Kinh doanh liên tục và khắc phục thảm họa: Kế hoạch nào phù hợp với bạn? – Blog của IBM

Kế hoạch kinh doanh liên tục và khắc phục thảm họa là các chiến lược quản lý rủi ro mà doanh nghiệp dựa vào để chuẩn bị cho những sự cố bất ngờ. Mặc dù các điều khoản có liên quan chặt chẽ với nhau nhưng có một số khác biệt chính đáng để xem xét khi chọn điều khoản phù hợp với bạn:

• Kế hoạch kinh doanh liên tục (BCP): BCP là một kế hoạch chi tiết nêu rõ các bước mà tổ chức sẽ thực hiện để quay trở lại hoạt động kinh doanh bình thường trong trường hợp xảy ra thảm họa. Khi các loại kế hoạch khác có thể tập trung vào một khía cạnh cụ thể của việc phục hồi và ngăn chặn gián đoạn (chẳng hạn như thảm họa tự nhiên hoặc tấn công mạng), BCP có cách tiếp cận rộng rãi và nhằm mục đích đảm bảo tổ chức có thể đối mặt với nhiều mối đe dọa nhất có thể.
• Kế hoạch khắc phục thảm họa (DRP): Về bản chất chi tiết hơn BCP, kế hoạch khắc phục thảm họa bao gồm các kế hoạch dự phòng về cách doanh nghiệp sẽ bảo vệ cụ thể hệ thống CNTT và dữ liệu quan trọng của mình trong thời gian gián đoạn. Bên cạnh BCP, các kế hoạch DR giúp doanh nghiệp bảo vệ dữ liệu và hệ thống CNTT khỏi nhiều tình huống thảm họa khác nhau, chẳng hạn như mất điện lớn, thiên tai, ransomware và phần mềm độc hại các cuộc tấn công và nhiều cuộc tấn công khác.
• Kinh doanh liên tục và khắc phục thảm họa (BCDR): Kinh doanh liên tục và khắc phục thảm họa (BCDR) có thể được tiếp cận cùng nhau hoặc riêng biệt tùy theo nhu cầu kinh doanh. Gần đây, ngày càng có nhiều doanh nghiệp hướng tới việc thực hành hai nguyên tắc này cùng nhau, yêu cầu các giám đốc điều hành hợp tác thực hiện BC và DR thay vì làm việc riêng lẻ. Điều này đã dẫn tới việc kết hợp hai thuật ngữ này thành một, BCDR, nhưng ý nghĩa thiết yếu của hai thực hành này vẫn không thay đổi.

Bất kể bạn chọn cách tiếp cận sự phát triển BCDR tại tổ chức của mình như thế nào, điều đáng chú ý là lĩnh vực này đang phát triển nhanh chóng trên toàn thế giới như thế nào. Do hậu quả của BCDR xấu như mất dữ liệu và thời gian ngừng hoạt động ngày càng trở nên tốn kém hơn, nhiều doanh nghiệp đang bổ sung thêm các khoản đầu tư hiện có của mình. Năm ngoái, các công ty trên toàn thế giới đã sẵn sàng chi 219 tỷ USD cho các giải pháp và an ninh mạng, tăng 12% so với năm trước theo báo cáo gần đây của Tập đoàn Dữ liệu Quốc tế (IDC) (liên kết nằm bên ngoài ibm.com).

Tại sao kế hoạch kinh doanh liên tục và khắc phục thảm họa lại quan trọng?

Kế hoạch kinh doanh liên tục (BCP) và kế hoạch khắc phục thảm họa (DRP) giúp các tổ chức chuẩn bị cho một loạt các sự cố ngoài kế hoạch. Khi được triển khai hiệu quả, một kế hoạch DR tốt có thể giúp các bên liên quan hiểu rõ hơn về rủi ro đối với các chức năng kinh doanh thông thường mà một mối đe dọa cụ thể có thể gây ra. Các doanh nghiệp không đầu tư vào giải pháp khắc phục thảm họa liên tục trong kinh doanh (BCDR) có nhiều khả năng bị mất dữ liệu, thời gian ngừng hoạt động, bị phạt tài chính và thiệt hại về danh tiếng do các sự cố ngoài ý muốn.

