Veiklos tęstinumo planas pagal NIS2: kaip suderinti BCP, rizikos vertinimą ir krizines pratybas

Pagal NIS2 reikalavimus rengiamas veiklos tęstinumo planas negali būti atskira IT skyriaus administruojama procedūra. Jis turi būti grindžiamas veiklos poveikio ir rizikos analize, nustatyti procesų atkūrimo prioritetus ir būti reguliariai išbandomas pratybose. Plano veiksmingumą patvirtina ne deklaracijos, o organizacijos gebėjimas laiku priimti sprendimus, pereiti prie alternatyvaus darbo režimo, pasiekti minimalų veiklos lygį ir saugiai grįžti prie įprastų procesų.

Veiklos tęstinumas yra vadovybės sprendimų sritis

Veiklos tęstinumo planas pradedamas rengti ne nuo procedūros šablono ar informacinių sistemų sąrašo. Pirmiausia būtina nustatyti paslaugas, produktus ir procesus, kurių sutrikimas gali kelti grėsmę įsipareigojimų vykdymui, saugai, atitikčiai reikalavimams ar įmonės finansiniam stabilumui. Plano apimtis turi būti pagrįsta veiklos poveikio analize. Reikia įvertinti, kaip laikui bėgant didėja sutrikimo padariniai, kada jie viršija vadovybės nustatytą priimtiną lygį ir kokia seka turi būti atkuriami veiklos pajėgumai.

Leistiną veiklos pertrūkio trukmę ir priimtiną nuostolių lygį neturėtų savarankiškai nustatyti IT skyrius. Šiuos parametrus tvirtina vadovybė, remdamasi procesų savininkų bei finansų, atitikties, saugumo ir technologijų sričių pateikta informacija. Proceso savininkas nustato veiklos tęstinumo poreikius, o plano savininkas koordinuoja sprendimų parengimą ir palaikymą. Jei šių vaidmenų nesieja bendras sprendimų priėmimo mechanizmas, IT specialistai saugo infrastruktūrą, veiklos padaliniai atsako už paslaugų ar produktų teikimą, tačiau vadovybė negauna nuoseklaus atkūrimo prioritetų ir leistinų pertrūkių vaizdo.

Gamybos įmonėje vien planavimo ar valdymo sistemos atkūrimas dar nereiškia, kad galima atnaujinti produkcijos išsiuntimą. Gamyba gali likti sustabdyta dėl neprieinamų technologinių duomenų, kvalifikuotų ir įgaliotų operatorių trūkumo, elektros energijos tiekimo sutrikimo, tiekėjo užtikrinamo ryšio nebuvimo arba nepatvirtintos alternatyvaus darbo procedūros. Veiklos atsparumas atsiranda tik tada, kai planas apima visą proceso priklausomybių grandinę, o ne vien IT skyriaus valdomus išteklius.

Taip pat būtina atskirti veiklos tęstinumo užtikrinimą, IT išteklių atkūrimą, reagavimą į incidentus ir krizių valdymą. Pirmoji sritis skirta procesams palaikyti arba atnaujinti, antroji – technologijoms ir duomenims atkurti, trečioji – incidento padariniams riboti ir incidentui suvaldyti, o ketvirtoji – sprendimams priimti didelio sutrikimo sąlygomis. Šie mechanizmai turi remtis bendrais scenarijais, eskalavimo ribomis ir atsakomybės principais, tačiau jie nėra tarpusavyje pakeičiami.

Tik taip apibrėžtą veiklos modelį galima susieti su NIS2 ir taikytinuose nacionaliniuose teisės aktuose nustatytomis rizikos valdymo, veiklos tęstinumo, incidentų valdymo ir vadovybės atsakomybės pareigomis, atsižvelgiant į tai, ar organizacija patenka į jų taikymo sritį. Platesnis kontekstas pateiktas medžiagoje NIS2 gamybos įmonėms: kam taikoma, kokias pareigas nustato ir kaip parengti organizaciją neapsiribojant vien IT.

Rizikos vertinimas turi virsti scenarijumi

Rizikų registras realiai padeda valdyti veiklos tęstinumo planą tik tada, kai parodo ryšį tarp grėsmės, pažeidžiamumo, ištekliaus, proceso ir poveikio verslui. Vien kibernetinių grėsmių sąrašas nepaaiškina, kaip organizacija turi tęsti veiklą. Todėl scenarijus tikslinga formuoti pagal sutrikimo padarinius: valdymo sistemos neprieinamumą, duomenų praradimą, ryšio nutrūkimą, darbuotojų trūkumą ar tiekėjo paslaugos neprieinamumą. Skirtingos priežastys gali sukelti tą pačią veiklos būseną ir pareikalauti tokios pačios tęstinumo strategijos.

