Načrt neprekinjenega poslovanja, pripravljen ob upoštevanju zahtev NIS2, ne sme biti ločen postopek, ki ga vzdržuje samo oddelek IT. Izhajati mora iz analize vpliva na poslovanje in analize tveganj, določati prednostne naloge pri obnovi procesov ter se redno preverjati z vajami. Njegove učinkovitosti ne potrjujejo izjave, temveč dokazana sposobnost organizacije za pravočasno odločanje, prehod na nadomestni način dela, doseganje minimalne ravni delovanja in varen povratek v običajno poslovanje.
Neprekinjeno poslovanje je odločitev vodstva
Načrt neprekinjenega poslovanja se ne začne s predlogo postopka ali seznamom informacijskih sistemov. Izhodišče so storitve, proizvodi in procesi, katerih prekinitev lahko ogrozi izpolnjevanje obveznosti, varnost, skladnost z zahtevami ali finančno stabilnost podjetja. Obseg načrta mora izhajati iz analize vpliva motenj na poslovanje. Organizacija mora ugotoviti, kako se posledice s časom povečujejo, kdaj presežejo raven, ki jo vodstvo še sprejema, in v kakšnem zaporedju je treba obnoviti operativne zmogljivosti.
Dopustnega trajanja prekinitve in sprejemljive ravni izgub ne sme samostojno določiti oddelek IT. Te parametre potrdi vodstvo na podlagi informacij lastnikov procesov ter področij financ, skladnosti, varnosti in tehnologije. Lastnik procesa opredeli zahteve glede neprekinjenega delovanja, lastnik načrta pa usklajuje pripravo in vzdrževanje rešitve. Če teh vlog ne povezuje skupen mehanizem odločanja, IT varuje infrastrukturo, operativa skrbi za izvajanje storitev, poslovodstvo pa nima enotnega pregleda nad prednostnimi nalogami obnove in dopustnimi prekinitvami.
V proizvodnem obratu sama ponovna vzpostavitev sistema za planiranje ali krmiljenje še ne pomeni, da se bodo odpreme nadaljevale. Proizvodnja je lahko še vedno ustavljena zaradi nedostopnih tehnoloških podatkov, pomanjkanja usposobljenih in pooblaščenih operaterjev, izpada električne energije, nedelovanja povezave, ki jo zagotavlja dobavitelj, ali odsotnosti odobrenega postopka za nadomestno delo. Operativna odpornost je vzpostavljena šele, ko načrt zajema celotno verigo odvisnosti procesa in ne samo virov, ki jih nadzira oddelek IT.
Razlikovati je treba tudi med neprekinjenim poslovanjem, obnovo informacijskih virov, odzivanjem na incidente in kriznim upravljanjem. Prvo področje se nanaša na ohranjanje ali ponovno vzpostavitev procesov, drugo na obnovo tehnologije in podatkov, tretje na omejevanje posledic dogodka in njegovo obravnavo, četrto pa na odločanje v razmerah resne motnje. Ti mehanizmi morajo uporabljati skupne scenarije, pragove eskalacije in pravila odgovornosti, vendar niso medsebojno zamenljivi.
Šele tako opredeljen model delovanja je mogoče povezati z obveznostmi glede upravljanja tveganj, neprekinjenega poslovanja, obravnave incidentov in odgovornosti vodstva, ki izhajajo iz NIS2 ter ustreznih nacionalnih predpisov, pri čemer je treba upoštevati, ali in v kakšnem obsegu organizacija spada na področje njihove uporabe. Širši kontekst predstavlja gradivo NIS2 za proizvodna podjetja: za koga velja, katere obveznosti uvaja in kako organizacijo pripraviti, ne da bi področje omejili samo na IT.
Tveganje mora voditi do scenarija
Register tveganj usmerja načrt neprekinjenega poslovanja samo, če prikazuje povezavo med grožnjo, ranljivostjo, virom, procesom in poslovno posledico. Seznam kibernetskih groženj sam po sebi ne pojasni, kako ohraniti delovanje. Scenarije je zato smiselno oblikovati glede na posledice motnje, kot so nedostopnost krmilnega sistema, izguba podatkov, prekinitev povezav, pomanjkanje osebja ali nedostopnost dobavitelja. Različni vzroki lahko povzročijo enako operativno stanje in zahtevajo isto strategijo neprekinjenega poslovanja.
