Σχέδιο επιχειρησιακής συνέχειας για την NIS2: σύνδεση BCP, ανάλυσης κινδύνων και ασκήσεων κρίσης

Ένα σχέδιο επιχειρησιακής συνέχειας που έχει σχεδιαστεί με βάση τις απαιτήσεις της NIS2 δεν μπορεί να αποτελεί απομονωμένη διαδικασία την οποία συντηρεί αποκλειστικά το τμήμα πληροφορικής. Πρέπει να προκύπτει από την ανάλυση επιχειρησιακών επιπτώσεων και την ανάλυση κινδύνων, να καθορίζει τις προτεραιότητες ανάκαμψης των διεργασιών και να δοκιμάζεται τακτικά. Η αποτελεσματικότητά του δεν αποδεικνύεται με δηλώσεις, αλλά με την πραγματική ικανότητα του οργανισμού να λαμβάνει αποφάσεις, να ενεργοποιεί εναλλακτικό τρόπο λειτουργίας, να επιτυγχάνει το ελάχιστο αποδεκτό επίπεδο λειτουργίας και να επιστρέφει με ασφάλεια στην κανονική λειτουργία.

Η επιχειρησιακή συνέχεια αποτελεί διοικητική απόφαση

Το σχέδιο επιχειρησιακής συνέχειας δεν ξεκινά από ένα πρότυπο διαδικασίας ούτε από έναν κατάλογο πληροφοριακών συστημάτων. Αφετηρία αποτελούν οι υπηρεσίες, τα προϊόντα και οι διεργασίες των οποίων η διακοπή μπορεί να θέσει σε κίνδυνο την εκπλήρωση υποχρεώσεων, την ασφάλεια, τη συμμόρφωση με τις εφαρμοζόμενες απαιτήσεις ή τη χρηματοοικονομική σταθερότητα της επιχείρησης. Το πεδίο εφαρμογής του σχεδίου πρέπει να προκύπτει από την ανάλυση επιχειρησιακών επιπτώσεων. Χρειάζεται να προσδιοριστεί πώς κλιμακώνονται οι συνέπειες με την πάροδο του χρόνου, πότε υπερβαίνουν το επίπεδο που έχει αποδεχθεί η διοίκηση και με ποια σειρά πρέπει να αποκατασταθούν οι επιχειρησιακές δυνατότητες.

Ο μέγιστος ανεκτός χρόνος διακοπής και το αποδεκτό επίπεδο απωλειών δεν πρέπει να καθορίζονται μονομερώς από το τμήμα πληροφορικής. Οι παράμετροι αυτές εγκρίνονται από τη διοίκηση, με βάση τις πληροφορίες που παρέχουν οι ιδιοκτήτες διεργασιών και οι αρμόδιες λειτουργίες οικονομικών, συμμόρφωσης, ασφάλειας και τεχνολογίας. Ο ιδιοκτήτης της διεργασίας προσδιορίζει τις απαιτήσεις συνέχειας, ενώ ο ιδιοκτήτης του σχεδίου συντονίζει την προετοιμασία και τη διατήρηση της λύσης. Αν οι ρόλοι αυτοί δεν συνδέονται μέσω κοινού μηχανισμού λήψης αποφάσεων, η πληροφορική προστατεύει την υποδομή, οι επιχειρησιακές λειτουργίες παραμένουν υπεύθυνες για την παροχή προϊόντων ή υπηρεσιών και η διοίκηση δεν διαθέτει ενιαία εικόνα για τις προτεραιότητες ανάκαμψης και τις ανεκτές διακοπές.

Σε μια παραγωγική εγκατάσταση, η επαναφορά του συστήματος προγραμματισμού ή ελέγχου δεν σημαίνει αυτομάτως ότι μπορούν να επανεκκινήσουν οι αποστολές. Η παραγωγή μπορεί να παραμένει σε παύση λόγω μη διαθεσιμότητας τεχνολογικών δεδομένων, έλλειψης εξουσιοδοτημένων χειριστών, διακοπής ηλεκτροδότησης, απουσίας σύνδεσης που παρέχεται από τρίτο μέρος ή έλλειψης εγκεκριμένης διαδικασίας εναλλακτικής λειτουργίας. Επιχειρησιακή ανθεκτικότητα υπάρχει μόνο όταν το σχέδιο καλύπτει ολόκληρη την αλυσίδα εξαρτήσεων της διεργασίας και όχι μόνο τους πόρους που ελέγχει το τμήμα πληροφορικής.

