ISO 22301:2019 + Amd 1:2024
ISO 22301:2019 + Amd 1:2024 – Система за управление на непрекъсваемостта на дейността
ISO 22301:2019 е международен стандарт за създаване, внедряване, поддържане и непрекъснато подобряване на система за управление на непрекъсваемостта на дейността – Business Continuity Management System (BCMS).
Стандартът помага на организациите да се подготвят за прекъсвания, да ограничат тяхното въздействие и да възстановят критичните дейности и услуги в предварително определени срокове и при приемливо ниво на капацитет.
ISO определя ISO 22301 като рамка за подготовка, реакция и възстановяване при disruptive incidents, а стандартът е приложим за организации от всякакъв размер и сектор.
Strategy предоставя цялостно съдействие за внедряване на ISO 22301:2019 + Amd 1:2024 – от първоначален GAP анализ и Business Impact Analysis до разработване на стратегии и планове за непрекъсваемост, упражнения, вътрешен одит и подготовка за сертификация.
Какво представлява ISO 22301?
Непрекъсваемостта на дейността не означава просто организацията да разполага с план за действие при бедствие.
Истинският въпрос е:
Кои дейности и услуги трябва да продължат при сериозно прекъсване, колко дълго могат да бъдат недостъпни и как организацията ще ги възстанови?
Прекъсване може да бъде причинено от кибератака, отказ на IT инфраструктура, проблем с доставчик, прекъсване на електрозахранването, природно бедствие, пожар, загуба на работна площадка, липса на ключови служители или друга ситуация, която засяга способността на организацията да предоставя своите продукти и услуги.
ISO посочва като типични примери именно природни бедствия, cyber attacks, IT failures, supply-chain disruptions и загуба на ключов персонал.
BCMS превръща подготовката за подобни сценарии в систематичен управленски процес, а не в еднократно изготвен emergency plan.
За кои организации е подходящ ISO 22301?
ISO 22301 е приложим за всякакъв тип организация, независимо от нейния размер или сектор.
Практически стандартът е особено ценен за организации, при които прекъсването на дейността може да има сериозни финансови, договорни, регулаторни или обществени последствия.
Това включва IT и cloud компании, телекомуникационни оператори, финансови институции, производствени предприятия, логистични организации, здравни структури, енергийни и ВиК дружества, държавни и общински администрации, outsourcing компании и доставчици на критични услуги.
ISO 22301 е особено подходящ и когато клиенти или международни партньори изискват доказуема способност за business continuity и disaster recovery.
Business Impact Analysis – основата на BCMS
Една от най-важните части на ISO 22301 е Business Impact Analysis (BIA).
При BIA организацията определя кои дейности и услуги са критични и какви биха били последствията при тяхното прекъсване.
Не е достатъчно процесът просто да бъде определен като „критичен“. Трябва да бъдат разбрани неговите зависимости – хора, помещения, IT системи, информация, доставчици, комуникации, оборудване и други ресурси.
След това се определят времевите изисквания за възстановяване.
На практика една качествено разработена BIA трябва да даде отговор на въпроси като:
Какво трябва да бъде възстановено първо? Колко дълго организацията може да функционира без него? Какъв минимален капацитет е необходим? От какви ресурси и зависимости зависи възстановяването?
Това е причината BIA да бъде сърцевината на реално работещата BCMS.
MTPD, RTO и приоритети за възстановяване
При business continuity често се използват няколко основни времеви параметъра.
MTPD – Maximum Tolerable Period of Disruption показва максималния период, след който последствията от прекъсването могат да станат неприемливи за организацията.
RTO – Recovery Time Objective определя целевия срок, в който дадена дейност, система или ресурс трябва да бъде възстановен.
При IT и информационни ресурси може да бъде определен и RPO – Recovery Point Objective, който показва допустимата загуба на данни във времето.
Тези стойности не трябва да бъдат избирани произволно. Те трябва да произтичат от BIA, договорните изисквания, нуждите на клиентите и реалните последствия от прекъсването.