Analiza vpliva na poslovanje in analiza tveganj imata različni, vendar dopolnjujoči se vlogi. Prva določa pomen prekinitve, hitrost povečevanja izgub in trenutek, ko je presežena raven, ki jo vodstvo še sprejema. Druga omogoča prepoznavanje možnih virov dogodka, ranljivosti in učinkovitosti obstoječih kontrol. Izbrani metoda in ocenjevalna lestvica morata omogočati primerjavo scenarijev ter zavestno sprejetje preostalega tveganja v skladu z apetitom organizacije do tveganj.
Število scenarijev je smiselno omejiti na različne posledice, ki zahtevajo drugačne odločitve, vire ali zaporedje obnove. Ločena obravnava vsake tehnične različice praviloma ne poveča uporabnosti načrta, temveč otežuje njegovo vzdrževanje in uporabo pod časovnim pritiskom.
| Proces in posledica | Scenarij | Strategija neprekinjenega poslovanja | Nosilec odločitve | Merilo za aktiviranje |
|---|---|---|---|---|
| Proizvodnja: krmiljenje linije ni na voljo | Nedostopnost krmilnega sistema ne glede na vzrok | Varna zaustavitev, nadomestni način dela in obnova krmiljenja v skladu s prednostnimi nalogami | Vodja operative, določen v načrtu | Predvideno trajanje nedostopnosti presega dopustno prekinitev ali pa varnega nadaljevanja dela ni mogoče zagotoviti |
| Izvedba naročil: podatki niso na voljo | Izguba ali nedostopnost transakcijskih podatkov | Prehod na dogovorjeno nadomestno evidenco, preverjanje celovitosti in obnova podatkov | Lastnik procesa skupaj z osebo, pooblaščeno za odobritev obnove | Nedostopnost zanesljivih podatkov onemogoča izpolnjevanje obveznosti |
| Podpora strankam: zunanja storitev ni na voljo | Prekinitev povezave ali storitve dobavitelja | Aktiviranje alternativne rešitve, pogodbena eskalacija in omejitev obsega storitve | Lastnik storitve | Pred dosego kritičnega praga ni potrjen rok za ponovno vzpostavitev |
Za vsak scenarij je treba določiti dopustno trajanje prekinitve, minimalno raven delovanja, potrebne vire, zaporedje obnove in osebo, pooblaščeno za aktiviranje načrta. Parametri morajo temeljiti na dejanskih časih izpadov in obnove iz incidentov, okvar in vaj ter na pogodbenih zahtevah glede razpoložljivosti, rokov izvedbe in prijavljanja motenj. Na tej podlagi je mogoče meriti čas do odločitve, čas do doseganja minimalne ravni delovanja in čas do popolne obnove.
Analiza mora zajeti dejanske odvisnosti procesa od aplikacij, podatkov, infrastrukture, lokacij, energentov in drugih infrastrukturnih storitev, ključnih kompetenc, ponudnikov IT, integratorjev in podizvajalcev. Če strategija predvideva podporo tretje strani, je treba preveriti njeno razpoložljivost, odzivne čase, eskalacijske poti in nadomestne rešitve, ne pa se omejiti na pogodbena določila. To področje podrobneje obravnava gradivo NIS2 in varnost dobavne verige: kako ocenjevati ponudnike IT, integratorje in podizvajalce.
Načrt mora organizacijo voditi skozi motnjo
Uporaben načrt neprekinjenega poslovanja ne opisuje vseh možnih dogodkov, temveč odgovorne osebe vodi skozi zaporedje potrebnih odločitev. Določati mora, kdo prepozna razmere, kdo razglasi režim neprekinjenega poslovanja, katere procese je treba ohranjati na minimalni ravni, v kakšnem zaporedju se obnavljajo zmogljivosti, kako poteka krizno komuniciranje in na kateri podlagi se izredni režim zaključi.
Raven podrobnosti je ustrezna, kadar načrt zmanjšuje potrebo po razlagi pod časovnim pritiskom, ne da bi nadomeščal tehnična in procesna navodila. V večji organizaciji je praktična rešitev krovni načrt, ki določa vodenje, eskalacijo in skupno ukrepanje, dopolnjen z načrti za posamezne procese.