Πρέπει επίσης να διακρίνονται σαφώς η επιχειρησιακή συνέχεια, η αποκατάσταση πληροφοριακών πόρων, η αντιμετώπιση περιστατικών και η διαχείριση κρίσεων. Η πρώτη αφορά τη διατήρηση ή την επανέναρξη των διεργασιών, η δεύτερη την αποκατάσταση της τεχνολογίας και των δεδομένων, η τρίτη τον περιορισμό των συνεπειών και τη διαχείριση του συμβάντος και η τέταρτη τη λήψη αποφάσεων υπό συνθήκες σοβαρής διαταραχής. Οι μηχανισμοί αυτοί πρέπει να χρησιμοποιούν κοινά σενάρια, όρια κλιμάκωσης και κανόνες αρμοδιότητας, χωρίς όμως να θεωρούνται εναλλάξιμοι.

Μόνο ένα λειτουργικό μοντέλο που έχει οριστεί με αυτόν τον τρόπο μπορεί να αντιστοιχιστεί στις υποχρεώσεις διαχείρισης κινδύνων, επιχειρησιακής συνέχειας, χειρισμού περιστατικών και ευθύνης της διοίκησης που απορρέουν από την NIS2 και την εφαρμοστέα εθνική νομοθεσία, λαμβάνοντας υπόψη αν ο οργανισμός εμπίπτει στο σχετικό πεδίο εφαρμογής. Ευρύτερο πλαίσιο παρέχει το άρθρο NIS2 για παραγωγικές επιχειρήσεις: ποιους αφορά, ποιες υποχρεώσεις εισάγει και πώς προετοιμάζεται ο οργανισμός χωρίς να περιορίζεται το θέμα αποκλειστικά στην πληροφορική.

Η ανάλυση κινδύνων πρέπει να οδηγεί σε σενάρια

Το μητρώο κινδύνων κατευθύνει ουσιαστικά το σχέδιο επιχειρησιακής συνέχειας μόνο όταν αποτυπώνει τη σχέση μεταξύ απειλής, ευπάθειας, πόρου, διεργασίας και επιχειρησιακής συνέπειας. Ένας κατάλογος κυβερνοαπειλών δεν εξηγεί από μόνος του πώς θα διατηρηθεί η λειτουργία. Επομένως, τα σενάρια πρέπει να αναπτύσσονται γύρω από τις επιπτώσεις της διαταραχής, όπως η μη διαθεσιμότητα συστήματος ελέγχου, η απώλεια δεδομένων, η διακοπή επικοινωνιών, η έλλειψη προσωπικού ή η μη διαθεσιμότητα προμηθευτή. Διαφορετικές αιτίες μπορούν να καταλήξουν στην ίδια επιχειρησιακή κατάσταση και να απαιτούν την ίδια στρατηγική συνέχειας.

Η ανάλυση επιχειρησιακών επιπτώσεων και η ανάλυση κινδύνων επιτελούν διαφορετικές αλλά συμπληρωματικές λειτουργίες. Η πρώτη προσδιορίζει τη σημασία της διακοπής, τον ρυθμό αύξησης των απωλειών και το χρονικό σημείο στο οποίο υπερβαίνεται το επίπεδο που έχει αποδεχθεί η διοίκηση. Η δεύτερη επιτρέπει την αναγνώριση πιθανών πηγών του συμβάντος, ευπαθειών και της αποτελεσματικότητας των υφιστάμενων δικλίδων. Η μέθοδος και η κλίμακα αξιολόγησης πρέπει να επιτρέπουν τη σύγκριση των σεναρίων και τη συνειδητή αποδοχή του υπολειπόμενου κινδύνου σύμφωνα με τη διάθεση ανάληψης κινδύνου του οργανισμού.

