การวางแผนความต่อเนื่องทางธุรกิจ

ความต่อเนื่องทางธุรกิจอาจนิยามได้ว่า "ความสามารถขององค์กรในการส่งมอบผลิตภัณฑ์หรือบริการอย่างต่อเนื่องในระดับที่ยอมรับได้ตามที่กำหนดไว้ล่วงหน้าหลังจากเหตุการณ์ที่ก่อให้เกิดความเสียหาย" ^{[ 1 ]}และการวางแผนความต่อเนื่องทางธุรกิจ^{[ 2 ]}^{[ 3 ]} (หรือการวางแผนความต่อเนื่องและความยืดหยุ่นทางธุรกิจ ) คือกระบวนการสร้างระบบการป้องกันและการฟื้นฟูเพื่อรับมือกับภัยคุกคามที่อาจเกิดขึ้นกับบริษัท^{[ 4 ]}นอกเหนือจากการป้องกันแล้ว เป้าหมายคือการทำให้การดำเนินงานอย่างต่อเนื่องสามารถดำเนินต่อไปได้ก่อนและระหว่างการดำเนินการกู้คืนจากภัยพิบัติ [ ^{5 ] ความ}ต่อเนื่องทางธุรกิจเป็นผลลัพธ์ที่ตั้งใจไว้ของการดำเนินการวางแผนความต่อเนื่องทางธุรกิจและการกู้คืนจากภัยพิบัติอย่างเหมาะสม

หน่วยงานมาตรฐานต่างๆ ได้เผยแพร่มาตรฐานความต่อเนื่องทางธุรกิจหลายรายการเพื่อช่วยในการตรวจสอบงานวางแผนที่กำลังดำเนินการอยู่^{[ 6 ]}

ความต่อเนื่องทางธุรกิจต้องใช้แนวทางจากบนลงล่างเพื่อระบุข้อกำหนดขั้นต่ำขององค์กรเพื่อให้มั่นใจถึงความอยู่รอดขององค์กรในฐานะหน่วยงาน หนึ่ง ความต้านทานต่อความล้มเหลวขององค์กรคือ "ความสามารถ...ที่จะทนต่อการเปลี่ยนแปลงในสภาพแวดล้อมและยังคงทำงานได้" ^{[ 7 ]}ความต้านทานต่อความล้มเหลวซึ่งมักเรียกว่าความยืดหยุ่น เป็นความสามารถที่ช่วยให้องค์กรสามารถทนต่อการเปลี่ยนแปลงของสภาพแวดล้อมโดยไม่ต้องปรับตัวอย่างถาวร หรือองค์กรถูกบังคับให้ปรับวิธีการทำงานใหม่ให้เหมาะสมกับสภาพแวดล้อมใหม่มากขึ้น^{[ 7 ]}

ภาพรวม

เหตุการณ์ใดๆ ที่อาจส่งผลกระทบเชิงลบต่อการดำเนินงานควรถูกรวมไว้ในแผน เช่น การหยุด ชะงักของห่วงโซ่อุปทาน การสูญเสียหรือความเสียหายต่อโครงสร้างพื้นฐานที่สำคัญ (เครื่องจักรหลักหรือทรัพยากร ด้านการคำนวณ/เครือข่าย) ดังนั้น BCP จึงเป็นส่วนย่อยของการจัดการความเสี่ยง^{[ 8 ]}ในสหรัฐอเมริกา หน่วยงานของรัฐเรียกกระบวนการนี้ว่าการวางแผนความต่อเนื่องของการดำเนินงาน (COOP) ^{[ 9 ]}แผนความต่อเนื่องทางธุรกิจ^{[ 10 ]} จะระบุ สถานการณ์ภัยพิบัติที่หลากหลายและขั้นตอนที่ธุรกิจจะดำเนินการในแต่ละสถานการณ์เพื่อกลับสู่การค้าปกติ BCP จะถูกเขียนขึ้นล่วงหน้าและอาจรวมถึงมาตรการป้องกันที่ต้องดำเนินการ โดยปกติแล้วจะสร้างขึ้นโดยได้รับข้อมูลจากพนักงานหลักและผู้มีส่วนได้ส่วนเสีย BCP คือชุดของมาตรการฉุกเฉินเพื่อลดความเสียหายที่อาจเกิดขึ้นกับธุรกิจในระหว่างสถานการณ์ที่ไม่พึงประสงค์^{[ 11 ]}

ความยืดหยุ่น

การวิเคราะห์ในปี 2548 เกี่ยวกับวิธีการที่การหยุดชะงักสามารถส่งผลเสียต่อการดำเนินงานของบริษัทและวิธีการที่การลงทุนในความยืดหยุ่นสามารถให้ความได้เปรียบในการแข่งขันเหนือหน่วยงานที่ไม่ได้เตรียมพร้อมสำหรับเหตุการณ์ฉุกเฉินต่างๆ^{[ 12 ]}ได้ขยายแนวทางปฏิบัติในการวางแผนความต่อเนื่องทางธุรกิจที่ใช้กันทั่วไปในขณะนั้น องค์กรธุรกิจต่างๆ เช่นสภาการแข่งขันได้นำเป้าหมายความยืดหยุ่นนี้มาใช้^{[ 13 ]}

การปรับตัวให้เข้ากับการเปลี่ยนแปลงในลักษณะที่ดูเหมือนจะช้าลงและค่อยเป็นค่อยไปมากขึ้น - บางครั้งอาจใช้เวลาหลายปีหรือหลายทศวรรษ - ได้รับการอธิบายว่ามีความยืดหยุ่นมากขึ้น^{[ 14 ]}และคำว่า "ความยืดหยุ่นเชิงกลยุทธ์" ในปัจจุบันใช้เพื่อก้าวข้ามการต่อต้านวิกฤตการณ์ ครั้งเดียว แต่เป็นการคาดการณ์และปรับตัวอย่างต่อเนื่อง "ก่อนที่กรณีของการเปลี่ยนแปลงจะชัดเจนจนเกินไป"

^{แนวทางนี้บาง ครั้ง}สรุปได้ว่า: การเตรียมพร้อม [ ¹⁵^]การป้องกัน การตอบสนอง และการฟื้นฟู^[¹⁶^]

