.svg)
Nie zapominamy także o zapowiadanej rewolucji w ochronie infrastruktury krytycznej, czyli wdrożeniu dyrektywy CER i nowej ustawy o zarządzaniu kryzysowym. Największe znaczenie ma jednak bez wątpienia aktualna sytuacja geopolityczna i widmo wojny.
Plan ciągłości działania, a w zasadzie “system zarządzania ciągłością działania”, jest wymagany przez każdą z wymienionych regulacji, pojawia się także jako wymaganie prawne w rozporządzeniu DORA i w wielu innych regulacjach dotyczących cyberbezpieczeństwa. Wszak ciągłość działania to nic innego, jak zapewnienie atrybutu dostępności informacji i niezbędnej infrastruktury teleinformatycznej.
Kto powinien posiadać Plan Ciągłości Działania?
Nikogo nie zdziwi zapewne moja odpowiedź, że “każdy” :) Plan ciągłości działania jest “ostatnią deską ratunku” i trudno sobie wyobrazić organizację, która chciałaby świadomie zaryzykować swoim przetrwaniem. Kluczowym słowem w tym zdaniu jest “świadomie”. Wiele organizacji po prostu nie zdaje sobie sprawy, że istnieją zagrożenia, które mogą doprowadzić prędzej czy później do ich unicestwienia lub nie mają świadomości, że można się na nie przygotować tak, aby ograniczyć skutki katastrofy i przetrwać.
To tyle teorii. Jeśli chodzi o praktykę, to oczywiście najsilniejszym motywatorem, oprócz świadomości kierownictwa organizacji, są regulacje prawne. Nie bez kozery piszemy o “organizacjach”, a nie wyłącznie o firmach komercyjnych. Posiadanie planu ciągłości działania jest wymaganiem prawnym dla firm (wszystkie podmioty kluczowe, podmioty ważne, podmioty krytyczne), ale także dla organów administracji publicznej i samorządów i instytucji realizujących zadania publiczne.
Istnieją też organizacje, w przypadku których krytyczne jest nie tyle utrzymanie ciągłości działania, co zapewnienie możliwości zarządzania kryzysowego. Jest to jeden z elementów systemu zarządzania ciągłością działania, który często występuje w formie odrębnego dokumentu - planu zarządzania (lub reagowania) kryzysowego. Celem zarządzania kryzysowego jest przede wszystkim ratowanie zdrowia i życia ludzi oraz ochrona mienia.
Czyli organizacja ma zapewnić bezpieczeństwo ludziom, ograniczać straty materialne, ale nie oczekuje się od niej zapewnienia kontynuacji działalności w sytuacji kryzysowej. Może po prostu zamknąć swoje podwoje i poczekać aż zagrożenie minie. Takie organizacje to zwykle:
- szkoły, uczelnie (ale tylko do pewnego stopnia, bo trzeba będzie wznowić ich działalność i to raczej prędzej niż później, z tym, że to zadanie spoczywa na organizatorze - “właścicielu” danej placówki),
- instytucje kultury i sztuki (np. muzea, galerie, teatry),
- ośrodki sportowe (może poza sytuacjami, w których pełnią rolę dostawcy dla imprez masowych, które muszą być kontynuowane - np. olimpiada, mistrzostwa na szczeblu międzynarodowym, koncert - choć i tu zawsze najważniejsze jest zdrowie i życie ludzi),
- domy opieki, ośrodki rehabilitacji, socjoterapii, sanatoria - wszędzie tam, gdzie na stałe przebywa grupa ludzi,
- hotele, restauracje, miejsca rekreacji i rozrywki,
- wszelkie inne miejsca użyteczności publicznej,
- niektóre fundacje - szczególnie, jeśli pełnią ważną rolę społeczną, zależy od nich byt wielu osób lub świadczą zadania dla ochrony ludności.
Więcej o planach zarządzania kryzysowego możesz poczytać tutaj.
Czym jest Plan Ciągłości Działania (BCP - Business Continuity Plan)?
Plan ciągłości działania to nic innego, jak instrukcja postępowania w sytuacji kryzysowej. Opisuje kroki niezbędne do utrzymania działalności firmy podczas zakłócenia (kryzysu) i po jego zakończeniu. Plan pozwala przygotować się na sytuacje, które spędzają nam sen z powiek, przygotować skuteczną reakcję na zdarzenie i powrót do normalności.
Dobrze przygotowany Plan ma także wiele pozytywnych “skutków ubocznych”. Dzięki przeprowadzonym analizom wpływu na biznes (BIA - Business Impact Analysis) i analizom ryzyka, organizacja widzi wyraźnie potencjalne zagrożenia i jest w stanie skuteczniej zarządzać ryzykiem. Dzięki posiadaniu skutecznego Planu, firma minimalizuje przerwy w działalności, właściwie zarządza zasobami i inwestycjami, utrzymuje zaufanie klientów i chroni reputację marki. Kluczowe elementy solidnego BCP oprócz zarządzania ryzykiem, analizy wpływu na biznes, obejmują też procedury komunikacji kryzysowej, operacyjne procedury awaryjne oraz regularne testowanie, aktualizacje i stałe doskonalenie.
