تدقيق استمرارية الأعمال والتعافي من الكوارث

عادةً ما يتم قياس تقليل وقت التوقف وفقدان البيانات أثناء التعافي من الكوارث من خلال مفهومين رئيسيين:

• هدف وقت الاسترداد (RTO)، وهو الوقت اللازم لتشغيل النظام بالكامل.
• هدف نقطة الاستعادة (RPO)، وهو مقياس لقدرة النظام على استعادة الملفات عن طريق تحديد نقطة زمنية سيتم استعادة النسخة الاحتياطية إليها.

خطة التعافي من الكوارث ( DRP ) هي عملية موثقة أو مجموعة من الإجراءات لتنفيذ عمليات التعافي من الكوارث في المؤسسة ، واستعادة وحماية البنية التحتية لتكنولوجيا المعلومات الخاصة بها في حال وقوع كارثة . ^{[ 4 ]} وهي "بيان شامل للإجراءات المتسقة التي يجب اتخاذها قبل وأثناء وبعد وقوع الكارثة". ^{[ 5 ]} قد تكون الكارثة طبيعية أو بيئية أو من صنع الإنسان . قد تكون الكوارث من صنع الإنسان متعمدة (على سبيل المثال، عمل إرهابي) أو غير متعمدة (أي عرضية، مثل انهيار سد اصطناعي أو حتى أخطاء إدخال البيانات - أو الأوامر الخاطئة - على نظام حاسوبي).

يُعدّ التعافي من الكوارث جزءًا من استمرارية الأعمال. فبينما يشمل التعافي من الكوارث السياسات والأدوات والإجراءات اللازمة لاستعادة البيانات بعد وقوع كارثة، فإن استمرارية الأعمال تتضمن ضمان استمرار جميع جوانب العمل بغض النظر عن الأحداث المُعطِّلة المحتملة. ولذلك، تُعتبر خطة استمرارية الأعمال استراتيجية تنظيمية شاملة تتضمن التعافي من الكوارث، بالإضافة إلى الوقاية من التهديدات، والكشف عنها، والتعافي منها، واستئناف العمليات في حال حدوث اختراق للبيانات أو أي كارثة أخرى. وعليه، تتكون خطة استمرارية الأعمال من خمس خطط فرعية: ^{[ 9 ]}

• خطة استئناف الأعمال
• خطة الطوارئ للساكن
• خطة استمرارية العمليات
• خطة إدارة الحوادث
• خطة التعافي من الكوارث

لا تتناول المكونات الثلاثة الأولى (استئناف الأعمال، وحالات الطوارئ المتعلقة بالموظفين، واستمرارية العمليات) البنية التحتية لتكنولوجيا المعلومات. أما خطة إدارة الحوادث (IMP) فتتناول البنية التحتية لتكنولوجيا المعلومات، ولكن نظرًا لأنها تُرسّخ الهيكل والإجراءات اللازمة للتصدي للهجمات الإلكترونية على أنظمة تكنولوجيا المعلومات في المؤسسة، فإنها لا تُمثّل عادةً جهةً لتفعيل خطة استمرارية الأعمال (DRP)؛ وبالتالي، فإن خطة استمرارية الأعمال هي المكون الوحيد من خطة استمرارية الأعمال الذي يحظى باهتمام تكنولوجيا المعلومات. ^{[ 9 ]}

وفقًا لجيفري إتش. وولد من مجلة التعافي من الكوارث، فإن العملية الكاملة التي ينطوي عليها تطوير خطة التعافي من الكوارث تتكون من 10 خطوات: ^{[ 5 ]}

