Kế hoạch liên tục kinh doanh (Business Continuity Plan — BCP) là tài liệu và năng lực giúp doanh nghiệp duy trì các hoạt động quan trọng nhất ở mức chấp nhận được khi có gián đoạn, rồi phục hồi về trạng thái bình thường. Gián đoạn có thể đến từ mất điện kéo dài, đứt đường truyền, hỏng máy chủ, cháy hoặc ngập văn phòng, nhà cung cấp chủ chốt ngừng hoạt động, hay sự cố an ninh mạng.
BCP rộng hơn khôi phục sau thảm hoạ (Disaster Recovery — DR). DR là phần kỹ thuật: dựng lại hệ thống CNTT và dữ liệu. BCP bao gồm cả con người, nơi làm việc thay thế, nhà cung cấp, liên lạc với khách hàng và quyết định ai được làm gì. Hai chỉ số trung tâm của phần CNTT là RTO (sau bao lâu phải chạy lại) và RPO (chấp nhận mất tối đa bao nhiêu dữ liệu tính theo thời gian). Bài viết đi qua phân tích tác động, cách đặt các chỉ số, chọn chiến lược và diễn tập.
Vì sao doanh nghiệp Việt Nam cần BCP thực tế, không chỉ trên giấy
Những năm gần đây cho nhiều ví dụ về gián đoạn diện rộng tại Việt Nam: đợt thiếu điện ở miền Bắc mùa hè năm 2023 khiến nhiều khu công nghiệp và văn phòng phải cắt điện luân phiên; các sự cố cáp quang biển nhiều lần làm chậm Internet quốc tế trong nhiều tuần; bão lũ ở miền Trung và miền Bắc làm ngập nhà xưởng, cắt đường giao thông. Đó là chưa kể sự cố nội bộ như máy chủ hỏng ổ đĩa hay mã độc tống tiền.
Điểm chung là những doanh nghiệp đã chuẩn bị trước — có máy phát điện được bảo dưỡng, có đường truyền thứ hai qua nhà mạng khác, biết nhân viên nào làm việc từ xa được, có bản sao dữ liệu ở nơi khác — vượt qua với thiệt hại nhỏ hơn rõ rệt. Doanh nghiệp không chuẩn bị phải ra quyết định trong hỗn loạn, khi người cần liên lạc không biết số của nhau.
BCP cũng ngày càng là yêu cầu từ bên ngoài. Khách hàng lớn, nhất là doanh nghiệp FDI và tập đoàn đa quốc gia, thường đưa câu hỏi về kế hoạch liên tục vào bảng đánh giá nhà cung cấp. Tiêu chuẩn quốc tế ISO 22301 về hệ thống quản lý kinh doanh liên tục là khung tham chiếu phổ biến; doanh nghiệp không cần chứng nhận để áp dụng các nguyên lý của nó.
Phân tích tác động kinh doanh (BIA)
BIA là bước nền tảng, trả lời câu hỏi: hoạt động nào phải khôi phục trước, trong bao lâu, và cần những gì. Bỏ qua BIA thì BCP trở thành danh sách mong muốn chung chung.
- Liệt kê hoạt động kinh doanh, không phải hệ thống: nhận đơn, giao hàng, thanh toán lương, chăm sóc khách, sản xuất, xuất hoá đơn, báo cáo thuế.
- Đánh giá thiệt hại theo thời gian gián đoạn cho từng hoạt động: sau 4 giờ, 1 ngày, 3 ngày, 1 tuần thì thiệt hại về doanh thu, hợp đồng, pháp lý, uy tín ra sao. Thiệt hại thường không tuyến tính: giao hàng trễ một ngày có thể ổn, trễ ba ngày bị phạt hợp đồng.
- Xác định thời gian gián đoạn tối đa chịu được (MTPD): mốc mà sau đó thiệt hại trở nên không chấp nhận được hoặc đe doạ sự tồn tại của hoạt động.
