النسخ الاحتياطي والتعافي من الكوارث للأنظمة الطبية: RPO وRTO واختبار الاستعادة

هذه المقالة لمدير تقنية المعلومات ومن يعتمد خطة الاستمرارية في المنشأة الطبية: تعرّف RPO وRTO، وتفصل سيناريوهات التعطل الفعلية وما يعالج كلًا منها، وتعرض جدول أهداف حسب الخدمة بمثال توضيحي، وسياسة النسخ، واختبار الاستعادة، وخطة التعافي خطوة بخطوة، والتشغيل اليدوي، وتوزيع المسؤوليات بين المورد والمنشأة، وما تكتبه في العقد.

RPO وRTO: تعريفان يحددان كل ما بعدهما

• نقطة الاستعادة المستهدفة (RPO - Recovery Point Objective): أقصى مقدار من البيانات يمكن أن تفقده، مقيسًا بالزمن. RPO بـ15 دقيقة يعني أنك قد تخسر في أسوأ الأحوال آخر 15 دقيقة من التسجيلات قبل الحادث.
• زمن الاستعادة المستهدف (RTO - Recovery Time Objective): أقصى مدة يمكن أن يبقى فيها النظام أو الخدمة متوقفة، من لحظة الحادث حتى عودة العمل.

وثلاثة مفاهيم تختلط كثيرًا في عروض الموردين:

لهذا يسأل مدير التقنية المورد عن الثلاثة معًا، لا عن «هل عندكم نسخ احتياطي؟». وهذه الأسئلة من ضوابط الاستمرارية في مقالة 20 ضابطًا أمنيًا تطلبها من مورد نظام العيادات، وهنا تفصيلها.

ماذا يمكن أن يحدث فعلًا؟ ستة سيناريوهات وما يعالج كلًا منها

«كارثة» كلمة كبيرة. أغلب التوقفات في المنشآت الطبية أصغر منها، لكن كل واحد منها يحتاج علاجًا مختلفًا:

لاحظ أن الانقطاع الأكثر تكرارًا في العيادات، وهو انقطاع الإنترنت في الفرع، لا تعالجه خطة التعافي بل خط اتصال احتياطي، كما في أسئلة ما قبل اختيار النظام السحابي. وفيروس الفدية هو السيناريو الذي يكشف السياسات الضعيفة، لأنه يستهدف النسخ الاحتياطية نفسها.

جدول أهداف الاستعادة حسب الخدمة

لا تسأل «ما RTO المناسب للنظام؟»، بل «كم ساعة يحتمل كل عمل في منشأتي أن يتوقف، وما بديله اليدوي؟». الجدول التالي مثال لمركز متوسط، يُبنى في جلسة مع مديري التشغيل والطبي والمالي:

لماذا الفئات إن كان النظام يعود كاملًا؟

في منصة واحدة لا تُستعاد الوحدات منفصلة غالبًا. قيمة الفئات في ثلاثة أمور: أولًا، أقصى توقف للنظام يحدده أعلى الخدمات أهمية، أي الفئة الأولى. ثانيًا، الفئات تحدد ترتيب إعادة التكاملات بعد عودة النظام: أجهزة المختبر ونقاط البيع قبل الرسائل والتقارير. ثالثًا، تحدد أين تحتاج بديلًا يدويًا مطبوعًا ومدربًا عليه، وأين يكفي التأجيل.

كلما قصرت الأهداف ارتفعت التكلفة: أربعة مستويات حماية

الأهداف ليست أمنيات تُكتب في العقد. كل هدف أقصر يحتاج بنية أغلى. هذه المستويات من الأبسط إلى الأعلى:

القرار يربط الجدول السابق بهذه المستويات: إن كانت الإدارة تقبل توقف الفئة الأولى أربع ساعات، فاسأل المورد أي مستوى يحقق ذلك في خيار النشر المقترح، وما تكلفته. وإن كان الجواب أغلى مما تحتمله الميزانية، فالحل أحيانًا بديل يدوي أقوى لا بنية أغلى. واختيار خيار النشر نفسه تفصّله مقالة إطار قرار الاستضافة لمدير التقنية.

