A NIS2 követelményeire felkészített üzletmenet-folytonossági terv nem lehet az informatikai terület által elkülönülten kezelt eljárás. Az üzleti hatáselemzésre és a kockázatelemzésre kell épülnie, meg kell határoznia a folyamatok helyreállítási prioritásait, és rendszeres gyakorlatok tárgyát kell képeznie. Hatékonyságát nem a nyilatkozatok igazolják, hanem az, hogy a szervezet képes-e döntést hozni, aktiválni az alternatív működési módot, elérni a minimálisan szükséges működési szintet, majd biztonságosan visszatérni a normál működéshez.
Az üzletmenet-folytonosság vezetői döntés
Az üzletmenet-folytonossági terv kidolgozása nem egy eljárássablonnal vagy az informatikai rendszerek jegyzékével kezdődik. Kiindulópontját azok a szolgáltatások, termékek és folyamatok jelentik, amelyek kiesése veszélyeztetheti a vállalt kötelezettségek teljesítését, a biztonságot, a követelményeknek való megfelelést vagy a vállalkozás pénzügyi stabilitását. A terv hatókörét az üzleti hatáselemzés eredményei alapján kell meghatározni. Értékelni kell, hogyan növekednek idővel a kiesés következményei, mikor haladják meg a vezetés által elfogadhatónak tekintett szintet, és milyen sorrendben kell helyreállítani a működési képességeket.
A megengedhető kiesési időt és az elfogadható veszteségszintet nem határozhatja meg önállóan az informatikai terület. Ezeket a paramétereket a vezetés hagyja jóvá a folyamattulajdonosok, valamint a pénzügyi, megfelelőségi, biztonsági és technológiai szakterületek információi alapján. A folyamat folytonossági követelményeit a folyamattulajdonos határozza meg, míg a terv gazdája koordinálja a megoldás kialakítását és fenntartását. Közös döntési mechanizmus hiányában az informatika az infrastruktúrát védi, az operáció a szolgáltatások teljesítéséért felel, a felső vezetés viszont nem kap egységes képet a helyreállítási prioritásokról és a megengedhető leállási időkről.
Egy gyártóüzemben a tervezési vagy vezérlőrendszer helyreállítása önmagában még nem jelenti a kiszállítások újraindulását. A termelés továbbra is állhat a technológiai adatok elérhetetlensége, a megfelelő jogosultsággal rendelkező kezelők hiánya, az energiaellátás kiesése, a szolgáltató által biztosított kommunikációs kapcsolat hibája vagy a jóváhagyott alternatív munkavégzési eljárás hiánya miatt. Működési rezilienciáról csak akkor beszélhetünk, ha a terv a folyamat teljes függőségi láncát lefedi, nem csupán az informatika által felügyelt erőforrásokat.
Világosan el kell különíteni egymástól az üzletmenet-folytonosságot, az informatikai erőforrások katasztrófa utáni helyreállítását, az incidenskezelést és a válságkezelést. Az első a folyamatok fenntartására vagy újraindítására, a második a technológia és az adatok helyreállítására, a harmadik az esemény következményeinek korlátozására és kezelésére, a negyedik pedig a súlyos zavarhelyzetben szükséges döntéshozatalra irányul. Ezeknek a mechanizmusoknak közös forgatókönyvekre, eszkalációs küszöbökre és felelősségi szabályokra kell támaszkodniuk, de nem helyettesítik egymást.
Az így meghatározott működési modell kapcsolható össze a NIS2-ből és az alkalmazandó nemzeti szabályozásból eredő kockázatkezelési, üzletmenet-folytonossági, incidenskezelési és vezetői felelősségi kötelezettségekkel, figyelembe véve, hogy a szervezet az érintetti körbe tartozik-e. Tágabb összefüggéseket mutat be a NIS2 a gyártóvállalatok számára: kiket érint, milyen kötelezettségeket vezet be, és hogyan készíthető fel a szervezet anélkül, hogy a kérdést kizárólag informatikai feladattá szűkítenénk című anyag.