- Đặt mục tiêu khôi phục (RTO) ngắn hơn MTPD, để còn khoảng đệm.
- Xác định nguồn lực phụ thuộc: người, kỹ năng, hệ thống CNTT, dữ liệu, thiết bị, mặt bằng, nhà cung cấp. Đây là chỗ nối hoạt động kinh doanh với hạ tầng CNTT.
- Xác định lượng dữ liệu được phép mất (RPO) cho từng hệ thống, từ góc nhìn nghiệp vụ: nhập lại một ngày đơn hàng có khả thi không?
- Xếp hạng ưu tiên và trình lãnh đạo phê duyệt. Mức ưu tiên phải do người làm kinh doanh quyết, IT chỉ cho biết chi phí đạt được.
BIA làm qua phỏng vấn trưởng các bộ phận thường lộ ra phụ thuộc bất ngờ: một bảng tính trên máy cá nhân của kế toán trưởng mà cả quy trình thanh toán nhà cung cấp dựa vào, hay một nhà cung cấp linh kiện duy nhất mà không ai có hợp đồng dự phòng.
RTO, RPO và cái giá của từng con số
RTO — Recovery Time Objective. Khoảng thời gian tối đa từ lúc gián đoạn tới lúc hoạt động hoặc hệ thống chạy lại ở mức tối thiểu. RTO 4 giờ cho hệ thống bán hàng nghĩa là phải có phương án dựng lại trong 4 giờ, kể cả ban đêm.
RPO — Recovery Point Objective. Khoảng dữ liệu tối đa chấp nhận mất, đo bằng thời gian tính ngược từ lúc sự cố. RPO 24 giờ tương đương sao lưu mỗi đêm là đủ; RPO 15 phút đòi hỏi sao chép liên tục hoặc sao lưu nhật ký giao dịch thường xuyên.
Con số nhỏ hơn đắt hơn theo cấp số. Đi từ RTO một ngày xuống một giờ thường đòi hỏi chuyển từ "khôi phục từ bản sao lưu" sang "hệ thống dự phòng chạy sẵn", chi phí có thể tăng nhiều lần. Vì vậy không đặt mọi hệ thống ở mức cao nhất; phân tầng theo BIA.
Thời gian khôi phục thực tế thường dài hơn dự tính. Tính cả thời gian phát hiện sự cố, ra quyết định kích hoạt kế hoạch, tìm người có quyền, tải dữ liệu về, kiểm tra tính toàn vẹn. Tải lại vài terabyte qua đường truyền văn phòng có thể mất hơn một ngày — chỉ diễn tập mới cho biết con số thật.
Đừng quên thứ tự phụ thuộc. Ứng dụng bán hàng chạy lại vô ích nếu hệ thống danh tính hay cơ sở dữ liệu nó dựa vào chưa lên. Kế hoạch khôi phục cần trình tự: mạng và danh tính trước, dữ liệu, rồi ứng dụng.
Chiến lược khôi phục CNTT theo tầng
Mỗi tầng ứng với một mức RTO/RPO và chi phí. Doanh nghiệp vừa thường dùng hai hoặc ba tầng cho các nhóm hệ thống khác nhau.