ทฤษฎีความยืดหยุ่นสามารถเชื่อมโยงกับสาขาประชาสัมพันธ์ได้ ความยืดหยุ่นเป็นกระบวนการสื่อสารที่สร้างขึ้นโดยพลเมือง ครอบครัว ระบบสื่อ องค์กร และรัฐบาลผ่านการพูดคุยในชีวิตประจำวันและการสนทนาผ่านสื่อ^{[ 17 ]}

ทฤษฎีนี้อิงตามผลงานของPatrice M. Buzzanellศาสตราจารย์ประจำ Brian Lamb School of Communication ที่มหาวิทยาลัย Purdueในบทความปี 2010 ของเธอเรื่อง "Resilience: Talking, Resisting, and Imagining New Normalcies Into Being" ^{[ 18 ]} Buzzanell ได้กล่าวถึงความสามารถขององค์กรในการเติบโตหลังจากประสบวิกฤตผ่านการสร้างความต้านทาน Buzzanell ตั้งข้อสังเกตว่ามีกระบวนการที่แตกต่างกันห้าอย่างที่บุคคลใช้เมื่อพยายามรักษาความยืดหยุ่น ได้แก่ การสร้างความปกติ การยืนยันจุดยึดอัตลักษณ์ การรักษาและใช้เครือข่ายการสื่อสาร การนำตรรกะทางเลือกมาใช้ และการลดทอนความรู้สึกเชิงลบในขณะที่เน้นอารมณ์เชิงบวก

แม้ว่าทฤษฎีความยืดหยุ่นและทฤษฎีการสื่อสารในภาวะวิกฤตจะมีความคล้ายคลึงกัน แต่ก็ไม่เหมือนกัน ทฤษฎีการสื่อสารในภาวะวิกฤตนั้นอิงอยู่กับชื่อเสียงของบริษัท แต่ทฤษฎีความยืดหยุ่นนั้นอิงอยู่กับกระบวนการฟื้นตัวของบริษัท ความยืดหยุ่นมีองค์ประกอบหลัก 5 ประการ ได้แก่ การสร้างภาวะปกติ การยืนยันจุดยึดอัตลักษณ์ การรักษาและใช้เครือข่ายการสื่อสาร การนำตรรกะทางเลือกมาใช้ และการลดทอนความรู้สึกเชิงลบในขณะที่เน้นย้ำอารมณ์เชิงลบ^{[ 19 ]}แต่ละกระบวนการเหล่านี้สามารถนำไปใช้กับธุรกิจในช่วงวิกฤตได้ ทำให้ความยืดหยุ่นเป็นปัจจัยสำคัญที่บริษัทควรให้ความสำคัญในระหว่างการฝึกอบรม

วิกฤตการณ์ส่งผลกระทบต่อกลุ่มหลัก 3 กลุ่ม ได้แก่กลุ่มจุลภาค (บุคคล) กลุ่ม ระดับกลาง (กลุ่มหรือองค์กร) และกลุ่มมหภาค (ระดับชาติหรือระหว่างองค์กร) นอกจากนี้ยังมีรูปแบบความยืดหยุ่นหลัก 2 ประเภท คือ ความยืดหยุ่นเชิงรุกและความยืดหยุ่นหลังวิกฤต ความยืดหยุ่นเชิงรุกคือการเตรียมพร้อมรับมือกับวิกฤตและสร้างรากฐานที่มั่นคงให้กับบริษัท ส่วนความยืดหยุ่นหลังวิกฤตนั้นรวมถึงการรักษาการสื่อสารและตรวจสอบกับพนักงานอย่างต่อเนื่อง^{[ 20 ]}ความยืดหยุ่นเชิงรุกคือการจัดการกับปัญหาที่เกิดขึ้นก่อนที่จะก่อให้เกิดการเปลี่ยนแปลงในสภาพแวดล้อมการทำงาน และความยืดหยุ่นหลังวิกฤตคือการรักษาการสื่อสารและยอมรับการเปลี่ยนแปลงหลังจากเกิดเหตุการณ์ขึ้น ความยืดหยุ่นสามารถนำไปใช้กับองค์กรใดก็ได้ ในประเทศนิวซีแลนด์ โครงการองค์กรที่มีความยืดหยุ่นของมหาวิทยาลัยแคนเทอร์เบอรีได้พัฒนาเครื่องมือประเมินเพื่อเปรียบเทียบความยืดหยุ่นขององค์กร^{[ 21 ]}ซึ่งครอบคลุม 11 หมวดหมู่ แต่ละหมวดหมู่มีคำถาม 5 ถึง 7 ข้ออัตราส่วนความยืดหยุ่นจะสรุปการประเมินนี้^{[ 22 ]}

ความต่อเนื่อง

แผนและขั้นตอนต่างๆ ถูกนำมาใช้ในการวางแผนความต่อเนื่องทางธุรกิจเพื่อให้มั่นใจว่าการดำเนินงานที่สำคัญขององค์กรซึ่งจำเป็นต่อการดำเนินงานขององค์กรจะยังคงดำเนินต่อไปได้ในระหว่างเหตุการณ์ที่การพึ่งพาการดำเนินงานที่สำคัญถูกขัดจังหวะ ความต่อเนื่องไม่จำเป็นต้องนำไปใช้กับทุกกิจกรรมที่องค์กรดำเนินการ ตัวอย่างเช่น ภายใต้ISO 22301:2019องค์กรต่างๆ จำเป็นต้องกำหนดวัตถุประสงค์ความต่อเนื่องทางธุรกิจ ระดับขั้นต่ำของการดำเนินงานผลิตภัณฑ์และบริการที่จะถือว่ายอมรับได้ และระยะเวลาการหยุดชะงักที่ยอมรับได้สูงสุด (MTPD) ที่สามารถอนุญาตได้^{[ 23 ]}

ต้นทุนหลักในการวางแผนเรื่องนี้คือการจัดเตรียมเอกสารการจัดการการปฏิบัติตามข้อกำหนดการตรวจสอบ ปัจจุบันมีเครื่องมืออัตโนมัติที่ช่วยลดเวลาและต้นทุนที่เกี่ยวข้องกับการจัดทำข้อมูลเหล่านี้ด้วยตนเองได้

รายการสิ่งของ

ผู้จัดงานต้องมีข้อมูลเกี่ยวกับ:

