برپایه تحقیقات سازمان مدیریت کسب‌وکارهای کوچک در آمریکا، بیش از 50 درصد از کسب‌وکارهایی که با حوادث و بخصوص رویدادهای مرتبط با IT مواجه می‌شوند، هرگز امکان بازگشت از آن را ندارند. حوادث معمولا بدون هشدار قبلی رخ می‌دهند و به همین علت است که آماده‌سازی سازمان برای بازیابی سریع از هر رویداد، مانند از دست دادن داده یا اختلال در عملکرد فرایندها که ظرفیت تبدیل شدن به یک حادثه را دارد، امری حیاتی است.
در ادامه با اهمیت تدوین طرح بازیابی از حادثه (Disaster Recovery Plan)، انواع مختلف برنامه بازیابی از حادثه DRP، مزایای آنها و چگونگی تقویت طرح بازیابی از حادثه را برای هر سازمان توضیح می‌دهیم.
تعریف و چیستی طرح بازیابی
راهبردی مستند شامل سیاست‌ها، رویه‌ها و مسئولیت‌هایی که به سازمان‌ها کمک می‌کند تا سامانه‌ها و داده‌های فناوری اطلاعات خود را پس از یک حادثه رخ داده برای آنها بازیابی کنند، طرح بازیابی از حادثه نام دارد. چنین برنامهای شامل دستورالعمل‌های دقیق در مورد چگونگی واکنش سازمان به رویدادهای مخرب مانند حملات سایبری، قطع شدن سراسری برق، اختلال در نرم‌افزارها یا خطای انسانی است. برنامه بازیابی از حادثه، جزئی حیاتی از یک طرح مستمر برای هر کسب‌وکار است. این طرح به سازمان‌ها امکان می‌دهد تا پس از وقوع حادثه و بروز اختلال در عملیات تجاری، سریع‌تر به وضعیت پیش از حادثه برگردند و از وقوع آن آسیب جدی نبینند.
هدف از تعریف این طرح
هدف اصلی در برنامه بازیابی از حادثه به حداقل رساندن اختلال در سازمان پس از بروز حادثه، حمله سایبری یا از دست رفتن داده‌های حیاتی سازمان است. داشتن یک برنامه بازیابی از حادثه برای مدیریت وقایع فاجعه‌بار و غیرقابل پیش‌بینی الزامی است و باعث می‌شود سازمان اهرمی در کنترل عواقب هر حادثه داشته باشد. برنامهای که بخوبی تدوین شده باشد زمان برگشت به حالت عادی را کوتاه می‌کند، میزان هدر رفت داده و توقف در فرایندها را به حداقل می‌رساند و بازیابی سریع را تضمین می‌کند. چنین برنامهای به کسب‌وکارها اجازه می‌دهد در مقابل رویدادهای غیرمنتظره شکننده نباشند و بدون اختلال چشم‌گیری از هر رویداد پیش‌بینی نشده به حالت عادی بازگردند.
اهمیت تدوین طرح بازیابی از حادثه
علت وقوع حوادث طبیعی باشد یا انسانی، در هر حال می‌توانند کسب‌وکارها را به ورطه نابودی بکشانند، داده‌های آن را برای همیشه از دسترس خارج کنند، به زیرساخت‌های IT صدمات جبران ناپذیر وارد کنند و سرانجام باعث توقف عملیات کانونی سازمان شوند. طرح بازیابی از حوادث، برای ایجاد سدهای کمکی در مواجهه با این بلایا و تسریع در روند بهبود وضعیت سازمان است. با یک برنامه بازیابی از حادثه DRP قوی، کسب‌وکار مراحل تعریف‌شده و کارایی لازم برای بازگشت از حادثه را دارد و شبیه یک اتاق اورژانس برای رویارویی با آسیب‌های ناگهانی از قبل آماده شده است. بویژه، این برنامه به سازمان کمک می‌کند که عملیات خود را چه در زمان بروز حادثه و چه بعد از وقوع آن در جریان نگه دارد.
