Üzletmenet-folytonossági terv kidolgozása a Salesforce leállására

Reggel 9:10-kor a Northstar Office Supply értékesítési csapata megpróbálja megnyitni a Salesforce-t, és szolgáltatási hibát kap. Új rendelések érkeznek e-mailben, az ügyfélszolgálati munkatársak nem látják a fiókelőzményeket, és egy integráció, amely rendelésfrissítéseket küld a raktárnak, újra próbálkozik a háttérben. Senki sem tudja még, hogy a fennakadás öt percig tart-e, vagy a nap hátralévő részében is tart.

Szemléltető forgatókönyv: A Northstar Office Supply egy kitalált vállalat, amelyet ebben a cikkben végig használunk. Ez nem egy ügyfél-visszajelzés, incidensjelentés vagy teszteredmény. A példa azt mutatja be, hogyan alakíthatja át egy valós szervezet az üzletmenet-folytonossági koncepciókat működési tervvé.

Egy hasznos Salesforce leállási terv nem ígéri, hogy minden folyamat normálisan folytatódik. Meghatározza, hogy mely munkáknak kell folytatódniuk, melyek várhatnak, hogyan kommunikálnak az emberek, hogyan szabályozzák az integrációkat, és hogyan egyeztetik a rekordokat a helyreállítás után. Ez az útmutató a 2026. szeptember 16-án ellenőrzött aktuális Salesforce dokumentációt, valamint a NIST vészhelyzeti tervezési útmutatásait használja. A terméknevek, funkciók, elérhetőség, szerződések és szolgáltatási kötelezettségek változhatnak, ezért ellenőrizze saját Salesforce kiadását és szerződéseit.

Mi változott a Salesforce folytonosságtervezésében?

A Salesforce jelenlegi ellenálló képességre vonatkozó dokumentációja fontos különbséget tesz a szolgáltató folytonossági programja és az ügyfél saját üzletmenet-folytonossági terve között. A Salesforce vállalati ellenálló képességre/BCP-re vonatkozó összefoglalója, frissítve 2026. július 23-án, a szolgáltatói szintű programokat írja le a kockázatkezelés, az üzletmenet-folytonosság, a válságkezelés, a harmadik féltől származó kockázatok, a kiberbiztonság, az incidensekre való reagálás és a katasztrófa utáni helyreállítás terén. Ez nem helyettesíti az ügyfél tervét a személyzet, a kézi munka, az ügyfélkommunikáció, az integrációk vagy az adategyeztetés tekintetében.

Egy másik aktuális változás a 2026. szeptember 9-i Salesforce Súgóoldal az Advanced Cross-Region Continuity (ACRC) szolgáltatáshoz. A Salesforce szerint az ACRC egy prémium Hyperforce ajánlat rendkívüli regionális katasztrófák esetén, és hogy a korábbi Out of Region Disaster Recovery névről átnevezték. Az oldal felsorolja az ACRC 12 és 4 órás RTO és RPO célértékeit, megjegyzi, hogy egyes szolgáltatások még nem támogatottak, és kijelenti, hogy a sandbox szervezetek nem tartoznak a fedettség alá. Ezek a részletek akkor lehetnek fontosak, ha egy régebbi runbook a korábbi terméknévre hivatkozik, vagy azt feltételezi, hogy egy fizetős helyreállítási lehetőség minden szervezetet és funkciót véd.

A legtöbb vállalkozás számára a gyakorlati kiindulópont továbbra is egy ügyfél által tulajdonolt terv, amely egy átlagos Salesforce szolgáltatáskimaradás, tervezett karbantartási időszak, identitáshiba, hálózati probléma vagy integrációs kimaradás esetén is működik. A szolgáltatói helyreállítási képesség csökkentheti a kockázatot, de nem döntheti el az üzleti prioritásokat Ön helyett.

Mit kellene elérnie a tervnek?