Ο αριθμός των σεναρίων είναι σκόπιμο να περιορίζεται σε διακριτές επιπτώσεις που απαιτούν διαφορετικές αποφάσεις, πόρους ή σειρά ανάκαμψης. Η ξεχωριστή ανάλυση κάθε τεχνικής παραλλαγής συνήθως δεν βελτιώνει τη χρηστικότητα του σχεδίου· αντίθετα, δυσχεραίνει τη συντήρηση και την εφαρμογή του υπό πίεση χρόνου.

Για κάθε σενάριο πρέπει να καθορίζονται ο ανεκτός χρόνος διακοπής, το ελάχιστο επίπεδο λειτουργίας, οι απαιτούμενοι πόροι, η σειρά ανάκαμψης και το πρόσωπο που έχει την εξουσία να ενεργοποιήσει το σχέδιο. Οι παράμετροι πρέπει να βασίζονται σε πραγματικούς χρόνους διακοπής και αποκατάστασης από περιστατικά, βλάβες και ασκήσεις, καθώς και σε συμβατικές απαιτήσεις σχετικά με τη διαθεσιμότητα, τους χρόνους εκτέλεσης και την αναφορά διαταραχών. Με αυτή τη βάση μπορούν να μετρώνται ο χρόνος λήψης απόφασης, ο χρόνος επίτευξης του ελάχιστου επιπέδου λειτουργίας και ο χρόνος πλήρους αποκατάστασης.

Η ανάλυση πρέπει να λαμβάνει υπόψη τις πραγματικές εξαρτήσεις της διεργασίας από εφαρμογές, δεδομένα, υποδομές, εγκαταστάσεις, παροχές κοινής ωφέλειας, κρίσιμες δεξιότητες, παρόχους υπηρεσιών πληροφορικής, ολοκληρωτές συστημάτων και υπεργολάβους. Όταν η στρατηγική προϋποθέτει υποστήριξη τρίτου μέρους, πρέπει να επαληθεύονται η διαθεσιμότητά του, οι χρόνοι απόκρισης, τα κανάλια κλιμάκωσης και οι εναλλακτικές λύσεις, αντί η αξιολόγηση να περιορίζεται στους συμβατικούς όρους. Το θέμα αναπτύσσεται περαιτέρω στο άρθρο NIS2 και ασφάλεια της εφοδιαστικής αλυσίδας: πώς αξιολογούνται οι πάροχοι πληροφορικής, οι ολοκληρωτές συστημάτων και οι υπεργολάβοι.

Το σχέδιο πρέπει να καθοδηγεί τον οργανισμό κατά τη διαταραχή

Ένα λειτουργικό σχέδιο επιχειρησιακής συνέχειας δεν επιχειρεί να περιγράψει κάθε πιθανό συμβάν. Καθοδηγεί τους υπευθύνους μέσα από μια συγκεκριμένη ακολουθία αποφάσεων. Πρέπει να ορίζει ποιος αναγνωρίζει την κατάσταση, ποιος κηρύσσει τη λειτουργία συνέχειας, ποιες διεργασίες πρέπει να διατηρηθούν στο ελάχιστο επίπεδο, με ποια σειρά αποκαθίστανται οι δυνατότητες, πώς διεξάγεται η επικοινωνία κρίσης και με ποια κριτήρια τερματίζεται η έκτακτη λειτουργία.

Το επίπεδο λεπτομέρειας είναι επαρκές όταν περιορίζει την ανάγκη ερμηνείας υπό πίεση χρόνου, χωρίς να υποκαθιστά τις τεχνικές και επιχειρησιακές οδηγίες. Σε μεγαλύτερους οργανισμούς, πρακτική λύση αποτελεί ένα κεντρικό σχέδιο που καθορίζει τη διοίκηση, την κλιμάκωση και τους κοινούς κανόνες δράσης, συμπληρωμένο από σχέδια για επιμέρους διεργασίες.