Dưới đây là một số lợi ích mà các doanh nghiệp đầu tư vào kế hoạch kinh doanh liên tục và khắc phục thảm họa có thể mong đợi:

• Rút ngắn thời gian ngừng hoạt động: Khi một thảm họa làm ngừng hoạt động kinh doanh bình thường, doanh nghiệp có thể mất hàng trăm triệu đô la để hoạt động trở lại. Tầm cỡ Tấn công mạng đặc biệt gây tổn hại, thường xuyên thu hút sự chú ý không mong muốn và khiến các nhà đầu tư và khách hàng chạy trốn sang các đối thủ cạnh tranh quảng cáo thời gian ngừng hoạt động ngắn hơn. Việc triển khai kế hoạch BCDR mạnh mẽ có thể rút ngắn thời gian phục hồi của bạn bất kể loại thảm họa bạn gặp phải.
• Rủi ro tài chính thấp hơn: Theo Báo cáo chi phí vi phạm dữ liệu gần đây của IBM, chi phí trung bình của một vụ vi phạm dữ liệu là 4.45 triệu USD vào năm 2023—tăng 15% kể từ năm 2020. Các doanh nghiệp có kế hoạch kinh doanh liên tục mạnh mẽ đã cho thấy họ có thể giảm đáng kể những chi phí đó bằng cách rút ngắn thời gian ngừng hoạt động và tăng niềm tin của khách hàng và nhà đầu tư.
• Giảm hình phạt: Vi phạm dữ liệu có thể dẫn đến hình phạt nặng khi thông tin cá nhân của khách hàng bị rò rỉ. Các doanh nghiệp hoạt động trong lĩnh vực chăm sóc sức khỏe và tài chính cá nhân có nguy cơ cao hơn do tính nhạy cảm của dữ liệu họ xử lý. Việc áp dụng chiến lược kinh doanh liên tục mạnh mẽ là điều bắt buộc đối với các doanh nghiệp hoạt động trong các lĩnh vực này, giúp giảm nguy cơ bị phạt tài chính nặng nề ở mức tương đối thấp.

Cách xây dựng kế hoạch khắc phục thảm họa liên tục trong kinh doanh

Lập kế hoạch khắc phục thảm họa liên tục trong kinh doanh (BCDR) có hiệu quả nhất khi các doanh nghiệp thực hiện một cách tiếp cận riêng biệt nhưng có sự phối hợp. Mặc dù kế hoạch kinh doanh liên tục (BCP) và kế hoạch khắc phục thảm họa (DRP) tương tự nhau nhưng có những khác biệt quan trọng khiến việc phát triển chúng trở nên thuận lợi riêng biệt:

• BCP mạnh tập trung vào các chiến thuật để duy trì hoạt động bình thường trước, trong và ngay sau thảm họa. 
• DRP có xu hướng phản ứng nhanh hơn, vạch ra các cách ứng phó với sự cố và giúp mọi thứ trở lại hoạt động trơn tru.

Trước khi đi sâu vào cách bạn có thể xây dựng BCP và DRP hiệu quả, hãy xem xét một số thuật ngữ có liên quan đến cả hai:

• Mục tiêu thời gian phục hồi (RTO): RTO đề cập đến lượng thời gian cần thiết để khôi phục quy trình kinh doanh sau một sự cố ngoài ý muốn. Thiết lập RTO hợp lý là một trong những điều đầu tiên doanh nghiệp cần làm khi tạo BCP hoặc DRP. 
• Mục tiêu điểm khôi phục (RPO): Mục tiêu điểm khôi phục (RPO) của doanh nghiệp bạn là lượng dữ liệu có thể bị mất trong thảm họa và vẫn có thể phục hồi. Vì bảo vệ dữ liệu là khả năng cốt lõi của nhiều doanh nghiệp hiện đại nên một số doanh nghiệp liên tục sao chép dữ liệu vào một thiết bị điều khiển từ xa. Trung tâm dữ liệu để đảm bảo tính liên tục trong trường hợp có vi phạm lớn. Những người khác đặt RPO có thể chấp nhận được là vài phút (hoặc thậm chí vài giờ) để khôi phục dữ liệu doanh nghiệp từ hệ thống sao lưu và biết rằng họ sẽ có thể khôi phục những gì đã mất trong thời gian đó.

