ISO 22301 to międzynarodowa norma dotycząca zarządzania ciągłością działania organizacji. Określa wymagania pozwalające przygotować się na zakłócenia, efektywnie reagować w sytuacjach kryzysowych oraz szybko odtwarzać podstawowe procesy. Wdrożenie systemu zgodnego z normą ogranicza ryzyko przestojów, chroni zasoby i zwiększa odporność organizacji na nieprzewidziane zdarzenia.
ISO 22301 jest standardem dla organizacji, które muszą utrzymać realizację krytycznych procesów mimo awarii, cyberataku, niedostępności pracowników, przerw w dostawach lub zdarzeń losowych. Zagadnienie dotyczy zarządów, pełnomocników ds. ciągłości działania, zespołów bezpieczeństwa, IT, audytu wewnętrznego oraz właścicieli procesów biznesowych. Norma porządkuje zarządzanie odpornością operacyjną i pozwala powiązać przygotowanie kryzysowe z celami przedsiębiorstwa, wymaganiami klientów oraz zobowiązaniami regulacyjnymi. Jej zastosowanie nie ogranicza się do infrastruktury informatycznej: obejmuje także ludzi, lokalizacje, dostawców, komunikację, dokumentację i decyzje podejmowane w czasie zakłócenia.
Wymagania systemu zarządzania ciągłością działania
ISO 22301:2019 opiera się na cyklu doskonalenia obejmującym planowanie, wdrożenie, monitorowanie i korektę.
Organizacja określa kontekst, zainteresowane strony, zakres systemu BCMS oraz odpowiedzialność kierownictwa. Następnie ustanawia politykę, cele, kryteria ryzyka, zasady komunikacji i wymagania dotyczące udokumentowanej informacji. System powinien wskazywać właścicieli procesów, zasoby potrzebne do ich odtworzenia oraz procedury eskalacji.
Praktyczne elementy systemu obejmują:
- analizę ryzyka i analizę wpływu na biznes,
- strategie ciągłości, plany reagowania oraz procedury odtworzeniowe,
- testy, ćwiczenia, przeglądy wyników i działania korygujące.
Plany muszą być dostępne, aktualne i zrozumiałe dla osób pełniących określone role. Norma wymaga także oceny kompetencji, szkoleń, nadzoru nad dostawcami oraz częstego testowania założeń. Sam dokument nie potwierdza gotowości organizacji; dowodem są wyniki ćwiczeń, terminowość odtworzenia usług i usunięcie wykrytych niezgodności.
Analiza wpływu na biznes jako podstawa priorytetów
BIA ustala, jakie konsekwencje powoduje przerwanie procesów oraz jak szybko należy przywrócić ich działanie. Analizuje się skutki finansowe, prawne, operacyjne, reputacyjne i kontraktowe w kolejnych przedziałach czasu. Dla każdej aktywności określa się maksymalny tolerowany czas zakłócenia (MTPD), docelowy czas odtworzenia (RTO), wymagany poziom działania oraz zależności od systemów, pracowników, obiektów i partnerów.
| Obszar | Pytanie BIA | Przykładowy wynik |
|---|---|---|
| Proces | Co musi działać? | Obsługa zamówień |
| Skutek | Co powoduje przerwa? | Utrata przychodów i SLA |
| Czas | Kiedy szkoda staje się krytyczna? | MTPD: 24 godziny |
| Zasoby | Od czego zależy odtworzenie? | ERP, zespół, dostawca |
| Cel | Jak szybko przywrócić usługę? | RTO: 8 godzin |
BIA przekłada ciągłość działania na mierzalne decyzje inwestycyjne. Jej wyniki służą do projektowania redundancji, kopii zapasowych, alternatywnych lokalizacji, zastępowalności personelu i wymagań wobec dostawców.
Analizę należy aktualizować po zmianie procesu, technologii, struktury organizacyjnej lub profilu zagrożeń, a także po incydencie i ćwiczeniu.
