ארגונים חיוניים נדרשים להמשיך לספק שירותים ומוצרים גם כאשר שגרת הפעילות משתבשת. מלחמה, אירוע סייבר, פגיעה בתשתיות, מחסור בכוח אדם או השבתה של אתר מרכזי עלולים להתרחש ללא התרעה מספקת ולהשפיע במקביל על כמה חלקים בארגון.
הפערים המרכזיים שעלולים לפגוע בתפקוד הם היעדר תעדוף ברור של שירותים חיוניים, תלות בעובדים או במערכות בודדות, חוסר בחלופות תפעוליות, הסתמכות על ספקים שלא נבדקו והיעדר תרגול של ההנהלה והצוותים. ארגון שמזהה את הפערים האלה מראש יכול להיערך להפעלה מצומצמת, להעברת משאבים ולהתאוששות הדרגתית בהתאם לחומרת האירוע.
מהי רציפות תפקודית בארגון חיוני?
רציפות תפקודית היא היכולת להמשיך לבצע את המשימות הקריטיות גם כאשר חלק מהעובדים, האתרים, המערכות או הספקים אינם זמינים כרגיל. המטרה אינה בהכרח לשמור על פעילות מלאה, אלא לקבוע מראש אילו שירותים חייבים להימשך, באיזו רמה ובאמצעות אילו משאבים וחלופות.
לפעילותם של ארגונים חיוניים יש משמעות רחבה, משום שהמשק והציבור תלויים בהמשך אספקתם של שירותים ומוצרים בסיסיים בזמן חירום. רשות החירום הלאומית מתייחסת לשמירת הרציפות התפקודית וליכולת ההתאוששות של המשק החיוני כחלק מהיערכות המדינה למצבי חירום.
תכנון רציפות תפקודית אינו מסתכם בהכנת תיק נהלים. הוא מחייב מיפוי של הפעילות הקריטית, הגדרת סדרי עדיפויות, בחינת תלויות ותכנון דרכי פעולה כאשר המשאבים הרגילים אינם זמינים.
השירותים הקריטיים אינם מוגדרים לפי סדר עדיפות
אחד הפערים הראשונים שמתגלה בארגונים הוא חוסר הסכמה לגבי השירותים שחייבים להמשיך לפעול. כאשר כל יחידה רואה את פעילותה כדחופה באותה מידה, קשה להחליט לאן להפנות כוח אדם, ציוד, חשמל, תקשורת ותקציב בזמן אירוע.
לכן חשוב להבחין בין שירותים שאסור להפסיק, פעילויות שניתן להמשיך ברמה מצומצמת ומשימות שאפשר לדחות לפרק זמן מוגדר. לכל שירות קריטי יש לקבוע רמת פעילות מזערית ומשך השבתה שהארגון מסוגל לספוג.
גם ISO 22301 מציג המשכיות עסקית כמערכת ניהול שבאמצעותה הארגון נערך להפרעות, ממשיך לספק מוצרים ושירותים ברמה שנקבעה ופועל לשיפור מתמשך של המוכנות.
ללא סדר עדיפויות מוסכם, החלטות עלולות להתקבל תחת לחץ ולפי המשאב הזמין באותו רגע, במקום לפי צורכי הארגון והציבור שהוא משרת.
הפעילות תלויה באנשים בודדים
תהליך חיוני עשוי להיראות מתועד ומסודר, אך להישען בפועל על עובד אחד שמחזיק בהרשאה, מכיר מערכת ייחודית או יודע כיצד להפעיל ציוד מסוים. כאשר אותו אדם אינו זמין, גם עובדים מיומנים אחרים עלולים להתקשות להמשיך את הפעילות.
הסיכון גדל בשעת חירום, כאשר עובדים עשויים להיות מגויסים, להישאר עם בני משפחה או להתקשות להגיע לאתר. לכן לא מספיק להכין רשימה של עובדים חיוניים. יש לוודא שקיימים ממלאי מקום, שהידע מתועד ושעובדים נוספים עברו הכשרה מתאימה.
כדאי לבדוק גם האם בעלי התפקידים יודעים מה נדרש מהם בזמן אירוע: מי מכריז על מעבר למתכונת חירום, מי קובע את סדרי העדיפויות, מי מוסמך להשבית שירות ומי אחראי על העברת מידע לעובדים ולגורמי חוץ.
אין חלופה לאתר, למערכת או לתשתית מרכזית
תלות בנקודת כשל אחת היא פער מהותי בארגון חיוני. אתר יחיד, מערכת מידע מרכזית, חיבור תקשורת או מקור חשמל אחד עלולים לעצור תהליך שלם גם אם שאר הארגון ממשיך לפעול.
אתר חלופי אינו חייב לשכפל את הפעילות המלאה של האתר המרכזי. עם זאת, עליו לאפשר את ביצוע המשימות שהוגדרו כחיוניות. המשמעות היא גישה למערכות, ציוד מתאים, אמצעי תקשורת, הרשאות ותנאים המאפשרים לעובדים לפעול.
