ISO 22301: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, kto potrzebuje certyfikatu, co zaakceptowałby w zamian i jaką część firmy ma objąć.

1. 1.1

   zapytaj, kto wymaga certyfikatu

   Zapytaj klientów i przetargi, które o to poprosiły, czy wymagają certyfikatu, czy zaakceptują plan ciągłości i zapis odtworzenia. Zapisz każdą odpowiedź z datą. Żaden przepis opisany na tej stronie nie wymaga certyfikatu.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   krótka lista klientów, o co prosił każdy i co każdy by zaakceptował

   dowód, który zostaje

   lista ze źródłem każdej odpowiedzi

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 1.2

   określ zakres na piśmie

   Zdecyduj, które usługi, lokalizacje i zespoły obejmuje certyfikat, i zapisz, co jest poza nim. Certyfikat obejmuje tylko swój zakres, więc wybierz usługi, od których zależą klienci.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   opis zakresu, który nazywa, co jest w nim, a co poza nim

   dowód, który zostaje

   opis zatwierdzony przez kierownictwo

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 1.3

   wskaż, kto odpowiada za ciągłość

   Wskaż jednego odpowiedzialnego na poziomie kierownictwa i jednego lidera operacyjnego, i daj im czas oraz pozycję w budżecie. Jeśli obejmuje Cię NIS2 lub DORA, kierownictwo już odpowiada za powiązane środki i może to być ta sama decyzja.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja wskazująca odpowiedzialnego i lidera operacyjnego

   dowód, który zostaje

   protokół z tej decyzji

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wypisz czynności, które mają znaczenie, zmierz, ile kosztuje przerwa, i ustal limity, do których będziesz odtwarzać.

1. 2.1

   wypisz czynności i to, od czego zależą

   Wypisz czynności objęte zakresem, a przy każdej systemy, ludzi, dostawców i lokalizacje, których potrzebuje. Zacznij od usług, za które płacą klienci.

   • właściciel wszyscy
   • zbuduj i skonfiguruj

   co powstaje

   lista czynności z ich zależnościami

   dowód, który zostaje

   lista z właścicielem każdej czynności

   zabezpieczenie: asset-inventory

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 2.2

   przeprowadź analizę wpływu na biznes

   Dla każdej czynności zapytaj biznes, co się dzieje, gdy przerwa się wydłuża: utracone przychody, zerwane umowy, szkoda dla klientów. Zapisz odpowiedzi, bo sam dział IT ich nie poda.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   analiza wpływu na biznes dla każdej czynności

   dowód, który zostaje

   analiza podpisana przez właściciela każdej czynności

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 2.3

   ustal cele odtwarzania

   Dla każdej czynności zdecyduj, jak długo może nie działać i ile danych może stracić, oraz co wraca jako pierwsze. To decyzje biznesowe, które podejmujesz, zanim przyjdzie dzień, w którym mają znaczenie.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   cele odtwarzania i kolejność odtwarzania dla każdej czynności

   dowód, który zostaje

   zapis decyzji

   strona pracyzabezpieczenie: backup-recovery

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 2.4

   oceń, co może je przerwać

   Wypisz zakłócenia, które mogą uderzyć w czynności objęte zakresem, takie jak awaria dostawcy, ransomware, utrata lokalizacji czy kluczowej osoby, i zapisz, co postanawiasz zrobić w każdym przypadku.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   ryzyka zakłóceń w rejestrze ryzyka z decyzjami

   dowód, który zostaje

   rejestr z datą i właścicielem

   strona pracyzabezpieczenie: risk-register

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Zamień cele w plany, które mogą wykonać inni ludzie, i w odtwarzanie, które działa.