อุปกรณ์
บุคลากร (บทบาทและหน้าที่ความรับผิดชอบ)
ซัพพลายเออร์และพันธมิตร
เทคโนโลยี (ระบบไอที, การสื่อสาร) ^{[ 24 ]}
สถานที่ต่างๆ รวมถึงสำนักงานอื่นๆ และ ไซต์ สำรองข้อมูล /กู้คืนพื้นที่ทำงาน (WAR)
เอกสารและเอกสารต่างๆ รวมถึงเอกสารที่มีสำเนาสำรองนอกสถานที่: ^{[ 10 ]}
- เอกสารทางธุรกิจ
- เอกสารขั้นตอนการปฏิบัติงาน

การวิเคราะห์

ขั้นตอนการวิเคราะห์ประกอบด้วย:

การวิเคราะห์ผลกระทบ
การวิเคราะห์ภัยคุกคามและความเสี่ยง
สถานการณ์ผลกระทบ

การหาปริมาณอัตราส่วนการสูญเสียจะต้องรวมถึง "เงินดอลลาร์เพื่อต่อสู้คดีความ" ด้วย^{[ 25 ]}มีการประมาณการว่าเงินดอลลาร์ที่ใช้ไปในการป้องกันการสูญเสียสามารถป้องกัน "การสูญเสียทางเศรษฐกิจที่เกี่ยวข้องกับภัยพิบัติได้เจ็ดดอลลาร์" ^{[ 26 ]}

การวิเคราะห์ผลกระทบทางธุรกิจ (BIA)

การวิเคราะห์ผลกระทบทางธุรกิจ (Business Impact Analysis หรือ BIA) คือกระบวนการที่ใช้ในการระบุและประเมินผลกระทบของการหยุดชะงักต่อการดำเนินงานขององค์กร และเพื่อกำหนดลำดับความสำคัญและกลยุทธ์ในการฟื้นฟูที่เหมาะสมกับความต้องการขององค์กร

วัตถุประสงค์หลักของการประเมินผลกระทบทางธุรกิจ (BIA) คือ:

1. ระบุถึงกิจกรรมที่สำคัญและความสัมพันธ์ระหว่างกิจกรรมต่างๆ (บุคลากร กระบวนการ ผู้ขาย เทคโนโลยี และสิ่งอำนวยความสะดวก)

2. ประเมินผลกระทบของการหยุดชะงักต่อกิจกรรมเหล่านี้ (ด้านการเงิน การดำเนินงาน ชื่อเสียง และกฎหมาย)

3. กำหนดเป้าหมายเวลาในการกู้คืน (RTO) และเป้าหมายจุดกู้คืน (RPO)

4. สนับสนุนการพัฒนาแผนและกลยุทธ์การดำเนินธุรกิจอย่างต่อเนื่อง

5. แจ้งการประเมินความเสี่ยงและความพยายามในการลดความเสี่ยงภายในกรอบงาน BCMS ^{[ 27 ]}

สำหรับแต่ละฟังก์ชัน จะมีการกำหนดค่าสองค่า:

วัตถุประสงค์จุดกู้คืน (RPO) – ความหน่วงที่ยอมรับได้ของข้อมูลที่จะไม่สามารถกู้คืนได้ ตัวอย่างเช่น บริษัทสามารถยอมรับได้หรือไม่ที่จะสูญเสียข้อมูล 2 วัน? ^{[ 28 ]} วัตถุประสงค์จุดกู้คืนต้องทำให้มั่นใจว่า การสูญเสียข้อมูลที่ยอมรับได้สูงสุดสำหรับแต่ละกิจกรรมจะไม่เกิน
เป้าหมายเวลาในการกู้คืน (RTO) – ระยะเวลาที่ยอมรับได้ในการกู้คืนการทำงาน

RTO สูงสุด

ข้อจำกัดด้านเวลาสูงสุดที่ผลิตภัณฑ์หรือบริการหลักขององค์กรอาจไม่พร้อมใช้งานหรือไม่สามารถส่งมอบได้ก่อนที่ผู้มีส่วนได้ส่วนเสียจะรับรู้ถึงผลกระทบที่ยอมรับไม่ได้นั้น ได้ถูกกำหนดไว้ดังนี้:

ระยะเวลาหยุดชะงักที่ยอมรับได้สูงสุด (MTPoD)
ระยะเวลาหยุดทำงานที่ยอมรับได้สูงสุด (MTD)
ระยะเวลาหยุดทำงานที่ยอมรับได้สูงสุด (MTO)
การหยุดทำงานที่ยอมรับได้สูงสุด (MAO) ^{[ 29 ]}^{[ 30 ]}

ตามมาตรฐาน ISO 22301 คำว่าระยะเวลาหยุดทำงานที่ยอมรับได้สูงสุดและระยะเวลาการหยุดชะงักที่ทนได้สูงสุดมีความหมายเหมือนกัน และกำหนดโดยใช้คำเดียวกัน^{[ 31 ]}บางมาตรฐานใช้คำว่า ขีด จำกัดเวลาหยุดทำงานสูงสุด^{[ 32 ]}

ความสม่ำเสมอ

เมื่อระบบมากกว่าหนึ่งระบบล่ม แผนการกู้คืนจะต้องสร้างสมดุลระหว่างความต้องการความสอดคล้องของข้อมูลกับวัตถุประสงค์อื่นๆ เช่น RTO และ RPO ^{[ 33 ]} Recovery Consistency Objective (RCO) คือชื่อของเป้าหมายนี้ โดยใช้ วัตถุประสงค์ ความสอดคล้องของข้อมูลเพื่อกำหนดการวัดความสอดคล้องของข้อมูลธุรกิจแบบกระจายภายในระบบที่เชื่อมโยงกันหลังจากเกิดภัยพิบัติ คำศัพท์ที่คล้ายกันที่ใช้ในบริบทนี้คือ "Recovery Consistency Characteristics" (RCC) และ "Recovery Object Granularity" (ROG) ^{[ 34 ]}

While RTO and RPO are absolute per-system values, RCO is expressed as a percentage that measures the deviation between actual and targeted state of business data across systems for process groups or individual business processes.