| Chiến lược | Mô tả | RTO/RPO điển hình | Chi phí tương đối |
|---|---|---|---|
| Sao lưu và khôi phục | Chỉ có bản sao lưu ở nơi khác; khi sự cố thì mua hoặc thuê hạ tầng rồi khôi phục | Từ vài giờ đến vài ngày; RPO bằng chu kỳ sao lưu | Thấp |
| Hạ tầng tối thiểu (pilot light) | Dữ liệu được sao chép liên tục sang nơi dự phòng, chỉ phần lõi chạy sẵn, phần còn lại dựng khi cần | Vài giờ; RPO phút đến giờ | Trung bình thấp |
| Dự phòng ấm (warm standby) | Bản thu nhỏ của hệ thống chạy sẵn ở nơi dự phòng, khi sự cố thì mở rộng và chuyển người dùng sang | Dưới một giờ đến vài giờ; RPO phút | Trung bình cao |
| Dự phòng nóng / hai nơi cùng chạy | Hai địa điểm cùng phục vụ, mất một nơi thì nơi kia gánh toàn bộ | Gần bằng không; RPO gần bằng không | Cao, phức tạp vận hành |
Với doanh nghiệp vừa, phương án hợp lý thường là: hệ thống bán hàng, kế toán, danh tính ở tầng dự phòng ấm hoặc hạ tầng tối thiểu trên đám mây; máy chủ tệp, hệ thống nội bộ ít quan trọng ở tầng sao lưu và khôi phục. Bản thân chiến lược sao lưu — số bản, phương tiện, bản ngoại tuyến chống mã độc — là chủ đề riêng; ở đây chỉ nhấn mạnh rằng bản sao lưu chưa từng thử khôi phục thì chưa thể coi là có.
Phần không phải CNTT của kế hoạch liên tục
Nhiều BCP chỉ viết về máy chủ, rồi vỡ ở chỗ con người và liên lạc. Kế hoạch đầy đủ cần trả lời các câu hỏi sau:
- Ai quyết định kích hoạt kế hoạch, và nếu người đó không liên lạc được thì ai thay. Danh sách người dự phòng theo thứ tự.
- Liên lạc khi mất hệ thống chính: danh bạ khẩn cấp lưu ngoài hệ thống công ty, kênh liên lạc dự phòng, kịch bản tin nhắn gửi nhân viên, khách hàng, đối tác.
- Nơi làm việc thay thế: làm việc từ xa có khả thi cho những vị trí nào; nếu không, có văn phòng chi nhánh, không gian làm việc chung hay thoả thuận với đối tác.
- Nhân sự then chốt: những kỹ năng chỉ một người có, tài liệu hoá quy trình và đào tạo người thứ hai.
- Nhà cung cấp: nhà cung cấp quan trọng có kế hoạch liên tục của họ không; có nguồn thay thế không; điều khoản hợp đồng khi họ không giao được.
- Tài chính khẩn cấp: ai được chi tiền ngoài quy trình thường lệ, hạn mức bao nhiêu, bảo hiểm gián đoạn kinh doanh có áp dụng không.
- Pháp lý và thông báo: nghĩa vụ báo cáo với cơ quan quản lý hoặc khách hàng khi có sự cố, theo hợp đồng và quy định hiện hành.
Kế hoạch nên ngắn và dễ dùng trong khủng hoảng: các danh sách kiểm tra theo kịch bản, mỗi vai trò biết trang nào là của mình. Một tài liệu dày trăm trang nằm trên chính máy chủ vừa hỏng là kiểu BCP phổ biến nhất và vô dụng nhất. Luôn có bản in hoặc bản lưu ngoài hệ thống công ty.
Diễn tập: bốn mức từ thảo luận đến chuyển đổi thật
Kế hoạch chưa diễn tập là giả thuyết. Diễn tập nên tăng dần độ khó, bắt đầu bằng mức rẻ nhất.
