האיומים בפניהם עומדות חברות במשק הישראלי מהוות תמצית של כלל מפת האיומים על חברות בעולם כולו. מיקומנו הגיאוגרפי והמצג הפוליטי מדיני מציג כל איום כרלוונטי לחברה הישראלית בהסתברות גבוהה יותר או פחות.

ישראל ממוקמת בשבר הסורי אפריקאי ולדעת מומחים אנו צפויים לעמוד בפני רעידת אדמה משמעותית בעתיד הקרוב, האיום האירני למתקפת גרעין או מענה לתקיפה ישראלית מחד ואיום הטילים הברור והמיידי מצד שכנותינו הקרובות מאידך ולאחרונה כולנו עדים ללוחמת הסייבר המופעלת כנגד ישראל באופן מאורגן ובאופן חובבני. כל אלו מעידים על כך שהסבירות לאירוע חירום בארצנו ממשי יותר מתמיד. הסכנות המיידיות הנובעות ממקרי חירום כוללות בין היתר חוסר יכולת של החברה לספק שירות ללקוחות, אי עמידה בדרישות רגולאטוריות, פגיעה במוניטין החברה או המותג, נזק לרכוש החברה וחוסר שליטה ובקרה על הפעילות העסקית.

אחריות ההנהלה והדירקטוריון של כל חברה היא להבטיח את המשך פעילותה הכלכלית במסגרת ההצדקה הכלכלית להמשך פעילות זו, מנגד, אחריות הרגולציה היא להבטיח שארגונים שהמשך פעולתם לאחר אירוע חרום לא יהיה כלכלי אולם חיוני למשק המקומי יעמידו מנגנונים להמשיך את פעילותם גם במקרי חירום.

לכל ארגון יש מאפיינים ואילוצים שונים הנובעים מאופי הענף בו הוא פועל, תיאבון ההנהלה לסיכון, הנחיות רגולאטוריות ועוד. מאפיינים אלו יקבעו כיצד ותוך כמה זמן נדרש הארגון לחזור לפעילות עסקית בסיסית ואלו פעולות עליו לספק במסגרת פעילות הבסיס.

תוכנית ההמשכיות העסקית של הארגון צריכה לכלול שיקולים אלו בחשבון וליצר מנגנון אשר יהיה כלכלי אך אפקטיבי אל מול איומים מסוגים שונים. אין צורך להכין מספר תוכניות המשכיות עסקית אלא לכלול בתוך התוכנית מספר דרכי פעולה לפי מאפיינים שונים של אירועי חרום, למשל: חוסר יכולת העובדים להגיע למשרדי החברה, אי זמינות מערכות המידע, נתק בכבלי התקשורת והטלפון, אובדן כח אדם חיוני ועוד.

הדרך להגדרת מענה מקיף והולם לשרידות הארגון בעת אסון, הגדרת BCP - Business Continuity Plan מומלצת להיות מוגדרת באופן הבא:

א. ניתוח סיכונים על בסיס פעילויות הליבה הארגוניות (BPM - Business Process Management), תיחומם ותעדופם מחד, והגדרת תרחישי אסון מאידך. ניתוח הסיכונים כולל בתוכו השוואות (benchmarks) למדדים רלבנטיים, ובכלל זה השוואה מול מדדים מבוססי תקן BS25999 או מקבילו הישראלי. בין המדדים האלה: בעלוּת על תוכניות, חלוקת עדיפויות לנדבכים מדורגים, מספר תרגילים בשנה, שימוש ורענון רשימת התקשרויות בחרום, מידת תלות ההתאוששות בשותפים / ספקים / גורמים ממלכתיים, ואחרים. ההשוואות מול נתונים מסקרים לאומיים ובינלאומיים שנעשו בתחום. בין היתר אנו ממליצים להשתמש בתוצאות מחקרים השוואתיים על מצב DRP של ארגון גלובלי ישראלי בהשוואה לארגונים אחרים בעולם. בעבודות הייעוץ שאנו מבצעים אנו מרבים להיעזר גם בנתונים שנאספו במספר פגישות ממוקדות DRP עם ארגונים שונים בארץ. מקור נוסף בו אנו נעזרים הוא תוצאות מחקר DRP Benchmark שבוצע בארה"ב ובו השתתפו 120 חברות ממדינות שונות ממבחר ענפים במשק.