The following formula calculates RCO with "n" representing the number of business processes and "entities" representing an abstract value for business ${\text{RCO}}=1-{\frac {({\text{จำนวนเอนทิตีที่ไม่สอดคล้องกัน}})_{n}}{({\text{จำนวนเอนทิตี}})_{n}}}$

100% RCO means that post recovery, no business data deviation occurs.^[35]

Risk Assessment(RA)

The purpose of the Risk Assessment phase is to identify risks that could lead to disruptions and to assess their likelihood and potential impact. The main action of the Risk Assessment include: 1. Identify internal and external threats (see Common Threats section). 2. Analyze vulnerabilities and potential consequences (e.g., not having a generator during a power outage). 3. Assessing each risk by determining the likelihood of occurrence and the severity of its impact. 4. Prioritizing risks for treatment and mitigation.^[36] Common threats include:

Epidemic/pandemic
Earthquake
Fire
Flood
Cyber attack
Sabotage (insider or external threat)
Hurricane or other major storm
Power outage
Water outage (supply interruption, contamination)
Telecomms outage
IT outage
Terrorism/Piracy
War/civil disorder
Theft (insider or external threat, vital information or material)
Random failure of mission-critical systems
Single point dependency
Supplier failure
Data corruption
Misconfiguration
Network outage

The above areas can cascade: Responders can stumble. Supplies may become depleted. During the 2002–2003 SARS outbreak, some organizations compartmentalized and rotated teams to match the incubation period of the disease. They also banned in-person contact during both business and non-business hours. This increased resiliency against the threat.

Impact scenarios

Impact scenarios are identified and documented:

need for medical supplies^[37]
need for transportation options^[38]
civilian impact of nuclear disasters^[39]
need for business and data processing supplies^[40]

These should reflect the widest possible damage.

Tiers of preparedness

SHARE's seven tiers of disaster recovery^[41] released in 1992, were updated in 2012 by IBM as an eight tier model:^[42]

ระดับ 0 – ไม่มีข้อมูลสำรองนอกสถานที่ • ธุรกิจที่มีโซลูชันการกู้คืนระบบจากภัยพิบัติระดับ 0 จะไม่มีแผนการกู้คืนระบบจากภัยพิบัติ ไม่มีข้อมูลที่บันทึกไว้ ไม่มีเอกสาร ไม่มีฮาร์ดแวร์สำรอง และไม่มีแผนฉุกเฉิน ระยะเวลาการกู้คืนโดยทั่วไป: ระยะเวลาการกู้คืนในกรณีนี้คาดเดาไม่ได้ในความเป็นจริง อาจไม่สามารถกู้คืนได้เลย
ระดับ 1 – การสำรองข้อมูลโดยไม่มี Hot Site • ธุรกิจที่ใช้โซลูชันการกู้คืนข้อมูลจากภัยพิบัติระดับ 1 จะสำรองข้อมูลไว้ที่ศูนย์ข้อมูลภายนอก ขึ้นอยู่กับความถี่ในการสำรองข้อมูล พวกเขาพร้อมที่จะยอมรับการสูญเสียข้อมูลเป็นเวลาหลายวันถึงหลายสัปดาห์แต่ข้อมูลสำรองของพวกเขาจะปลอดภัย อย่างไรก็ตาม ระดับนี้ขาดระบบในการกู้คืนข้อมูล วิธีการเข้าถึงด้วยรถบรรทุก (Pickup Truck Access Method - PTAM)
ระดับ 2 – การสำรองข้อมูลด้วย Hot Site • โซลูชันการกู้คืนระบบจากภัยพิบัติระดับ 2 จะทำการสำรองข้อมูลเป็นประจำลงบนเทป โดยจะผสานรวมกับสถานที่และโครงสร้างพื้นฐานนอกสถานที่ (ที่เรียกว่า Hot Site) เพื่อกู้คืนระบบจากเทปเหล่านั้นในกรณีที่เกิดภัยพิบัติ โซลูชันระดับนี้ยังคงจำเป็นต้องสร้างข้อมูลขึ้นใหม่เป็นเวลาหลายชั่วโมงถึงหลายวัน แต่เวลาในการกู้คืนจะคาดเดาได้น้อยกว่าตัวอย่างเช่น PTAM ที่มี Hot Site และ IBM Tivoli Storage Manager
ระดับ 3 – การจัดเก็บข้อมูลอิเล็กทรอนิกส์ • โซลูชันระดับ 3 ใช้ส่วนประกอบของระดับ 2 นอกจากนี้ ข้อมูลสำคัญบางส่วนจะถูกจัดเก็บในรูปแบบอิเล็กทรอนิกส์ ข้อมูลที่จัดเก็บในรูปแบบอิเล็กทรอนิกส์นี้มักจะทันสมัยกว่าข้อมูลที่ส่งผ่าน PTAM ส่งผลให้มีการสร้างข้อมูลใหม่หรือสูญหายน้อยลงหลังเกิดภัยพิบัติ
ระดับ 4 – สำเนาข้อมูล ณ จุดเวลาใดเวลาหนึ่ง • โซลูชันระดับ 4 ถูกใช้โดยธุรกิจที่ต้องการความทันสมัยของข้อมูลที่สูงกว่าและกู้คืนข้อมูลได้เร็วกว่าผู้ใช้ในระดับที่ต่ำกว่า แทนที่จะพึ่งพาเทปบันทึกข้อมูลเป็นหลักเหมือนในระดับที่ต่ำกว่า โซลูชันระดับ 4 เริ่มนำโซลูชันที่ใช้ดิสก์มาใช้มากขึ้น แม้ว่า ข้อมูลจะสูญหายได้หลายชั่วโมงแต่การสร้างสำเนาข้อมูล ณ จุดเวลาใดเวลาหนึ่ง (PIT) นั้นทำได้ง่ายกว่าและบ่อยกว่าข้อมูลที่สามารถจำลองผ่านโซลูชันที่ใช้เทปบันทึกข้อมูล
ระดับ 5 – ความสมบูรณ์ของธุรกรรม • โซลูชันระดับ 5 ถูกใช้โดยธุรกิจที่มีความต้องการความสม่ำเสมอของข้อมูลระหว่างศูนย์ข้อมูลการผลิตและการกู้คืน โซลูชันเหล่านี้มีการสูญเสียข้อมูลน้อยมากหรือไม่มีเลยอย่างไรก็ตาม การมีฟังก์ชันนี้ขึ้นอยู่กับแอปพลิเคชันที่ใช้งานอยู่
ระดับ 6 – ข้อมูลสูญหายน้อยมากหรือไม่มีเลย • โซลูชันการกู้คืนระบบจากภัยพิบัติระดับ 6 รักษาความทันสมัยของข้อมูลในระดับสูงสุด โซลูชันเหล่านี้เหมาะสำหรับธุรกิจที่ยอมรับการสูญหายของข้อมูลได้น้อยมากหรือไม่มีเลย และต้องการกู้คืนข้อมูลไปยังแอปพลิเคชันได้อย่างรวดเร็ว โซลูชันเหล่านี้ไม่ขึ้นอยู่กับแอปพลิเคชันในการรักษาความสอดคล้องของข้อมูล
ระดับ 7 – โซลูชันที่ผสานรวมเข้ากับธุรกิจและมีการทำงานอัตโนมัติสูง • โซลูชันระดับ 7 ประกอบด้วยส่วนประกอบหลักทั้งหมดที่ใช้ในโซลูชันระดับ 6 พร้อมด้วยการผสานรวมระบบอัตโนมัติเพิ่มเติม ทำให้โซลูชันระดับ 7 สามารถรับประกันความสม่ำเสมอของข้อมูลได้ดีกว่าโซลูชันระดับ 6 นอกจากนี้ การกู้คืนแอปพลิเคชันยังเป็นไปโดยอัตโนมัติ ทำให้สามารถกู้คืนระบบและแอปพลิเคชันได้รวดเร็วและน่าเชื่อถือกว่าการกู้คืนระบบจากภัยพิบัติด้วยตนเอง

