איך מנהלים את ההמשכיות העסקית בצל נגיף הקורונה?

נגיף הקורונה מתפשט בקצב מדאיג, ומדינות שונות מנסות למנוע הדבקות בו. גם כאן הנגיף פרץ – בין אם מדובר בקבוצת תיירים מדרום קוריאה שהייתה בארץ ולאחר שחזרה למדינתה נתגלה שחבריה נושאים אותו, או במה שפורסם היום (ה') – ישראלי שחזר ביום א' האחרון בטיסה מאיטליה ונמצא שהקורונה הגיעה גם אליו.

בעולם הגנת הסייבר, הדבקה בווירוס היא עניין שכיח, ואנשי הגנת סייבר יכולים לדקלם סיפורים ומקרים מתוך שינה.

הנגיפים הפיזיים ואלה הווירטואליים

יש קווי דמיון בין הקורונה לסייבר, או, יותר נכון, בין הדרך שבה נעשית ההדבקה של הנגיף בבני אדם לדרך שבה נוזקות מדביקות מחשבים, ובין אופני ההתמודדות עם שתי הרעות החולות האלה. טכניקות ההתגוננות, הבלימה, הכיתור, הניתוק, ההכחדה (לזה, לצערנו, עוד לא הגענו), החיטוי, מציאת הנשא ה-"מקורי" של הנגיף, זיהוי הגורם השורשי, התגובה למקרים, הפקת הלקחים ובניית האסטרטגיה לטיפול, הגנה, ייצוב והתאוששות – דומים מאוד. כיתור ובידוד הנגעים מבלי לפגוע באורגניזם החי הוא דבר שמהווה היום יום של עולם הסייבר. כפועל יוצא, מציע עולם הסייבר שיטות פעולה שמתאימות כהמלצה לארגונים כדי להתכונן ולהתנהל נכון כאשר רמת הסיכון מתרחיש ספציפי עולה, כולל תרחיש פיזי שיש לו השלכות על חברות וארגונים, כמו במשבר הקורונה שאנחנו חווים כעת.

שורה של חברות נאלצות להתמודד עם השפעות המשבר: בעיות בשרשרת האספקה, קיטון בייצור, ירידות בבורסה וכתוצאה מכל אלה – הורדות תחזיות ההכנסות. מיקרוסופט ואפל כבר הודיעו שזה מה שהמשקיעים צפויים לראות בדו"חות. כל זה בעיקר מאחר שהחברות האלה מייצרות את המוצרים שלהן בסין, באמצעות קבלנים. אלא שכל חברה שפועלת בשווקי ענק כמו סין, או שנמצאת בקשר עם חברה שפועלת בה, צריכה לקחת את הדברים האלה בחשבון. במקביל, על חברות לבחון את היערכותן לתרחיש קיצון של מצב חירום בישראל.

ארז שטנג, מנהל אבטחת מידע, ארכיטקט אבטחה ומתכנן המשכיות עסקית בעקבות אירועי סייבר במרכז הגנת הסייבר של BDO. צילום: יח"צ

הפריחה הצפויה של העבודה מהבית

אם מגפת הקורונה תתחיל להשתולל אצלנו, סביר להניח שאחרי כפיית הבידוד ועוצר היציאות מהבתים, שאת זה אנחנו כבר רואים, נקבל הנחיות לאגור ציוד כמו מזון, מים ומסכות נשימה. או אז, העבודה מהבית תצמח דרמטית לעומת המצב הרגיל, וחברות שבהן ניתן לבצע את העבודה מהבית יאפשרו לעובדים שלהן לעשות זאת.

חברות שלא נערכו למצב של תרחיש מסוג זה חשופות לסכנה של פגיעה בהמשכיות העסקית של העסק ושירותיו – בין אם מדובר בהנחיה או המלצה רשמית ובין אם הציבור "יצביע ברגליים" ויעדיף להישאר בבית. לכן, הן ייאלצו לאלתר פתרונות שמאפשרים לעובדים ולעסק להמשיך לפעול. בעולם ניהול אירועי אבטחת מידע וסייבר, הדרך לטיפול באירועים מסוג זה ברורה ומתועדת כטקטיקה מקובלת להמשכיות עסקית בעת שהם קורים.

סביר להניח שרוב החברות הרלוונטיות כבר פועלות בכיוון. כך או כך, ארגונים צריכים בכל עת להחזיק תכנית מגרה להתמודדות עם המשך פעולה בחירום. במסגרת התכנית יש לבצע תהליך של זיהוי הנכסים והתהליכים העסקיים הקריטיים שעלולים להיפגע. הכוונה היא לביצוע תהליך ניתוח ההשפעה של אירועים על ההמשכיות העסקית (Business Continuity Impact Analysis). עליו להיות מבוצע כחלק מתהליכי ההכנה הארגונית בכל נושא תכנון ההמשכיות העסקית – זיהוי נכסים עסקיים קריטיים המשלבים ספקי צד ג', תהליכי עבודה מכניים שעלולים להפסיק לפעול והגדרת תהליכי עבודה חלופיים, וקביעת אנשי מפתח בכל ספק צד ג', שמעורבים בתהליך העסקי, כדי לאפשר להם לפעול גם במצב שבו הצד השני נמצא בבידוד, הסגר או עוצר מרצון בבית.

ההמלצות העיקריות בנושא הן ליצור תכנון לעיבוי מערכי גישה ושירותים לעובדים רבים, כך שיוכלו להמשיך לתפעל את העסק מהבית; להפיץ כלים עדכניים להחלפת הפגישות הפיזיות בוועידות אונליין, וליידוע עליהן; להפיץ נהלי תקשורת בחירום; לכתוב אוגדן התמודדות אישי לטיפול במצוקת עובדים; להפעיל מוקד טלפוני; וכמובן, לבצע את העבודה עצמה. לצד אלה, על העסק למפות את השירותים שהוא זקוק להם ולמצוא פתרונות חלופיים שיאפשרו קבלת שירות דומה בצורה מרוחקת. עוד המלצה היא לבצע סימולציה של תרחיש ויראלי או פיזי והשפעתו על המשכיות התפקוד העסקי.

משבר הקורונה מהווה תזכורת מצוינת לחשיבותה של ההמשכיות העסקית והזדמנות פז להפעיל את גלגלי תכנון ומימוש האסטרטגיה, כדי שבמצבים לא שגרתיים תהיה כמה שפחות פגיעה בעסקים, אם בכלל, וייגרם כמה שפחות נזק לארגון.

הכותב הוא מנהל אבטחת מידע, ארכיטקט אבטחה ומתכנן המשכיות עסקית בעקבות אירועי סייבר (Cyber BCP) במרכז הגנת הסייבר של BDO.