Cách xây dựng kế hoạch kinh doanh liên tục (BCP) 

Mặc dù mỗi doanh nghiệp sẽ có những yêu cầu hơi khác nhau khi lập kế hoạch kinh doanh liên tục, nhưng có bốn bước được sử dụng rộng rãi sẽ mang lại kết quả tốt bất kể quy mô hoặc ngành.

1. Tiến hành phân tích tác động kinh doanh 

Phân tích tác động kinh doanh (BIA) giúp các tổ chức hiểu rõ hơn về các mối đe dọa khác nhau mà họ gặp phải. BIA mạnh bao gồm việc tạo ra các mô tả rõ ràng về tất cả các mối đe dọa tiềm ẩn và bất kỳ lỗ hổng nào mà chúng có thể bộc lộ. Ngoài ra, BIA ước tính khả năng xảy ra của từng sự kiện để tổ chức có thể ưu tiên chúng cho phù hợp.

2. Tạo phản hồi tiềm năng

Đối với mỗi mối đe dọa mà bạn xác định được trong BIA, bạn sẽ cần phát triển biện pháp ứng phó cho doanh nghiệp của mình. Các mối đe dọa khác nhau đòi hỏi các chiến lược khác nhau, vì vậy đối với mỗi thảm họa bạn có thể gặp phải, điều tốt là bạn nên lập một kế hoạch chi tiết về cách bạn có thể phục hồi.

3. Phân công vai trò và trách nhiệm

Bước tiếp theo là tìm hiểu những yêu cầu của mọi người trong nhóm khắc phục thảm họa của bạn trong trường hợp xảy ra thảm họa. Bước này phải ghi lại những kỳ vọng và xem xét cách các cá nhân sẽ giao tiếp trong một sự cố ngoài ý muốn. Hãy nhớ rằng, nhiều mối đe dọa sẽ tắt các khả năng liên lạc quan trọng như mạng di động và Wi-Fi, vì vậy, điều khôn ngoan là bạn nên có các quy trình dự phòng liên lạc mà bạn có thể dựa vào.

4. Luyện tập và sửa lại kế hoạch của bạn

Đối với mỗi mối đe dọa mà bạn đã chuẩn bị, bạn sẽ cần phải liên tục thực hành và tinh chỉnh các kế hoạch BCDR cho đến khi chúng hoạt động trơn tru. Diễn tập một kịch bản thực tế nhất có thể mà không khiến bất kỳ ai gặp rủi ro thực sự để các thành viên trong nhóm có thể xây dựng sự tự tin và khám phá cách họ có thể thực hiện trong trường hợp gián đoạn hoạt động kinh doanh liên tục.

Cách xây dựng kế hoạch khắc phục thảm họa (DRP)

Giống như BCP, DRP xác định các vai trò và trách nhiệm chính và phải liên tục được kiểm tra và cải tiến để có hiệu quả. Đây là quy trình bốn bước được sử dụng rộng rãi để tạo DRP.

1. Tiến hành phân tích tác động kinh doanh

Giống như BCP, DRP của bạn bắt đầu bằng việc đánh giá cẩn thận từng mối đe dọa mà công ty bạn có thể gặp phải và ý nghĩa của nó. Xem xét thiệt hại mà mỗi mối đe dọa tiềm ẩn có thể gây ra và khả năng nó làm gián đoạn hoạt động kinh doanh hàng ngày của bạn. Những cân nhắc bổ sung có thể bao gồm mất doanh thu, thời gian ngừng hoạt động, chi phí sửa chữa danh tiếng (quan hệ công chúng) và mất khách hàng cũng như nhà đầu tư do báo chí xấu.