Veiklos poveikio analizė ir rizikos analizė atlieka skirtingas, tačiau viena kitą papildančias funkcijas. Poveikio analizė nustato pertrūkio reikšmingumą, nuostolių didėjimo tempą ir momentą, kai viršijama vadovybės nustatyta priimtina riba. Rizikos analizė padeda nustatyti galimus įvykio šaltinius, pažeidžiamumus ir esamų kontrolės priemonių veiksmingumą. Pasirinktas vertinimo metodas ir skalė turi leisti palyginti scenarijus ir sąmoningai priimti likutinę riziką, atsižvelgiant į organizacijos rizikos apetitą.

Scenarijų skaičių verta apriboti iki atskirų padarinių, kuriems reikia skirtingų sprendimų, išteklių ar atkūrimo sekos. Kiekvieno techninio varianto analizavimas atskirai paprastai nepadidina plano praktinės vertės, tačiau apsunkina jo priežiūrą ir taikymą laiko spaudimo sąlygomis.

Kiekvienam scenarijui reikia nustatyti leistiną pertrūkio trukmę, minimalų veiklos lygį, būtinus išteklius, atkūrimo seką ir asmenį, įgaliotą aktyvuoti planą. Šie parametrai turi būti pagrįsti faktine incidentų, gedimų ir pratybų metu užfiksuota prastovų bei atkūrimo trukme, taip pat sutartiniais prieinamumo, įvykdymo terminų ir pranešimo apie sutrikimus reikalavimais. Remiantis šiais duomenimis galima matuoti sprendimo priėmimo, minimalaus veiklos lygio pasiekimo ir visiško atkūrimo trukmę.

Analizėje būtina atsižvelgti į realias proceso priklausomybes nuo programų, duomenų, infrastruktūros, vietų, energijos ir kitų infrastruktūrinių paslaugų, svarbiausių kompetencijų, IT tiekėjų, integratorių bei subrangovų. Jei strategijoje numatoma trečiosios šalies pagalba, reikia praktiškai patikrinti jos prieinamumą, reagavimo laiką, eskalavimo kanalus ir alternatyvius sprendimus, o ne apsiriboti sutarties nuostatomis. Ši tema išsamiau aptariama medžiagoje NIS2 ir tiekimo grandinės saugumas: kaip vertinti IT tiekėjus, integratorius ir subrangovus.

Planas turi padėti valdyti sutrikimą

Praktiškai pritaikomas veiklos tęstinumo planas neaprašo visų įmanomų įvykių. Jis padeda atsakingiems asmenims nuosekliai priimti sprendimus: kas įvertina situaciją, kas paskelbia veiklos tęstinumo režimą, kuriuos procesus būtina palaikyti minimaliu lygiu, kokia seka atkurti pajėgumus, kaip vykdyti krizių komunikaciją ir kokiu pagrindu nutraukti nepaprastąjį režimą.

Detalumo pakanka tuomet, kai planas sumažina interpretavimo poreikį laiko spaudimo sąlygomis, tačiau nepakeičia techninių ir procesinių instrukcijų. Didesnėje organizacijoje praktiška turėti pagrindinį planą, nustatantį vadovavimo, eskalavimo ir bendro veikimo principus, bei atskirus konkrečių procesų planus.

Plano aktyvavimo procedūroje turi būti nustatytos išmatuojamos sąlygos. Formuluotė „įvykus rimtam gedimui“ diskusiją dėl žodžio „rimtas“ reikšmės nukelia į netinkamiausią momentą. Kriterijumi gali būti leistinos pertrūkio trukmės viršijimas, duomenų patikimumo praradimas, negalėjimas saugiai dirbti, svarbių darbuotojų neprieinamumas arba prognozuojamas veiklos sumažėjimas žemiau proceso savininko patvirtinto minimalaus lygio. Kiekvienas nukrypimas turi būti susietas su veiksmu, sprendimą priimti įgaliotu asmeniu, eskalavimo terminu ir privalomu įrašu. Panaši logika, nors taikoma kitu veiklos lygmeniu, aprašyta medžiagoje Reagavimo planas kontrolės plane: kaip aprašyti veiksmus procesui peržengus nustatytas ribas.

