Business Continuity Plan (BCP) là gì?
BCP là tài liệu chiến lược mô tả cách tổ chức duy trì hoặc khôi phục nhanh chóng các chức năng kinh doanh then chốt trong và sau sự cố gián đoạn (thiên tai, tấn công mạng, lỗi hệ thống, dịch bệnh, mất điện...). Mục tiêu: RTO (Recovery Time Objective) và RPO (Recovery Point Objective) đạt yêu cầu.
BCP vs Disaster Recovery Plan (DRP) vs Incident Response Plan (IRP)
| Kế hoạch | Phạm vi | Focus | Thời điểm |
|---|
| IRP (Incident Response) | Sự cố an ninh (breach, malware, attack) | Detect, Contain, Eradicate, Recover (Technical) | Trong sự cố (0-72h) |
| DRP (Disaster Recovery) | Hạ tầng IT, Data Center, Systems | Restore IT systems, Data, Infrastructure | Sau sự cố (hours-days) |
| BCP (Business Continuity) | Toàn tổ chức: People, Process, Tech, Facility, Vendor | Duy trì vận hành kinh doanh, phục hồi chức năng then chốt | Trước, trong, sau sự cố (Strategic) |
3 Yếu tố cốt lõi của BCP
- People (Nhân sự): Thứ tự kế thừa lãnh đạo, liên lạc khẩn cấp, an toàn nhân viên, remote work capability, cross-training
- Process (Quy trình): Xác định Critical Business Functions (CBF), Maximum Tolerable Downtime (MTD), RTO/RPO, Manual workarounds
- Technology (Công nghệ): Backup/Replication, HA/DR Site (Hot/Warm/Cold), Cloud Failover, SaaS Resilience, Communication Systems
Các bước xây dựng BCP (Theo ISO 22301 / NIST 800-34)
- Chương trình quản trị BCM: Cam kết lãnh đạo, chính sách, ngân sách, tổ chức (BCM Steering Committee)
- Business Impact Analysis (BIA): Xác định CBF, MTD, RTO, RPO, Dependencies (Phamacies, Suppliers, Cloud, Utilities), Impact (Financial, Legal, Reputation, Safety)
- Risk Assessment: Xác định threat (Natural, Cyber, Technical, Human, Supply Chain), Likelihood, Impact, Existing Controls, Gap
- Strategy Selection: Accept, Mitigate, Transfer (Insurance), Avoid. Chiến lược: Alternate Site, Cloud DR, Work-from-home, Manual Process, Vendor SLA
- Plan Development: Viết BCP Document: Activation criteria, Notification tree, Procedures per CBF, Resource requirements, Vendor contacts
- Testing & Exercises: Tabletop (TTX), Walkthrough, Simulation, Parallel Test, Full Cutover (hàng năm)
- Maintenance & Improvement: Review 6-12 tháng, sau sự cố, sau thay đổi lớn (M&A, Cloud migration, Reorg)
BCP trong An ninh mạng (Cyber Resilience)
- Ransomware Recovery: Immutable Backup (Object Lock, Air-gapped), Isolated Recovery Environment (IRE), Cleanroom Recovery
- Cyber Insurance Alignment: BCP phải đáp ứng yêu cầu bảo hiểm (MFA, Offline Backup, IR Plan, Testing)
- Third-party/Supply Chain: BCP của vendor quan trọng (SaaS, Cloud, MSP, Telco) - Right to Audit, SLA Penalties
- Regulatory Reporting: 72h GDPR, 24-72h SEC/Finra, Vietnam: Luật An ninh mạng, Thông tư 09/2020
Ví dụ RTO/RPO theo Criticality
| Hệ thống/Chức năng | Criticality | RTO | RPO | Giải pháp DR |
|---|
| Core Banking / Trading | Tier 0 (Mission Critical) | < 15 min | 0 (Zero data loss) | Active-Active Sync Replication, Metro Cluster |
| ERP / CRM / Email | Tier 1 (Critical) | 1-4 giờ | < 15 min | Async Replication, Warm Standby, Cloud DR |
| File Server / Dev/Test | Tier 2 (Important) | 8-24 giờ | 1-4 giờ | Backup + Restore, Cold Standby |
| Archive / Non-prod | Tier 3 (Standard) | 24-72 giờ | 24 giờ | Backup chỉ định kỳ |
Kiểm tra BCP (Testing) - Loại và Tần suất
| Loại test | Mô tả | Tần suất | Chi phí/Rủi ro |
|---|
| Tabletop Exercise (TTX) | Thảo luận kịch bản trên giấy, không ảnh hưởng production | Quý | Thấp / Thấp |
| Walkthrough/Simulation | Diễn tập có tương tác, dùng runbook, không failover thật | 6 tháng | Trung bình / Thấp |
| Parallel Test | Chạy DR site song song, production vẫn chạy | Năm | Cao / Thấp |
|---|
| Full Cutover / Failover Test | Chuyển production sang DR site thật | Năm (hoặc 2 năm) | Rất cao / Trung bình |
|---|
Chứng chỉ liên quan
- CBCP (Certified Business Continuity Professional) - DRI International
- MBCI (Member of Business Continuity Institute) - BCI
- ISO 22301 Lead Implementer/Auditor
- CCRN (Certified Cyber Resilience Ninja) - Niche