Η διαδικασία ενεργοποίησης χρειάζεται μετρήσιμες προϋποθέσεις. Η διατύπωση «σε περίπτωση σοβαρής βλάβης» μεταφέρει τη συζήτηση για το τι σημαίνει «σοβαρή» στη χειρότερη δυνατή χρονική στιγμή. Το κριτήριο μπορεί να αφορά την υπέρβαση του ανεκτού χρόνου διακοπής, την απώλεια αξιοπιστίας των δεδομένων, την αδυναμία ασφαλούς εργασίας, τη μη διαθεσιμότητα κρίσιμων προσώπων ή την προβλεπόμενη πτώση κάτω από το ελάχιστο επίπεδο λειτουργίας που έχει εγκρίνει ο ιδιοκτήτης της διεργασίας. Κάθε απόκλιση πρέπει να συνδέεται με ενέργεια, εξουσιοδοτημένο υπεύθυνο απόφασης, προθεσμία κλιμάκωσης και απαιτούμενο αρχείο. Παρόμοια λογική, σε διαφορετικό επιχειρησιακό επίπεδο, παρουσιάζεται στο άρθρο Σχέδιο αντίδρασης στο πλάνο ελέγχου – πώς περιγράφονται οι ενέργειες όταν η διεργασία εξέρχεται από τα καθορισμένα όρια.

Οι ρόλοι πρέπει να ανατίθενται σε λειτουργίες και όχι αποκλειστικά σε συγκεκριμένα ονόματα. Ο πίνακας αρμοδιοτήτων πρέπει να καλύπτει αναπληρώσεις, εύρος εξουσιοδότησης, διαθεσιμότητα και βασικό και εφεδρικό κανάλι επικοινωνίας. Ο ονομαστικός κατάλογος επαφών μπορεί να διατηρείται ως ελεγχόμενο παράρτημα, ώστε οι αλλαγές προσωπικού να μην απαιτούν ανασχεδιασμό ολόκληρου του σχεδίου.

Η ανώτατη διοίκηση πρέπει να αποφασίζει για θέματα που υπερβαίνουν το εγκεκριμένο επιχειρησιακό πλαίσιο, όπως η αποδοχή σημαντικού κινδύνου για τη λειτουργία, η ενεργοποίηση έκτακτων μέτρων ή η επικοινωνία στρατηγικής σημασίας. Αντίθετα, η απόφαση μετάβασης σε έναν ήδη εγκεκριμένο εναλλακτικό τρόπο λειτουργίας πρέπει να λαμβάνεται όσο το δυνατόν πιο κοντά στη σχετική διεργασία.

Μετά την απώλεια του συστήματος παραγγελιών, ο υπεύθυνος βάρδιας μπορεί να επιβεβαιώσει τη μη διαθεσιμότητα και τον προβλεπόμενο χρόνο διακοπής, ο ιδιοκτήτης της διεργασίας να ενεργοποιήσει την εναλλακτική καταγραφή και ο συντονιστής επιχειρησιακής συνέχειας να κλιμακώσει το συμβάν όταν επιτευχθεί το καθορισμένο όριο. Το σχέδιο πρέπει να ορίζει τους περιορισμούς αυτής της παράκαμψης: δυναμικότητα, μέγιστη διάρκεια χρήσης, κανόνες προστασίας και ακεραιότητας δεδομένων, απαιτούμενες χειροκίνητες συμφωνίες και τρόπο μεταγενέστερης καταχώρισης των εγγραφών στο σύστημα.

Η επιστροφή στην κανονική λειτουργία μπορεί να πραγματοποιηθεί μόνο μετά την επιβεβαίωση της σταθερότητας της λύσης, της πληρότητας των δεδομένων και της συμφωνίας των πράξεων που εκτελέστηκαν χειροκίνητα. Τα παραγόμενα αρχεία πρέπει να επιτρέπουν την αξιολόγηση του χρόνου λήψης απόφασης, επίτευξης του ελάχιστου επιπέδου λειτουργίας και πλήρους αποκατάστασης.