Vaidmenis reikia priskirti funkcijoms, o ne vien konkretiems darbuotojams. Atsakomybės matricoje turi būti numatyti pavaduojantys asmenys, įgaliojimų apimtis, pasiekiamumas, pagrindinis ir atsarginis ryšio kanalai. Vardinis kontaktų sąrašas gali būti valdomas kaip kontroliuojamas priedas, kad pasikeitus darbuotojams nereikėtų iš esmės keisti viso plano.

Vadovybė turėtų priimti sprendimus, peržengiančius patvirtintą veiklos sritį, įskaitant sprendimus dėl reikšmingos veiklos rizikos priėmimo, ypatingų priemonių taikymo ar strateginės komunikacijos. Sprendimas pereiti prie iš anksto patvirtinto alternatyvaus darbo režimo turėtų būti priimamas kuo arčiau atitinkamo proceso.

Praradus prieigą prie užsakymų sistemos, budintis darbuotojas gali patvirtinti jos neprieinamumą ir prognozuojamą pertrūkio trukmę, proceso savininkas – pradėti alternatyvią apskaitą, o veiklos tęstinumo koordinatorius – eskaluoti įvykį pasiekus nustatytą ribą. Plane turi būti apibrėžti tokio laikino sprendimo apribojimai: pajėgumas, ilgiausia taikymo trukmė, duomenų apsaugos ir vientisumo taisyklės, būtini rankiniai suderinimai ir vėlesnio įrašų perkėlimo į sistemą būdas.

Grįžti prie įprasto darbo galima tik patvirtinus sprendimo stabilumą, duomenų išsamumą ir suderinus rankiniu būdu atliktas operacijas. Sukurti įrašai turi leisti įvertinti sprendimo priėmimo, minimalaus veiklos lygio pasiekimo ir visiško atkūrimo trukmę.

Didžiausi nuostoliai kyla planų sąsajose

Nuostolių mastą lemia ne vien gedimo priežastis. Pertrūkį taip pat ilgina laukimas, kol bus gautas leidimas, neaiškus įvykio klasifikavimas, nesuderinti atkūrimo prioritetai ir žinių apie procesų, sistemų bei tiekėjų tarpusavio priklausomybes trūkumas. Incidentų valdymo planas pirmiausia skirtas įvykiui aptikti, įvertinti, apriboti ir suvaldyti. Veiklos tęstinumo plano paskirtis – palaikyti veiklą priimtinu lygiu. Abiejuose mechanizmuose turi būti nustatyti bendri informacijos ir sprendimų perdavimo taškai: kas konstatuoja grėsmę veiklos tęstinumui, kas aktyvuoja alternatyvų režimą ir kas patvirtina grįžimą prie įprasto darbo.

Techninio atkūrimo prioritetas turi būti nustatomas pagal proceso prioritetą, tačiau negali jo tiesiogiai kopijuoti. Svarbiausią procesą palaikančiai sistemai gali reikėti anksčiau atkurti tapatybės valdymo, tinklo, duomenų bazių ar integravimo paslaugas. Kartu būtina užtikrinti duomenų vientisumą, tinkamą sistemų paleidimo seką ir saugumo mechanizmus. Verslo ir techninių prioritetų suderinamumas tikrinamas lyginant procesui reikalingą prieinamumą su faktiniais atsarginių kopijų atkūrimo bandymų rezultatais, priimtinu duomenų praradimo lygiu ir infrastruktūros priklausomybėmis.

Veiklos padalinys gali tikėtis, kad užsakymų priėmimas bus atkurtas anksčiau nei atsiskaitymai, o IT komanda gali planuoti pirmiausia atkurti atsiskaitymų sistemą, nes joje saugomas centrinis kontrahentų registras. Jei ši priklausomybė iš anksto nesuderinta, sprendimą tenka priimti spaudžiant laikui, o rankinis laikinas sprendimas gali sukurti duomenų, kurių vėliau nepavyks saugiai suderinti. Tokį atvejį reikia vertinti pagal faktinę aptikimo, eskalavimo, sprendimo priėmimo ir atkūrimo trukmę bei bandymų rezultatus, patvirtinančius duomenų išsamumą ir vientisumą.