طرح‌های بازیابی خوب و ساختاریافته، تاب‌آوری سازمان را نیز افزایش می‌دهند. چنین خصوصیتی به سازمان اجازه می‌دهد که در مقابل وقایع ناگهانی و مخرب انعطاف‌پذیرتر باشد و بتواند پیامدهای منفی آنها را کاهش دهد. در واقع درصد زیادی از اهداف در ایجاد طرح‌های بازیابی برای ایجاد انعطاف در سازمان و چابک‌سازی آن در زمان وقوع حادثه تعریف می‌شوند. پایبندی به برنامه تعریف شده نه‌تنها خسارت‌های ممکن را کاهش می‌دهد، بلکه از به چالش کشیده شدن تعهد سازمان به مشتریان و ذینفعان خود جلوگیری می‌کند.
تفاوت برنامه‌ریزی برای بازیابی از حادثه با برنامه‌ریزی برای استمرار کسب‌وکار
طرح بازیابی از حادثه و طرح حفظ استمرار در کسب‌وکار (BCP)، با اینکه ارتباط نزدیکی باهم دارند، اما دو راهبرد جداگانه هستند که برای کاهش ریسک‌های مرتبط با رویدادهای پیش‌بینی نشده تعریف می‌شوند، اما اهداف راهبردی متفاوتی را دنبال نمی‌کنند.
یک طرح بازیابی از حادثه بر بازسازی زیرساخت‌های فناوری اطلاعات و مدیریت داده پس از بروز حادثه‌ای مخرب متمرکز است. این طرح رویه‌های خاص برای بازیابی سیستم‌ها، برنامه‌ها و داده‌های حیاتی سازمان را در خود دارد تا تأثیر حادثه به حداقل برسد و تداوم در عملیات با اختلال جدی مواجه نشود.
این در حالی است که طرح مرتبط با حفظ استمرار در کسب‌وکار دامنه وسیع‌تر و بخش‌های بسیار فراتری از فناوری اطلاعات را در بر می‌گیرد. این برنامه شامل برنامه‌ریزی برای نیروی انسانی، امکانات، ارتباطات، و فرایندهای تجاری برای حفظ روند جاری عملیات ضروری کسب‌وکار است. درواقع، حفظ استمرار، برنامه برنامه بازیابی از حادثه DRP را بعنوان طرحی زیرمجموعه در خود می‌گنجاند و تلاش می‌کند با انواع طرح‌ها از بخش‌های دیگر به سازگاری برساند.
تفاوت با طرح واکنش به حادثه
یک طرح واکنش به حادثه (IRP) شامل اقدامات فوری و متمرکزی می‌شود که باید در هنگام وقوع یک نقص امنیتی، حمله سایبری یا هر حادثه‌ای دیگر انجام شود. هدف اصلی چنین طرحی کاهش زمان بازیابی و هزینه‌های مرتبط با یک حادثه در بخش فناوری اطلاعات است. این برنامه پروتکل‌هایی را برای شناسایی، مهار، کاهش و ریشه‌کن کردن سریع عواقب حادثه ترسیم می‌کند. طرح واکنش به حادثه برای به حداقل رساندن آسیب‌های حاصل از واقعه، حفظ اسناد برای تحلیل‌های بعدی و تسهیل در روند بازگشت کسب‌وکار به عملیات عادی است.
یک طرح بازیابی از حادثه در درجه اول بر بازیابی سیستم‌ها، برنامه‌ها و داده‌های حیاتی فناوری اطلاعات پس از بروز رویداد فاجعه‌بار تمرکز دارد. این طرح گام‌های مختلفی را برای کاهش زمان خارج شدن از سرویس، بازیابی عملیات و اطمینان از یکپارچگی داده‌ها تشریح می‌کند.