A kockázatértékelésnek forgatókönyvhöz kell vezetnie
A kockázati nyilvántartás csak akkor képes ténylegesen irányítani az üzletmenet-folytonossági tervezést, ha bemutatja a fenyegetés, a sérülékenység, az erőforrás, a folyamat és az üzleti következmény közötti kapcsolatot. A kiberfenyegetések puszta felsorolása nem ad választ arra, hogyan tartható fenn a működés. A forgatókönyveket ezért a zavar következményei köré célszerű felépíteni, például a vezérlőrendszer elérhetetlenségére, adatvesztésre, kommunikációs kapcsolat megszakadására, személyzethiányra vagy szolgáltatói kiesésre. Különböző kiváltó okok azonos működési állapothoz vezethetnek, és ugyanazt a folytonossági stratégiát tehetik szükségessé.
Az üzleti hatáselemzés és a kockázatelemzés eltérő, de egymást kiegészítő szerepet tölt be. Az előbbi meghatározza a kiesés jelentőségét, a veszteségek növekedésének ütemét és azt az időpontot, amikor a következmények meghaladják a vezetés által elfogadott szintet. Az utóbbi feltárja az esemény lehetséges forrásait, a sérülékenységeket és a meglévő kontrollok eredményességét. Az alkalmazott módszernek és értékelési skálának lehetővé kell tennie a forgatókönyvek összehasonlítását, valamint a fennmaradó kockázat tudatos, a szervezet kockázati étvágyával összhangban történő elfogadását.
A forgatókönyvek számát célszerű azokra az elkülöníthető következményekre korlátozni, amelyek eltérő döntést, erőforrást vagy helyreállítási sorrendet igényelnek. Minden technikai változat külön elemzése rendszerint nem javítja a terv használhatóságát, viszont megnehezíti annak naprakészen tartását és időnyomás alatti alkalmazását.
| Folyamat és következmény | Forgatókönyv | Folytonossági stratégia | Döntésgazda | Aktiválási feltétel |
|---|---|---|---|---|
| Termelés: a gyártósor nem vezérelhető | A vezérlőrendszer elérhetetlensége, az októl függetlenül | Biztonságos leállítás, alternatív üzemmód, a vezérlés prioritás szerinti helyreállítása | A tervben kijelölt operatív vezető | Az elérhetetlenség várható időtartama meghaladja a megengedhető kiesési időt, vagy a biztonságos működés nem folytatható |
| Megrendelések teljesítése: az adatok nem érhetők el | A tranzakciós adatok elvesztése vagy elérhetetlensége | Áttérés az egyeztetett helyettesítő nyilvántartásra, integritás-ellenőrzés és adat-helyreállítás | A folyamattulajdonos és a helyreállítás jóváhagyására felhatalmazott személy | A megbízható adatokhoz való hozzáférés hiánya akadályozza a kötelezettségek teljesítését |
| Ügyfélkiszolgálás: külső szolgáltatás kiesése | A kommunikációs kapcsolat vagy a szolgáltatói szolgáltatás megszakadása | Alternatív megoldás aktiválása, szerződés szerinti eszkaláció, a kiszolgálási kör korlátozása | A szolgáltatás gazdája | A kritikus küszöb elérése előtt nincs megerősített helyreállítási időpont |
Minden forgatókönyvhöz meg kell határozni a megengedhető kiesési időt, a minimális működési szintet, a szükséges erőforrásokat, a helyreállítás sorrendjét és a terv aktiválására felhatalmazott személyt. A paramétereket incidensek, meghibásodások és gyakorlatok tényleges leállási és helyreállítási időire, továbbá az elérhetőségre, teljesítési határidőkre és zavarok bejelentésére vonatkozó szerződéses követelményekre kell alapozni. Ezek alapján mérhető a döntéshozatal, a minimális működési szint elérése és a teljes helyreállítás időigénye.