• إجراء تقييم للمخاطر : تُعدّ لجنة التخطيط تحليلًا للمخاطر وتحليلًا لتأثير الأعمال (BIA) يشمل مجموعة من الكوارث المحتملة. ويتم تحليل كل مجال وظيفي في المؤسسة لتحديد العواقب المحتملة. تقليديًا، كان الحريق يُمثّل التهديد الأكبر. وتُوفّر الخطة الشاملة حلولًا لأسوأ السيناريوهات، مثل تدمير المبنى الرئيسي.
• تحديد أولويات المعالجة والعمليات : يتم تقييم الاحتياجات الأساسية لكل قسم وتحديد أولوياتها. يتم إعداد اتفاقيات مكتوبة للبدائل المختارة، مع تفاصيل تحدد المدة، وشروط الإنهاء، واختبار النظام ، والتكلفة ، وأي إجراءات أمنية خاصة، وإجراءات إخطار تغييرات النظام، وساعات العمل، والأجهزة والمعدات الأخرى المطلوبة للمعالجة، ومتطلبات الموظفين، وتعريف الظروف التي تشكل حالة طوارئ ، وعملية التفاوض على تمديدات الخدمة، وضمان التوافق ، والتوافر ، ومتطلبات الموارد غير المركزية، والأولويات، وغيرها من المسائل التعاقدية.
• جمع البيانات : يشمل ذلك قوائم متنوعة (قائمة بأسماء الموظفين الاحتياطيين، وقائمة بأرقام الهواتف الهامة، وقائمة الاتصال الرئيسية، وقائمة الموردين الرئيسية، وقائمة التحقق من الإخطارات)، وقوائم جرد (معدات الاتصالات، والوثائق، ومعدات المكاتب، والنماذج، وبوالص التأمين ، وأجهزة حاسوب مجموعات العمل ومراكز البيانات، وأجهزة وبرامج الحواسيب الصغيرة ، ولوازم المكاتب ، ومعدات مواقع التخزين الخارجية، والهواتف، إلخ)، وسجل التوزيع، وجداول النسخ الاحتياطي/الاحتفاظ بملفات البرامج والبيانات، ومواصفات المواقع المؤقتة، وأي قوائم ومواد وقوائم جرد ووثائق أخرى مماثلة. غالبًا ما تُستخدم نماذج مُعدة مسبقًا لتسهيل عملية جمع البيانات.
• تنظيم وتوثيق خطة مكتوبة
• تطوير معايير وإجراءات الاختبار : تشمل أسباب الاختبار ما يلي:
  • تحديد جدوى وتوافق مرافق وإجراءات النسخ الاحتياطي.
  • تحديد المجالات في الخطة التي تحتاج إلى تعديل.
  • تقديم التدريب لمديري الفرق وأعضاء الفرق.
  • إظهار قدرة المنظمة على التعافي.
  • توفير الحافز للحفاظ على خطة التعافي من الكوارث وتحديثها.
• اختبار الخطة : يتم إجراء " تجربة أولية " للخطة من خلال إجراء اختبار تجريبي منظم. يجب إجراء اختبار فعلي. يتم تصحيح المشاكل.

يمكن إجراء الاختبارات الأولية على مراحل وبعد ساعات العمل الرسمية لتقليل الاضطرابات. أما الاختبارات اللاحقة فتُجرى خلال ساعات العمل الرسمية.

نظراً لتكلفتها العالية، لا تخلو العديد من الخطط من الانتقادات. وقد حددت شركة ديل خمسة "أخطاء شائعة" ترتكبها المؤسسات غالباً فيما يتعلق بتخطيط استمرارية الأعمال والتعافي من الكوارث: ^{[ 14 ]}

• عدم الالتزام : عندما تنظر الإدارة التنفيذية إلى تخطيط استمرارية الأعمال على أنه "مجرد تدريب وهمي آخر على الزلازل"، أو عندما يفشل الرؤساء التنفيذيون في جعل تخطيط استمرارية الأعمال والاستعداد لها أولوية.
• عدم اكتمال أهداف وقت الاستعادة (RTO) ونقاط الاستعادة (RPO) : عدم تضمين جميع العمليات التجارية الهامة أو جزء من البيانات. قد تؤدي التداعيات إلى تفاقم آثار الكارثة. قد لا تكون الرواتب ذات أهمية بالغة في البداية، ولكن إذا تُركت دون معالجة لعدة أيام، فقد تصبح أكثر أهمية من أي من مشاكلك الأولية.
• قصر النظر في الأنظمة : يتمثل أحد مواطن الضعف الثالثة في التركيز فقط على التعافي من الكوارث دون مراعاة احتياجات استمرارية الأعمال الأوسع. قد يؤدي فقدان مساحة المكاتب في الشركة بسبب كارثة إلى وجود عدد كبير من العاملين عن بُعد بشكل فوري، مما قد يُثقل كاهل شبكة VPN الخاصة بالشركة بين عشية وضحاها، ويُرهق موظفي دعم تكنولوجيا المعلومات في لمح البصر، ويتسبب في اختناقات خطيرة واحتكارات في نظام PBX للاتصال الهاتفي.
• ضعف الأمن : عند وقوع كارثة، تصبح بيانات المؤسسة وعملياتها التجارية عرضة للخطر. لذا، قد يكون الأمن أكثر أهمية من سرعة تنفيذ خطة استعادة البيانات بعد الكوارث. ويصبح تأمين قنوات نقل البيانات الجديدة، بدءًا من شبكات VPN الجديدة وصولًا إلى الاتصال بخدمات النسخ الاحتياطي الخارجية، هو الاعتبار الأهم.
  • في حالات الكوارث، التخطيط للطب الشرعي بعد الوفاة
  • تأمين الأجهزة المحمولة المفقودة أو مسح بياناتها عن بُعد