Írd le az eredményt operatív módon. A Northstar célja a következő lehet: „Salesforce kiesés esetén a sürgős ügyféligénylések, rendelési kötelezettségvállalások és raktári átadások folyamatos kezelése; a duplikált teljesítések megakadályozása; az állapot 30 percenkénti közlése; és minden ideiglenes rekord egyeztetése a szolgáltatások visszaküldése után.” Ez az állítás hasznosabb, mint a „Salesforce elérhetőségének fenntartása”, mivel az utóbbi többnyire kívül esik az ügyfél ellenőrzésén.

Egy folytonossági tervnek lehetővé kell tennie a csapat számára, hogy öt kérdésre gyorsan válaszoljon:

• Mely üzleti tevékenységek kritikusak a következő órában, napban és héten?
• Milyen ideiglenes módszer fogja elvégezni az egyes kritikus tevékenységeket?
• Ki deklarálhatja a kerülő megoldást, jóváhagyhatja a kivételeket és leállíthatja az automatizálást?
• Milyen adatok hiányozhatnak, elavultak, duplikálódhatnak vagy lehetnek sorrenden kívül?
• Hogyan fogja a csapat megerősíteni, hogy a normál működés biztonságosan folytatható?

A NIST a vészhelyzeti tervezést tervek, eljárások és technikai intézkedések összehangolt stratégiájaként írja le az információs rendszerek, műveletek és adatok helyreállítására egy esetleges zavar után. Útmutatója hangsúlyozza a rendszerek és műveletek értékelését a követelmények és prioritások meghatározása érdekében. Használja ezt az elképzelést tervezési keretként, de a kontrollokat a Salesforce termékeihez, folyamataihoz, szerződéseihez és kockázattűréséhez igazítsa.

Hogyan kell azonosítani a kritikus Salesforce folyamatokat?

Kezdj egy üzleti hatáselemzéssel, ne egy Salesforce-objektumok listájával. Interjúzd a folyamatfelelősöket az értékesítés, a szolgáltatás, a pénzügy, a teljesítési, a megfelelőségi és az informatikai részlegről. Kérdezd meg, mi áll le, ha a Salesforce nem érhető el, mit lehet elvégezni egy meglévő forrásból, és mi válik veszélyessé, ha később, kontroll nélkül adják meg.

A Northstar esetében az első leltár így nézhet ki:

Ne tegyen bizalmas ügyféladatokat rögtönzött személyes táblázatba vagy csevegőszálba. Határozzon meg egy jóváhagyott ideiglenes tárolót, hozzáférési listát, megőrzési időszakot és törlési eljárást. Ha a manuális űrlap elkerülhetetlen, gyűjtse össze a kritikus folyamat folytatásához szükséges minimális adatokat.

Milyen helyreállítási célokat kell leírni?

Minden kritikus folyamathoz rendeljen helyreállítási idő célkitűzést (RTO) és helyreállítási pont célkitűzést (RPO). Az RTO azt jelenti, hogy milyen gyorsan van szüksége a folyamatnak egy használható kerülő megoldásra vagy visszaállított szolgáltatásra. Az RPO azt jelenti, hogy a vállalkozás mennyi friss adat elvesztését vagy újbóli létrehozását engedheti meg magának. Ezek üzleti döntések, nem pedig találgatások arról, hogy a Salesforce milyen gyorsan old meg egy incidenst.

A Northstar beállíthat egyórás RTO-t a sürgős ügyfélügyekhez, négyórás RTO-t a raktári átadásokhoz, és egy munkanapos RTO-t a rutinszerű folyamatfrissítésekhez. Beállíthat nulla RPO-t egy fizetési engedélyezési döntéshez, miközben elfogadja, hogy a rutinszerű értékesítési bizonylatokat újra be kell vinni egy időbélyeggel ellátott ideiglenes naplóból. A számok kitalált példák; a pénzügyi, jogi és operatív tulajdonosoknak jóvá kell hagyniuk a célokat.