Az elemzésnek figyelembe kell vennie a folyamat alkalmazásoktól, adatoktól, infrastruktúrától, telephelyektől, közművektől, kulcskompetenciáktól, informatikai szolgáltatóktól, integrátoroktól és alvállalkozóktól való tényleges függését. Ha a stratégia harmadik fél támogatására épül, a szerződés szövegén túl ellenőrizni kell annak rendelkezésre állását, reakcióidejét, eszkalációs csatornáit és alternatív megoldásait is. Ezt a témát részletesebben tárgyalja a NIS2 és az ellátási lánc biztonsága: az IT-szolgáltatók, integrátorok és alvállalkozók értékelése című anyag.
A tervnek végig kell vezetnie a szervezetet a zavarhelyzeten
Egy használható üzletmenet-folytonossági terv nem minden elképzelhető eseményt kíván leírni, hanem a felelősöket vezeti végig az egymást követő döntési pontokon. Meg kell határoznia, ki azonosítja a helyzetet, ki rendeli el a folytonossági működési módot, mely folyamatokat kell minimális szinten fenntartani, milyen sorrendben kell visszaállítani a képességeket, hogyan történik a válságkommunikáció, és milyen feltételek alapján zárható le a rendkívüli működés.
A részletezettség akkor megfelelő, ha időnyomás alatt csökkenti az értelmezés szükségességét, ugyanakkor nem próbálja helyettesíteni a technikai és folyamatutasításokat. Nagyobb szervezetben célszerű olyan központi tervet kialakítani, amely rögzíti az irányítás, az eszkaláció és az együttműködés közös szabályait, és amelyet az egyes folyamatokra vonatkozó tervek egészítenek ki.
Az aktiválási eljáráshoz mérhető feltételek szükségesek. A „súlyos meghibásodás esetén” megfogalmazás a lehető legrosszabb időpontra halasztja a „súlyos” szó értelmezéséről szóló vitát. Aktiválási feltétel lehet a megengedhető kiesési idő túllépése, az adatok megbízhatóságának elvesztése, a biztonságos munkavégzés ellehetetlenülése, kulcsszemélyek elérhetetlensége vagy a folyamattulajdonos által jóváhagyott minimális működési szint alá történő várható visszaesés. Minden eltérést össze kell kapcsolni az elvégzendő intézkedéssel, a döntésre jogosult személlyel, az eszkaláció határidejével és az előírt feljegyzéssel. Hasonló logikát alkalmaz más operatív szinten a Reakcióterv a szabályozási tervben – hogyan határozzuk meg az intézkedéseket, ha a folyamat kilép az előírt határok közül című anyag.
A szerepköröket szervezeti funkciókhoz, nem kizárólag személynevekhez kell rendelni. A felelősségi mátrixnak ki kell térnie a helyettesítésre, a hatáskörökre, a rendelkezésre állásra, valamint az elsődleges és tartalék kapcsolattartási csatornákra. A név szerinti kapcsolati lista szabályozott mellékletként kezelhető, így egy személyi változás miatt nem szükséges a teljes tervet átdolgozni.
A felső vezetésnek azokban a kérdésekben kell döntenie, amelyek meghaladják a jóváhagyott operatív hatáskört, ideértve a működés szempontjából jelentős kockázat elfogadását, a rendkívüli erőforrások igénybevételét vagy a stratégiai jelentőségű kommunikációt. Az előzetesen jóváhagyott alternatív működési mód aktiválásáról szóló döntést ugyanakkor célszerű a folyamathoz a lehető legközelebbi szinten tartani.
A rendeléskezelő rendszer kiesésekor az ügyeletes munkatárs megerősítheti az elérhetetlenséget és a várható kiesési időt, a folyamattulajdonos aktiválhatja a helyettesítő nyilvántartást, a folytonossági koordinátor pedig az előre meghatározott küszöb elérésekor eszkalálhatja az eseményt. A tervben meg kell határozni az ilyen kerülő megoldás korlátait: kapacitását, alkalmazásának maximális időtartamát, az adatvédelem és adatintegritás szabályait, a szükséges manuális egyeztetéseket, valamint az adatok későbbi rendszerbe történő rögzítésének módját.