سياسة النسخ الاحتياطي: ما تكتبه بندًا بندًا

السياسة وثيقة قصيرة تجيب عن: ماذا يُنسخ، وكم مرة، وأين، وكيف يُحمى، وكم يُحتفظ به، ومن يراقبه. استخدم القائمة التالية مسودة:

• النطاق: قاعدة البيانات، والملفات المرفقة، وإعدادات النظام والتكاملات، وسجلات التدقيق. نسخة قاعدة بيانات بلا مرفقات تعيد ملفات مرضى بلا تقاريرهم
• التكرار: نسخة كاملة يومية، ونسخ تزايدي أو لسجل المعاملات عدة مرات يوميًا بما يحقق RPO المكتوب
• التشفير: النسخ مشفرة، ومفاتيحها محفوظة منفصلة عن النسخ، ومن يستطيع فك التشفير محدد بالاسم والدور
• الموقع المنفصل: نسخة في موقع جغرافي آخر لا يتأثر بما يصيب الموقع الأساسي، وداخل المملكة إن كانت سياستك أو التزاماتك تتطلب ذلك
• الحماية من الفدية: نسخة معزولة أو غير قابلة للتعديل والحذف خلال مدة احتفاظها، ولا تصل إليها حسابات إدارة البيئة الأساسية
• الاحتفاظ: طبقات زمنية، مثل نسخ يومية لفترة قصيرة، وأسبوعية وشهرية لفترات أطول، بمدد تحددها سياسة المنشأة والتعليمات النافذة
• الصلاحيات: الوصول إلى النسخ واستعادتها بصلاحية محددة ومسجلة، لا لكل مدير نظام
• المراقبة: تنبيه عند فشل أي عملية نسخ، وتقرير دوري بنجاحها، ومسؤول يقرؤه

اختبار الاستعادة: كيف تثبت أن النسخة تعمل

النسخة الاحتياطية التي لم تُستعد لا تُعرف قيمتها إلا يوم الحادث، وهو أسوأ يوم لاكتشاف أنها ناقصة. خطط لثلاثة مستويات من الاختبار بتكرار تحدده السياسة:

1. استعادة جزئية

   استرجاع ملف مرفق أو سجل محدد إلى بيئة اختبار، للتأكد أن النسخ تُقرأ وأن الإجراء معروف. سريع ويمكن تكراره كثيرًا.

   فريق التشغيل
2. استعادة كاملة في بيئة معزولة

   استرجاع النظام كاملًا من نسخة حقيقية، وقياس الزمن الفعلي، والتحقق من سلامة البيانات. هذا ما يقيس RTO الحقيقي.

   المورد أو فريق التقنية حسب خيار النشر
3. تمرين تعافٍ كامل

   تشغيل النظام من موقع التعافي، مع مشاركة المستخدمين في التحقق، وتجربة البدائل اليدوية وخطة التواصل.

   مدير التقنية والتشغيل معًا

ما تتحقق منه بعد كل استعادة

• الزمن: من بدء الاستعادة حتى أول تسجيل دخول ناجح، مقارنة بـRTO المكتوب.
• نقطة البيانات: آخر موعد وآخر فاتورة وآخر نتيجة في النسخة المستعادة، مقارنة بـRPO.
• الاكتمال: عدد ملفات المرضى والزيارات والفواتير مقارنة بتقرير من النظام الأصلي، وفتح عينة من المرفقات والتقارير.
• العمل الفعلي: حجز موعد، وتوثيق زيارة، وإصدار فاتورة تجريبية في البيئة المستعادة.

سجّل كل اختبار في تقرير: التاريخ، ونوع الاختبار، والنسخة المستخدمة، والزمن الفعلي، وما نجح وما فشل، والإجراء التصحيحي. هذا التقرير هو ما تطلبه من المورد قبل التعاقد وبعده.

خطة التعافي من الكوارث: من اكتشاف الحادث إلى العودة

إن كان الحادث يتضمن وصولًا غير مصرح به إلى البيانات الشخصية، فتنص اللائحة التنفيذية لنظام حماية البيانات الشخصية على إشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من العلم بالحادثة إن كان من شأنها الإضرار بالبيانات أو بأصحابها، وفق اللائحة التنفيذية لنظام حماية البيانات الشخصية. لهذا يجب أن تتضمن الخطة من يقيّم ذلك ومن يبلغ، وأن يلتزم المورد بإبلاغك بمهلة تسمح لك بالوفاء بالتزامك.