Dokumentálja az egyes célok mögött meghúzódó feltételezést. Egy egyórás RTO-hoz szükség lehet személyzettel ellátott telefonsorra, képzett ügyeletes vezetőre és előre jóváhagyott űrlapra. Ha ezek az erőforrások hétvégén nem állnak rendelkezésre, a cél nem terv, hanem vágy.

Mi a teendő leállás gyanúja esetén?

Határozzon meg egy rövid aktiválási eljárást, hogy az alkalmazottak ne improvizáljanak különböző válaszokat. Az első személynek, aki észreveszi a problémát, rögzítenie kell az UTC-időt, az érintett felhasználókat, az érintett termékeket, a hibaüzenetet és az üzleti folyamatot. Az incidensvezető ezután ellenőrzi, hogy a probléma széleskörű vagy helyi jellegű-e.

A Salesforce Trust webhelye valós idejű és korábbi információkat nyújt a termékek és példányok elérhetőségéről és teljesítményéről. A jelenlegi súgóútmutató elmagyarázza, hogyan azonosítható egy példány a Beállítás > Céginformációk menüpontban vagy a Saját domain előtag keresésével, valamint hogyan értelmezhetők az állapotszínek: zöld az Elérhető, sárga a Szolgáltatás romlása, lila a Karbantartás és piros a Szolgáltatás megszakadása esetén. A Salesforce a Trust értesítéseket is javasolja, és azt javasolja, hogy vegye fel a kapcsolatot az ügyfélszolgálattal, ha egy alapvető probléma több mint 10 perce jelent meg a webhelyen.

A bizalom alapvető bizonyíték, de egy egyértelmű állapotoldal nem bizonyítja, hogy a saját hálózatod, identitásszolgáltatód, böngésződ, API-hitelesítő adataid vagy integrációs végpontod rendben van. A Northstarnak tesztelnie kell egy második felhasználót, egy második hálózatot és egy alacsony kockázatú, csak olvasható műveletet, ahol a szabályzat megengedi. Ha csak egy iroda érintett, a vállalat egészére kiterjedő manuális folyamat aktiválása felesleges munkát okozhat.

Hogyan kellene működnie az ideiglenes üzemmódnak?

Nevezd meg a kerülő megoldást egy elnevezett módnak, például a „Salesforce csökkentett működése”, és határozd meg a belépési és kilépési kritériumait. Az alkalmazottaknak tudniuk kell, hol találják az aktuális űrlapot, ki hagyja jóvá a kivételeket, és mely műveletek tiltottak. Egy jó kerülő megoldás szándékosan szűkebb, mint a normál működés.

A Northstar esetében a csökkentett működési körülmények lehetővé tehetik a sürgős eseteket, a jóváhagyott megrendeléseket és a szállítmányok visszatartását, miközben szüneteltetik a kedvezményeket, a fiókegyesítéseket, a tömeges frissítéseket és a nem létfontosságú adatimportálásokat. A tervnek minden manuális tranzakcióhoz ideiglenes azonosítót kell rendelnie. Egy hasznos azonosító tartalmazhatja a dátumot, a csapatkódot és a sorszámot, de a pontos formátumot a szervezetnek kell kiválasztania, és ellenőriznie kell az ütközéseket.

Alkalmazza a feladatok szétválasztását a nagy hatású intézkedéseknél. A megrendelést átvevő személy ne legyen az egyetlen, aki jóváhagyja a nagy értékű szállítmányt. Kötelező második ellenőrzés elvégzése visszatérítések, bankszámlaadat-módosítások vagy ügyfél-azonossági döntések esetén. Rögzítse a jóváhagyásokat idővel, névvel és indokkal. Ezek az ellenőrzések lassabbnak tűnhetnek, de csökkentik annak kockázatát, hogy egy rövid kiesés csalássá, adatvédelmi vagy teljesítési incidenssé váljon.

Minek kellene történnie az integrációkkal és az automatizálással?