Dlaczego zarządzanie ciągłością działania (BCM - Business Continuity Management) jest ważne?
System zarządzania ciągłością działania porządkuje kluczowe obszary w firmie. Na przykład podczas budowy systemu identyfikujemy wszystkie wymagania prawne i umowne, dotyczące ciągłości działania, jakie nas dotyczą, analizujemy potencjalny wpływ przerw w działalności i rzetelnie mierzymy go w wiarygodny sposób, identyfikujemy zagrożenia, które mogłyby doprowadzić do przerwy i posiadane zabezpieczenia oraz oceniamy ich skuteczność, jesteśmy w stanie opracować najgorszy scenariusz dla naszej organizacji, dla którego na koniec przygotowujemy plan ciągłości działania.
Oprócz oczywistej korzyści z posiadania systemu zarządzania ciągłością działania jaką jest zgodność z wymaganiami prawa, informacje znajdujące się w systemie BCM to prawdziwa kopalnia wiedzy dla zarządu firmy i kierownictwa w ogóle, przydatna szczególnie podczas podejmowania kluczowych decyzji - np. o zmianach organizacyjnych, zatrudnieniu, warunkach umów zawieranych z dostawcami, czy inwestycjach w nowe technologie lub zabezpieczenia.
Co wchodzi w zakres systemu zarządzania ciągłością działania?
Plan ciągłości działania skupia się na gotowości na najgorszy scenariusz. Przyjmując takie założenie, firma przygotowuje się de facto także na zdarzenia mniejszej skali. Sam Plan jest rzecz jasna częścią systemu, który obejmuje szereg procesów i dokumentów, a Plan jest jego najważniejszym produktem.
Analiza wpływu na biznes (BIA)
to krytyczny element BCM, który obejmuje m.in. ocenę potencjalnych skutków przerwania działalności, określenie maksymalnego czasu trwania przerwy, czyli "granicy bólu", po przekroczeniu której straty staj się nieakceptowalne oraz wymaganego czasu odtworzenia procesów biznesowych, czyli czasu, po którym dany proces powinien zostać wznowiony na minimalnym poziomie.
Wyniki analizy BIA stanowią podstawę całego systemu BCM i Planu ciągłości działania. Analiza BIA daje odpowiedź na to, które procesy (a tym samym i które zasoby) są krytyczne, dlaczego i w jakim stopniu? Każda organizacja może opracować własną metodykę analizy BIA, ważne aby gwarantowała ona spójność i powtarzalność - czyli abyśmy przy tych samych danych otrzymywali te same rezultaty.
W innym przypadku nie będziemy w stanie porównać wyników analizy BIA i sprawdzić czy nasz poziom ryzyka inherentnego (wrodzonego) się zmienił, a jeśli tak, to w jaki sposób? Brak takiej możliwości podważa przydatność analizy, a tym samym całego planu ciągłości działania.
Ocena ryzyka
w BCP polega na identyfikacji potencjalnych zagrożeń, ocenie prawdopodobieństwa ich wystąpienia i potencjalnego wpływu na ciągłość działania. W tym celu organizacja musi posiadać polityki (zasady) zarządzania ryzykiem i metodykę przeprowadzania oceny i analizy ryzyka. Strategie zarządzania ryzykiem, takie jak unikanie, ograniczanie, transfer i akceptacja ryzyka, odgrywają kluczową rolę w przygotowaniu organizacji na potencjalne zagrożenia i umożliwiają opracowanie scenariusza, dla którego należy opracować polan ciągłości działania.
Strategie ciągłości działania (strategia odtwarzania, strategia przetrwania)
skupiają się na opracowaniu wytycznych kierownictwa odnośnie do sposobu, w jaki firma powinna reagować na sytuacje kryzysowe, w tym sposobu zapewnienia krytycznych zasobów. Strategia musi być spójna z priorytetami wyznaczonymi dla poszczególnych procesów biznesowych podczas analizy BIA oraz adresować co najmniej zagrożenia generujące wysoki poziom ryzyka, a zidentyfikowane podczas analizy ryzyka.
Plan komunikacji
określa procedury komunikacji kryzysowej, powiadamiania, informowania interesariuszy, w tym opinii publicznej, aby zapewnić skuteczną komunikację podczas zakłóceń. Konieczne jest ustanowienie jasnego łańcucha dowodzenia i przepływu informacji, określenie, kto będzie kierował działaniami komunikacyjnymi, jakie platformy będą używane do przekazywania aktualizacji oraz jak często będą udostępniane informacje i w jakim zakresie do poszczególnych grup odbiorców.