انواع مختلف طرح‌های بازیابی از حادثه
انواع مختلفی از برنامه‌های بازیابی از حادثه وجود دارند که با هدفِ حصول اطمینان از عملکرد مناسب کسب‌وکار در مواجهه با حادثه تعریف شده‌اند. هر کدام از این طرح‌ها نقشی حیاتی در حفاظت از جنبه‌های مختلف زیرساخت‌های فناوری اطلاعاتِ سازمان را بر عهده دارند و نیازهای خاصی را برطرف می‌کنند. انتخاب یک طرح خاص یا ترکیب طرح‌های مختلف به ماهیت کسب‌وکار شما، اهمیت سامانه‌ها، ملاحظات بودجه و الزامات قانونی بستگی دارد.
طرح بازیابی شبکه پس از حادثه
طرح بازیابی شبکه پس از حادثه (NDRP) بر بازیابی زیرساخت‌های شبکه و ایجاد اتصال پس از یک رویداد مخرب مانند بروز یک حادثه طبیعی، حمله سایبری یا نقص فنی تمرکز دارد. این طرح شامل راهبردها و رویه‌ها برای شناسایی آسیب‌پذیری‌ها، پشتیبان‌گیری از تنظیمات و داده‌ها، پیکربندی زیرساخت شبکه و ایجاد کانال‌های ارتباطی جایگزین برای حفظ استمرار در عملیات است.
طرح بازیابی برای مرکز داده
طرح بازیابی از حادثه مرکز داده (DCDRP) یک راهبردی حیاتی است که رویه‌هایی را برای بازیابی سرورها، سامانه‌های ذخیره‌سازی و اجزای زیرساختی موجود در مرکز داده تعریف می‌کند. چنین برنامهای شامل ارزیابی نوع و میزان آسیب‌پذیری‌ها، تعریف اهداف زمان بازیابی (RTO’s) و اهداف نقطه بازیابی (RPO’s)، ایجاد مکانیسم‌های بازگشت از خرابی و پشتیبان‌گیری از اطلاعات خارج از سایت سازمان است. مراکز داده نقشی حیاتی در ذخیره، پردازش و مدیریت اطلاعات حیاتی سازمان بازی می‌کنند؛ بنابراین، تدوین طرح جامع بازیابی از حادثه برای آنها اهمیتی دو چندان دارد.
طرح بازیابی برای فضای ابری
این برنامه بر فضای ابری تمرکز دارد. سازمان‌ها حجم بالایی از داده‌های باارزش خود و روندهای انجام عملیات را در فضاهای ابری ذخیره می‌کنند، تا از پشتیبانی اطلاعات و در دسترس بودن مضاعف داده اطمینان حاصل کنند. انعطاف‌پذیری و مقیاس‌پذیری راهکارهای مرتبط با فضای ابری، امکان بازیابی سریع و دسترسی به داده‌ها را از هر نقطه دنیا فراهم می‌کنند. افزون بر این، برنامه‌های بازیابی از حادثه در فضای ابری غالبا شامل فرایندهای خودکار برای بازیابی هستند و سازمان نیازی به صرف وقت و انرژی برای تعریف این دسترسی‌ها ندارد.
طرح بازیابی از حادثه مجازی
یک طرح بازیابی از حادثه مجازی شامل تکرار عملیات تخصصی کسب‌وکار در یک محیط مجازی برای بازیابی سریع و تداوم عملیات در بخش‌های مختلف سازمان است. بازیابی از حادثه در قالب این طرح‌ها ساده‌تر، سریع‌تر و مقرون به صرفه‌تر از روش‌های مبتنی بر فضای فیزیکی است.
بازیابی از حادثه بعنوان یک خدمت
منظور از حادثه به عنوان یک خدمت یا DRaaS یک مدل مبتنی بر چارچوب اشتراک‌محور است که در آن سازمان ثالثی، میزبانی و مدیریت قابلیت‌های مرتبط بازیابی از حادثه را برعهده می‌گیرد. این شیوه از بازیافت اطلاعات، راهکاری جامع شامل سخت‌افزار، نرم‌افزار و عملیات اجرایی را ارائه می‌کند. DRaaSها اغلب با خدمات ابری ادغام می‌شود و گزینه‌های بازیابی انعطاف‌پذیر و مقرون به صرفه‌تری را ارائه می‌دهند. این خدمات به سازمان‌ها اجازه می‌دهد که از پیچیدگی‌های مرتبط با بازیابی پرهیز کنند و همزمان از تیمی متخصص و با تجربه در زمینه بازیابی از حادثه بهره بگیرند.