Postopek aktiviranja mora temeljiti na merljivih pogojih. Zapis »v primeru resne okvare« razpravo o pomenu besede »resna« prestavi v najslabši možni trenutek. Merilo se lahko nanaša na preseganje dopustnega časa prekinitve, izgubo zanesljivosti podatkov, nezmožnost varnega dela, nedostopnost ključnih oseb ali predvideni padec pod minimalno raven delovanja, ki jo je potrdil lastnik procesa. Vsako odstopanje je treba povezati z ukrepom, osebo, pooblaščeno za odločitev, rokom za eskalacijo in zahtevanim zapisom. Podobno logiko, čeprav na drugi operativni ravni, ureja gradivo Reakcijski načrt v načrtu obvladovanja: kako opredeliti ukrepe, ko proces preseže določene meje.
Vloge je treba vezati na funkcije in ne samo na imena posameznikov. Matrika odgovornosti mora vključevati namestnike, obseg pooblastil, razpoložljivost ter osnovni in rezervni komunikacijski kanal. Imenski seznam kontaktov je lahko nadzorovana priloga, tako da kadrovska sprememba ne zahteva prenove celotnega načrta.
Poslovodstvo mora sprejemati odločitve, ki presegajo potrjeni operativni okvir, vključno s sprejetjem pomembnega poslovnega tveganja, aktiviranjem izrednih ukrepov ali strateškim komuniciranjem. Odločitev o prehodu na vnaprej odobreni nadomestni način dela pa mora biti sprejeta čim bližje procesu.
Ob izpadu sistema za naročila lahko dežurna oseba potrdi nedostopnost in pričakovano trajanje prekinitve, lastnik procesa aktivira nadomestno evidenco, koordinator neprekinjenega poslovanja pa ob doseženem pragu eskalira dogodek. Načrt mora določati omejitve takega obvoda: zmogljivost, najdaljši dovoljeni čas uporabe, pravila varovanja in celovitosti podatkov, zahtevana ročna usklajevanja ter način poznejšega vnosa zapisov v sistem.
Vrnitev v običajno poslovanje je mogoča šele po potrditvi stabilnosti rešitve, popolnosti podatkov in uskladitvi ročno izvedenih operacij. Nastali zapisi morajo omogočiti oceno časa do odločitve, doseganja minimalne ravni delovanja in popolne obnove.
Največji stroški nastajajo na stičiščih načrtov
Obsega izgube ne določa samo vzrok okvare. Prekinitev podaljšujejo tudi čakanje na odobritev, nejasna klasifikacija dogodka, neusklajene prednostne naloge obnove in pomanjkljivo poznavanje odvisnosti med procesi, sistemi in dobavitelji. Načrt odzivanja na incidente je namenjen predvsem zaznavi, oceni, omejitvi in obravnavi dogodka. Načrt neprekinjenega poslovanja pa mora poslovanje ohraniti na sprejeti ravni. Oba mehanizma morata določati skupne točke predaje informacij in odločitev: kdo ugotovi ogroženost neprekinjenega poslovanja, kdo aktivira nadomestni režim in kdo odobri vrnitev v običajno delovanje.
Prednostna razvrstitev tehnične obnove mora izhajati iz prednostnih procesov, vendar ne sme biti zgolj njihov neposredni prepis. Sistem, ki podpira najpomembnejši proces, lahko zahteva predhodno vzpostavitev identitetnih, omrežnih, podatkovnih ali integracijskih storitev. Ob tem je treba ohraniti celovitost podatkov, pravilno zaporedje zagona in varnostne mehanizme. Usklajenost poslovnih in tehničnih prednostnih nalog se preverja s primerjavo zahtevane razpoložljivosti procesa z dejanskimi rezultati preizkusov obnove varnostnih kopij, dopustno izgubo podatkov in infrastrukturnimi odvisnostmi.