Το μεγαλύτερο κόστος δημιουργείται στα σημεία διασύνδεσης των σχεδίων

Η έκταση της ζημίας δεν καθορίζεται μόνο από την αιτία της βλάβης. Τη διακοπή παρατείνουν επίσης η αναμονή για έγκριση, η ασαφής ταξινόμηση του συμβάντος, οι αντικρουόμενες προτεραιότητες ανάκαμψης και η ανεπαρκής γνώση των εξαρτήσεων μεταξύ διεργασιών, συστημάτων και προμηθευτών. Το σχέδιο αντιμετώπισης περιστατικών εξυπηρετεί κυρίως την ανίχνευση, αξιολόγηση, συγκράτηση και διαχείριση του συμβάντος. Το σχέδιο επιχειρησιακής συνέχειας αποσκοπεί στη διατήρηση της λειτουργίας στο αποδεκτό επίπεδο. Οι δύο μηχανισμοί πρέπει να ορίζουν κοινά σημεία μεταβίβασης πληροφοριών και αποφάσεων: ποιος διαπιστώνει ότι απειλείται η συνέχεια, ποιος ενεργοποιεί την εναλλακτική λειτουργία και ποιος εγκρίνει την επιστροφή στην κανονική λειτουργία.

Η προτεραιότητα τεχνικής αποκατάστασης πρέπει να προκύπτει από την προτεραιότητα της διεργασίας, χωρίς να αποτελεί απλή αντιγραφή της. Ένα σύστημα που υποστηρίζει την κρισιμότερη διεργασία μπορεί να απαιτεί την προηγούμενη ενεργοποίηση υπηρεσιών ταυτοποίησης, δικτύου, βάσεων δεδομένων ή διασυνδέσεων. Παράλληλα, πρέπει να διατηρούνται η ακεραιότητα των δεδομένων, η σωστή σειρά εκκίνησης και οι μηχανισμοί ασφάλειας. Η ευθυγράμμιση επιχειρησιακών και τεχνικών προτεραιοτήτων επαληθεύεται με τη σύγκριση της απαιτούμενης διαθεσιμότητας της διεργασίας με τα πραγματικά αποτελέσματα των δοκιμών επαναφοράς αντιγράφων ασφαλείας, την ανεκτή απώλεια δεδομένων και τις εξαρτήσεις της υποδομής.

Η επιχειρησιακή λειτουργία μπορεί να ζητά την επανέναρξη της λήψης παραγγελιών πριν από τις εκκαθαρίσεις, ενώ η ομάδα πληροφορικής σχεδιάζει να αποκαταστήσει πρώτα τις εκκαθαρίσεις επειδή περιλαμβάνουν το κεντρικό μητρώο αντισυμβαλλομένων. Αν αυτή η εξάρτηση δεν έχει συμφωνηθεί εκ των προτέρων, η απόφαση λαμβάνεται υπό πίεση και η χειροκίνητη παράκαμψη μπορεί να δημιουργήσει δεδομένα που αργότερα δεν θα είναι δυνατό να συμφωνηθούν με ασφάλεια. Η περίπτωση πρέπει να αξιολογείται με πραγματικούς χρόνους ανίχνευσης, κλιμάκωσης, λήψης απόφασης και αποκατάστασης, καθώς και με αποτελέσματα δοκιμών που επιβεβαιώνουν την πληρότητα και την ακεραιότητα των δεδομένων.

Ανάλογο κενό δημιουργείται στα όρια ευθύνης του προμηθευτή. Η συμβατική δήλωση διαθεσιμότητας μιας υπηρεσίας δεν υποκαθιστά μια ονομαστική ή λειτουργική διαδρομή κλιμάκωσης, συμφωνημένες παραμέτρους αποκατάστασης, πρόσβαση σε πληροφορίες για την εξέλιξη της διαταραχής ή υποχρέωση συνεργασίας κατά τις ασκήσεις. Οι απαιτήσεις των κρίσιμων διεργασιών πρέπει να συγκρίνονται με τους συμβατικούς όρους και τις πραγματικές δυνατότητες του παρόχου. Μόνο τότε μπορεί να ληφθεί συνειδητή απόφαση για τη διατήρηση εφεδρικής λύσης, την αποδοχή διακοπής, τη χρήση ιδίων πόρων ή την αξιοποίηση εξωτερικής υπηρεσίας.

