Непрекъсваемост на бизнеса, която да управлявате, а не само да сертифицирате.

ISO 22301:2019 е международният стандарт за система за управление на непрекъсваемостта на бизнеса (BCMS): съвкупността от процеси, с които една организация определя кои от дейностите ѝ са най-важни, колко бързо трябва да бъдат възстановени, какво ще направи, за да ги поддържа или върне в действие, и как доказва, че това би проработило. Стандартът е сертифицируем, така че сертифициращ орган може да одитира системата и да издаде сертификат. Всяка организация може да го възприеме, но най-често го правят фирми, чиито клиенти, картови схеми или регулатори очакват доказуема способност за непрекъсваемост: платежни институции и дружества за електронни пари, банки и застрахователи, доставчици на облачни и управлявани услуги, оператори на съществени услуги и доставчиците на всички тях.

Клаузи 4 до 10 на стандарта съдържат 45 изисквания, по едно за всяка номерирана клауза. Клауза 4 изисква да разберете контекста, заинтересованите страни и правните и договорните си задължения за непрекъсваемост и да определите обхвата на системата. Клауза 5 възлага на висшето ръководство лидерство, политика и определени роли. Клауза 6 обхваща целите за непрекъсваемост и планирането на промените. Клауза 7 обхваща ресурсите, компетентността, осведомеността, комуникацията и документираната информация. Клауза 8 е оперативното ядро: анализът на въздействието върху бизнеса и оценката на риска, избраните на тяхна основа стратегии и решения, плановете и структурата за реагиране, програмата за учения и оценяването на всичко това след тест, инцидент или промяна. Клауза 9 изисква измерване на резултатността, вътрешен одит и преглед от ръководството, а клауза 10 изисква управление на несъответствията и непрекъснато подобряване. Клаузи 1 до 3 са обхват, препратки и термини и не създават задължения, а стандартът няма приложения.

Само по себе си не. Фирмите го възприемат, защото няколко обвързващи ги актове предполагат работеща способност за непрекъсваемост на бизнеса, без да казват как да се изгради. DORA изисква от финансовите субекти обща политика за непрекъсваемост на бизнеса, анализ на въздействието върху бизнеса, планове за непрекъсваемост, тествани поне веднъж годишно, функция за управление на кризи и вътрешен одит на плановете за реагиране и възстановяване (членове 11 и 12). Член 21, параграф 2, буква в) от NIS2 изисква от съществените и важните субекти непрекъсваемост на бизнеса, управление на резервните копия, възстановяване след бедствия и управление на кризи и посочва международните стандарти като мярка за това какво е подходящо. Контролите A.5.29, A.5.30, A.8.13 и A.8.14 от Приложение А на ISO 27001 предполагат BIA и тествана ИКТ непрекъсваемост, които самата СУИС не определя. Сертифицираната BCMS е признатият начин да покажете на надзорен орган или клиент, че тези способности съществуват.

Това са трите времеви стойности, които анализът на въздействието върху бизнеса дава за всяка приоритизирана дейност. Максимално допустимият период на прекъсване (MTPD) е моментът, след който въздействието от неизпълнението на дейността става неприемливо за фирмата: външната граница. Целевото време за възстановяване (RTO) е целевият срок, в който дейността се възобновява с минимално приемлив капацитет, и то трябва да е вътре в MTPD с резерв за времето, необходимо за забелязване на прекъсването и решението за реакция. Целевата точка на възстановяване (RPO) е максимално приемливата загуба на данни, която определя интервала на резервните копия и забавянето на репликацията за всеки набор от данни, от който зависи дейността. Две правила правят анализа одитируем: RTO е по-кратко от MTPD за всяка дейност и нито една поддържаща система, доставчик или обект няма цел за възстановяване, по-дълга от RTO на дейностите, които зависят от тях. Venvera записва и трите стойности за всяка дейност и проверява правилата.

ISO 27001 е системата за управление на информационната сигурност, а ISO 22301 е системата за управление на непрекъсваемостта на бизнеса. Двете споделят една и съща структура от високо ниво (контекст, лидерство, планиране, поддръжка, функциониране, оценяване на резултатността, подобряване), така че интегрирана система за управление може да поддържа един набор от политики, една одитна програма и един преглед от ръководството за двете. Съдържанието е различно: ISO 27001 защитава поверителността, целостта и наличността на информацията, а ISO 22301 поддържа бизнеса в действие, когато нещо го спре. Четири контрола от Приложение А на ISO 27001 (информационна сигурност по време на прекъсване, готовност на ИКТ за непрекъсваемост на бизнеса, резервни копия и резервираност) сочат към BIA и тествани мерки за непрекъсваемост, които само BCMS осигурява, поради което одиторите по ISO 27001 редовно искат BIA и резултатите от тестовете за ИКТ непрекъсваемост. В кръстосаната таблица на Venvera изискването на ISO 22301 за планове стои редом с A.5.29 и A.5.30; резервните копия и резервираността не са свързани, така че запис, който реално отговаря и на двата стандарта, се прикачва към всяко от изискванията.

