עותק גם במקום אחר.
- מסמך שלא עודכן שנתיים. עובדים התחלפו, ספקים השתנו, והטלפונים כבר לא נכונים.
שאלות נפוצות
עסק קטן באמת צריך תוכנית המשכיות?
כן, ודווקא עסק קטן. לעסק גדול יש לרוב יותר משאבים להתאושש. לעסק קטן, כמה ימים בלי מערכות יכולים לפגוע מאוד. תוכנית פשוטה של כמה עמודים היא השקעה קטנה.
כמה זמן לוקח להכין תוכנית כזו?
לעסק קטן, טיוטה ראשונה אפשר להכין בכמה פגישות קצרות. רוב העבודה היא לאסוף מידע שכבר קיים, ולקבל כמה החלטות.
מה ההבדל בין תוכנית המשכיות לגיבוי?
גיבוי שומר את המידע. תוכנית המשכיות קובעת איך העסק ממשיך לעבוד ואיך חוזרים לשגרה, כולל אנשים, תקשורת ותהליכים.
מי צריך להיות מעורב?
בעל העסק או המנהל, מנהלת המשרד, נציג מכל תחום קריטי וספק ה-IT. לא צריך ועדה גדולה.
כל כמה זמן לעדכן את התוכנית?
לפחות פעם בשנה, ואחרי כל שינוי משמעותי: מעבר משרד, מערכת חדשה, החלפת ספק או אירוע אמיתי.
ביטוח סייבר מחליף תוכנית המשכיות?
לא. ביטוח יכול לעזור בהוצאות, אבל הוא לא מחזיר את המערכות לעבודה. בחלק מהפוליסות יש דרישות להכנות מסוימות, ולכן כדאי לבדוק מול סוכן הביטוח.
איך ש.מ מחשבים יכולה לעזור
אנחנו עוזרים לעסקים לבנות את הצד הטכני של תוכנית ההמשכיות: מיפוי המערכות הקריטיות, גיבוי מקומי ובענן לפי היעדים שהוגדרו, בדיקות שחזור, תיעוד מסודר של המערכות, ועבודה מרחוק שמוכנה ליום שצריך אותה. פרטים בעמוד גיבוי בענן לעסקים ובעמוד אחזקת מחשבים לעסקים. רוצים לבדוק כמה מהר העסק שלכם יחזור לעבודה? השאירו פרטים.