Zakres systemu i wymagania dotyczące ciągłości działania
ISO 22301:2019 określa wymagania dla systemu zarządzania ciągłością działania (BCMS), który ma umożliwiać organizacji przygotowanie się na zakłócenia, reagowanie na nie oraz odtworzenie procesów w akceptowalnym czasie. Norma ma zastosowanie jakkolwiek wielkości, branży i struktury organizacyjnej podmiotu.
Organizacja musi określić kontekst wewnętrzny i zewnętrzny, zainteresowane strony, ich wymagania oraz granice systemu. Zakres BCMS powinien wskazywać objęte nim jednostki, lokalizacje, procesy, usługi i zależności. Następnie należy zidentyfikować ryzyka i przeprowadzić analizę wpływu zakłóceń na działalność (BIA). Analiza powinna wskazać procesy priorytetowe, maksymalny akceptowalny czas przerwy (MTPD), wymagany czas odtworzenia (RTO), poziom utraty danych (RPO) oraz zasoby potrzebne do wznowienia pracy.
Kierownictwo odpowiada za ustanowienie polityki ciągłości działania, zapewnienie zasobów, przypisanie odpowiedzialności i promowanie kompetencji.
Polityka musi być zgodna z celami organizacji, komunikowana pracownikom i okresowo przeglądana. Norma wymaga także określenia mierzalnych celów, planów ich realizacji oraz nadzorowania udokumentowanych informacji. BCMS nie jest pojedynczym planem awaryjnym, lecz uporządkowanym systemem obejmującym analizę, decyzje, procedury, testowanie i doskonalenie. Organizacja musi zaplanować strategie ciągłości, zabezpieczyć zasoby, ustalić kanały komunikacji i opracować procedury reagowania na incydenty. Dokumentacja powinna obejmować między innymi plany ciągłości, plany odtworzeniowe, listy kontaktowe, procedury eskalacji i kryteria uruchomienia reakcji.
Jak norma wiąże analizę ryzyka z planami odtworzeniowymi?
Jak potwierdza się skuteczność systemu?
ISO 22301 wymaga monitorowania i oceny działania BCMS.
Każde ćwiczenie wymaga udokumentowania zakresu, uczestników, założeń, rezultatów i wykrytych luk.
Po teście organizacja powinna określić działania korygujące, właścicieli zadań i terminy realizacji. Norma wymaga także postępowania z niezgodnościami oraz ciągłego doskonalenia systemu na podstawie zmian organizacyjnych, nowych zagrożeń i doświadczeń z rzeczywistych zakłóceń. Analiza wpływu na biznes (BIA) w ISO 22301 łączy ocenę skutków zakłóceń z projektowaniem mierzalnej ciągłości działania organizacji.
Rola analizy wpływu na biznes w systemie ciągłości działania ISO 22301
BIA identyfikuje procesy, których przerwanie mogłoby zagrozić realizacji celów biznesowych, zobowiązaniom prawnym lub obsłudze klientów. Nie jest tym samym co analiza ryzyka. Określa przede wszystkim konsekwencje niedostępności procesu oraz moment, w którym skutki są nieakceptowalne. ISO 22301 wymaga powiązania wyników BIA z planowaniem strategii, procedur reagowania i odtwarzania działalności. Analiza powinna obejmować co najmniej:
- procesy i usługi krytyczne dla organizacji,
- maksymalny akceptowalny czas przerwy (MTPD),
- wymagany czas odtworzenia procesu (RTO),
- maksymalną dopuszczalną utratę danych (RPO),
- skutki finansowe, operacyjne, prawne i reputacyjne,
- zależności od pracowników, lokalizacji, dostawców i technologii,
- minimalny poziom zasobów potrzebnych do działania awaryjnego.
Rezultatem BIA jest hierarchia procesów oraz uzasadnienie dla konkretnych zabezpieczeń.
