12 жовтня 2026 року сайти п’яти американських брендів Ahold Delhaize стали недоступні, і, як повідомив Cybersecurity Dive, компанія сама вимкнула частину систем як запобіжний захід. Магазини працювали, а онлайн-замовлення призупинили. Багато власників думають, що таке трапляється лише з гігантами, але це не так. Нижче план безперервності бізнесу для інтернет-магазину, який компанія на 20–300 людей може підготувати за тиждень: що вмикати першим, хто ухвалює рішення і що казати клієнтам.
План безперервності бізнесу: чого навчає зупинка онлайн-продажів у рітейлера
Урок цієї історії не в тому, хто атакував. Офлайн-магазини торгували, а сайт, застосунок і слоти доставки зупинилися, і кожна така година це втрачена виручка. У невеликого магазину вразливість та сама, а запасу міцності менше, і діри на кшталт PHP2Shell вимагають термінового оновлення PHP за години. Якщо сайт недоступний і ніхто не знає, кому дозволено вимикати та вмикати системи, перший день іде на суперечки замість відновлення. Письмовий документ перетворює паніку на перелік кроків.
Які системи приносять виручку: оформлення, оплата, склад і підтримка
Складіть перелік систем у порядку руху грошей: каталог, кошик і оформлення замовлення, платіжний шлюз, керування замовленнями, склад або дані постачальників, пошта підтримки. Надайте кожній ранг і допустимий час простою в плані безперервності для інтернет-магазину. Оформлення й оплата зазвичай ідуть першими, бо без них нічого не продається. Склад і облік замовлень другі, адже без них не відвантажити продане. Розробка інтернет-магазинів у нас теж починається з такої мапи, бо магазин тримається на найслабшій ланці цього ланцюжка.
| Система | Чому важлива | Запасний варіант |
|---|---|---|
| Оформлення й оплата | Без неї немає продажів | Посилання на оплату, рахунок поштою |
| Керування замовленнями | Від неї залежить відвантаження | Спільна таблиця, один власник |
| Склад і постачальники | Не дає продати зайве | Ручний перерахунок щодня |
| Пошта підтримки | Клієнтам потрібні відповіді | Телефон, сторінка статусу |
Резервні копії: «є бекап» не те саме, що «ми перевірили відновлення»
Резервне копіювання даних без перевірки відновлення це надія, а плану безперервності бізнесу на надії вистачає, тож регулярні перевірки варто вести за чеклистом безпеки сайту до першого заблокованого сервера. Для кожної системи задайте два числа: скільки даних можна втратити (RPO) і скільки можна чекати (RTO). Одну копію зберігайте окремо або в незмінному вигляді, бо програми-вимагачі шукають бекапи першими. Потім проведіть перевірку відновлення в чистому середовищі та запишіть час. Те саме репетирування описано в чек-листі міграції в хмару, і він годиться як шаблон.
Як часто перевіряти
Оформлення щокварталу, решту раз на рік.
Що записувати
Дату й тривалість.
Мінімальний режим роботи: ручний прийом замовлень і повідомлення клієнтам
Заздалегідь вирішіть, що робить магазин, коли сайт недоступний. Телефон, посилання на оплату й спільна таблиця дають змогу приймати частину замовлень вручну. Підготуйте три повідомлення: коротке оголошення для головної та соцмереж, відповідь для підтримки та лист клієнтам із відкритими замовленнями. План безперервності бізнесу має вмістити їх на одній сторінці, щоб ніхто не писав їх у стресі. Такий план дій при кібератаці містить і мінімальний режим. Дії команди під час кібератаки мають бути записані в план заздалегідь.
Доступи й ролі: хто вирішує, коли системи зупинено
Безпека інтернет-магазину починається з того, що ви розділяєте адміністративні та робочі облікові записи й вмикаєте багатофакторну автентифікацію всюди. Відокремте магазин, офісну мережу й платіжний контур, щоб проблема в одному місці не зупиняла решту. Призначте керівника інциденту, відповідального за спілкування з клієнтами та контакт для підрядників, кожен має мати заступника. Наші DevOps-послуги містять саме такий поділ середовищ і доступів, адже більшість збоїв поширюється через спільні паролі.
- Призначте керівника інциденту та заступника.
- Запишіть, хто може ізолювати системи.
- Тримайте телефони поза мережею магазину.
- Домовтеся, скільки триває кожне рішення.
GDPR і сповіщення: що врахувати компаніям у ЄС
Якщо зачеплено персональні дані, стаття 33 GDPR передбачає повідомлення наглядового органу без невиправданої затримки й, за можливості, протягом 72 годин з моменту, коли вам стало відомо про порушення, якщо воно навряд чи створює ризик для людей. Стаття 34 додає повідомлення постраждалим за високого ризику. Домовтеся з юристом, хто подає сповіщення, і уточніть обов’язки для кожного ринку.
Чек-лист на одну сторінку та навчання раз на рік
Один план безперервності для інтернет-магазину на сторінці читається швидше за десять. Вмістіть його на одній сторінці: системи й ранги, стан копій, три повідомлення, ролі та правила сповіщень. Потім репетируйте його раз на рік на навчаннях, а рекомендації CISA для малого бізнесу дають добру точку відліку. Чек-лист відновлення інтернет-магазину, який не репетирували, ламається на першому дзвінку. Жоден план не рятує, якщо під час кібератаки нікому було відпрацювати дії.
План безперервності бізнесу: безплатний аудит стійкості
Подивимося, що зупинить ваші продажі під час збою, і складемо перелік пріоритетів для плану безперервності. Виконати його допоможуть хмарний хостинг для бізнесу та DevOps-інженери.
- Перелік систем і прогалин за рангами.
Консультація безплатна. Відповідаємо протягом робочого дня.
Часті запитання (FAQ)
Скільки інтернет-магазин може бути недоступним?
Задайте допустимий час для кожної системи, а не одне число для всіх. Оформлення й оплата мають найкоротший строк, у годинах, а звіти можуть зачекати кілька днів.
Чи потрібен письмовий план невеликому магазину?
Так, бо в малих команд менше запасу. Одна сторінка з рангами, ролями та готовими повідомленнями пишеться за день і заощаджує години суперечок під час збою.
Як часто перевіряти резервні копії?
Відновлення даних замовлень і бази перевіряйте щокварталу, решту раз на рік. Записуйте час, це і є ваш реальний час відновлення.
Чи треба повідомляти клієнтів про витік?
Якщо зачеплено персональні дані й ризик для людей високий, GDPR вимагає повідомити і їх, і наглядовий орган. Попросіть юриста підтвердити обов’язок для кожного ринку.
Що написати клієнтам у першому повідомленні?
Що зараз недоступне, як замовити або зв’язатися з вами та коли буде наступне оновлення. Причину збою публічно не вгадуйте.
Як замовити аудит стійкості в LinkAgency?
Залиште заявку через форму на цій сторінці, і ми перевіримо системи, копії та ролі. Перелік пріоритетів ви отримаєте протягом робочого дня.