Az integrációkat a folytonossági terv részévé kell tenni, ne csak a fejlesztők tulajdonában lévő függelékként. Sorolja fel az összes bejövő és kimenő folyamatot, azok triggerét, adattulajdonosát, várólistás vagy újrapróbálkozási viselkedését, a duplikált elemek kockázatát és az üzleti következményeket. Tüntesse fel az ütemezett feladatokat, webhookokat, köztes szoftvereket, eseményfolyamokat, identitásszolgáltatókat, jelentéskivonatokat és emberi feltöltéseket.

Salesforce kimaradás esetén az automatikus újrapróbálkozások hasznosak vagy károsak is lehetnek. Ha a cél nem érhető el, akkor a korlátozott újrapróbálkozások visszatartással megfelelőek lehetnek. Ha a forrás fogad üzeneteket, de a Salesforce nem, akkor az üzeneteket tartós időbélyeggel és idempotencia kulccsal kell sorba állítani. Ha egyik fél sem tudja megerősíteni, hogy az írás sikeres volt-e, akkor állítsa le a visszajátszást, amíg az állapot nem ismert. Soha ne feltételezze, hogy az időtúllépés azt jelenti, hogy a tranzakció nem véglegesült.

A Northstar runbookja utasíthatja az integráció tulajdonosát, hogy három sikertelen kísérlet után szüneteltesse a kimenő feladatokat, őrizze meg az eredeti hasznos adatot, rögzítse az utolsó megerősített Salesforce időbélyeget, és akadályozza meg a manuális újbóli belépést, amíg a várólista be nem van osztályozva. A pontos küszöbérték egy kitalált példa. Állítsa be a megfigyelt viselkedés, a szolgáltatói útmutatás és az üzleti kockázat alapján.

Hogyan illeszkedjen a tervbe az adatmentés és -helyreállítás?

A folytonosság és a biztonsági mentés egymással összefüggő, de eltérő problémákat old meg. A folytonossági eljárás biztosítja a vállalkozás működését megszakítás esetén is. A biztonsági mentés segít az adatok helyreállításában törlés, sérülés vagy más adatvesztés után. A biztonsági mentés nem biztosít automatikusan élő helyettesítést a Salesforce alkalmazáshoz, annak engedélyeihez, automatizálásaihoz vagy integrációihoz.

A Salesforce adatmentési útmutatója a biztonsági mentéseket külön tárolt másolatokként írja le a visszaállításhoz, és rendszeres biztonsági mentéseket, több helyszínt és tesztelt helyreállítást javasol. Döntse el, hogy mely rekordokat, metaadatokat, fájlokat és auditinformációkat kell a vállalkozásnak visszaállítania, mennyi ideig kell azokat megőrizni, és ki engedélyezheti a visszaállítást. Tesztelje, hogy a visszaállított adatok megfeleltethetők-e a leállás során létrehozott ideiglenes rekordoknak.

Ha szervezete fontolgatja a fejlett régióközi folytonosság bevezetését, figyelmesen olvassa el a Salesforce aktuális GYIK-jét. A Salesforce szerint az ajánlat a Hyperforce-ra korlátozódik, egyes szolgáltatások még nem támogatottak, és egy helyreállítási esemény elérhetetlenné teszi a szervezetet a katasztrófa utáni helyreállítási műveletek alatt. Azt is közli, hogy az országos szintű adattárolási kötelezettségek változhatnak, ha az elsődleges és a másodlagos régiók különböző országokban találhatók. Ezek tervezési korlátok, nem lábjegyzetek.

Ki kommunikál, és mit kellene mondania?

Jelöljön ki egy incidensért felelős vezetőt, egy műszaki vezetőt, egy üzletmeneti vezetőt és egy kommunikációs felelőst. Határozzon meg minden szerepkörhöz tartalékokat. Az üzenet legyen tényszerű: mit érint, mikor kezdődött, mit kell tenniük a felhasználóknak, mit nem szabad tenniük, mikor érkezik a következő frissítés, és hol találhatók a jóváhagyott utasítások.

