بعد القراءة، ستتمكن من فهم كيف تتكامل أجزاء برنامج الاستمرارية، وما الذي يجب فعله أولاً.
التعريف
يحدد معيار ISO 22301 متطلبات نظام إدارة استمرارية الأعمال. ويتجاوز نطاقه تقنية المعلومات بكثير، فيشمل الأشخاص والمواقع والمورّدين والمعلومات.
قد يكون المسبب حريقاً، أو هجوماً سيبرانياً، أو إخفاق مورّد، أو فيضاناً، أو غياباً مفاجئاً لموظفين رئيسيين. ويركز المخططون على الأثر، مثل فقدان موقع، لأنهم لن يستطيعوا حصر كل الأسباب.
لماذا يهم
لا أحد يحدد الأولويات بهدوء في خضم الأزمة. فما تقرر مسبقاً هو ما يحدّ من الخسارة.
وهي مسألة قانونية أيضاً. يذكر البند (c) من الفقرة 2 من المادة 21 في NIS2 استمرارية الأعمال وإدارة الأزمات، ويشترطها DORA على الكيانات المالية.
كيف يعمل
يأتي تحليل الأثر على الأعمال أولاً. فهو يرتب الأنشطة ويحدد أهداف التعافي، وبعد ذلك فقط تُقيَّم المخاطر على تلك الأنشطة.
ثم اختر استراتيجية لكل مورد: موقع بديل، أو العمل عن بعد، أو مورّد ثانٍ، أو إجراء يدوي. وتحدد الخطط عندئذ من يفعل ماذا وبأي ترتيب.
تأتي التمارين أخيراً ولا تنتهي فعلاً. فكل تمرين يكشف شيئاً يحتاج إلى تصحيح، وتتغير الخطط مع تغير الشركة.
حالة تطبيقية
يعطّل برنامج فدية نظام المستودعات في شركة لوجستية. فتعيّن الخطة قائداً للأزمة، وتنقل الطلبات ذات الأولوية إلى قوائم التجهيز الورقية التي تُطبع كل ليلة، وتستعين بشركة النقل الثانية.
خلال ست ساعات، تشحن الشركة 60% من حجمها، وهو المستوى المحدد في تحليل الأثر، بينما يستعيد قسم تقنية المعلومات النظام من النسخ الاحتياطية.
ممارسات جيدة
- انطلق من الخدمات التي يعتمد عليها العملاء، ثم تتبّع ما تحتاجه تلك الخدمات.
- اجعل الخطط متاحة حين تنقطع الشبكة، بما في ذلك على الورق.
- سمِّ بديلاً لكل دور رئيسي. فالناس يأخذون إجازات، والأزمات لا تنتظر.
- أجرِ تمريناً مرة في السنة على الأقل مع أشخاص من خارج تقنية المعلومات.
أخطاء شائعة
- معاملة الاستمرارية كمشروع نسخ احتياطي تقني، مما يترك الشركة بخوادم تعمل ولا أحد يعرف ما يجب فعله.
- كتابة خطة طويلة إلى حد ألا يقرأها أحد قبل يوم الحاجة إليها.
- عدم اختبارها أبداً. ففي الاختبار الأول تفشل معظم الخطط، والفشل في تمرين أفضل.
- نسيان أن فريق الأزمة يحتاج إلى وسيلة للتواصل حين يتعطل البريد الإلكتروني.
أسئلة
- هل يمكن الحصول على شهادة ISO 22301؟
- نعم. فهو يتضمن متطلبات تدققها جهات الشهادة المعتمدة.
- ما هي إدارة الأزمات؟
- الطريقة التي تتخذ بها الإدارة القرارات وتتواصل أثناء حدث جسيم. وتنفذ خطط الاستمرارية تلك القرارات في كل مجال تشغيلي.
- كم مرة يجب اختبار خطة الاستمرارية؟
- يشترط معيار ISO 22301 إجراء تمارين على فترات مخططة وعند حدوث تغييرات مهمة. ومرة في السنة حد أدنى شائع.
- هل تحتاج الشركة الصغيرة إلى خطة استمرارية؟
- نعم، بما يتناسب مع حجمها. وكثيراً ما تكفي صفحات قليلة تسمّي الأولويات والأشخاص وجهات الاتصال والحلول البديلة.
- ما الذي يجعل تمرين الاستمرارية جيداً؟
- سيناريو واقعي، والأشخاص الذين سيتصرفون فعلاً، وحد زمني، وقائمة مكتوبة بالتصحيحات في النهاية.