Оценка на риска и BIA не са едно и също
Това е една от областите, които бих подчертал на страницата, защото много организации ги смесват.
Risk Assessment разглежда какво може да причини прекъсване и каква е вероятността и потенциалното въздействие.
Business Impact Analysis разглежда какво се случва с организацията, ако критична дейност вече е прекъсната.
Двете оценки се допълват.
Рискът може да покаже, че отказ на data centre е възможен сценарий. BIA трябва да покаже какво означава този отказ за услугите, клиентите и критичните процеси и колко бързо те трябва да бъдат възстановени.
Стратегии за непрекъсваемост
След BIA и оценката на риска организацията трябва да определи подходящи business continuity strategies and solutions.
Няма универсална стратегия, която да работи за всички организации.
В зависимост от контекста това може да включва резервна IT инфраструктура, cloud redundancy, backup site, дистанционна работа, алтернативен доставчик, резервно оборудване, cross-training на служители, резервно електрозахранване или други решения.
Тук е важно да се намери балансът между необходимото ниво на устойчивост и реалните финансови и оперативни възможности на организацията.
BCMS не трябва да бъде нито формален документ, който не може да се изпълни, нито технически проект, който струва повече от риска, който управлява.
Business Continuity Plans
На базата на избраните стратегии се разработват конкретните планове за реакция и възстановяване.
Добре разработеният Business Continuity Plan трябва да е използваем в реална кризисна ситуация, когато организацията няма време да чете десетки страници теория.
Затова плановете трябва ясно да определят:
- кога се активират;
- кой има правомощие да ги активира;
- кой взема решения;
- как се комуникира;
- кои дейности се възстановяват първо;
- какви ресурси са необходими;
- как се работи при ограничен капацитет;
- кога организацията се връща към нормален режим.
Особено важно е emergency response да бъде разграничен от business continuity и disaster recovery. Те са свързани, но не са едно и също.
Crisis Communication
По време на disruption техническото възстановяване е само една част от управлението.
Организацията трябва да може да комуникира с персонала, клиентите, доставчиците, публичните институции и други заинтересовани страни.
Затова BCMS трябва да определя кой комуникира, какво се комуникира, по какви канали и кой одобрява информацията.
Неподготвената комуникация може да увеличи въздействието на инцидента дори когато оперативното възстановяване се управлява правилно.
Упражнения и тестове
Един Business Continuity Plan не може да се счита за доказано работещ само защото е написан и одобрен.
Той трябва периодично да бъде упражняван и проверяван.
В зависимост от организацията могат да се използват tabletop exercises, simulations, technical recovery tests, communication exercises или по-мащабни практически сценарии.
Целта не е просто да се отбележи „проведен тест“, а да се установи:
работи ли стратегията, могат ли хората да изпълнят ролите си, реалистични ли са RTO стойностите и какво трябва да бъде подобрено.
Именно exercises и evidence от тях често показват дали BCMS е действително функционираща.
Какво представлява Amd 1:2024?
През февруари 2024 г. ISO публикува ISO 22301:2019/Amd 1:2024 – Climate action changes, което остава приложимо към действащото издание на стандарта.
Както и при ISO 9001, ISO 14001, ISO 27001 и ISO 20000-1, изменението засяга анализа на контекста на организацията и заинтересованите страни.
Организацията трябва да определи дали climate change е релевантен въпрос за нейната BCMS, а заинтересованите страни могат да имат изисквания, свързани с климатичните промени.
За ISO 22301 това може да има много по-пряко практическо значение, отколкото при някои други management system standards.
Например екстремни температури, наводнения, пожари, прекъсвания на електрозахранване, ограничения на водоснабдяването или проблеми с транспортната инфраструктура могат директно да засегнат business continuity.
Изменението обаче не означава автоматично задължение за създаване на отделен Climate Continuity Plan. Организацията трябва да направи оценка на релевантността и при необходимост да отрази съответните фактори в своя контекст, risk assessment, BIA, стратегии и планове.
