Problem · ISO

Jak przygotować organizację do ISO 22301?

ISO 22301 odpowiada na pytanie „co robimy, gdy coś pójdzie nie tak” - to system zarządzania ciągłością działania.

Wdrożenie zaczyna się od analizy wpływu na działalność (BIA), która identyfikuje kluczowe procesy i maksymalny akceptowalny czas ich przestoju. Na tej podstawie opracowuje się strategie ciągłości działania oraz plany odtwarzania dla poszczególnych scenariuszy zakłóceń.

Analiza BIA wyznacza dla każdego kluczowego procesu dwa parametry: RTO (Recovery Time Objective) - maksymalny akceptowalny czas przywrócenia procesu po zakłóceniu, oraz RPO (Recovery Point Objective) - maksymalną akceptowalną utratę danych mierzoną czasem od ostatniej kopii zapasowej. To one wyznaczają, jak rozbudowane i kosztowne muszą być rozwiązania techniczne zapewniające ciągłość działania.

Kluczowym elementem, który odróżnia działający system od dokumentu w szufladzie, są regularne testy planów ciągłości działania - symulacje pokazują, czy procedury faktycznie zadziałają w sytuacji awaryjnej.

Testy planów ciągłości działania mogą przybierać różną formę - od prostego przeglądu dokumentacji przy stole (tabletop exercise), przez symulowane ćwiczenia z udziałem zespołu kryzysowego, po pełną symulację odtworzenia systemów w środowisku zapasowym. Norma nie narzuca jednej metody, ale wymaga, by testy były przeprowadzane cyklicznie i dokumentowane wraz z wnioskami.

Podstawa prawna

norma ISO 22301:2019