يُحدد المدقق مدى كفاية التغطية التأمينية للشركة (وخاصةً تأمين الممتلكات والمسؤولية المدنية ) من خلال مراجعة وثائق التأمين الخاصة بها وإجراء بحوث أخرى. ومن بين الأمور التي يتحقق منها المدقق: نطاق الوثيقة (بما في ذلك أي استثناءات مُحددة)، وكفاية مبلغ التغطية لتلبية احتياجات الشركة، وسريان الوثيقة. كما يتأكد المدقق، من خلال مراجعة التصنيفات الصادرة عن وكالات التصنيف المستقلة، من قدرة شركة أو شركات التأمين المُقدمة للتغطية على تغطية الخسائر في حال وقوع كارثة.

تأخذ خطط التعافي من الكوارث الفعّالة في الحسبان مدى مسؤوليات الشركة تجاه الجهات الأخرى وقدرتها على الوفاء بتلك الالتزامات حتى في حال وقوع كارثة كبرى. وتشمل عملية التدقيق الجيدة للتعافي من الكوارث مراجعة مذكرات التفاهم والعقود القائمة لضمان تقليل المسؤولية القانونية للمنظمة عن أي تقصير في الأداء في حال وقوع كارثة أو أي ظرف استثنائي آخر. كما تُحدد الاتفاقيات المتعلقة بتوفير الدعم والمساعدة في عملية التعافي. وتشمل أساليب تقييم هذا الجانب فحص مدى معقولية الخطة، وتحديد ما إذا كانت الخطة تراعي جميع العوامل، والتحقق من معقولية العقود والاتفاقيات من خلال الوثائق والبحوث الخارجية.

يجب على المدقق التحقق من أن التخطيط يضمن أن كلاً من الإدارة وفريق التعافي لديهما أجهزة اتصال فعالة ومعلومات اتصال لكل من الاتصالات الداخلية والقضايا الخارجية، مثل شركاء العمل والعملاء الرئيسيين.

تشمل تقنيات التدقيق ما يلي:

• اختبار الإجراءات، وإجراء مقابلات مع الموظفين، وإجراء مقارنة مع خطط الشركات الأخرى ومع معايير الصناعة،
• فحص كتيبات الشركة والإجراءات المكتوبة الأخرى.
• الملاحظة المباشرة بأن أرقام هواتف الطوارئ مدرجة ويمكن الوصول إليها بسهولة في حالة وقوع كارثة.

تتضمن أي خطة جيدة للتعافي من الكوارث إجراءات لدعم الموظفين خلال جهود التعافي على مدار الساعة. وتُكتب إجراءات تخزين الطعام والماء، والقدرات على إجراء الإنعاش القلبي الرئوي والإسعافات الأولية ، والتعامل مع حالات الطوارئ العائلية بوضوح وتُختبر. ويمكن للشركة تحقيق ذلك عمومًا من خلال برامج تدريبية جيدة وتحديد واضح للمسؤوليات الوظيفية. غالبًا ما تشمل مراجعة جاهزية الخطة مهامًا مثل الاستفسار من الموظفين، والملاحظة الميدانية المباشرة، وفحص سجلات التدريب وأي شهادات.

يجب على المدقق مراجعة الإجراءات التي تأخذ في الاعتبار احتمالية انقطاع التيار الكهربائي أو غيرها من الحالات التي لا تتعلق بتكنولوجيا المعلومات.

• قد تكون هناك حاجة إلى مصابيح يدوية وشموع .
• قد تكون هناك حاجة إلى إجراءات السلامة في حالة تسرب الغاز أو الحرائق أو غيرها من الظواهر المماثلة، بالإضافة إلى معدات الوقاية الشخصية.