ביקשו מכם לכתוב ״מדיניות גיבוי״, ופתאום המסמך הלבן נראה מאיים יותר מהשרת? אתם לא לבד. מדובר במסמך רשמי שמסביר איך הארגון מנהל גיבויים, מי אחראי ומהם כללי העבודה. הוא חלק מהמדיניות הארגונית ולעיתים רלוונטי גם לצוותי ציות ומשפט — אבל אפשר לכתוב אותו בשפה שאנשים באמת מבינים.
מדיניות שאפשר לבצע
- היקף ואחריות ברורים
- שמירה והתראות מוגדרות
- עדכון ובדיקות קבועות
לכל מחלקה יכול להיות תיעוד גיבוי משלה, אבל צריך גם מקום אחד שמגדיר את הסטנדרטים לכל הארגון. זו המדיניות המרכזית: המסמך שאליו חוזרים כשצריך להחליט איך עובדים. בהמשך נבדיל בינו לבין תוכניות ונהלים שלפעמים מקבלים את אותו שם.
מה המסמך הזה אמור לעשות?
מדיניות גיבוי קובעת איך מטפלים בגיבויים בחברה. היא יכולה להגדיר נהלים, בעלי אחריות ומסמכים נלווים. המטרה היא שלא נצטרך לברר בכל פעם מחדש ״מי מטפל בזה?״.
המדיניות הרשמית שונה מתוכנית גיבוי או תוכנית התאוששות שמכינה מחלקה מסוימת, למשל צוות השיווק או המכירות. מסמכים כאלה יכולים להתייחס למערכות טכניות מסוימות, אך אינם מחליפים את המסמך המרכזי שמגדיר את הכיוון הארגוני.
כדי שהמדיניות תהיה שימושית, צריך מבנה ברור. לפעמים נכון לערב גם משאבי אנוש, גורמים משפטיים ובעלי עניין נוספים — לפי מה שהמסמך מכסה.
מה כדאי להכניס למסמך?
כמסמך ארגוני רשמי, היא נוטה לכלול רכיבים מוכרים שאפשר לבחון ולהתאים.
פרטי המסמך
ציינו את שמו הרשמי, כיצד יש להפנות אליו בתוך הארגון, מתי נכתב ומי אחראי לכתיבתו.
מטרה
הגדירו מה המדיניות אמורה להשיג. לדוגמה, יצירת שיטות גיבוי אחידות בכל הארגון.
תחולה
הבהירו על מי המדיניות חלה: אילו עובדים, מחלקות ונכסים נכללים בה. אם לא ברור האם צוות מסוים כפוף לה, הכריעו זאת במסמך. ״חשבנו שזה לא אצלנו״ היא תשובה שכדאי לחסוך בזמן תקלה.
מסמכים נלווים
אם יש מנהל גיבוי ייעודי, אפשר להטיל עליו סקירה ועדכון תקופתיים של התיעוד הקיים. לכן כדאי לכלול רשימה של מסמכי הגיבוי האחרים בחברה. במסמך דיגיטלי או במערכת ניהול ידע, כגון Confluence, אפשר לשלב את המסמכים או לקשר אליהם.
הרשימה יכולה לכלול תיעוד של נהלים ותהליכי עבודה, ותוכניות התאוששות מאסון. עדכנו את האינדקס כשהספרייה הפנימית מתרחבת או משתנה.
אחריות
כתבו מי אחראי לגיבוי ולשחזור של כל מערכת. לעיתים עדיף לציין תפקיד ולא שם של אדם, כדי שהמסמך יישאר שימושי גם כשהצוות משתנה. האחריות צריכה להישאר ברורה גם אחרי שמישהו נפרד מהחברה.
מתי צריך מסמך ארגוני רשמי?
יש חברות שיכולות לפעול גם בלי מסמך רשמי כזה. במצבים אחרים הוא חיוני.
- ארגונים שמנהלים מידע רגיש הכפוף לכללים: המקור נותן דוגמה של ארגוני בריאות בארצות הברית, שמנהלים רשומות רפואיות אלקטרוניות בהתאם ל־HIPAA ועשויים לעבור ביקורות. במצבים מסוימים נדרשת מדיניות מתועדת לטיפול בגיבוי. גם עמידה במסגרת ממשל מידע יכולה לדרוש מסמך שנשמר ומעודכן.
- תחומי פיננסים ומשפט: לפי המקור, צורך דומה עשוי להתעורר גם בתחומים האלה ובענפים אחרים.
- ארגונים גדולים: הם נוטים למנות אדם או צוות ייעודיים לגיבוי. ריבוי מערכות מוסיף מורכבות, ומדיניות רשמית עוזרת לקבוע סטנדרטים למנהלים שונים שהאחריות הועברה אליהם.
כשאומרים ״מדיניות״ אבל מתכוונים למשהו אחר
לפני שמתחילים לכתוב, כדאי לשאול מה בדיוק צריך. לפעמים אומרים ״מדיניות גיבוי״ ומתכוונים לתוכנית שחזור, להגדרות שימור או לרשימת מערכות. אלה מסמכים חשובים, אבל הם לא בהכרח אותה משימה.