اجزای کلیدی این طرح
یک طرح جامع برای بازیابی از حادثه، همچون نقشه راه حیاتی برای سازمان عمل می‌کند تا بتواند به سلامت از بحران‌ها عبور کند و اختلالات حاصل از وقوع حوادث را به حداقل برساند. یک DRP موثر باید شامل چند مولفه کلیدی برای پاسخگویی سریع و کارامد به سناریوهای مختلف باشد:
- فهرست اموال IT: در اختیار داشتن فهرست جامعی از دارایی‌های مرتبط با فناوری اطلاعات، درک روشنی از سیستم‌ها، برنامه‌های کاربردی، سخت‌افزار و داده‌های حیاتی را ارائه می‌کند که برای استمرار عملیات لازم است.
- نقش‌ها و مسئولیت‌ها: نقش‌ها و مسئولیت‌ها را برای هر یک از اعضای تیم درگیر در روند بازیابی تعریف کنید. ایجاد یک زنجیره روشن از دستورها و تشریح وظایف در طول بحران به ساده‌سازی اقدامات و تصمیم‌گیری موثر کمک می‌کند.
- اهداف و مقاصد: اهداف هر طرح باید بوضوح ارائه شود تا فرایند بازیابی مشخص باشد و افراد مکلف به آن بدانند که در چه جهتی باید حرکت کنند و نتیجه باید چگونه باشد. اهداف RTO/RPO خود را بدقت مشخص کنید و معیارهایی را برای عملکرد فرایند بازیابی تعیین کنید؛ بخصوص مشخص کنید که سازمان چقدر وقت دارد، هر عملیات چقدر می‌تواند از زنجیره تولید یا خدمت‌دهی خارج شود بدون اینکه صدمه‌ای جدی به کسب‌وکار بزند و اینکه ارتباط بین فرایندها و مسائل حیاتی را مشخص کنید.
- رویه‌های پشتیبان‌گیری: پشتیبانی‌گیری منظم برای حفاظت از داده‌ها نکته مهمی است و بعنوان عنصری اساسی برای بازیابی از حادثه عمل می‌کند. برای پشتیبان‌گیری از داده‌ها روش‌های بهینه را ارائه و اجرا کنید. این روش‌ها باید بر اساس محتمل‌ترین بحران‌ها انتخاب شوند. تمام افراد مرتبط با تیم بازیابی باید از محل‌های نگهداری و نحوه دسترسی به سخت‌افزار و نرم‌افزارهای پشتیبان‌گیر آگاهی داشته باشند.
- رویه‌های بازیابی از حادثه: روش‌های دقیق برای بازیابی سیستم‌ها و عملیات حیاتی، ازجمله پروتکل‌های واکنش به حادثه و گردش کار در روند بازیابی، را مشخص کنید. با در نظر گرفتن سناریوهای مختلف مرتبط با حادثه، فرایندی گام به گام برای بازیابی سیستم‌ها، برنامه‌ها و داده‌ها تعریف کنید. کانال‌ها و پروتکل‌های ارتباطی ایجاد کنید تا ذینفعان در طول فرایند بازیابی از روند پیاده‌سازی آن باخبر باشند.
- راهبرد تست: طرح خود را با یک استراتژی مشخص و متناسب با حادثه مدنظر آزمایش کنید. بازه‌های زمانی آزمایش طرح (سه ماهه، شش ماهه یا سالانه) را مشخص کنید. سناریوهایی برای شبیه‌سازی تهدیدها تعریف و برای انجام آنها مستندسازی کنید. پس از اجرای آزمایش، نقاط ضعف و قوت برنامه را بررسی و برای بهبود وضعیت طرح اقدام کنید.