| Mức | Cách làm | Phát hiện được gì | Tần suất gợi ý |
|---|---|---|---|
| Rà soát tài liệu | Từng bộ phận đọc lại phần của mình, cập nhật danh bạ, hệ thống, người phụ trách | Thông tin lỗi thời | Mỗi sáu tháng hoặc khi có thay đổi lớn |
| Diễn tập trên bàn (tabletop) | Người điều phối đưa kịch bản theo từng bước, nhóm thảo luận sẽ làm gì | Khoảng trống về quyết định, liên lạc, vai trò | Ít nhất mỗi năm một lần |
| Diễn tập kỹ thuật từng phần | Khôi phục thật một hệ thống từ bản sao lưu sang môi trường thử, đo thời gian | RTO thực tế, lỗi quy trình khôi phục, bản sao lưu hỏng | Mỗi quý cho hệ thống quan trọng |
| Chuyển đổi toàn phần | Chuyển hoạt động thật sang hạ tầng hoặc địa điểm dự phòng trong một khoảng thời gian | Năng lực thực sự của toàn bộ phương án | Khi tầng dự phòng ấm/nóng đã sẵn sàng; có kế hoạch quay lại |
Sau mỗi lần diễn tập, ghi lại những gì không như kế hoạch và người chịu trách nhiệm sửa. Kịch bản nên thay đổi giữa các lần: mất điện cả toà nhà, mã độc mã hoá máy chủ, trưởng IT không liên lạc được, nhà cung cấp phần mềm chính ngừng dịch vụ. Một buổi diễn tập trên bàn hai giờ với kịch bản thực tế thường phát hiện nhiều vấn đề hơn cả năm viết tài liệu.
Câu hỏi thường gặp
Doanh nghiệp nhỏ có cần BCP không, hay chỉ doanh nghiệp lớn?
Doanh nghiệp nhỏ thường dễ tổn thương hơn vì ít nguồn lực dự phòng. Một BCP gọn vài trang gồm danh sách hoạt động ưu tiên, danh bạ khẩn cấp, nơi lưu bản sao dữ liệu, phương án làm việc từ xa và người quyết định đã tạo khác biệt lớn khi có sự cố, mà chi phí chủ yếu là thời gian suy nghĩ.
BCP và kế hoạch ứng phó sự cố an ninh mạng khác nhau thế nào?
Kế hoạch ứng phó sự cố an ninh tập trung vào phát hiện, ngăn chặn, điều tra và loại bỏ mối đe doạ. BCP lo duy trì hoạt động kinh doanh trong lúc đó và phục hồi sau đó. Hai kế hoạch cần liên kết: khi mã độc mã hoá hệ thống, đội an ninh xử lý mối đe doạ, còn BCP quyết định vận hành tạm thế nào.
Ai nên chịu trách nhiệm BCP trong doanh nghiệp?
Ban lãnh đạo chịu trách nhiệm cuối cùng vì quyết định mức rủi ro chấp nhận và ngân sách. Điều phối thường giao cho một người ở vận hành, quản trị rủi ro hoặc IT. Mỗi bộ phận có người phụ trách phần của mình. Giao toàn bộ cho phòng IT dẫn tới kế hoạch chỉ có phần kỹ thuật.
Đặt hệ thống dự phòng trên đám mây có phải là đủ cho DR không?
Đám mây giúp có hạ tầng dự phòng mà không cần xây trung tâm thứ hai, nhưng chưa đủ. Cần kiểm tra quy trình chuyển đổi, đường truyền cho người dùng truy cập, hệ thống danh tính, và tính đến khả năng chính nhà cung cấp đám mây gặp sự cố ở một vùng. Diễn tập vẫn bắt buộc.
Bao lâu thì nên cập nhật BCP?
Rà soát định kỳ ít nhất mỗi năm, và cập nhật ngay khi có thay đổi lớn: chuyển văn phòng, đổi hệ thống chính, đổi nhà cung cấp quan trọng, tái cơ cấu tổ chức, hoặc sau một sự cố thật và sau mỗi lần diễn tập. Danh bạ khẩn cấp nên kiểm tra thường xuyên hơn vì thay đổi nhanh nhất.
Bảo hiểm có thay thế được kế hoạch liên tục kinh doanh không?
Không. Bảo hiểm gián đoạn kinh doanh có thể bù một phần thiệt hại tài chính, nhưng không giữ được khách hàng, hợp đồng hay uy tín trong lúc ngừng hoạt động. Nhiều hợp đồng bảo hiểm còn có điều kiện về biện pháp phòng ngừa. BCP và bảo hiểm bổ trợ cho nhau.