System Zarządzania Ciągłością Działania (SZCD) ma zapewnić, że organizacja będzie mogła dalej świadczyć swoje usługi – albo szybko je przywrócić – po incydencie, awarii lub sytuacji kryzysowej. Wzorcem dla takiego systemu jest norma ISO 22301.
Kogo dotyczy obowiązek?
Ustawa o krajowym systemie cyberbezpieczeństwa (art. 8) wymaga od podmiotów kluczowych i ważnych wdrażania, dokumentowania, testowania i utrzymywania planów ciągłości działania, które umożliwiają nieprzerwane świadczenie usługi. Obowiązek obejmuje również łańcuch dostaw – produkty, usługi i procesy dostarczane przez zewnętrznych dostawców.
Ciągłość działania jest też jednym z obszarów sprawdzanych w audycie KRI.
Co obejmuje wdrożenie SZCD?
Dokumentacja systemu
- polityka ciągłości działania,
- analiza wpływu na działalność (BIA),
- analiza ryzyka,
- struktura i role w zarządzaniu ciągłością,
- postępowanie w razie incydentów i sytuacji kryzysowych,
- zasady utrzymania i testowania,
- wskaźniki (KPI) i monitorowanie ryzyka.
Plany
- plan ciągłości działania (BCP),
- plan odtworzenia po awarii (DRP),
- plan odtworzenia procesów,
- plan komunikacji kryzysowej,
- plan testów i raport z testu.
Procesy i systemy krytyczne
Podstawą jest wskazanie, które procesy i systemy są krytyczne dla świadczenia usługi, ile czasu mogą być niedostępne i w jakiej kolejności trzeba je przywracać.
Łańcuch dostaw
Częścią prac jest ocena dostawców produktów, usług i procesów – z oceną ryzyka i rekomendacjami co do wyboru i wymagań wobec dostawców.
Jak przebiega wdrożenie?
Prace prowadzi się w formie dokumentacyjnej i warsztatowej – zdalnie lub w siedzibie – bez konieczności dostępu do systemów produkcyjnych. Kluczowa jest współpraca z osobą odpowiedzialną za funkcjonowanie jednostki i jej infrastrukturę technologiczną. Jeśli w organizacji brakuje procedur awaryjnych, trzeba je stworzyć, a nie tylko opisać.
Utrzymanie i testowanie
Wdrożony SZCD trzeba stale monitorować, utrzymywać, testować i aktualizować. Plan, który nigdy nie był testowany, jest tylko dokumentem – dopiero ćwiczenia pokazują, czy zespół wie, co robić, i czy kopie zapasowe rzeczywiście dają się odtworzyć.
Audyt KSC
Spełnienie wymogów ustawy przez podmiot kluczowy weryfikuje audyt KSC – pierwszy trzeba przeprowadzić w ciągu 24 miesięcy. Więcej: Ustawa o KSC i NIS2 – obowiązki.
Co oferujemy
- dokumentację SZCD (8 dokumentów): polityka, BIA, analiza ryzyka, struktura i role, incydenty i kryzysy, utrzymanie i testowanie, wskaźniki KPI, monitorowanie ryzyka,
- plany (6 dokumentów): BCP, DRP, plan odtworzenia, plan komunikacji kryzysowej, plan testów i raport z testu,
- analizę do 8 procesów i do 12 systemów krytycznych,
- ocenę łańcucha dostaw z rekomendacjami co do dostawców,
- warsztaty zdalne lub w siedzibie oraz korekty dokumentów,
- utrzymanie po wdrożeniu: monitorowanie, testowanie, aktualizacja SZCD,
- audyt KSC.
Wdrożenie SZCD można sfinansować m.in. z programów Cyberbezpieczny Wodociąg i KPO dla szpitali. Zapraszamy do kontaktu.