การออกแบบโซลูชัน

ข้อกำหนดหลักสองประการจากขั้นตอนการวิเคราะห์ผลกระทบ ได้แก่:

สำหรับฝ่ายไอที: ข้อกำหนดขั้นต่ำของแอปพลิเคชันและข้อมูล รวมถึงระยะเวลาที่ต้องสามารถใช้งานได้
นอกเหนือจากด้านไอที: การเก็บรักษาเอกสารฉบับจริง (เช่น สัญญา) แผนกระบวนการต้องคำนึงถึงบุคลากรที่มีทักษะและเทคโนโลยีที่ฝังอยู่ในระบบ

ช่วงเวลานี้คาบเกี่ยวกับการวางแผนการฟื้นฟูหลังภัยพิบัติ

ขั้นตอนการแก้ปัญหาจะกำหนดสิ่งต่อไปนี้:

โครงสร้างการบังคับบัญชาการจัดการวิกฤต
โครงสร้างระบบโทรคมนาคมระหว่างสถานที่ทำงานหลักและสถานที่ทำงานรอง
ระเบียบวิธี จำลองข้อมูลระหว่างสถานที่ทำงานหลักและสถานที่ทำงานรอง
ไซต์สำรองข้อมูลพร้อมแอปพลิเคชัน ข้อมูล และพื้นที่ทำงาน

มาตรฐาน

มาตรฐาน ISO

มีมาตรฐานมากมายที่พร้อมใช้งานเพื่อสนับสนุนการวางแผนและการจัดการความต่อเนื่องทางธุรกิจ^{[ 43 ]}^{[ 44 ]} ตัวอย่างเช่น องค์การมาตรฐานสากล (ISO) ได้พัฒนามาตรฐานชุดหนึ่งเกี่ยวกับระบบการจัดการความต่อเนื่องทางธุรกิจ^{[ 45 ]}ภายใต้ความรับผิดชอบของคณะกรรมการทางเทคนิคISO/TC 292 :