ISO 22301 и ISO 27001
Комбинацията между ISO 22301 и ISO/IEC 27001 е особено важна за IT и технологични организации.
ISO 27001 разглежда availability като една от основните характеристики на информационната сигурност и включва контроли, свързани с ICT readiness for business continuity.
ISO 22301 разглежда въпроса на по-широко организационно ниво.
Той не пита само дали информационната система може да бъде възстановена, а:
може ли организацията да продължи да предоставя критичната услуга?
Например може да има работещ backup, но ако няма налични служители, помещения, телекомуникации или ключов доставчик, бизнес процесът пак може да остане прекъснат.
Затова Disaster Recovery Plan не е равен на Business Continuity Management System.
ISO 22301 и NIS2
ISO 22301 може да има важна роля и при организациите, които попадат в обхвата на NIS2.
Директивата поставя акцент върху управлението на cybersecurity risk, business continuity, backup management, disaster recovery и crisis management.
ISO 22301 може да предостави структурирана управленска рамка за част от тези области, особено когато е интегриран с ISO/IEC 27001.
Важно е обаче да не приравняваме двете:
сертификацията по ISO 22301 не означава автоматично съответствие с NIS2.
Конкретните законови и регулаторни задължения трябва да бъдат разглеждани отделно.
Как Strategy внедрява ISO 22301?
При внедряването на BCMS не започваме със създаването на Business Continuity Plan.
Първо трябва да разберем как организацията работи и кои нейни дейности действително са критични.
Започваме с GAP анализ и определяне на BCMS scope. След това идентифицираме критичните продукти, услуги и процеси и извършваме Business Impact Analysis.
На тази основа определяме recovery requirements, зависимости и необходимите стратегии.
Типичният проект включва:
- GAP Analysis;
- BCMS Scope;
- Context и Interested Parties;
- Business Impact Analysis;
- Risk Assessment;
- critical activities и dependencies;
- MTPD, RTO и при необходимост RPO;
- Business Continuity Strategies;
- Incident Response Structure;
- Business Continuity Plans;
- Crisis Communication;
- Exercise and Testing Programme;
- evaluation и improvement;
- Internal Audit;
- Management Review;
- preparation for certification.
Когато организацията вече има ISO 9001, ISO/IEC 27001 или ISO/IEC 20000-1, общите управленски процеси могат да бъдат интегрирани, вместо да се изгражда отделна административна система.
Какво ще проверява одиторът?
При сертификационен одит не е достатъчно организацията да покаже BCP файл с последна версия.
Одиторът трябва да може да проследи логиката:
критична дейност → въздействие → допустим период на прекъсване → recovery requirement → зависимост → стратегия → план → упражнение → резултат → подобрение.
Например, ако организацията заявява RTO от четири часа за критична услуга, трябва да може да обясни защо четири часа са приемливи, какви ресурси са необходими и дали стратегията реално позволява това време да бъде постигнато.
Това е разликата между Business Continuity Plan като документ и работеща Business Continuity Management System.
Сертификация по ISO 22301
След внедряване на BCMS и натрупване на достатъчно доказателства за нейното функциониране организацията може да премине към независима сертификационна оценка.
ISO 22301 е стандарт, спрямо който може да бъде оценена способността на организацията да изпълнява своите business continuity изисквания.
При първоначална сертификация обичайно се преминава през Stage 1 и Stage 2, след което сертификационният орган взема независимо решение за сертификация.
Strategy не издава ISO сертификати. Нашата роля е да подпомогнем организацията при анализа, внедряването, BIA, разработването и тестването на плановете, вътрешния одит, Management Review и подготовката за независимия сертификационен процес.
Планирате ISO 22301?
Ако вече имате Business Continuity или Disaster Recovery процеси, можем да започнем с GAP Analysis, за да определим доколко те покриват ISO 22301 и какво трябва да бъде доразвито.
При ново внедряване Strategy може да подпомогне целия процес – от BIA и оценката на риска до разработването, упражняването и вътрешния одит на BCMS и подготовката за сертификация.