Operativa lahko pričakuje, da se sprejem naročil obnovi pred obračunskimi procesi, medtem ko IT najprej načrtuje ponovno vzpostavitev obračunskega sistema, ker ta vsebuje centralni register poslovnih partnerjev. Če ta odvisnost ni vnaprej usklajena, se odločitev sprejema pod pritiskom, ročni obvod pa lahko ustvari podatke, ki jih pozneje ni mogoče varno uskladiti. Tak primer je treba ocenjevati na podlagi dejanskih časov zaznave, eskalacije, odločanja in obnove ter rezultatov preizkusov, ki potrjujejo popolnost in celovitost podatkov.
Podobna vrzel nastane na meji odgovornosti dobavitelja. Pogodbena izjava o razpoložljivosti storitve ne nadomesti osebno ali funkcijsko določene eskalacijske poti, dogovorjenih parametrov obnove, dostopa do informacij o poteku motnje in obveznosti sodelovanja pri vajah. Zahteve kritičnih procesov je treba primerjati s pogodbenimi pogoji in dejanskimi zmožnostmi izvajalca. Šele nato je mogoče zavestno odločiti, ali vzdrževati rezervno rešitev, sprejeti prekinitev, uporabiti lastne vire ali zunanjo storitev.
Proračun mora odpravljati vrzeli v zmogljivostih, ne pa financirati števila dokumentov. Naložbe se lahko nanašajo na dodatno redundanco, krajšo pot odločanja, pogostejše preizkuse obnove, spremembo pogodbenih pogojev ali zagotovitev alternativnega načina izvajanja procesa. Način strukturiranja teh stroškov podrobneje obravnava analiza Koliko stane uvedba NIS2 in uKSC – kako pripraviti proračun za presojo, dokumentacijo, usposabljanja in varnostne ukrepe brez dragih napak.
Vaja mora preverjati odločitve
Vaja neprekinjenega poslovanja ne sme biti omejena na branje postopka ali potrjevanje prisotnosti udeležencev. Preverjati mora jasno oblikovano hipotezo, na primer: ali zna organizacija brez osnovnega sistema aktivirati nadomestni proces, ohraniti nadzor nad vnesenimi podatki in jih po obnovi storitve varno uskladiti.
Program vaj je smiselno razvijati postopoma: od pregleda vlog in namizne vaje prek preizkusa izbranega postopka ali obnove do tehnično-operativne vaje, ki vključuje sodelovanje poslovnih funkcij, IT, vodstva in dobaviteljev. Obseg naj se povečuje glede na tveganje, pomembnost procesa in pripravljenost organizacije.
Scenarij mora zahtevati odločanje v razmerah, primerljivih z dejansko motnjo. Vključuje lahko nepopolne informacije, časovni pritisk, nasprotujoče si prednostne naloge in nedostopnost pomembne odvisnosti, kot so odločevalec, storitev dobavitelja ali posodobljen seznam kontaktov. Vaja pa ne sme biti past za udeležence. Predmet ocenjevanja je sistem: razdelitev odgovornosti, kakovost informacij, izvedljivost postopkov in zmožnost eskalacije, ne pa individualno kaznovanje zaposlenih.
Sodelovanje vodstva je potrebno, kadar scenarij zahteva sprejetje tveganja, spremembo prednostnih nalog ali aktiviranje drage nadomestne rešitve. Dobavitelja je treba vključiti, kadar je neprekinjenost procesa odvisna od njegovega odziva.
Primer vaje se lahko začne z nedostopnostjo sistema za obdelavo naročil. Vodja vaje nato sporoči, da je varnostna kopija podatkov nepopolna in da se ponudnik storitve odziva z zamudo. Skupina se mora odločiti, ali bo aktivirala ročno obdelavo, katera naročila bo sprejela in kako bo označevala zapise, da po obnovi storitve ne pride do podvajanja ali izgube celovitosti podatkov.
Med vajo je treba meriti čas zaznave motnje, eskalacije, aktiviranja režima neprekinjenega poslovanja, doseganja minimalne ravni delovanja in obnove. Hkrati se ocenjujejo kakovost pretoka informacij in zapisov, primeri uporabe zastarelih kontaktnih podatkov, neučinkovite eskalacije in koraki načrta, ki jih ni bilo mogoče izvesti. Dosežene čase je treba primerjati z odobrenimi cilji neprekinjenega poslovanja.
