תוכנית המשכיות עסקית (BCP – Business Continuity Plan) היא התוכנית שמאפשרת לעסק להמשיך לעבוד כשמשהו משתבש: מתקפת סייבר, נפילת שרת, שריפה או אירוע חירום ביטחוני.
האמת הלא נוחה היא ששיבוש בפעילות הוא לא שאלה של "אם" אלא של "מתי", והעסקים ששורדים הם פשוט אלה שנערכו מראש.
ב-CyberSafe אנחנו מלווים ארגונים בישראל ובעולם בתכנון אבטחת מידע, גיבוי והמשכיות עסקית מתוך יותר מ-20 שנות ניסיון, ומהשטח אנחנו יודעים מה באמת מחזיק מעמד תחת לחץ.
מהי תוכנית המשכיות עסקית?
BCP הוא מסמך מסודר שאומר לעסק בדיוק מה לעשות כשהפעילות נקטעת. הוא מגדיר מי אחראי על מה, אילו תהליכים חייבים להמשיך לפעול, ואיך ממשיכים לשרת לקוחות בזמן שהמערכות למטה.
זו לא בעיה של IT בלבד, היא נוגעת לאנשים, לספקים, לתקשורת ולתזרים המזומנים.
שני מדדי התאוששות מרכזיים שמשמשים בתכנון המשכיות עסקית והתאוששות מאסון הם RTO ו-RPO. ה-RTO (Recovery Time Objective) הוא תוך כמה זמן חייבים לחזור לפעילות, וה-RPO (Recovery Point Objective) הוא כמה מידע אפשר להרשות לעצמנו להפסיד.
שני המספרים האלה קובעים את כל שאר ההחלטות. נכון ל-2026, התקן הבינלאומי התקף לניהול המשכיות עסקית הוא ISO 22301:2019, כאשר מהדורה חדשה נמצאת בתהליך פיתוח.
BCP מול DRP – מה ההבדל?
ההבדל הוא בהיקף: BCP מגן על העסק כולו, ו-DRP הוא רק חלק ממנו. תוכנית התאוששות מאסון (DRP – Disaster Recovery Plan) מתמקדת בשחזור המערכות והמידע הטכניים, בעוד ה-BCP מסתכל על התמונה המלאה: עובדים, לקוחות, ספקים ותהליכים.
| BCP – המשכיות עסקית | DRP – התאוששות מאסון | |
| מטרה | שהעסק ימשיך לפעול | שחזור מערכות ומידע |
| היקף | כל הארגון | מערכות ה-IT בלבד |
| שאלה מרכזית | איך ממשיכים לעבוד? | איך משחזרים את הטכנולוגיה? |
| דוגמה | מעבר זמני לתהליך ידני | שחזור שרת מגיבוי |
בפועל, DRP טוב הוא רכיב בתוך BCP רחב יותר. עסק שיש לו רק DRP יודע לשחזר שרת, אבל ייתכן שאין לו מושג איך להמשיך למכור עד שהשרת חוזר.
למה כל עסק צריך BCP דווקא עכשיו?
רמת האיום הופכת את תכנון ההמשכיות לעדיפות ולא למותרות. מערך הסייבר הלאומי קיבל יותר מ-26 אלף דיווחים על אירועי סייבר ב-2025, עלייה של 55% לעומת 2024. לפי דוח Microsoft לשנת 2025, כפי שמובא בסיכום מערך הסייבר הלאומי, ישראל דורגה במקום השלישי בעולם בהיקף תקיפות הסייבר נגדה (מערך הסייבר / כלכליסט). עבור חברות עם לקוחות גלובליים, BCP מתועד נדרש יותר ויותר גם במכרזים ובביקורות אבטחה של ספקים.
יש גם מציאות מקומית שיש לה מעט מקבילות בעולם: הפסקות חשמל, שגרה של מרחבים מוגנים ושיבושי תקשורת בתקופות לחימה. אירועי חירום כמו חרבות ברזל ועם כלביא המחישו לעסקים בישראל עד כמה חשוב להיערך מראש לשיבושים בחשמל, בתקשורת, בגישה למשרד או בזמינות העובדים.
מה כוללת תוכנית BCP טובה?
תוכנית טובה נבנית בשכבות, ולא כמסמך אחד ארוך שאף אחד לא קורא. אלה הרכיבים שאנחנו מקפידים עליהם:
- ניתוח השפעה עסקית (BIA). מזהים אילו תהליכים קריטיים באמת, וכמה עולה כל שעת השבתה.
- יעדי RTO ו-RPO. לכל מערכת מגדירים תוך כמה זמן היא חייבת לחזור, וכמה אובדן מידע מקובל.