A normál működéshez csak a megoldás stabilitásának, az adatok teljességének és a kézzel végzett műveletek egyeztetésének igazolása után szabad visszatérni. A keletkező feljegyzéseknek lehetővé kell tenniük a döntési idő, a minimális működési szint eléréséhez szükséges idő és a teljes helyreállítás időtartamának értékelését.
A legnagyobb veszteség a tervek kapcsolódási pontjain keletkezik
A veszteség mértékét nem kizárólag a meghibásodás kiváltó oka határozza meg. A kiesést tovább növelheti a jóváhagyásra várakozás, az esemény nem egyértelmű besorolása, az eltérő helyreállítási prioritások, valamint a folyamatok, rendszerek és szolgáltatók közötti függőségek hiányos ismerete. Az incidenskezelési terv elsődleges célja az esemény észlelése, értékelése, korlátozása és kezelése. Az üzletmenet-folytonossági terv ezzel szemben a működés elfogadott szinten történő fenntartását szolgálja. Mindkét mechanizmusban azonosítani kell az információ- és döntésátadás közös pontjait: ki állapítja meg, hogy veszélybe került a folytonosság, ki aktiválja az alternatív működést, és ki hagyja jóvá a normál működéshez való visszatérést.
A technikai helyreállítás prioritásának az üzleti folyamat prioritásából kell következnie, de nem lehet annak egyszerű másolata. A legfontosabb folyamatot támogató rendszer helyreállítása előtt szükség lehet az identitáskezelési, hálózati, adatbázis- vagy integrációs szolgáltatások elindítására. Eközben meg kell őrizni az adatok integritását, a helyes indítási sorrendet és a biztonsági kontrollokat. Az üzleti és technikai prioritások összhangja úgy ellenőrizhető, hogy a folyamat elvárt rendelkezésre állását összevetjük a biztonsági mentések visszaállítási próbáinak tényleges eredményeivel, a megengedhető adatvesztéssel és az infrastruktúra függőségeivel.
Az operatív terület például a megrendelések fogadásának újraindítását várhatja a pénzügyi elszámolások helyreállítása előtt, miközben az informatikai csapat azért tervez fordított sorrendet, mert az elszámolási rendszer tartalmazza a partnerek központi törzsadat-nyilvántartását. Ha ezt a függőséget előzetesen nem egyeztették, a döntést nyomás alatt kell meghozni, a manuális kerülő megoldás pedig olyan adatokat hozhat létre, amelyek később nem egyeztethetők biztonságosan. Az ilyen esetet az észlelés, az eszkaláció, a döntéshozatal és a helyreállítás tényleges időadatai, valamint az adatok teljességét és integritását igazoló próbák eredményei alapján kell értékelni.
Hasonló hiányosság keletkezik a szolgáltatói felelősség határán. A szolgáltatás szerződésben rögzített rendelkezésre állása nem helyettesíti a név vagy funkció szerinti eszkalációs útvonalat, az egyeztetett helyreállítási paramétereket, a zavar lefolyására vonatkozó információkhoz való hozzáférést vagy a gyakorlatok során elvárt együttműködést. A kritikus folyamatok követelményeit össze kell vetni a szerződéses feltételekkel és a szolgáltató tényleges képességeivel. Csak ezután hozható tudatos döntés arról, hogy szükséges-e tartalék megoldást fenntartani, elfogadható-e a leállás, illetve saját erőforrást vagy külső szolgáltatást célszerű-e igénybe venni.
A költségvetést a képességekben azonosított hiányosságokhoz kell igazítani, nem a dokumentumok számához. A ráfordítás irányulhat további redundanciára, a döntési útvonal rövidítésére, gyakoribb helyreállítási próbákra, a szerződéses feltételek módosítására vagy a folyamat alternatív végrehajtási módjának biztosítására. Az ilyen költségek rendszerezését részletesebben bemutatja a Mennyibe kerül a NIS2 és az uKSC bevezetése – hogyan tervezzük meg az audit, a dokumentáció, a képzések és a védelmi intézkedések költségvetését költséges hibák nélkül című elemzés.