RTO musi pozostawać krótsze niż MTPD, ponieważ przekroczenie tego limitu oznacza nieakceptowalny poziom zakłócenia. Dane te wpływają na wybór lokalizacji zapasowej, redundancji systemów, sposobu tworzenia kopii zapasowych, umów z dostawcami oraz obsady dyżurów kryzysowych.
| Obszar BIA | Przykładowy wynik | Wpływ na ciągłość działania |
|---|---|---|
| Proces sprzedaży | RTO: 8 godzin | System zastępczy i procedura ręczna |
| Obsługa klienta | MTPD: 24 godziny | Priorytetowe odtworzenie kanałów komunikacji |
| Dane finansowe | RPO: 1 godzina | Częste kopie i replikacja danych |
| Dostawca krytyczny | Zależność jednostronna | Alternatywne źródło zaopatrzenia |
BIA należy aktualizować po zmianach organizacyjnych, technologicznych, prawnych lub kontraktowych.
Jej wyniki powinny być testowane w czasie ćwiczeń, ponieważ deklarowane czasy odtworzenia mogą różnić się od rzeczywistych możliwości zespołów. Skuteczność ciągłości działania zależy od zgodności ustalonych priorytetów z finansowaniem, odpowiedzialnością i praktyczną zdolnością do realizacji planów.
Ustalenie krytycznych procesów w analizie wpływu na biznes ISO 22301 zaczyna się od zdefiniowania działalności organizacji, a nie od wskazania działów lub systemów informatycznych.
Proces krytyczny to taki, którego zakłócenie w określonym czasie powoduje niedopuszczalne skutki dla klientów, finansów, zgodności prawnej, bezpieczeństwa ludzi albo reputacji. Należy opisać jego cel, właściciela, produkty wyjściowe, odbiorców oraz powiązania z innymi aktywnościami. Analiza BIA powinna badać wpływ niedostępności procesu w kolejnych przedziałach czasowych, na przykład po czterech godzinach, jednej dobie, trzech dniach i tygodniu. Pozwala to ustalić moment, od którego przerwa staje się nieakceptowalna.
Ten punkt określa się jako MTPD (Maximum Tolerable Period of Disruption), czyli maksymalny tolerowany czas zakłócenia.
Jak ustalić krytyczne procesy w analizie wpływu na biznes ISO 22301?
Najpierw należy sporządzić pełen katalog procesów i przypisać im właścicieli biznesowych. Następnie prowadzi się wywiady, warsztaty lub ankiety z osobami odpowiedzialnymi za operacje. Każdy proces ocenia się według jednolitych kryteriów: skutków finansowych, obowiązków regulacyjnych, wpływu na klientów, bezpieczeństwa, jakości usług i ciągłości łańcucha dostaw.
O krytyczności nie decyduje nazwa procesu, lecz konsekwencje jego niedostępności oraz czas, w którym organizacja może funkcjonować bez jego realizacji.
Jak potwierdzić priorytety procesów i wymagany czas odtworzenia?
Dla każdej aktywności trzeba ustalić MTPD, a następnie RTO (Recovery Time Objective), czyli docelowy czas przywrócenia procesu.
RTO powinno być krótsze od MTPD, ponieważ odtworzenie wymaga czasu na testy, stabilizację i obsługę zaległości. Jeżeli proces wykorzystuje dane, określa się także RPO (Recovery Point Objective), wskazujące dopuszczalną utratę informacji.
Ocena powinna obejmować zależności od pracowników, lokalizacji, dostawców, aplikacji, infrastruktury, dokumentacji i energii.
Proces pozornie drugorzędny może być krytyczny, jeśli dostarcza dane lub zasoby potrzebne dla wielu innych działań. Wyniki BIA należy porównać z wymaganiami prawnymi, umowami SLA, planami strategicznymi i dotychczasowymi incydentami. Końcową klasyfikację zatwierdza kierownictwo, ponieważ priorytety ciągłości biznesowej oznaczają alokację budżetu i zasobów. Rejestr krytycznych procesów powinien być aktualizowany po zmianach organizacyjnych, wdrożeniu nowych systemów, zmianie dostawcy lub dosyć ważnym incydencie.