- גיבויים מנותקים ובדוקים. גיבוי שלא נבדק הוא לא גיבוי. את הרובד הזה אנחנו מבססים על פתרונות Acronis.
- תרחישי תגובה ובעלי תפקידים. מי מתקשר למי, מי מקבל החלטות, ומאיפה עובדים אם המשרד לא זמין.
- תוכנית תקשורת. מה אומרים ללקוחות, לספקים ולרגולטורים, כולל תהליך דיווח לרשות להגנת הפרטיות במקרה של אירוע אבטחה חמור, כאשר חלה חובת דיווח לפי הדין.
- תרגול קבוע. מריצים סימולציה לפחות פעם בשנה. תוכנית שלא תורגלה נכשלת בדיוק כשצריך אותה.
איך אנחנו ב-CyberSafe בונים את התוכנית, צעד אחר צעד?
אנחנו עובדים בתהליך מדורג שמותאם לגודל ולתקציב של כל ארגון. הצעד הראשון הוא סקר סיכונים וניתוח השפעה עסקית, שבו מבינים מה קריטי. אחר כך מגדירים יעדי RTO/RPO, כותבים נהלים בהתאם לתקן, מקימים את מנגנון הגיבוי והשחזור ומריצים תרגיל אמת.
לבסוף, אנחנו מלווים את התוכנית לאורך זמן ומעדכנים אותה בהתאם לשינויים בעסק ובאיומים. ארגונים שרוצים הסמכה מלאה משלבים את ה-BCP בתוך יישום תקן ISO 27001 או ISO 22301.
למי BCP פחות נחוץ?
לא כל עסק צריך תוכנית מלאה, וחשוב להגיד את זה בכנות. עסק זעיר בלי מערכות מקוונות, בלי מאגר לקוחות ובלי תלות בזמינות רציפה יכול להסתדר עם גיבויים טובים וכמה כללי יסוד.
אבל כל עסק שההכנסה שלו נעצרת כשהמערכות נופלות – חנות אונליין, משרד שירותים, מרפאה, חברת תוכנה – ירוויח מ-BCP כבר מהיום הראשון.
השירותים שלנו בתחום ההמשכיות העסקית
אנחנו מלווים המשכיות עסקית לאורך כל הדרך, מהמניעה ועד ההתאוששות. שירותי אבטחת מידע לעסקים שלנו כוללים סקר סיכוני סייבר, כתיבת נהלי אבטחת מידע, גיבוי והתאוששות מאסון, ניטור ותגובה שוטפים (SOC / SIEM ו-Incident Response), ניהול אבטחת מידע CISO as a Service, הדרכות מודעות לעובדים ויישום תקנים (ISO 27001 / ISO 22301). הכול מותאם לצרכים שלכם, מתוך משרדינו בהר חוצבים, ירושלים.
מתחילים לבנות תוכנית המשכיות עסקית
לא צריך לחכות לאירוע הבא כדי לגלות מה חסר. בשיחת היכרות קצרה נבין איפה העסק שלכם עומד היום, אילו תהליכים הכי קריטיים עבורכם, ומה הצעד הראשון שכדאי לעשות. השאירו פרטים או התקשרו אלינו ל-077-5509948, ונבנה יחד תוכנית שמתאימה לגודל ולתקציב שלכם.
שאלות נפוצות
כל כמה זמן צריך לעדכן BCP?
לפחות פעם בשנה, וגם אחרי כל שינוי משמעותי: מערכת חדשה, מעבר משרד או החלפת ספק קריטי. תוכנית לא מעודכנת מסוכנת, כי היא נותנת תחושת ביטחון מבלי לעבוד באמת.
מה ההבדל בין גיבוי לתוכנית המשכיות?
גיבוי הוא רכיב אחד בתוך תוכנית שלמה. הוא שומר על המידע, אבל תוכנית המשכיות מגדירה גם מי משחזר אותו, תוך כמה זמן, ואיך העסק ממשיך לתפקד עד שהכול חוזר.
האם עסק קטן באמת צריך תוכנית פורמלית?
כן, בגרסה פשוטה. גם מסמך של שני עמודים שמגדיר גיבויים, אנשי קשר ותרחיש תגובה בסיסי שווה יותר מכוונות טובות שאף פעם לא נכתבו.
כמה זמן לוקח לבנות BCP?
לעסק קטן או בינוני, גרסה פרקטית ראשונה מוכנה בדרך כלל תוך כמה שבועות. תוכנית מלאה, מתורגלת ומותאמת לתקן לוקחת יותר זמן, אבל אפשר להתחיל מהבסיס ולהעמיק בשלבים.