תוכנית התאוששות מאסון
תוכנית DR כוללת בדרך כלל תיעוד מפורט של השלבים שהעסק צריך לבצע כדי להתאושש מאירועים שונים. היא מסבירה כיצד להחזיר פעילויות קריטיות ומגדירה אחריות לביצוע כל משימה.
התוכנית חיונית והיא לרוב אחד המסמכים הראשונים שמחפשים בזמן תקלה, אבל היא אינה קובעת בהכרח את הסטנדרטים הארגוניים הרחבים של מדיניות גיבוי.
מדיניות שימור גיבויים
המסמך הזה קובע לכמה זמן צריך להחזיק את הגיבויים. דרישות רגולטוריות שהארגון כפוף להן עשויות להשפיע עליו.
יעדי RTO ו־RPO
יעד זמן ההתאוששות קובע כמה זמן אפשר להקדיש להחזרת השירות בעקבות הפרעה. יעד נקודת ההתאוששות קובע את חלון אובדן המידע המרבי שהעסק מוכן לקבל.
לעיתים מכינים מסמך נפרד עם היעדים לכל מערכת עסקית. מערכות קריטיות, כגון CRM או ERP, עשויות לקבל יעדים מחמירים יותר משירותי IT פחות חיוניים.
מסגרות עבודה לגיבוי ולשחזור
גם מסמכי מידע ועזר על התהליך הכולל עשויים להיקרא ״מדיניות״. למשל:
- רשימת מלאי של כל המערכות הקיימות.
- ספר אנשי קשר של האחראים לגיבוי או תרשים ארגוני של מקבלי ההחלטות.
כותבים מסמך שאפשר גם לעבוד איתו
מסמך יכול להיות רשמי ועדיין להיות ברור ונוח. אם אתם מכינים מדיניות למחלקה או לצוות, העקרונות הבאים יעזרו להפוך אותה מכלי תיוק לכלי עבודה.
- מבינים את המטרה: המסמך צריך להגדיר את הכיוון הכולל לגיבוי ולהתאוששות. מיפו את מסמכי ה״מדיניות״ הקיימים, כולל אלה שהוזכרו קודם, וקבעו הנחיות שעליהם לעמוד בהן. המסמך המרכזי ישמש בסיס למסמכים נגזרים בעתיד.
- משלימים פערים: אם אין תיעוד גיבוי, זו הזדמנות להתחיל לבנות אותו. חשבו אילו יעדי RTO ו־RPO מציאותיים מתאימים למערכות ולמאגרי המידע שצריך לגבות.
- כותבים ברור: זה אינו מסמך שקוראים להנאה. אנשים כנראה ירפרפו כדי למצוא את המידע הדרוש. השתמשו במבנה ברור, בכותרות ובכותרות משנה, ובשפה פשוטה ומובנת.
- מקבלים בדיקה ואישורים מתאימים: מדיניות גיבוי נוגעת לעיתים בממשל מידע ובציות. כאשר קיימות דרישות כאלה, ודאו שהתקבלו האישורים הפנימיים הנדרשים, כולל מהגורם המשפטי.
- בודקים במציאות: בצעו בדיקות שחזור. המדיניות צריכה להיות מסמך חי המשקף תהליכי עבודה אמיתיים.
- מעדכנים באופן קבוע: הוסיפו שדה למועד עדכון ולסקירות תקופתיות, כך שהקוראים ידעו מתי המסמך נבדק לאחרונה. הדבר חשוב במיוחד אם ממשל הארגון דורש מחזורי עדכון קבועים.
מי מעדכן, ומתי בודקים שוב?
ניהול גיבוי והתאוששות בסביבה ארגונית הוא תהליך מורכב. מי שמוביל אותו אחראי לשמירת המידע במערכות עסקיות רבות.
כדי לתמוך ברציפות וביעילות התפעולית, יש לתעד מדיניות מרכזית ולסקור אותה מפעם לפעם. היא קובעת שיטות עבודה ויעדי RTO ו־RPO מוסכמים עבור אנשי הצוות המעורבים.
המדיניות צריכה להיות הכתובת הראשונה בנושא גיבוי בחברה, ולהתאים למסמכים הנלווים ולמסגרות העבודה. מנו אחראי, קבעו מועדי סקירה וציינו תאריך שינוי ברור. אם נדרש, הוסיפו גם יומן שינויים. מסמך בלי בעל בית נוטה להישאר באותה גרסה הרבה אחרי שהשרתים התחלפו.
נוסח עברי מלא המבוסס על גוף המאמר בקובץ ה־PDF שסופק, בעריכת שפה לקריאה נוחה. הערות דיוק ותיקונים למקור מסומנים בנפרד. דוגמאות הסבר נוספו לפי הצורך; תפריטי אתר, מודעות וקישורי המלצות אינם חלק מגוף המאמר.
מקור: Backup Policy Best Practices_ Approaches and Frameworks.pdf מאת MSP360. למאמר המקורי.