Panaši spraga atsiranda tiekėjo atsakomybės riboje. Sutartyje deklaruojamas paslaugos prieinamumas nepakeičia vardinės ar funkcinės eskalavimo grandinės, suderintų atkūrimo parametrų, prieigos prie informacijos apie sutrikimo eigą ar pareigos dalyvauti pratybose. Kritinių procesų reikalavimus reikia palyginti su sutarties sąlygomis ir realiais paslaugų teikėjo pajėgumais. Tik tuomet galima pagrįstai nuspręsti, ar palaikyti rezervinį sprendimą, priimti prastovos riziką, naudoti savo išteklius ar išorinę paslaugą.

Biudžetas turi būti skirtas nustatytoms pajėgumų spragoms šalinti, o ne dokumentų skaičiui didinti. Investicijų gali reikėti papildomam rezervavimui, trumpesnei sprendimų priėmimo grandinei, dažnesniems atkūrimo bandymams, sutarties sąlygų pakeitimui ar alternatyviam proceso vykdymo būdui. Tokių sąnaudų planavimo principai išsamiau aptarti analizėje Kiek kainuoja NIS2 ir uKSC įgyvendinimas: kaip sudaryti audito, dokumentacijos, mokymų ir saugumo priemonių biudžetą išvengiant brangių klaidų.

Pratybose turi būti tikrinami sprendimai

Veiklos tęstinumo pratybos negali apsiriboti procedūros perskaitymu ar dalyvių dalyvavimo patvirtinimu. Jos turi patikrinti aiškiai suformuluotą hipotezę, pavyzdžiui: ar organizacija gali aktyvuoti alternatyvų procesą be pagrindinės sistemos, išlaikyti įvedamų duomenų kontrolę ir saugiai juos suderinti atkūrus paslaugą.

Pratybų programą verta plėtoti etapais: pradėti nuo vaidmenų peržiūros ir stalo pratybų, vėliau išbandyti pasirinktą procedūrą ar atkūrimo veiksmą, o galiausiai surengti technines ir veiklos pratybas, apimančias verslo funkcijų, IT, vadovybės ir tiekėjų bendradarbiavimą. Apimtis turi didėti atsižvelgiant į riziką, proceso svarbą ir organizacijos pasirengimą.

Scenarijus turi reikalauti priimti sprendimus sąlygomis, artimomis realiam sutrikimui. Tam gali būti pasitelkiama neišsami informacija, laiko spaudimas, prioritetų konfliktas ar svarbios priklausomybės neprieinamumas, pavyzdžiui, sprendimą tvirtinančio asmens, tiekėjo paslaugos arba aktualaus kontaktų sąrašo. Vis dėlto pratybos neturi tapti dalyviams paspęstais spąstais. Vertinama sistema – atsakomybės paskirstymas, informacijos kokybė, procedūrų įgyvendinamumas ir gebėjimas eskaluoti, o ne pavienių darbuotojų veikla.

Vadovybė privalo dalyvauti tais atvejais, kai pagal scenarijų reikia priimti riziką, pakeisti prioritetus arba aktyvuoti brangų alternatyvų sprendimą. Tiekėjas turi būti įtrauktas, jei nuo jo reakcijos priklauso proceso tęstinumas.

Pavyzdinės pratybos gali prasidėti nuo užsakymų valdymo sistemos neprieinamumo. Vėliau pratybų vadovas pateikia informaciją apie neišsamią duomenų kopiją ir vėluojantį paslaugų teikėjo atsakymą. Komanda turi nuspręsti, ar pradėti aptarnavimą rankiniu būdu, kuriuos užsakymus priimti ir kaip žymėti įrašus, kad atkūrus paslaugą būtų išvengta dubliavimo bei duomenų vientisumo praradimo.

Per pratybas reikia matuoti sutrikimo atpažinimo, eskalavimo, tęstinumo režimo aktyvavimo, minimalaus veiklos lygio pasiekimo ir atkūrimo trukmę. Kartu vertinama informacijos srauto ir įrašų kokybė, pasenusių kontaktinių duomenų naudojimo atvejai, neveiksmingas eskalavimas ir plano žingsniai, kurių nebuvo įmanoma atlikti. Faktinę trukmę būtina palyginti su patvirtintais veiklos tęstinumo tikslais.