1. 3.1

   zbuduj zdolność odtwarzania

   Ustal zakres i częstotliwość kopii zapasowych na podstawie celów odtwarzania, trzymaj jedną kopię poza zasięgiem zwykłych kont administratorów i napisz procedurę odtwarzania, którą wykona ktoś inny niż jej autor.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   polityka kopii zapasowych i procedura odtwarzania dopasowane do celów

   dowód, który zostaje

   polityka i procedura zatwierdzone przez szefa IT

   strona pracyzabezpieczenie: backup-recovery

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 3.2

   napisz plan dla każdej czynności

   Dla każdej czynności napisz kroki jej przywrócenia, po kolei, z właścicielami, kontaktami i rozwiązaniem zastępczym na ten czas. Trzymaj papierowy egzemplarz poza własnymi systemami.

   • właściciel wszyscy
   • zbuduj i skonfiguruj

   co powstaje

   plan ciągłości dla każdej czynności

   dowód, który zostaje

   plany, każdy z właścicielem i datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 3.3

   ustal role w kryzysie i sposób komunikacji

   Zdecyduj, kto ogłasza kryzys, kto mówi do klientów i jak zespół się komunikuje, gdy poczta nie działa. Połącz plan kryzysowy z procesem incydentów, żeby jedno zdarzenie nie uruchamiało dwóch osobnych reakcji.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   plan kryzysowy z rolami i lista kontaktów

   dowód, który zostaje

   plan i wydrukowana lista kontaktów

   strona pracyzabezpieczenie: incident-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 3.4

   sprawdź ciągłość kluczowych dostawców

   Przy każdym dostawcy, od którego zależy czynność, zapytaj, co robi, żeby działać, i co obiecuje Ci w umowie. Zapisz czynności, które nie mają rozwiązania zastępczego, gdy dostawca zawiedzie.

   • właściciel zakupy
   • udowodnij i utrzymuj

   co powstaje

   lista kluczowych dostawców z ich odpowiedziami o ciągłości

   dowód, który zostaje

   odpowiedzi i fragmenty umów

   strona pracyzabezpieczenie: supplier-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Przetestuj plany z ludźmi, którzy by je wykonali, i napraw to, co zawiedzie.

1. 4.1

   odtwórz jeden prawdziwy system i zmierz czas

   Odtwórz jeden prawdziwy system z kopii do czystego środowiska, ze stoperem, i porównaj czas z celem. Zapisz, czego brakowało.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   zapis testu odtworzenia: data, system, czas, braki

   dowód, który zostaje

   zapis

   strona pracyzabezpieczenie: backup-recovery

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 4.2

   przejdź scenariusz z zespołem kryzysowym

   Wybierz realistyczny scenariusz dla czynności objętej zakresem, na przykład utratę głównego systemu, i przeprowadź ludzi przez ich plan. Zanotuj każde miejsce, w którym plan był niejasny lub błędny.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   zapis ćwiczenia ze scenariuszem, uczestnikami i ustaleniami

   dowód, który zostaje

   zapis

   zabezpieczenie: incident-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 4.3

   popraw plany i przećwicz ponownie

   Dla każdego ustalenia zmień plan lub konfigurację, wskaż właściciela i zapisz, kiedy to zrobiono. Zaplanuj kolejne ćwiczenie na innej czynności.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   lista poprawek z właścicielami i datami oraz kalendarz ćwiczeń

   dowód, który zostaje

   lista i kalendarz

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Ustal, czy system działa tak, jak go opisano, i połóż wynik przed kierownictwem.

1. 5.1

   przeprowadź audyt wewnętrzny

   Niech ktoś, kto nie budował systemu, sprawdzi go względem zakresu, planów i normy. Porównaj to, co napisano, z tym, co ludzie robią, i z zapisami ćwiczeń.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z audytu wewnętrznego z ustaleniami

   dowód, który zostaje

   raport z datą, podpisany przez audytora

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 5.2

   napraw ustalenia u przyczyny

   Dla każdego ustalenia zdecyduj o poprawce, właścicielu i terminie, i zapisz, kiedy ją wykonano. Napraw przyczynę, nie tylko objaw, żeby problem nie wrócił za rok.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   lista działań korygujących z właścicielami i terminami

   dowód, który zostaje

   lista, w której każda pozycja jest zamknięta lub ma termin

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 5.3

   przeprowadź przegląd zarządzania

   Połóż przed kierownictwem wynik audytu, wyniki ćwiczeń, incydenty i otwarte luki, i zapisz, co ono postanawia. Norma wymaga tego przeglądu, więc sprawdź jego dane wejściowe w swojej kopii.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   zapis przeglądu zarządzania z decyzjami i działaniami

   dowód, który zostaje

   zapis i protokół

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wybierz jednostkę certyfikującą, przejdź jej audyt i zajmij się tym, co znajdzie.