Ο προϋπολογισμός πρέπει να καλύπτει κενά ικανότητας και όχι να χρηματοδοτεί την παραγωγή περισσότερων εγγράφων. Οι δαπάνες μπορεί να αφορούν πρόσθετο πλεονασμό, συντόμευση της διαδρομής λήψης αποφάσεων, συχνότερες δοκιμές αποκατάστασης, αλλαγή συμβατικών όρων ή εξασφάλιση εναλλακτικού τρόπου εκτέλεσης της διεργασίας. Η προσέγγιση για τη διάρθρωση αυτών των δαπανών αναπτύσσεται στο άρθρο Πόσο κοστίζει η εφαρμογή της NIS2 και του uKSC – πώς διαμορφώνεται προϋπολογισμός ελέγχου, τεκμηρίωσης, εκπαίδευσης και μέτρων προστασίας χωρίς δαπανηρά λάθη.

Η άσκηση πρέπει να δοκιμάζει τη λήψη αποφάσεων

Μια άσκηση επιχειρησιακής συνέχειας δεν πρέπει να περιορίζεται στην ανάγνωση της διαδικασίας ή στην επιβεβαίωση της παρουσίας των συμμετεχόντων. Πρέπει να επαληθεύει μια σαφώς διατυπωμένη υπόθεση, για παράδειγμα: αν ο οργανισμός μπορεί να ενεργοποιήσει εναλλακτική διεργασία χωρίς το βασικό σύστημα, να διατηρήσει τον έλεγχο των δεδομένων που εισάγονται και να τα συμφωνήσει με ασφάλεια μετά την αποκατάσταση της υπηρεσίας.

Το πρόγραμμα ασκήσεων είναι σκόπιμο να αναπτύσσεται σταδιακά: από την ανασκόπηση ρόλων και την επιτραπέζια άσκηση, στη δοκιμή επιλεγμένης διαδικασίας ή αποκατάστασης και, στη συνέχεια, σε τεχνική και επιχειρησιακή άσκηση που περιλαμβάνει τη συνεργασία των επιχειρησιακών λειτουργιών, της πληροφορικής, της διοίκησης και των προμηθευτών. Το εύρος πρέπει να αυξάνεται ανάλογα με τον κίνδυνο, τη σημασία της διεργασίας και τον βαθμό ετοιμότητας του οργανισμού.

Το σενάριο πρέπει να επιβάλλει αποφάσεις υπό συνθήκες που προσεγγίζουν μια πραγματική διαταραχή. Μπορεί να περιλαμβάνει ελλιπείς πληροφορίες, πίεση χρόνου, σύγκρουση προτεραιοτήτων ή μη διαθεσιμότητα κρίσιμης εξάρτησης, όπως του εγκρίνοντος προσώπου, μιας υπηρεσίας προμηθευτή ή του επικαιροποιημένου καταλόγου επαφών. Ωστόσο, η άσκηση δεν πρέπει να αποτελεί παγίδα για τους συμμετέχοντες. Αντικείμενο αξιολόγησης είναι το σύστημα: η κατανομή ευθυνών, η ποιότητα των πληροφοριών, η εφαρμοσιμότητα των διαδικασιών και η ικανότητα κλιμάκωσης, όχι η ατομική απόδοση των εργαζομένων.

Η συμμετοχή της διοίκησης είναι απαραίτητη όταν το σενάριο απαιτεί αποδοχή κινδύνου, αλλαγή προτεραιοτήτων ή ενεργοποίηση δαπανηρής εναλλακτικής λύσης. Ο προμηθευτής πρέπει να συμμετέχει όταν η απόκρισή του αποτελεί προϋπόθεση για τη συνέχεια της διεργασίας.