ISO 22300 :2021 ความปลอดภัยและความยืดหยุ่น – คำศัพท์ (แทนที่ISO 22300 :2018 ความปลอดภัยและความยืดหยุ่น - คำศัพท์ และ ISO 22300 :2012 ความปลอดภัยและความยืดหยุ่น - คำศัพท์) ^{[ 46 ]}
ISO 22301 :2019 ความปลอดภัยและความยืดหยุ่น – ระบบการจัดการความต่อเนื่องทางธุรกิจ – ข้อกำหนด (แทนที่ISO 22301 :2012) ^{[ 47 ]}
ISO 22313 :2020 ความปลอดภัยและความยืดหยุ่น – ระบบการจัดการความต่อเนื่องทางธุรกิจ – คำแนะนำเกี่ยวกับการใช้ ISO 22301 (แทนที่ ISO 22313 :2012 ความปลอดภัยและความยืดหยุ่น - ระบบการจัดการความต่อเนื่องทางธุรกิจ - คำแนะนำเกี่ยวกับการใช้ ISO 22301) ^{[ 48 ]}
ISO/TS 22317 :2021 ความปลอดภัยและความยืดหยุ่น – ระบบการจัดการความต่อเนื่องทางธุรกิจ – แนวทางสำหรับการวิเคราะห์ผลกระทบทางธุรกิจ - (แทนที่ ISO/TS 22315:2015 ความปลอดภัยของสังคม – ระบบการจัดการความต่อเนื่องทางธุรกิจ – แนวทางสำหรับการวิเคราะห์ผลกระทบทางธุรกิจ) ^{[ 49 ]}
ISO/TS 22318 :2021 ความปลอดภัยและความยืดหยุ่น – ระบบการจัดการความต่อเนื่องทางธุรกิจ – แนวทางสำหรับความต่อเนื่องของห่วงโซ่อุปทาน (แทนที่ ISO/TS 22318:2015 ความปลอดภัยของสังคม – ระบบการจัดการความต่อเนื่องทางธุรกิจ – แนวทางสำหรับความต่อเนื่องของห่วงโซ่อุปทาน) ^{[ 50 ]}
ISO/TS 22330 :2018 ความปลอดภัยและความยืดหยุ่น – ระบบการจัดการความต่อเนื่องทางธุรกิจ – แนวทางสำหรับด้านบุคลากรเกี่ยวกับความต่อเนื่องทางธุรกิจ (ปัจจุบัน ณ ปี 2022) ^{[ 51 ]}
ISO/TS 22331 :2018 ความปลอดภัยและความยืดหยุ่น – ระบบการจัดการความต่อเนื่องทางธุรกิจ – แนวทางสำหรับกลยุทธ์ความต่อเนื่องทางธุรกิจ - (ปัจจุบัน ณ ปี 2022) ^{[ 52 ]}
ISO/TS 22332 :2021 ความปลอดภัยและความยืดหยุ่น – ระบบการจัดการความต่อเนื่องทางธุรกิจ – แนวทางสำหรับการพัฒนาแผนและขั้นตอนความต่อเนื่องทางธุรกิจ (ปัจจุบัน ณ ปี 2022) ^{[ 53 ]}
ISO/IEC/TS 17021-6 :2014 การประเมินความสอดคล้อง – ข้อกำหนดสำหรับหน่วยงานที่ให้บริการตรวจสอบและรับรองระบบการจัดการ – ส่วนที่ 6: ข้อกำหนดด้านความสามารถสำหรับการตรวจสอบและรับรองระบบการจัดการความต่อเนื่องทางธุรกิจ^{[ 54 ]}
ISO/IEC 24762:2008 เทคโนโลยีสารสนเทศ — เทคนิคความปลอดภัย — แนวทางสำหรับบริการกู้คืนภัยพิบัติเทคโนโลยีสารสนเทศและการสื่อสาร (ยกเลิกแล้ว) ^{[ 55 ]}
ISO/IEC 27001:2022 ความปลอดภัยของข้อมูล ความปลอดภัยทางไซเบอร์ และการคุ้มครองความเป็นส่วนตัว — ระบบ การจัดการความปลอดภัยของข้อมูล — ข้อกำหนด (แทนที่ ISO/IEC 27001:2013 เทคโนโลยีสารสนเทศ — เทคนิคการรักษาความปลอดภัย — ระบบการจัดการความปลอดภัยของข้อมูล — ข้อกำหนด) ^{[ 56 ]}
ISO/IEC 27002:2022 ความปลอดภัยของข้อมูล ความปลอดภัยทางไซเบอร์ และการคุ้มครองความเป็นส่วนตัว — การควบคุมความปลอดภัยของข้อมูล (แทนที่ ISO/IEC 27002:2013 เทคโนโลยีสารสนเทศ — เทคนิคการรักษาความปลอดภัย — ประมวลหลักปฏิบัติสำหรับการควบคุมความปลอดภัยของข้อมูล) ^{[ 57 ]}
ISO/IEC 27031 :2011 เทคโนโลยีสารสนเทศ – เทคนิคด้านความปลอดภัย – แนวทางการเตรียมความพร้อมด้านเทคโนโลยีสารสนเทศและการสื่อสารเพื่อความต่อเนื่องทางธุรกิจ^{[ 58 ]}
ISO/PAS 22399:2007 ความปลอดภัยของสังคม - แนวทางการเตรียมความพร้อมสำหรับเหตุการณ์และการจัดการความต่อเนื่องในการดำเนินงาน (ถูกยกเลิก) ^{[ 59 ]}
IWA 5:2006 การเตรียมความพร้อมฉุกเฉิน (ยกเลิก) ^{[ 60 ]}

มาตรฐานอังกฤษ

สถาบันมาตรฐานแห่งสหราชอาณาจักร (BSI Group) ได้ออกมาตรฐานหลายชุด ซึ่งต่อมาได้ถูกยกเลิกและแทนที่ด้วยมาตรฐาน ISO ดังกล่าวข้างต้น

BS 7799 -1:1995 - ขั้นตอนการรักษาความปลอดภัยข้อมูลที่อยู่ภายนอก (ยกเลิกแล้ว) ^{[ 61 ]}
BS 25999 -1:2006 - การจัดการความต่อเนื่องทางธุรกิจ ส่วนที่ 1: ประมวลหลักปฏิบัติ (ถูกแทนที่ ยกเลิก) ^{[ 62 ]}
BS 25999-2:2007 การจัดการความต่อเนื่องทางธุรกิจ ส่วนที่ 2: ข้อกำหนด (ถูกแทนที่ ยกเลิก) ^{[ 63 ]}
2008: BS 25777 การจัดการความต่อเนื่องของเทคโนโลยีสารสนเทศและการสื่อสาร ประมวลหลักปฏิบัติ (ยกเลิก) ^{[ 64 ]}

ภายในสหราชอาณาจักร BS 25999-2:2007 และ BS 25999-1:2006 ถูกนำมาใช้สำหรับการจัดการความต่อเนื่องทางธุรกิจในทุกองค์กร อุตสาหกรรม และภาคส่วน เอกสารเหล่านี้ให้แผนปฏิบัติเพื่อรับมือกับเหตุการณ์ที่อาจเกิดขึ้นได้เกือบทุกกรณี ตั้งแต่สภาพอากาศที่รุนแรงไปจนถึงการก่อการร้าย ความล้มเหลวของระบบไอที และการเจ็บป่วยของพนักงาน^{[ 65 ]}

ในปี พ.ศ. 2547 หลังจากเกิดวิกฤตการณ์ในช่วงหลายปีก่อนหน้า รัฐบาลสหราชอาณาจักรได้ผ่านกฎหมาย Civil Contingencies Act of 2547โดยระบุว่าธุรกิจต่างๆ ต้องมีมาตรการวางแผนความต่อเนื่องเพื่อความอยู่รอดและเติบโตต่อไปในขณะที่พยายามลดผลกระทบจากเหตุการณ์ให้น้อยที่สุด กฎหมายฉบับนี้แบ่งออกเป็นสองส่วน: ส่วนที่ 1: การป้องกันพลเรือน ครอบคลุมบทบาทและความรับผิดชอบของผู้ตอบสนองในท้องถิ่น ส่วนที่ 2: อำนาจฉุกเฉิน^{[ 66 ]} ในสหราชอาณาจักร การสร้างความยืดหยุ่นจะดำเนินการในระดับท้องถิ่นโดยLocal Resilience Forum ^{[ 67 ]}

มาตรฐานออสเตรเลีย

HB 292–2006, "คู่มือสำหรับผู้ปฏิบัติงานด้านการจัดการความต่อเนื่องทางธุรกิจ" ^{[ 68 ]}
HB 293–2006, "คู่มือผู้บริหารสำหรับการจัดการความต่อเนื่องทางธุรกิจ" ^{[ 69 ]}