- مستندات طرح: با مستندسازی کافی و درست از اجرای کامل و دقیق برنامه تعریف شده مطمئن شوید. همیشه ویرایش‌های جدیدی از این اسناد تهیه کنید؛ نسخه‌هایی که با تغییرات اخیر سازگار هستند و شما را از اینکه کارکنان از آخرین تحولات مرتبط با مدیریت بحران آگاهی دارند، مطمئن می‌کنند.
مزایای تدوین طرح بازیابی
طرح بازیابی از حادثه، راهبردی پیشگیرانه است که مزایای متعددی برای سازمان‌ها دارد:
- به حداقل رساندن زمان از دسترس خارج بودن عملیات: با فعال‌کردن امکان بازیابی سریع از حادثه، چنین برنامهای باعث کاهش اختلالات در عملیات و به‌حداقل‌رساندن زمان خارج از سرویس بودن عملیات سازمان می‌شود.
- محافظت از داده: پشتیبان‌گیری عنصر مهمی برای هر سازمان با اتکای محدود یا همه‌جانبه به داده‌ها و برنامه‌های کاربری است. کپی‌گرفتن از داده‌های سازمان و ذخیره آن در مکانی امن به اطمینان سازمان از توان واکنش سریع به حادثه کمک می‌کند.
- افزایش انعطاف‌پذیری سازمان: یک DRP به شما امکان می‌دهد که برای موقعیت‌های پیش‌بینی نشده آمادگی بیشتری داشته باشید و سازمان در مقابل آنها منعطف‌تر باشد. آزمایش و به‌روزرسانی این طرح باعث می‌شود همیشه دید خوبی از نقاط قوت و ضعف سازمان داشته باشید و در زمان بروز حادثه بدانید کدام نقاط را باید بهتر و بیشتر پوشش بدهید.
- ایجاد استمرار در کسب‌وکار: یکی از مهم‌ترین محورهای حفظ استمرار در عملیات سازمان، استمرار در فرایندهای مرتبط با حوزه فناوری اطلاعات است.
- انطباق با مقررات: یک طرح قوی بازیابی از حادثه به شما اطمینان می‌دهد که پروتکل‌های اجرایی سازمان با استانداردهای صنعت و الزامات قانونی سازگاری دارند. توجه کنید که زنجیره تأمین سازمان و اکوسیستمی که در آن فعالیت می‌کند شامل زنجیره‌ای از دیگر سازمان‌هاست که به پروتکل‌های محافظتی یکدیگر اهمیت می‌دهند و برای هر سازمان مهم است که بداند اطلاعات خود را با چه سازمانی و با چه پروتکل‌هایی به اشتراک می‌گذارد.
- کاهش زیان‌های مالی: هرچقدر زمان خارج از سرویس بودن یک یا چند عملیات بیشتر باشد، سازمان هزینه بیشتری را بابت آن متقبل خواهد شد. بنابر گزارش IBM در سال 2023، سازمان‌هایی که برنامه منظم با آزمایش‌های مکرر مرتبط با مدیریت بحران دارند، بطور میانگین 1.5 میلیون دلار در هزینه‌های خود صرفه‌جویی می‌کنند.
- افزایش اعتماد ذینفعان: داشتن برنامهای منسجم و قابل اجرا در مواجهه با بحران، نشانه قابل اطمینان بودن سازمان است. بخصوص برای شرکت‌هایی که سهامشان در بازارهای سهام عرضه شده‌اند، داشتن چنین طرح‌هایی باعث جلب توجه سهامداران می‌شود.
شرکت فناپ زیرساخت با تجربه طولانی در ساخت مراکز داده بزرگی همچون مرکز داده امام علی (ع) با 256 رک، مراکز داده پردیس 3 با 64 رک و پردیس 4 با 614 رک، در زمینه طراحی انواع مراکز داده، بویژه مراکز داده پشتیبان و مراکز داده بازیابی از حادثه، تخصص دارد و اکنون در حال طراحی و ساخت شهرک مرکز داده شاهرود است.
منبع: spanning.com