Μια ενδεικτική άσκηση μπορεί να ξεκινήσει με τη μη διαθεσιμότητα του συστήματος διαχείρισης παραγγελιών. Στη συνέχεια, ο συντονιστής της άσκησης ενημερώνει για ελλιπές αντίγραφο δεδομένων και καθυστερημένη απόκριση του παρόχου. Η ομάδα πρέπει να αποφασίσει αν θα ενεργοποιήσει χειροκίνητη εξυπηρέτηση, ποιες παραγγελίες θα αποδεχθεί και πώς θα επισημαίνονται οι εγγραφές ώστε, μετά την αποκατάσταση της υπηρεσίας, να αποφευχθούν διπλοεγγραφές και απώλεια ακεραιότητας.

Κατά την άσκηση πρέπει να μετρώνται ο χρόνος αναγνώρισης της διαταραχής, ο χρόνος κλιμάκωσης, η ενεργοποίηση της λειτουργίας συνέχειας, η επίτευξη του ελάχιστου επιπέδου λειτουργίας και η αποκατάσταση. Παράλληλα αξιολογούνται η ποιότητα της ροής πληροφοριών και των αρχείων, οι περιπτώσεις χρήσης παρωχημένων στοιχείων επικοινωνίας, οι αναποτελεσματικές κλιμακώσεις και τα βήματα του σχεδίου που δεν ήταν δυνατό να εκτελεστούν. Οι επιτευχθέντες χρόνοι πρέπει να συγκρίνονται με τους εγκεκριμένους στόχους συνέχειας.

Η συχνότητα και η μορφή των ασκήσεων πρέπει να προκύπτουν από τον κίνδυνο, τις αλλαγές στις διεργασίες, τα αποτελέσματα προηγούμενων δοκιμών και τη σημασία των εξαρτήσεων, όχι αποκλειστικά από ένα ετήσιο πρόγραμμα. Η προαναγγελθείσα άσκηση εξυπηρετεί καλύτερα τη μάθηση και την αποσαφήνιση ρόλων. Η αιφνιδιαστική άσκηση επιτρέπει την αξιολόγηση της πραγματικής ετοιμότητας, αλλά απαιτεί έλεγχο του επιχειρησιακού κινδύνου. Η χρήση παραγωγικού συστήματος είναι σκόπιμη μόνο όταν το εύρος, οι δικλίδες και η δυνατότητα διακοπής της δοκιμής έχουν εγκριθεί συνειδητά· στις υπόλοιπες περιπτώσεις, καταλληλότερο είναι ένα περιβάλλον δοκιμών.

Κάθε άσκηση πρέπει να καταλήγει σε ευρήματα με καθορισμένο ιδιοκτήτη, προθεσμία υλοποίησης, κριτήριο αποτελεσματικότητας και απόφαση για επανέλεγχο. Το ποσοστό ενεργειών που ολοκληρώνονται εμπρόθεσμα αποτελεί χρήσιμο δείκτη, αλλά η ένδειξη «ολοκληρώθηκε» δεν αποδεικνύει από μόνη της βελτίωση. Καθοριστικό παραμένει το αποτέλεσμα της επαναληπτικής δοκιμής. Για την οργάνωση σεναρίων, πρακτικών, διορθωτικών ενεργειών και δεικτών μπορεί να αξιοποιηθεί η προσέγγιση που περιγράφεται στο άρθρο Πώς δημιουργείται μια βιβλιοθήκη προτύπων ποιότητας: FMEA, Control Plan, 8D, audit, CAPA και KPI.

Κλείστε τον κύκλο με τεκμήρια και ανασκόπηση

Ένα πλήρες σύνολο διαδικασιών δεν αποδεικνύει την ικανότητα διατήρησης της λειτουργίας. Μια αξιόπιστη αλυσίδα τεκμηρίων πρέπει να συνδέει τις εγκεκριμένες παραδοχές της ανάλυσης κινδύνων και συνέχειας, τις αποφάσεις των ιδιοκτητών διεργασιών, τα αρχεία δοκιμών, τα αποτελέσματα ασκήσεων, τις διαπιστωμένες μη συμμορφώσεις, τις διορθωτικές ενέργειες και την αξιολόγηση της αποτελεσματικότητάς τους. Το ιστορικό εκδόσεων του σχεδίου επιχειρησιακής συνέχειας πρέπει να αναφέρει όχι μόνο την ημερομηνία και τον συντάκτη της αλλαγής, αλλά και το συμβάν, την απόφαση ή το αποτέλεσμα ανάλυσης που την αιτιολόγησε.