Стандартът казва „на планирани интервали“ и не фиксира честота, но сертификационната практика очаква поне ежегодни учения, при които всеки екип за реагиране, всяка приоритизирана дейност и всяко решение за непрекъсваемост се валидират в рамките на определен цикъл, както и допълнителни учения след значителна промяна. Настолното учение валидира вземането на решения; само технически тест валидира превключване или възстановяване от резервно копие, така че програма, която никога не провежда технически тест, не е доказала ИКТ решенията си. Всяко учение трябва да завърши с официален доклад с резултати, препоръки и действия, а фирмата трябва да действа по резултатите. За финансов субект член 11, параграф 6 от DORA добавя фиксиран ежегоден тест на плановете за ИКТ непрекъсваемост и за реагиране и възстановяване, включително сценарии с кибератака и превключване, и повторен тест след съществени промени. Venvera води програмата за учения, теста на ИКТ възстановяването и прегледа на плановете като календарни задължения със собственици и дати.

Сертифициращ орган одитира BCMS спрямо клаузите на два етапа: преглед на документацията и след това одит на място или дистанционно, при който одиторът интервюира висшето ръководство и собствениците на дейности, прави извадка от BIA, проследява нишка от резултат на BIA до стратегията, плана, учението и произтичащото коригиращо действие и проверява дали записите показват, че процесите работят, а не просто са описани. Констатациите се степенуват като съществени или несъществени несъответствия и наблюдения; съществено несъответствие изисква план за коригиращи действия, преди да бъде издаден сертификат. Сертификатът е валиден три години с ежегодни надзорни одити. Въпросите, които одиторът реално задава, са преценките, които стандартът оставя на фирмата: дали RTO е вътре в MTPD, дали бизнесът е валидирал BIA, дали заместник би могъл да следва плана, дали действията от ученията са приключени. Именно от тези въпроси е изградена оценката на пропуските на Venvera.

Поставя цялата BCMS в едно работно пространство вместо в документ с план, таблица с BIA, календар за учения в нечия пощенска кутия и верига от имейли до доставчиците. Всяко от 45-те изисквания по клаузи има собственик, статус, собствени доказателства и авторски насоки за това какво приема сертифициращият одитор и какво се отхвърля. Оценка на пропуските с 43 въпроса оценява преценките в осем области. Четиринадесетте повтарящи се задължения на една BCMS (преглед на BIA, оценка на риска, преглед на стратегията, програма за учения, тест на ИКТ възстановяването, преглед на плановете, увереност от доставчиците, осведоменост, доклад за резултатността, вътрешен одит, преглед от ръководството, политика и цели, контекст и обхват) попадат в календара за съответствие със собственици, дати и напомняния. Десет шаблона за политики покриват документите, от които системата се нуждае, от самата политика до процедурата за преглед от ръководството. В кръстосаната таблица изискването за планове за непрекъсваемост на бизнеса стои редом с изискванията за непрекъсваемост по DORA, NIS2, ISO 27001, SOC 2, NIST и други рамки, компетентността и ученията са свързани с NIST SP 800-53, а доклад за борда обобщава състоянието за висшето ръководство.

За платежна институция, дружество за електронни пари, банка или застраховател в ЕС досието за ИКТ непрекъсваемост по DORA е подмножество на досието на BCMS: общата политика за непрекъсваемост на бизнеса по член 11, параграф 1, BIA по член 11, параграф 5, плановете по член 11, параграфи 2 и 4, ежегодният тест по член 11, параграф 6, функцията за управление на кризи по член 11, параграф 7, процедурите за резервни копия и възстановяване по член 12 и вътрешният одит на плановете по член 11, параграф 3 се произвеждат от клаузите на ISO 22301. Фирма със сертифицирана BCMS разполага с тези доказателства като страничен продукт; фирма без такава обикновено изгражда мярка само за ИКТ, която не отговаря на предпоставката за „обща политика за непрекъсваемост на бизнеса“ по член 11, параграф 1. За субект, регулиран от APRA, CPS 230 Operational Risk Management изисква надежден план за непрекъсваемост на бизнеса, нива на толеранс за критичните операции (MTPD, RPO и минималното ниво на обслужване от BIA по ISO под други имена), ежегодно учение и уведомяване за прекъсване извън толеранса до 24 часа; BCMS по ISO 22301 отговаря на структурата и добавя само специфичните за APRA елементи. В кръстосаната таблица на Venvera изискването за планове е свързано с изискването на DORA за планове за непрекъсваемост; останалите връзки с DORA фирмата прави сама, като прикачва същите доказателства, а Venvera проследява задълженията за непрекъсваемост редом с тези по DORA.