1. 6.1

   wybierz jednostkę certyfikującą i sprawdź jej akredytację

   Zapytaj każdą kandydatkę, czy ma akredytację na tę normę i od jakiej jednostki, i sprawdź odpowiedź u tej jednostki. ISO podaje, że akredytacja nie jest obowiązkowa, i radzi ją sprawdzić. Zapytaj, względem której edycji audytuje, i odpowiedzi zapisz.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   wybrana jednostka certyfikująca i zakres jej akredytacji

   dowód, który zostaje

   pisemne odpowiedzi i sprawdzenie akredytacji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 6.2

   przygotuj dowody i ludzi

   Zbierz w jednym miejscu zakres, analizę wpływu, cele, plany, zapisy ćwiczeń, raport z audytu i zapis przeglądu, i przygotuj osoby, które będą pytane.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   folder z dowodami i lista osób do rozmów

   dowód, który zostaje

   folder, każda pozycja z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 6.3

   przejdź audyt i odpowiedz na ustalenia

   Daj audytorowi dostęp, odpowiadaj na pytania i zanotuj każde ustalenie. Dla każdego uzgodnij poprawkę z jednostką certyfikującą i wykonaj ją w czasie, który ona wyznaczy.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z audytu, odpowiedzi na ustalenia i poprawki

   dowód, który zostaje

   raport, odpowiedzi i zapisy zamknięcia

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 6.4

   przeczytaj certyfikat i powiedz, co obejmuje

   Sprawdź zakres, daty i wystawcę wydrukowane na certyfikacie i używaj ich tak, jak je zapisano, gdy odpowiadasz klientowi. Powiedz wprost, co obejmuje, a czego nie, i nie przedstawiaj go jako zgodności z przepisem.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   krótkie oświadczenie, co obejmuje certyfikat, dla sprzedaży i działu prawnego

   dowód, który zostaje

   certyfikat i oświadczenie

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Prowadź system przez rok, powtarzaj ćwiczenia, audyt i przegląd oraz spełniaj wymogi dalszych kontroli jednostki certyfikującej.

1. 7.1

   zapytaj, co następuje po certyfikacie

   Zapytaj jednostkę certyfikującą, co sprawdza po wydaniu certyfikatu, jak często, jak długo certyfikat obowiązuje i co się dzieje, gdy ustalenia pozostają otwarte. Strony ISO nie podają cyklu. Wpisz daty do tego samego kalendarza co własne ćwiczenia i audyt.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   kalendarz dalszych kontroli jednostki i własnych terminów wewnętrznych

   dowód, który zostaje

   pisemna odpowiedź i kalendarz

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 7.2

   powtarzaj ćwiczenia, audyt i przegląd

   Prowadź ćwiczenia, audyt wewnętrzny i przegląd zarządzania w stałym rytmie, za każdym razem na innym systemie lub scenariuszu. Powtórz analizę wpływu, gdy zmieni się biznes, systemy lub dostawcy.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   roczny program ćwiczeń, audyt wewnętrzny i przegląd zarządzania

   dowód, który zostaje

   zapisy, raporty i protokoły z datami

   zabezpieczenie: backup-recovery

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 7.3

   zmieniaj zakres świadomie

   Gdy firma dodaje usługę, lokalizację lub kluczowego dostawcę, zdecyduj, czy wchodzi do zakresu, i powiadom jednostkę certyfikującą. Jeśli klient później poprosi o więcej, rozszerz zakres decyzją, z planem.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja o zmianie zakresu z uzasadnieniem

   dowód, który zostaje

   decyzja i zawiadomienie jednostki

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
• Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)