אותו עיקרון חל גם על מערכות מידע. לכל מערכת קריטית צריך להיות סדר התאוששות ברור, אך גם דרך עבודה זמנית למקרה שהשחזור מתעכב. לעיתים אפשר להמשיך שירות מסוים באמצעות תהליך ידני, טופס חלופי או מערכת מצומצמת, ובלבד שהאפשרות תוכננה ונבדקה מראש.
חשוב שסדר שחזור המערכות יתאים לצורכי הפעילות. תוכנית DRP מתמקדת בשכבה הטכנולוגית, בעוד שהיכולת להמשיך לתפקד תלויה גם בעובדים, בתהליכים, באתרים ובספקים. לכן תוכנית ההתאוששות הטכנולוגית צריכה להיות מחוברת לסדר העדיפויות הארגוני.
ספקים חיוניים אינם חלק מתרחישי החירום
ארגון יכול להתכונן היטב בתוך גבולותיו ועדיין להיעצר בגלל ספק שאינו מסוגל להמשיך לעבוד. שירותי תקשורת, אבטחה, הובלה, כוח אדם, תחזוקה, ענן, ציוד או חומרי גלם עשויים להיות חיוניים לא פחות ממשאב פנימי.
הופעתו של ספק חלופי במסמך אינה מבטיחה שהוא יהיה זמין בשעת חירום. יש לבדוק האם הוא מכיר את הצרכים, מסוגל לעמוד בהיקף הנדרש ויכול להתחיל לספק את השירות בפרק הזמן שהוגדר.
כדאי גם לבחון מצבים שבהם הארגון והספק נפגעים מאותו אירוע. במקרה של שיבוש אזורי או משבר רחב, ייתכן שספקים רבים יתמודדו עם מחסור בכוח אדם, עומס חריג או קושי להגיע לאתרי הלקוחות. במקרים כאלה נדרשים מלאי ביטחון, כמה חלופות או דרך עבודה זמנית שאינה תלויה בספק יחיד.
התוכניות אינן מחוברות זו לזו
בארגונים רבים קיימים נוהל חירום, תוכנית התאוששות טכנולוגית, נוהל תגובה לאירוע סייבר ותוכנית לניהול משבר. הבעיה מתחילה כאשר כל מסמך נכתב בנפרד, עם בעלי תפקידים, יעדים וסדרי עדיפויות שונים.
בזמן אירוע אין הפרדה אמיתית בין התחומים. פגיעה במערכת מידע משפיעה על השירות, החלטה תפעולית יכולה להשפיע על הטיפול באירוע סייבר, ומחסור בעובדים עשוי לעכב גם את ההתאוששות הטכנולוגית.
לכן יש לבדוק שכל התוכניות נשענות על אותה הגדרה של תהליכים קריטיים, שהסמכויות ברורות ושצוותי ההנהלה, התפעול, מערכות המידע ומשאבי האנוש יודעים כיצד לעבוד יחד. ניהול משבר מחייב לא רק טיפול בגורם המשבש, אלא גם הקצאת משאבים להמשך התפקוד של הפעילות שלא נפגעה.
התוכנית קיימת, אך לא תורגלה
מסמך שלא הופעל בתרחיש מבוקר מבוסס במידה רבה על הנחות. הוא מניח שהמידע יגיע בזמן, שהעובדים יכירו את תפקידם, שהחלופות יהיו זמינות ושההנהלה תצליח לקבל החלטות תחת עומס.
תרגיל שולחני או תרגיל הנהלה מאפשרים לבדוק את ההנחות האלה בלי להמתין לאירוע אמת. אפשר לדמות השבתה של מערכת, פגיעה באתר, מחסור בכוח אדם או כשל אצל ספק, ולבחון כיצד הארגון מגיב ככל שהתרחיש מתפתח.
תרגול עשוי לחשוף סמכויות לא ברורות, פרטי קשר שאינם מעודכנים, קושי בהעברת מידע או פער בין זמן ההתאוששות המתוכנן לבין היכולת בפועל. הערך אינו מסתיים בזיהוי הליקויים. לאחר התרגיל יש לקבוע מי מטפל בכל ממצא, מתי הוא צפוי להיסגר וכיצד ייבדק השיפור.
כיצד יודעים שהמוכנות מספקת?
ארגון אינו יכול להבטיח שכל אירוע יתנהל לפי התוכנית. הוא כן יכול לוודא שקיימות תשובות ברורות לשאלות המרכזיות: אילו שירותים חייבים להימשך, כמה עובדים דרושים להפעלתם, מי מוסמך לקבל החלטות, מה עושים אם האתר או המערכת המרכזיים אינם זמינים ואילו ספקים נדרשים לתפקוד.
כאשר התשובות אינן ברורות, כאשר הן מוכרות רק למספר מצומצם של אנשים או כאשר הן מעולם לא נבדקו, קיימים פערים שדורשים טיפול.
רציפות תפקודית נשענת על החיבור בין אנשים, תהליכים, מערכות, ספקים וניהול. תוכנית עדכנית, חלופות ישימות ותרגול תקופתי אינם מבטלים את הסיכון, אך הם מאפשרים לארגון חיוני להגיב מהר יותר, להקצות את המשאבים למקומות הנכונים ולצמצם את הפגיעה בשירותים שעליהם מסתמכים הציבור והמשק.