Pratybų dažnumas ir forma turi būti nustatomi pagal riziką, procesų pokyčius, ankstesnių bandymų rezultatus ir priklausomybių svarbą, o ne vien pagal metinį grafiką. Iš anksto paskelbtos pratybos geriau tinka mokymuisi ir vaidmenims suderinti. Neplanuotos pratybos leidžia įvertinti faktinį pasirengimą, tačiau būtina kontroliuoti jų keliamą veiklos riziką. Gamybinę sistemą tikslinga naudoti tik tada, kai sąmoningai patvirtinta bandymo apimtis, apsaugos priemonės ir galimybė jį nutraukti; kitais atvejais tinkamesnė bandymų aplinka.

Po kiekvienų pratybų turi būti nustatyti veiksmai, jų savininkai, įgyvendinimo terminai, rezultatyvumo kriterijai ir sprendimas dėl pakartotinio patikrinimo. Laiku užbaigtų veiksmų dalis yra naudingas rodiklis, tačiau vien būsena „įvykdyta“ neįrodo pagerėjimo. Lemiamas įrodymas yra pakartotinio bandymo rezultatas. Scenarijus, protokolus, korekcinius veiksmus ir rodiklius galima sisteminti taikant medžiagoje Kaip sukurti kokybės šablonų biblioteką: FMEA, Control Plan, 8D, auditas, CAPA ir KPI aprašytą požiūrį.

Ciklą užbaikite įrodymais ir vadovybine analize

Procedūrų rinkinys savaime neįrodo organizacijos gebėjimo tęsti veiklą. Patikima įrodymų grandinė turi susieti patvirtintas rizikos ir veiklos tęstinumo analizės prielaidas, procesų savininkų sprendimus, bandymų įrašus, pratybų rezultatus, nustatytas neatitiktis, korekcinius veiksmus ir jų rezultatyvumo vertinimą. Veiklos tęstinumo plano versijų registre turi būti nurodyta ne tik pakeitimo data ir autorius, bet ir jį pagrindęs įvykis, sprendimas ar analizės rezultatas.

Plano peržiūros dažnumą reikia nustatyti pagal procesų kritiškumą ir rizikos kintamumą. Vien periodinio termino nepakanka. Peržiūra taip pat turi būti inicijuojama po incidento, pratybų ar reikšmingo proceso, technologijos, vietos, tiekėjo, organizacinės struktūros arba rizikos profilio pasikeitimo. Pratybų rezultatų priėmimo kriterijus būtina nustatyti prieš jų pradžią, kad vertinimas neapsiribotų subjektyviu teiginiu, jog organizacija „susitvarkė“.

Mėnesinė stebėsena gali parodyti, kad pratybų programa įvykdyta pagal grafiką, tačiau vienas procesas nepasiekė reikalaujamos atkūrimo trukmės, o svarbiai tiekėjo paslaugai vis dar nėra alternatyvaus sprendimo. Tokio rezultato negalima paslėpti techniniame protokole. Vadovybei turi būti pateikta informacija apie procesus, kurie nepasiekia reikalaujamo pajėgumo, nepriimtus neatitikimus, sąmoningai prisiimtą riziką ir būtinas investicijas ar organizacinius sprendimus. Vadovybinė analizė turi baigtis dokumentuotais sprendimais, o ne vien informacijos priėmimu.

Vidaus auditas turi tikrinti deklaracijų ir praktikos nuoseklumą: ar kritiniu pripažintas procesas iš tikrųjų įtraukiamas į pratybas, ar techniniai atkūrimo tikslai atitinka veiklos poreikius ir ar po bandymų nustatyti veiksmai užbaigti bei patvirtintas jų rezultatyvumas. Auditoriui arba priežiūros institucijai turi būti pateikiama nuosekli įrašų grandinė, parodanti kelią nuo nustatytos rizikos per sprendimą ir bandymą iki patikrinto pagerėjimo. Papildomi rodikliai gali būti patvirtintos pratybų programos įgyvendinimo lygis, korekcinių veiksmų savalaikiškumas ir nepriimtų neatitikimų tarp reikalaujamo bei patvirtinto veiklos tęstinumo pajėgumo skaičius.

Galutinį veiksmų sąrašą galima įtraukti į platesnį grafiką, aprašytą medžiagoje NIS2 įgyvendinimas po įtraukimo į KSC sąrašą: veiksmų planas iki 2027 m. balandžio 3 d.. Tačiau terminus, pareigų apimtį ir taikytinas priemones kiekvienu atveju reikia tikrinti pagal aktualią teisinę padėtį, organizacijos statusą nacionalinėje kibernetinio saugumo sistemoje ir faktinį jos rizikos profilį.