2. Kiểm kê tài sản của bạn

DRP hiệu quả yêu cầu bạn phải biết chính xác những gì doanh nghiệp của bạn sở hữu. Thường xuyên thực hiện việc kiểm kê này để bạn có thể dễ dàng xác định phần cứng, phần mềm, cơ sở hạ tầng CNTT và bất kỳ thứ gì khác mà tổ chức của bạn dựa vào cho các chức năng kinh doanh quan trọng. Bạn có thể sử dụng các nhãn sau để phân loại từng nội dung và ưu tiên bảo vệ nội dung đó—quan trọng, quan trọng và không quan trọng.

• Bạo kích: Dán nhãn tài sản quan trọng nếu bạn phụ thuộc vào chúng cho hoạt động kinh doanh thông thường của mình.
• Quan trọng: Dán nhãn này cho bất kỳ thứ gì bạn sử dụng ít nhất một lần một ngày và nếu bị gián đoạn, sẽ ảnh hưởng đến các hoạt động quan trọng của bạn (nhưng không tắt chúng hoàn toàn).
• Không quan trọng: Đây là những tài sản mà doanh nghiệp của bạn sở hữu nhưng không sử dụng thường xuyên đến mức chúng không cần thiết cho hoạt động bình thường.

3. Phân công vai trò và trách nhiệm

Giống như trong BCP, bạn sẽ cần mô tả trách nhiệm và đảm bảo các thành viên trong nhóm của bạn có những gì họ cần để thực hiện chúng. Dưới đây là một số vai trò và trách nhiệm được sử dụng rộng rãi cần xem xét:

• Người báo cáo sự việc: Người duy trì thông tin liên hệ của các bên liên quan và liên lạc với lãnh đạo doanh nghiệp cũng như các bên liên quan khi xảy ra sự kiện gián đoạn.
• DRP người giám sát: Người đảm bảo các thành viên trong nhóm thực hiện nhiệm vụ họ được giao khi xảy ra sự cố. 
• Quản lý tài sản: Người có nhiệm vụ đảm bảo an toàn và bảo vệ tài sản quan trọng khi thảm họa xảy ra. 

4. Luyện tập kế hoạch của bạn

Giống như BCP, bạn sẽ cần liên tục thực hành và cập nhật DRP của mình để nó có hiệu quả. Thực hành thường xuyên và cập nhật tài liệu của bạn theo bất kỳ thay đổi có ý nghĩa nào cần thực hiện. Ví dụ: nếu công ty của bạn mua lại một tài sản mới sau khi DRP của bạn được hình thành, bạn sẽ cần kết hợp nó vào kế hoạch của mình trong tương lai, nếu không nó sẽ không được bảo vệ khi thảm họa xảy ra.

Ví dụ về kế hoạch kinh doanh liên tục và khắc phục thảm họa mạnh mẽ

Cho dù bạn cần kế hoạch kinh doanh liên tục (BCP), kế hoạch khắc phục thảm họa (DRP) hay cả hai cùng làm việc cùng nhau hay riêng lẻ, việc xem xét cách các doanh nghiệp khác đưa ra kế hoạch để tăng cường khả năng chuẩn bị của họ đều có thể hữu ích. Dưới đây là một số ví dụ về các kế hoạch đã giúp các doanh nghiệp chuẩn bị cả BC và DR.