التشغيل اليدوي المؤقت: حقيبة التوقف وإعادة الإدخال

التشغيل اليدوي ليس «نرجع للورق». هو إجراء مجهز مسبقًا يعرفه كل قسم، وله بداية ونهاية. جهّز لكل فرع حقيبة توقف:

• نماذج مرقمة مطبوعة: تسجيل مريض، ومذكرة زيارة، وطلب تحليل أو أشعة، ووصفة، وسند قبض، وسجل صرف صيدلية
• قائمة أسعار الخدمات محدثة، وقائمة شركات التأمين المتعاقدة وفئاتها
• جدول مواعيد اليوم التالي يُحفظ كل مساء نسخة للقراءة أو مطبوعة، مع تنبيهات مرضى اليوم السريرية الضرورية فقط
• قائمة اتصال: المورد، وفريق التقنية، ومديرو الفروع، ومن يملك قرار إعلان الحادث
• تعليمات من صفحة واحدة لكل قسم: ما يستمر، وما يُؤجل، وكيف يُسجل

المطبوعات التي تحمل بيانات مرضى تُحفظ في مكان مقفل وتُتلف بإجراء موثق بعد انتهاء صلاحيتها، لأنها بيانات صحية مثل النظام تمامًا.

بعد العودة: إعادة الإدخال والمطابقة

1. يُدخل كل نموذج ورقي برقمه، ويُعلّم ما أُدخل، حتى لا يتكرر إدخال ولا يسقط نموذج.
2. تُطابق سندات القبض الورقية مع جرد الصندوق، ثم تصدر الفواتير المؤجلة.
3. يُطابق سجل الصرف اليدوي مع المخزون قبل أي جرد أو طلب شراء.
4. تُعتمد النتائج التي صدرت ورقيًا في النظام، ويُتأكد من وصولها للطبيب.
5. يُراجع مسؤول التأمين الخدمات المؤجلة ويرسل مطالباتها ضمن المهل التعاقدية.

وتفصّل مقالة تغيير النظام الطبي دون إيقاف العمل استخدام النماذج الورقية نفسها في يوم التحويل وخطة الرجوع، وهو تمرين جيد على هذه الحقيبة.

من يتولى ماذا: المورد والمنشأة حسب خيار النشر

أخطر فجوة في خطط التعافي مهمة يظن كل طرف أنها على الآخر. اكتب التوزيع في العقد:

هذا التوزيع يتسق مع مصفوفة المسؤوليات لكل خيار نشر، ومع ما يتولاه فريقك وما نتولاه في التثبيت على خوادم المنشأة. الفرق الجوهري: في On-Premise تنتقل إليك مسؤولية أن تكون النسخ موجودة ومختبرة فعلًا، لا على الورق.

ماذا تقول الضوابط الوطنية عن النسخ والتعافي؟

تتضمن الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني مكونًا فرعيًا لإدارة النسخ الاحتياطية والاستعادة (2-9)، يتطلب كحد أدنى أن يغطي النسخ الأصول التقنية والمعلوماتية الحساسة، والقدرة على الاستعادة السريعة بعد الحوادث السيبرانية، والاختبار الدوري لفعالية الاستعادة. وتتضمن مكونًا لجوانب صمود الأمن السيبراني في إدارة استمرارية الأعمال (3-1) يشمل تطوير خطط التعافي من الكوارث.

هذه الضوابط ملزمة للجهات الحكومية والجهات التابعة لها وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغلها أو تستضيفها، وتشجع الهيئة بقية الجهات على الاستفادة منها. إن لم تكن منشأتك ضمن النطاق الملزم، فهي مرجع جيد لما تطلبه من المورد، دون أن تعني عبارة «النظام متوافق» شيئًا ما لم تُربط بدليل.

ما تكتبه في العقد وتسأله قبل التوقيع

1. RPO وRTO رقمان في اتفاقية مستوى الخدمة لخيار النشر المتعاقد عليه، لا في العرض التقديمي فقط.
2. تقرير آخر اختبار استعادة كاملة: تاريخه، ومدته الفعلية، وما لم يعمل.
3. موقع النسخ وموقع التعافي وأنهما داخل المملكة إن كان ذلك شرطك.
4. كيف تُحمى النسخ من الفدية: هل توجد نسخة معزولة أو غير قابلة للتعديل، ومن يملك صلاحية حذفها؟
5. مهلة إبلاغ المنشأة بالحوادث بالساعات، ومحتوى البلاغ الأول.
6. حقك في طلب اختبار استعادة أو المشاركة في تمرين التعافي مرة سنويًا على الأقل.
7. تسليم البيانات والنسخ عند انتهاء التعاقد بصيغة قابلة للقراءة، وإتلاف ما يبقى لدى المورد بإثبات.

أسئلة شائعة