Ne jelentsen be olyan helyreállítási időpontot, amelyet a Salesforce nem erősített meg. Ne kérje meg az ügyfeleket, hogy ismételten küldjék el az információkat, ha az eredeti kérés már sorban áll. A Northstar esetében az ügyfélüzenetben szerepelhet, hogy a rendelésfelvétel egy ideiglenes csatornán keresztül történik, hogy az ügyfeleknek egy megadott kapcsolatfelvételi módot kell használniuk, és hogy a következő állapotfrissítés egy meghatározott időpontban kerül kiadásra.

Tartalmazzon belső eszkalációs küszöbértékeket. Például egy kritikus, ügyfelet érintő folyamat azonnal értesítheti az incidensről érdeklődőt, míg egy elavult jelentés a következő ütemezett felülvizsgálatra várhat. Kapcsolja össze a tervet az aktuális Salesforce Trust értesítésekkel és a szervezet támogatási jogosultságaival. A munkaerőhöz már nem illeszkedő telefonszámfa nem kommunikációs terv.

Hogyan kellene a csapatnak tesztelnie a tervet?

Kezdj egy asztali feladattal. Adj Northstar csapatának egy kitalált feladatot, például: „Reggel 9:10-kor a Salesforce nem érhető el a szolgáltatási és értékesítési csapatok számára; a raktári integrációs feladatok ismételt hibákat mutatnak; a Trust szolgáltatáskimaradást jelent.” Kérd meg minden szerepkört, hogy a terv első 30 percét kizárólag a dokumentált anyagok felhasználásával hajtsák végre.

Megfigyelhető eredmények mérése:

• Mennyi idő alatt ismerik fel és osztályozzák az incidenst?
• Mennyi idő múlva lesz elérhető a jóváhagyott kerülő megoldás?
• Minden csapattag megtalálja az aktuális űrlapot és a kapcsolattartási listát?
• Megelőzték-e a duplikált, jogosulatlan vagy túlzott adatbevitelt?
• Az integrációs újrapróbálkozások száma korlátozott és nyomon követhető maradt?
• A csapat képes azonosítani az összes ideiglenes rekordot, amelyet egyeztetni kell?

A teszt után futtasson egy ellenőrzött technikai tesztet egy sandbox vagy nem éles környezetben, ahol a forgatókönyv biztonságos és támogatott. Ne állítsa, hogy egy sandbox gyakorlat bizonyítja az éles hibatűrést. A Salesforce ACRC dokumentációja kifejezetten kimondja, hogy a sandbox szervezetekre nem vonatkozik az ACRC, ami emlékeztetőül szolgál arra, hogy a tényleges helyreállítási hatókört kell tesztelni, ahelyett, hogy egy alacsonyabb szintű környezetből következtetnénk rá.

Mi a behajtási és egyeztetési eljárás?

A helyreállítás akkor kezdődik, amikor az incidens levezetője megbízható bizonyítékkal rendelkezik arra vonatkozóan, hogy az érintett Salesforce szolgáltatás használható – nem csupán akkor, amikor a felhasználó betöltheti a bejelentkezési oldalt. Erősítse meg az állapotoldalt, tesztelje egy kis jogosult művelettel, ellenőrizze az integrációkat, és jelentse be a normál működéshez való ellenőrzött visszatérést.