ב. הגדרת DRP לתמיכה בהתאוששות מערכי המיחשוב הארגוניים תוך שימוש במענים המיטביים מבחינה לוגיסטית, טכנולוגית ונהלים מפורטים להתאוששות IT. חשוב לוודא כי קיימת רשימת תהליכים עסקיים קריטיים ולבצע ניתוחי השפעה עסקית (Business Impact Analysis) כדי לוודא שכל תוכניות ההמשכיות מותאמות לעדיפויות האסטרטגיות והעסקיות לקביעת זמני התאוששות נדרשים (Recovery Time Objective (RTO וקביעת נקודת ההתאוששות Recovery Point Objective (RPO), וכן מומלץ לבצע הערכה ראשונית של אפקטיביות התוכנית הקיימת. התחזוקה השוטפת של מערך ה DRP הינה קריטית לבחינת ישימות המערך לכן מומלץ לבצע אחת לשנה בחינה של ארבעה היבטים במערך ה-DRP על סמך תקן BS25999 ותקן ISO/IEC 24762. ההיבטים הם: תכנון, ישום, ניטור, תחזוקה ושיפור מתמיד של מערך ה-DRP.

ג. הגדרת מהלכי ההתאוששות הארגוניים, מיקום רכיבי ה-DRP בינהם וגיבויים באמצעות נהלים מוטמעים היטב. מומלץ לבחון את נאותות אסטרטגיות התאוששות שנבחרו ביחס לסיכונים שזוהו אל מול תקנים מקובלים ( COBIT, NIST ,ISO), וכן להגדיר תדירות עדכון לתוכנית וקיום נהלים ואופן עדכונם ואישורם מחדש והתייחסות לאירועים משמעותיים שהתרחשו כמו החלפת מערכת, כניסה לתחום פעילות חדש.

מעבר לרמת ההגדרה, מפורטת ככל שתהיה, ארגון המתכנן ליישם מערך DRP ועליו לעבור תהליך מורכב וקריטי לכן חשוב להקפיד שיש בפניו את שלשת הערוצים הבאים בעת התנעת הפרויקט:

א. אתרים וכלי-עזר מנחים לפיתוח DRP ו-BCP לארגון.

ב. הנחיות תקינה כלליות המתייחסות לנושאי התאוששות (הנחיות הרגולציה לנוהל בנקאי תקין 357 לדוגמא) ומגדירות דרישות ברורות וחד-משמעיות כגון תקן BS25999-2:2007. תקן בינלאומי זה מפרט את הדרישות לתכנון, הקמה, ישום, הפעלה, ניטור ובחינה עיתית של המשכיות עיסקית והתאוששות מאסון וכן תקן בינלאומי ISO/IEC 24762 - המתאר קווים מנחים להתאוששות מאסון עבור שרותי תקשוב. ומסגרת COBIT של הארגון הבינלאומי לביקורת מערכות מידע ISACA המסייע רבות בהגדרת קווים מנחים בתהליך.

ג. חברות יעוץ המתמחות בתחום וכן בחירה נכונה של צוות עובדים מקצועיים הינו אלמנט קריטי חשוב בהצלחה הפרויקט.

ניתוח דקדקני של התהליכים העסקיים הקריטיים אל מול מפת הסיכונים של הארגון, משאביו ודרישות הרגולציה וכן ביצוע תרגילי התכנות, יאשרו לייצר דרכי פעולה רבות ואפקטיביות להתמודדות עם המשכיות עסקית גם בקרות אירוע חירום. תוכנית הפעולה צריכה להיבחן על ידי גורם מקצועי חיצוני שיוכל להעמיד את החברה מול הנחיות יסוד שגויות או סיכונים שלא נלקחו בחשבון וכן לבחון את אפקטיביות התוכנית על מנת לשקף כראוי לדירקטוריון ולהנהלה את מוכנות החברה והסיכונים בפניהם היא עומדת.
בסיכומו של דבר אחריות ההנהלה והדירקטוריון היא להבטיח את שמירת הנכס של בעלי המניות ושל לקוחות החברה וזה אומר גם לצפות פני עתיד.