สหรัฐอเมริกา

มาตรฐาน NFPA 1600 ว่าด้วยการจัดการภัยพิบัติ/เหตุฉุกเฉินและโปรแกรมความต่อเนื่องทางธุรกิจ (2010) สมาคมป้องกันอัคคีภัยแห่งชาติ (ถูกแทนที่) ^{[ 70 ]}
NFPA 1600 มาตรฐานว่าด้วยความต่อเนื่อง เหตุฉุกเฉิน และการจัดการวิกฤต (2019 มาตรฐานปัจจุบัน) สมาคมป้องกันอัคคีภัยแห่งชาติ^{[ 71 ]}
ความต่อเนื่องในการดำเนินงาน (COOP) และแผนการดำเนินการตามนโยบายความต่อเนื่องแห่งชาติ (NCPIP) รัฐบาลกลางสหรัฐอเมริกา^{[ 72 ]}^{[ 73 ]}^{[ 74 ]}
ชุดโปรแกรมวางแผนความต่อเนื่องทางธุรกิจ, สำนักโครงการและการคุ้มครองแห่งชาติของ DHS และ FEMA ^{[ 75 ]}^{[ 76 ]}^{[ 77 ]}^{[ 72 ]}
ASIS SPC.1-2009 ความยืดหยุ่นขององค์กร: ระบบการจัดการความปลอดภัย การเตรียมพร้อม และความต่อเนื่อง - ข้อกำหนดพร้อมคำแนะนำสำหรับการใช้งานสถาบันมาตรฐานแห่งชาติอเมริกัน^{[ 78 ]}

การนำไปใช้งานและการทดสอบ

ขั้นตอนการดำเนินการประกอบด้วยการเปลี่ยนแปลงนโยบาย การจัดหาวัสดุ การจัดหาบุคลากร และการทดสอบ

การทดสอบและการยอมรับขององค์กร

หนังสือ"Exercising for Excellence"ที่ตีพิมพ์ในปี 2008 โดยสถาบันมาตรฐานแห่งอังกฤษ (British Standards Institution)ได้ระบุแบบฝึกหัดสามประเภทที่สามารถนำมาใช้ในการทดสอบแผนความต่อเนื่องทางธุรกิจได้

การฝึกซ้อมบนโต๊ะ - กลุ่มคนจำนวนน้อยจะมุ่งเน้นไปที่แง่มุมเฉพาะของแผนความต่อเนื่องทางธุรกิจ (BCP) อีกรูปแบบหนึ่งคือ มีตัวแทนเพียงคนเดียวจากแต่ละทีม
แบบฝึกหัดระดับกลาง - หลายแผนก ทีม หรือสาขาวิชาจะมุ่งเน้นไปที่หลายแง่มุมของแผนความต่อเนื่องทางธุรกิจ (BCP) ขอบเขตอาจครอบคลุมตั้งแต่ไม่กี่ทีมในอาคารเดียว ไปจนถึงหลายทีมที่ปฏิบัติงานในสถานที่ต่างๆ กัน มีการเพิ่ม "เหตุการณ์ที่ไม่คาดคิด" ที่กำหนดไว้ล่วงหน้า
การฝึกซ้อมที่ซับซ้อน - องค์ประกอบทั้งหมดของการฝึกซ้อมขนาดกลางยังคงอยู่ แต่เพื่อให้สมจริงสูงสุด จึงได้เพิ่มการเปิดใช้งานโดยไม่แจ้งล่วงหน้า การอพยพจริง และการเรียกใช้สถานที่กู้คืนภัยพิบัติจริง

แม้ว่าจะมีการตกลงเวลาเริ่มต้นและเวลาสิ้นสุดไว้ล่วงหน้าแล้ว แต่ระยะเวลาที่แท้จริงอาจไม่แน่นอนหากปล่อยให้เหตุการณ์ดำเนินไปจนครบกำหนด

การซ่อมบำรุง

การบำรุงรักษาคู่มือ BCP ^{[ 79 ]} ในรอบการบำรุงรักษาแบบรายสองปีหรือรายปี จะแบ่งออกเป็นสามกิจกรรมตามช่วงเวลา

ตรวจสอบความถูกต้องของข้อมูลในคู่มือ เผยแพร่ให้พนักงานทราบ และจัดอบรมเฉพาะด้านสำหรับบุคคลสำคัญ
การทดสอบและตรวจสอบความถูกต้องของโซลูชันทางเทคนิคที่กำหนดขึ้นสำหรับการปฏิบัติการกู้คืน
การทดสอบและการตรวจสอบขั้นตอนการกู้คืนระบบขององค์กร

ปัญหาที่พบในระหว่างขั้นตอนการทดสอบมักจะต้องนำกลับมาพิจารณาในขั้นตอนการวิเคราะห์อีกครั้ง

ข้อมูลและเป้าหมาย

คู่มือ BCP ต้องมีการพัฒนาไปพร้อมกับองค์กร และต้องมีการปรับปรุงข้อมูลเกี่ยวกับว่าใครบ้างที่ต้องรู้เรื่องอะไรบ้าง :

ชุดเช็คลิสต์
- รายละเอียดงาน ทักษะที่จำเป็น และข้อกำหนดด้านการฝึกอบรม
- การจัดทำเอกสารและการจัดการเอกสาร
คำจำกัดความของคำศัพท์เพื่ออำนวยความสะดวกในการสื่อสารอย่างทันท่วงทีในระหว่าง^การฟื้นฟูภัยพิบัติ [ ⁸⁰^]
รายชื่อผู้รับอีเมล (พนักงาน ลูกค้าสำคัญ ผู้ขาย/ซัพพลายเออร์)
ข้อมูลเกี่ยวกับโครงสร้างพื้นฐานด้านการสื่อสารและการขนส่ง (ถนน สะพาน) ^{[ 81 ]}

ทางเทคนิค

ต้องมีการดูแลรักษาทรัพยากรทางเทคนิคเฉพาะทาง การตรวจสอบประกอบด้วย:

การเผยแพร่คำจำกัดความของไวรัส
การรักษาความปลอดภัยแอปพลิเคชันและการแจกจ่ายแพตช์บริการ
ความสามารถในการใช้งานของฮาร์ดแวร์
ความสามารถในการใช้งานแอปพลิเคชัน
การตรวจสอบข้อมูล
การประยุกต์ใช้ข้อมูล