Egyeztetés olyan sorrendben, amely védi a nyilvántartási rendszert:

1. Rövid időre fagyassza le az új manuális bejegyzéseket, hogy a végső ideiglenes várólistát meg lehessen számolni.
2. Exportálja vagy őrizze meg a jóváhagyott kézi nyilvántartást és annak auditnaplóját.
3. Minden ideiglenes azonosítót párosítson egy Salesforce-rekorddal, meglévő rekorddal vagy dokumentált kivétellel.
4. Ellenőrizze a leállás előtt létrehozott, késedelmes, duplikált vagy részlegesen feldolgozott rekordokat.
5. Az integrációs üzeneteket csak az idempotencia és az utolsó sikeres ellenőrzőpont megerősítése után játssza újra.
6. Kérje meg a vállalkozót, hogy ellenőrizze a nagy hatású tranzakciókat, az összesítéseket, a jóváhagyásokat és az ügyfél-kötelezettségvállalásokat.
7. Zárja be a csökkentett működési módot, őrizze meg a szükséges bizonyítékokat, és törölje az ideiglenes másolatokat a szabályzatnak megfelelően.

Milyen korlátai vannak egy Salesforce leállási tervnek?

Egy terv nem kényszerítheti a Salesforce-t a gyorsabb helyreállításra, nem garantálhatja az integrációírás befejeződését, és nem teheti úgy a nem támogatott terméket, mintha egy támogatott lenne. Nem helyettesítheti a szerződéses felülvizsgálatot, az adatvédelmi elemzést, a biztonsági mentések tesztelését vagy a biztonsági incidensekre való reagálást. A manuális kerülő megoldás átírási hibákat, hozzáférés-vezérlési problémákat, késleltetett bevételelszámolást és az ügyfelek zavarát is okozhatja.

A tervnek ezért tartalmaznia kell egy leállítási döntést. Ha a csapat nem tudja ellenőrizni az ügyfél személyazonosságát, a fizetési utasítás integritását, a szállítmány állapotát vagy az adatátvitel célállomását, akkor a műveletet fel kell függeszteni egy engedélyezett felülvizsgálatig. A folytonosság nem ugyanaz, mint minden tranzakciót minden áron folytatni.

Végső ellenőrzőlista a Northstar tervéhez

• A kritikus folyamatok, a tulajdonosok, a hatás, az RTO és az RPO dokumentálásra kerülnek.
• A Salesforce-példány, a termékek, a támogatási útvonal és a megbízhatósági értesítési beállítások naprakészek.
• A manuális űrlapok, az ideiglenes tárolás, a hozzáférési szabályok, a megőrzési és törlési lépések jóváhagyásra kerültek.
• Az integrációs újrapróbálkozások, a várólisták, az ellenőrzőpontok, a duplikált vezérlők és a szüneteltetési szabályok explicit módon vannak meghatározva.
• Az ügyfeleknek, alkalmazottaknak, beszállítóknak és vezetőknek szóló üzenetek frissítési időközönként készülnek.
• A biztonsági mentés, a visszaállítás, az adattárolás és az esetleges prémium folytonossági hatókör a ténylegesen használt szolgáltatásokra vonatkozóan ellenőrzésre kerül.
• Egy asztali gyakorlatnak és egy biztonságos műszaki tesztnek van tulajdonosa, dátuma, sikerkritériuma és nyomon követési lépése.
• A helyreállítás magában foglalja az egyeztetést, az üzleti jóváhagyást, a bizonyítékok megőrzését és az incidens utáni felülvizsgálatot.

A Northstar számára a siker nem azt jelenti, hogy „a Salesforce soha nem áll le”. A siker azt jelenti, hogy a csapat felismeri a fennakadásokat, megvédi a kritikus munkát, elkerüli a nem biztonságos improvizációkat, nyomon követhető nyilvántartást vezet az ideiglenes intézkedésekről, és rejtett duplikációk vagy hiányzó kötelezettségvállalások nélkül tér vissza a normál működéshez. Ez az a szabvány, amelynek egy gyakorlatias Salesforce üzletmenet-folytonossági tervnek meg kell felelnie.

Hivatalos hivatkozások

• Salesforce vállalati rugalmasság/BCP összefoglaló
• Salesforce Trust webhely útmutató
• Salesforce haladó régióközi folytonosság – GYIK
• Salesforce adatmentési és -helyreállítási útmutató
• NIST SP 800-34 Rev. 1 vészhelyzeti tervezési útmutató