• Kế hoạch xử lý khủng hoảng: Một kế hoạch quản lý khủng hoảng tốt có thể là một phần của kế hoạch kinh doanh liên tục hoặc kế hoạch khắc phục thảm họa. Kế hoạch quản lý khủng hoảng là tài liệu chi tiết phác thảo cách bạn sẽ quản lý một mối đe dọa cụ thể. Chúng cung cấp hướng dẫn chi tiết về cách tổ chức sẽ ứng phó với một loại khủng hoảng cụ thể, chẳng hạn như mất điện, tội phạm mạng hoặc thiên tai; cụ thể là cách họ đối phó với áp lực từng giờ, từng phút trong khi sự kiện đang diễn ra. Nhiều bước, vai trò và trách nhiệm cần thiết trong việc lập kế hoạch kinh doanh liên tục và khắc phục thảm họa có liên quan đến các kế hoạch quản lý khủng hoảng tốt.
• Kế hoạch truyền thông: Các kế hoạch liên lạc (hoặc kế hoạch liên lạc) đều áp dụng như nhau cho các nỗ lực khắc phục thảm họa và duy trì hoạt động kinh doanh. Chúng phác thảo cách tổ chức của bạn sẽ giải quyết cụ thể các mối quan ngại về PR khi xảy ra sự cố ngoài ý muốn. Để xây dựng một kế hoạch truyền thông tốt, các nhà lãnh đạo doanh nghiệp thường phối hợp với các chuyên gia truyền thông để xây dựng kế hoạch truyền thông của họ. Một số có sẵn kế hoạch cụ thể cho các thảm họa được coi là có khả năng xảy ra và nghiêm trọng, để họ biết chính xác họ sẽ phản ứng như thế nào.
• Kế hoạch khôi phục mạng: Kế hoạch khôi phục mạng giúp các tổ chức khôi phục các dịch vụ mạng bị gián đoạn, bao gồm truy cập Internet, dữ liệu di động, mạng cục bộ (LAN) và mạng diện rộng (WAN). Các kế hoạch khôi phục mạng thường có phạm vi rộng vì chúng tập trung vào nhu cầu cơ bản và thiết yếu—giao tiếp—và cần được xem xét ở khía cạnh đảm bảo tính liên tục của hoạt động kinh doanh hơn là khắc phục thảm họa. Do tầm quan trọng của nhiều dịch vụ nối mạng đối với hoạt động kinh doanh, kế hoạch khôi phục mạng tập trung vào các bước cần thiết để khôi phục dịch vụ nhanh chóng và hiệu quả sau khi bị gián đoạn.
• Trung tâm dữ liệu kế hoạch phục hồi: Kế hoạch khôi phục trung tâm dữ liệu có nhiều khả năng được đưa vào BCP hơn DRP vì nó tập trung vào bảo mật dữ liệu và các mối đe dọa đối với cơ sở hạ tầng CNTT. Một số mối đe dọa phổ biến đối với việc sao lưu dữ liệu bao gồm nhân sự quá căng thẳng, tấn công mạng, mất điện và khó tuân thủ các yêu cầu. 
• Kế hoạch khôi phục ảo hóa: Giống như gói trung tâm dữ liệu, gói khôi phục ảo hóa có nhiều khả năng là một phần của BCP hơn là DRP do BCP tập trung vào tài nguyên dữ liệu và CNTT. Kế hoạch khôi phục ảo hóa dựa vào máy ảo (VM) các trường hợp có thể bắt đầu hoạt động trong vòng vài phút sau khi bị gián đoạn. Máy ảo là sự thể hiện/mô phỏng của máy tính vật lý cung cấp khả năng phục hồi ứng dụng quan trọng thông qua tính sẵn sàng cao (HA) hoặc khả năng hệ thống hoạt động liên tục mà không bị lỗi.

Các giải pháp khắc phục sự cố và liên tục trong kinh doanh 

Ngay cả một sự gián đoạn nhỏ cũng có thể khiến doanh nghiệp của bạn gặp rủi ro. IBM có nhiều kế hoạch dự phòng và giải pháp khắc phục thảm họa nhằm giúp doanh nghiệp của bạn chuẩn bị đối mặt với nhiều mối đe dọa khác nhau, bao gồm khả năng sao lưu đám mây và khắc phục thảm họa cũng như các dịch vụ bảo mật và khả năng phục hồi.

Bảo vệ dữ liệu và tăng tốc độ phục hồi với các giải pháp lập kế hoạch kinh doanh liên tục của IBM