Pogostost in oblika vaj morata izhajati iz tveganj, sprememb procesov, rezultatov prejšnjih preizkusov in pomembnosti odvisnosti, ne samo iz letnega urnika. Napovedana vaja je primernejša za učenje in usklajevanje vlog. Nenapovedana vaja omogoča oceno dejanske pripravljenosti, vendar zahteva nadzor operativnega tveganja. Uporaba produkcijskega sistema je upravičena samo, če so obseg, zaščitni ukrepi in možnost prekinitve preizkusa zavestno odobreni; v drugih primerih je primernejše testno okolje.
Vsaka vaja se mora končati z ugotovitvami, ki imajo določenega nosilca, rok izvedbe, merilo učinkovitosti in odločitev o ponovnem preverjanju. Delež pravočasno zaključenih ukrepov je koristen kazalnik, vendar status »izvedeno« sam po sebi ne dokazuje izboljšave. Odločilen je rezultat ponovnega preizkusa. Pri strukturiranju scenarijev, zapisnikov, korektivnih ukrepov in kazalnikov je lahko v pomoč pristop iz gradiva Kako oblikovati knjižnico predlog kakovosti: FMEA, Control Plan, 8D, presoja, CAPA in KPI.
Cikel zaključite z dokazili in vodstvenim pregledom
Zbirka postopkov še ne dokazuje sposobnosti ohranjanja delovanja. Verodostojna veriga dokazil mora povezovati odobrene predpostavke analize tveganj in neprekinjenega poslovanja, odločitve lastnikov procesov, zapise preizkusov, rezultate vaj, ugotovljene neskladnosti, korektivne ukrepe in oceno njihove učinkovitosti. Evidenca različic načrta neprekinjenega poslovanja mora poleg datuma in avtorja spremembe navajati tudi dogodek, odločitev ali rezultat analize, ki je spremembo utemeljil.
Pogostost pregleda načrta je treba prilagoditi kritičnosti procesov in spremenljivosti tveganj. Sam redni datum pregleda ne zadostuje. Pregled je treba izvesti tudi po incidentu, vaji ali pomembni spremembi procesa, tehnologije, lokacije, dobavitelja, organizacijske strukture ali profila tveganj. Merila sprejemljivosti rezultatov vaje morajo biti določena pred njenim začetkom, da se ocena ne omeji na subjektivno ugotovitev, da se je organizacija »znašla«.
Mesečno spremljanje lahko pokaže, da je bil program vaj izveden po načrtu, vendar eden od procesov ni dosegel zahtevanega časa obnove, za ključno storitev dobavitelja pa še vedno ni nadomestne rešitve. Tak rezultat ne sme ostati skrit v tehničnem zapisniku. Poslovodstvo mora prejeti informacije o procesih, ki ne dosegajo zahtevane zmogljivosti, nesprejetih odstopanjih, zavestno sprejetih tveganjih ter potrebnih naložbah ali organizacijskih odločitvah. Vodstveni pregled se mora zaključiti z dokumentiranimi sklepi, ne zgolj s seznanitvijo z informacijami.
Notranja presoja mora preverjati skladnost med izjavami in dejansko prakso: ali proces, opredeljen kot kritičen, res sodeluje pri vajah, ali tehnični cilji obnove ustrezajo operativnim potrebam ter ali so bili ukrepi po preizkusih zaključeni in je bila njihova učinkovitost potrjena. Presojevalcu ali nadzornemu organu je treba predstaviti zaporedje zapisov, ki prikazuje pot od prepoznanega tveganja prek odločitve in preizkusa do preverjene izboljšave. Podporni kazalniki vključujejo stopnjo izvedbe odobrenega programa vaj, pravočasnost korektivnih ukrepov ter število nesprejetih odstopanj med zahtevano in potrjeno zmogljivostjo neprekinjenega poslovanja.
Končni seznam ukrepov je mogoče vključiti v širši časovni načrt, opisan v gradivu Uvedba NIS2 po vpisu na seznam KSC – načrt ukrepov do 3. aprila 2027. Roke, obseg obveznosti in ustrezne ukrepe pa je treba vedno preveriti glede na trenutno veljavno zakonodajo, status organizacije v nacionalnem sistemu kibernetske varnosti in njen dejanski profil tveganj.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