A gyakorlatnak a döntési képességet kell vizsgálnia
Az üzletmenet-folytonossági gyakorlat nem korlátozódhat az eljárás felolvasására vagy a résztvevők jelenlétének igazolására. Egyértelműen meghatározott hipotézist kell vizsgálnia, például azt, hogy a szervezet képes-e az alapvető rendszer nélkül elindítani az alternatív folyamatot, ellenőrzés alatt tartani a bevitt adatokat, majd a szolgáltatás helyreállítása után biztonságosan egyeztetni azokat.
A gyakorlatok programját célszerű fokozatosan fejleszteni: a szerepkörök áttekintésétől és az asztali gyakorlatoktól egy kiválasztott eljárás vagy helyreállítás kipróbálásán át egészen az üzleti, informatikai, vezetői és szolgáltatói együttműködést vizsgáló technikai-operatív gyakorlatig. A gyakorlat hatókörének a kockázattal, a folyamat jelentőségével és a szervezet felkészültségével arányosan kell bővülnie.
A forgatókönyvnek a valós zavarhelyzethez hasonló feltételek között kell döntésre késztetnie a résztvevőket. Ezt szolgálhatják a hiányos információk, az időnyomás, az ütköző prioritások vagy egy lényeges függőség kiesése, például a jóváhagyó személy, a szolgáltatói szolgáltatás vagy az aktuális kapcsolati lista elérhetetlensége. A gyakorlat ugyanakkor nem lehet a résztvevők számára felállított csapda. Az értékelés tárgya a rendszer: a felelősségek megosztása, az információk minősége, az eljárások végrehajthatósága és az eszkalációs képesség, nem pedig a munkatársak egyéni hibáztatása.
A vezetés részvétele ott szükséges, ahol a forgatókönyv kockázatelfogadást, a prioritások módosítását vagy költséges alternatív megoldás aktiválását igényli. A szolgáltatót akkor kell bevonni, ha reakciója meghatározza a folyamat folytonosságát.
Egy lehetséges gyakorlat a megrendeléskezelő rendszer elérhetetlenségével kezdődhet. Ezt követően a gyakorlatvezető arról tájékoztatja a résztvevőket, hogy az adatmentés hiányos, a szolgáltató válasza pedig késik. A csapatnak el kell döntenie, elindítja-e a kézi ügyintézést, mely megrendeléseket fogadja be, és hogyan jelöli meg a feljegyzéseket annak érdekében, hogy a szolgáltatás helyreállítása után elkerülhető legyen a duplikáció és az adatintegritás sérülése.
A gyakorlat során mérni kell a zavar felismerésének, eszkalációjának, a folytonossági működési mód aktiválásának, a minimális működési szint elérésének és a helyreállításnak az idejét. Ezzel párhuzamosan értékelni kell az információáramlás és a feljegyzések minőségét, az elavult kapcsolati adatok használatát, a sikertelen eszkalációkat, valamint a terv azon lépéseit, amelyeket nem lehetett végrehajtani. A tényleges időeredményeket össze kell vetni a jóváhagyott folytonossági célokkal.
A gyakorlatok gyakoriságát és formáját a kockázat, a folyamatváltozások, a korábbi próbák eredményei és a függőségek jelentősége alapján kell meghatározni, nem kizárólag az éves ütemterv szerint. A bejelentett gyakorlat alkalmasabb a tanulásra és a szerepkörök egyeztetésére. A bejelentés nélküli gyakorlat valósabb képet adhat a tényleges felkészültségről, de az operatív kockázatokat ellenőrzés alatt kell tartani. Éles rendszer használata csak akkor indokolt, ha a hatókört, a biztonsági intézkedéseket és a próba megszakításának lehetőségét tudatosan jóváhagyták; egyéb esetekben tesztkörnyezet alkalmazása célszerű.