การทดสอบและการตรวจสอบขั้นตอนการกู้คืน

การเปลี่ยนแปลงซอฟต์แวร์และกระบวนการทำงานจะต้องได้รับการบันทึกและตรวจสอบความถูกต้อง รวมถึงการตรวจสอบว่างานกู้คืนกระบวนการทำงานที่บันทึกไว้และโครงสร้างพื้นฐานการกู้คืนจากภัยพิบัติที่สนับสนุนนั้นช่วยให้เจ้าหน้าที่สามารถกู้คืนได้ภายในเวลากู้คืนที่กำหนดไว้^{[ 82 ]}

ดูเพิ่มเติม

อ่านเพิ่มเติม

เจมส์ ซี. บาร์นส์ (8 มิถุนายน 2544). คู่มือการวางแผนความต่อเนื่องทางธุรกิจ . ไวลีย์. ISBN 978-0471530152.
Kenneth L Fulmer (4 ตุลาคม 2547). การวางแผนความต่อเนื่องทางธุรกิจ คู่มือทีละขั้นตอน . Rothstein. ISBN 978-1931332217.
ริชาร์ด เคเพนาช. การออกแบบแผนความต่อเนื่องทางธุรกิจ: 8 ขั้นตอนในการเริ่มต้นออกแบบแผน
จูดี้ เบลล์ (ตุลาคม 1991). การวางแผนรับมือภัยพิบัติ: คู่มือปฏิบัติสำหรับธุรกิจ . บริษัท การวางแผนรับมือภัยพิบัติ. ISBN 978-0963058003.
Dimattia, S. (15 พฤศจิกายน 2544). "การวางแผนเพื่อความต่อเนื่อง" . Library Journal . 126 (19): 32– 34.
แอนดรูว์ โซลลี; แอนน์ มารี ฮีลี (2013). ความยืดหยุ่น: ทำไมสิ่งต่างๆ ถึงกลับคืนสู่สภาพเดิม . ไซมอน แอนด์ ชูสเตอร์. ISBN 978-1451683813.
Devin DeCiantis; Ivan Lansberg (2024). The Enduring Enterprise: How Family Businesses Thrive in Turbulent Conditions . PublicAffairs. ISBN 978-1-5417-0365-0
พจนานุกรมศัพท์เฉพาะด้านความยืดหยุ่นระดับนานาชาติ , DRI International

ลิงก์ภายนอก

ระดับต่างๆ ของการกู้คืนระบบหลังภัยพิบัติและ TSM Charlotte Brooks, Matthew Bedernjak, Igor Juran และ John Merryman ในกลยุทธ์การกู้คืนระบบหลังภัยพิบัติด้วย Tivoli Storage Managementบทที่ 2 หน้า 21–36 ชุดหนังสือสีแดง IBM Tivoli Software 2002
คู่มือแนวทางปฏิบัติที่ดีที่สุดสำหรับการกู้คืนระบบในกรณีเกิดภัยพิบัติสำหรับ SteelStore Cloud Storage Gateway บริษัท Riverbed Technology, Inc. ตุลาคม 2554
ระดับการกู้คืนระบบหลังภัยพิบัติ โดยโรเบิร์ต เคิร์น และ วิคเตอร์ เพลท์ซ นิตยสาร IBM Systems พฤศจิกายน 2003
ความต่อเนื่องทางธุรกิจ: 5 ระดับของการกู้คืนระบบหลังภัยพิบัติ เก็บถาวรเมื่อ 2018-09-26 ที่Wayback Machine Recovery Specialties. 2007.
การดำเนินงานอย่างต่อเนื่อง: เจ็ดระดับของการกู้คืนระบบหลังภัยพิบัติแมรี ฮอลล์ ชุมชนจัดเก็บข้อมูล (IBM) 18 กรกฎาคม 2554 สืบค้นเมื่อ 26 มีนาคม 2556
ระยะเวลาหยุดชะงักที่ยอมรับได้สูงสุด (MTPOD)
ระยะเวลาหยุดชะงักที่ยอมรับได้สูงสุด (MTPOD): คำตอบของคณะกรรมการ BSI
เครื่องย้อนเวลา
แจนโค แอสโซซิเอทส์
แผนความต่อเนื่องทางธุรกิจ

แนวทางปฏิบัติสำหรับแผนฉุกเฉินของกระทรวงความมั่นคงแห่งชาติ
CIDRAP/SHRM Pandemic HR Guide Toolkit เอกสารฉบับเก่าเก็บถาวรเมื่อวันที่ 18 พฤษภาคม 2013 ที่Wayback Machine
ปรับตัวและรับมือกับความเสี่ยงด้วยแผนความต่อเนื่องทางธุรกิจ (BCP)

[ 1 ]

[ 2 ]

[ 3 ]

[ 4 ]

5 ] ความ

[ 6 ]

[ 7 ]

[ 8 ]

[ 9 ]

[ 10 ]

[ 11 ]

[ 12 ]

[ 13 ]

[ 14 ]

แนวทางนี้บาง ครั้ง

[

[ 17 ]

[ 18 ]

[ 19 ]

[ 20 ]

[ 21 ]

[ 22 ]

[ 23 ]

[ 24 ]

[ 25 ]

[ 26 ]

[ 27 ]

[ 28 ]

[ 29 ]

[ 30 ]

[ 31 ]

[ 32 ]

[ 33 ]

[ 34 ]

[35]

[36]

[37]

[38]

[39]

[40]

[41]

[42]

[ 43 ]

[ 44 ]

[ 45 ]

[ 46 ]

[ 47 ]

[ 48 ]

[ 49 ]

[ 50 ]

[ 51 ]

[ 52 ]

[ 53 ]

[ 54 ]

[ 55 ]

[ 56 ]

[ 57 ]

[ 58 ]

[ 59 ]

[ 60 ]

[ 61 ]

[ 62 ]

[ 63 ]

[ 64 ]

[ 65 ]

[ 66 ]

[ 67 ]

[ 68 ]

[ 69 ]

[ 70 ]

[ 71 ]

[ 72 ]

[ 73 ]

[ 74 ]

[ 75 ]

[ 76 ]

[ 77 ]

[ 78 ]

[ 79 ]

การ

[ 81 ]

[ 82 ]