Η συχνότητα ανασκόπησης του σχεδίου πρέπει να προσαρμόζεται στην κρισιμότητα των διεργασιών και στη μεταβλητότητα του κινδύνου. Ένα περιοδικό χρονοδιάγραμμα από μόνο του δεν αρκεί. Ανασκόπηση πρέπει να ενεργοποιείται επίσης μετά από περιστατικό, άσκηση ή ουσιώδη αλλαγή διεργασίας, τεχνολογίας, εγκατάστασης, προμηθευτή, οργανωτικής δομής ή προφίλ κινδύνου. Τα κριτήρια αποδοχής των αποτελεσμάτων της άσκησης πρέπει να καθορίζονται πριν από την έναρξή της, ώστε η αξιολόγηση να μη μετατρέπεται σε υποκειμενική διαπίστωση ότι ο οργανισμός «τα κατάφερε».

Η μηνιαία παρακολούθηση μπορεί να δείξει ότι το πρόγραμμα ασκήσεων εκτελέστηκε σύμφωνα με το χρονοδιάγραμμα, αλλά μία διεργασία δεν πέτυχε τον απαιτούμενο χρόνο αποκατάστασης και εξακολουθεί να μην υπάρχει εναλλακτική λύση για κρίσιμη υπηρεσία προμηθευτή. Ένα τέτοιο αποτέλεσμα δεν πρέπει να παραμένει κρυμμένο σε τεχνικό πρακτικό. Η διοίκηση πρέπει να ενημερώνεται για τις διεργασίες που δεν επιτυγχάνουν την απαιτούμενη ικανότητα, τις μη αποδεκτές αποκλίσεις, τους κινδύνους που έχουν γίνει συνειδητά αποδεκτοί και τις αναγκαίες επενδυτικές ή οργανωτικές αποφάσεις. Η ανασκόπηση από τη διοίκηση πρέπει να καταλήγει σε τεκμηριωμένες αποφάσεις και όχι απλώς σε καταγραφή ενημέρωσης.

Ο εσωτερικός έλεγχος πρέπει να εξετάζει τη συνέπεια μεταξύ δηλώσεων και πραγματικής εφαρμογής: αν μια διεργασία που χαρακτηρίζεται κρίσιμη συμμετέχει πράγματι στις ασκήσεις, αν οι τεχνικοί στόχοι αποκατάστασης ανταποκρίνονται στις επιχειρησιακές ανάγκες και αν οι ενέργειες που προέκυψαν από τις δοκιμές ολοκληρώθηκαν και επαληθεύτηκε η αποτελεσματικότητά τους. Στον ελεγκτή ή στην αρμόδια εποπτική αρχή πρέπει να παρουσιάζεται μια συνεκτική ακολουθία αρχείων, από τον αναγνωρισμένο κίνδυνο και την απόφαση έως τη δοκιμή και την επαληθευμένη βελτίωση. Βοηθητικοί δείκτες είναι ο βαθμός υλοποίησης του εγκεκριμένου προγράμματος ασκήσεων, η έγκαιρη ολοκλήρωση των διορθωτικών ενεργειών και ο αριθμός των μη αποδεκτών αποκλίσεων μεταξύ της απαιτούμενης και της επιβεβαιωμένης ικανότητας συνέχειας.

Ο τελικός κατάλογος ενεργειών μπορεί να ενταχθεί στο ευρύτερο χρονοδιάγραμμα που περιγράφεται στο άρθρο Εφαρμογή της NIS2 μετά την εγγραφή στον κατάλογο KSC – σχέδιο ενεργειών έως τις 3 Απριλίου 2027. Ωστόσο, οι προθεσμίες, το εύρος των υποχρεώσεων και τα κατάλληλα μέτρα πρέπει κάθε φορά να επαληθεύονται με βάση το ισχύον νομικό πλαίσιο, το καθεστώς του οργανισμού στο εθνικό σύστημα κυβερνοασφάλειας και το πραγματικό προφίλ κινδύνου του.