Minden gyakorlatot olyan intézkedési tervvel kell lezárni, amelynek kijelölt felelőse, határideje, eredményességi kritériuma és ismételt ellenőrzésére vonatkozó döntése van. A határidőre lezárt intézkedések aránya hasznos mutató, de az „elvégezve” státusz önmagában nem bizonyít javulást. A döntő bizonyíték az ismételt próba eredménye. A forgatókönyvek, jegyzőkönyvek, helyesbítő tevékenységek és mutatók rendszerezéséhez használható a Minőségirányítási sablontár kialakítása: FMEA, Control Plan, 8D, audit, CAPA és KPI című anyagban ismertetett megközelítés.
A ciklust bizonyítékokkal és vezetőségi átvizsgálással kell lezárni
Az eljárások megléte önmagában nem igazolja a működés fenntartásának képességét. A hiteles bizonyítékláncnak össze kell kapcsolnia a kockázatelemzés és a folytonossági tervezés jóváhagyott feltételezéseit, a folyamattulajdonosok döntéseit, a próbák feljegyzéseit, a gyakorlatok eredményeit, a feltárt nemmegfelelőségeket, a helyesbítő tevékenységeket és azok eredményességének értékelését. Az üzletmenet-folytonossági terv verziókövetésében nemcsak a módosítás dátumát és szerzőjét kell feltüntetni, hanem azt az eseményt, döntést vagy elemzési eredményt is, amely a változtatást indokolta.
A terv felülvizsgálati gyakoriságát a folyamatok kritikusságához és a kockázatok változékonyságához kell igazítani. Az időszakos felülvizsgálat önmagában nem elegendő. Felülvizsgálatot kell kezdeményezni incidens vagy gyakorlat után, továbbá a folyamat, a technológia, a telephely, a szolgáltató, a szervezeti felépítés vagy a kockázati profil lényeges változásakor. A gyakorlat eredményeinek elfogadási kritériumait még a végrehajtás előtt meg kell határozni, hogy az értékelés ne merüljön ki abban a szubjektív kijelentésben, hogy a szervezet „megoldotta” a helyzetet.
A havi monitoring kimutathatja, hogy a gyakorlati program az ütemterv szerint megvalósult, miközben az egyik folyamat nem érte el az előírt helyreállítási időt, egy kritikus szolgáltatói szolgáltatáshoz pedig továbbra sem áll rendelkezésre alternatív megoldás. Az ilyen eredmény nem maradhat egy technikai jegyzőkönyvben. A felső vezetésnek információt kell kapnia azokról a folyamatokról, amelyek nem érik el a szükséges képességszintet, a még nem elfogadott eltérésekről, a tudatosan vállalt kockázatokról, valamint a szükséges beruházásokról vagy szervezeti döntésekről. A vezetőségi átvizsgálásnak dokumentált döntésekkel kell zárulnia, nem pusztán az információk tudomásulvételével.
A belső auditnak azt kell vizsgálnia, hogy a deklarált működés összhangban áll-e a gyakorlattal: a kritikusnak minősített folyamat valóban részt vesz-e a gyakorlatokban, a technikai helyreállítási célok megfelelnek-e az operatív igényeknek, valamint lezárták-e a próbák után meghatározott intézkedéseket, és igazolták-e azok eredményességét. Az auditornak vagy a felügyeleti szervnek olyan összefüggő feljegyzéssort kell bemutatni, amely az azonosított kockázattól a döntésen és a próbán keresztül az igazolt fejlesztésig követhető. Hasznos kiegészítő mutató a jóváhagyott gyakorlati program teljesítési aránya, a helyesbítő tevékenységek határidőre történő lezárása, valamint az elvárt és az igazolt folytonossági képesség közötti, még el nem fogadott eltérések száma.
A záró intézkedési lista beilleszthető a A NIS2 bevezetése a KSC-jegyzékbe történő felvételt követően – intézkedési terv 2027. április 3-ig című anyagban bemutatott átfogóbb ütemtervbe. A határidőket, a kötelezettségek körét és a megfelelő intézkedéseket azonban minden esetben az aktuális jogi helyzet, a szervezetnek a nemzeti kiberbiztonsági rendszerben betöltött státusza és tényleges kockázati profilja alapján kell ellenőrizni.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