Szkolenia i testowanie
skupiają się na przeprowadzaniu szkoleń zwiększających świadomość pracowników, testów i ćwiczeń reagowania na sytuacje kryzysowe, odtwarzania infrastruktury oraz testów powiadamiania. Do tego obszaru należy też ocena BCP dostawców i ćwiczeń z ich udziałem, aby zapewnić gotowość i zweryfikować skuteczność ich planów awaryjnych.
Jak stworzyć Plan Ciągłości Działania (BCP)?
Proces rozpoczyna się od identyfikacji krytycznych funkcji biznesowych, które są niezbędne dla działalności organizacji. Obejmuje to wskazanie kluczowych procesów, systemów i zasobów, które są istotne dla ciągłości działania. Następnie przeprowadzenie dokładnej oceny ryzyka jest konieczne, aby zrozumieć potencjalne zagrożenia i podatności, które mogą zakłócić te krytyczne funkcje.
Po zidentyfikowaniu zagrożeń ważne jest opracowanie skutecznych strategii odzyskiwania, które określają sposób łagodzenia tych zagrożeń i reagowania na nie w odpowiednim czasie. Następnie ustanowienie solidnego planu komunikacji, obejmującego kanały komunikacji, kluczowe kontakty i procedury, jest kluczowe dla zapewnienia płynnej koordynacji podczas kryzysu.
Identyfikacja krytycznych funkcji biznesowych
obejmuje mapowanie zależności, ocenę systemów IT, ustanowienie zespołu odzyskiwania i priorytetyzację podstawowych funkcji dla planowania ciągłości. Posiadanie jasnego zrozumienia, które funkcje są kluczowe dla bieżących operacji organizacji, pozwala firmom efektywnie alokować zasoby i wdrażać strategie zapewniające odporność tych kluczowych działań podczas zakłóceń.
Ocena zagrożeń i potencjalnych katastrof
w BCP obejmuje przeprowadzanie dokładnych ocen ryzyka, wdrażanie strategii łagodzenia ryzyka, analizę scenariuszy wpływu i przygotowanie się na różne scenariusze ryzyka. Zrozumienie procesu oceny ryzyka w BCP jest kluczowe dla organizacji, aby zidentyfikować podatności i słabości w swoich operacjach.
Opracowanie strategii odzyskiwania
w BCP polega na tworzeniu procedur reagowania, przeprowadzaniu testów odzyskiwania, określaniu celów fazy odzyskiwania i zapewnieniu skutecznych procesów przywracania. Procedury reagowania odgrywają kluczową rolę w kierowaniu jednostkami, jak radzić sobie z różnymi scenariuszami w sposób ustrukturyzowany.
Najlepsze praktyki pisania Planów Ciągłości działania
Dla powodzenia przedsięwzięcia niezbędne jest przestrzeganie najlepszych praktyk. Należy do nich norma ISO 22301, która jest powszechnie uznawana w Unii Europejskiej.
Zgodnie z tą normą, ale także zgodnie z innymi dobrymi praktykami w zakresie BCM, wymagane jest uwzględnianie kontekstu organizacji i wymagań interesariuszy w zakresie ciągłości działania, tworzenie spójnych, logicznych procedur, unikanie w nich żargonu oraz testowanie, stosowanie regularnych przeglądów i stałą aktualizację.
Analiza wymagań interesariuszy i kontekstu organizacji, w tym wymagań prawnych, chroni firmę przed ryzykiem niezgodności i dotkliwymi karami. Utrzymywanie prostej i łatwej do zrozumienia struktury Planu pozwala wszystkim członkom zespołu szybko zrozumieć swoje obowiązki w przypadku wystąpienia incydentu. Monitorowanie, okresowe przeglądy i aktualizacje pozwalają na dostosowanie Planu do nowych zagrożeń lub zmian prawnych, technologicznych lub organizacyjnych.
Błędy, których należy unikać w zarządzaniu ciągłością działania
Pewne błędy są dość powszechne, więc warto szczególnie się nad nimi pochylić. Należą do nich na przykład pomijanie analizy wymagań interesariuszy - obecnie tak wiele regulacji prawnych i umów z klientami wymaga posiadania planów lub procedur awaryjnych, że naprawdę nie warto ryzykować dotkliwych kar i utraty reputacji.
Czym innym jest, gdy kryzys nas przerośnie i mimo dołożenia należytej staranności nie poradzimy sobie i dojdzie do przerwy, a czym innym jest, gdy w toku wyjaśniania przyczyn i przebiegu incydentu okaże się, że byliśmy kompletnie nieprzygotowani.
Kolejnym słabym punktem jest brak rzetelnej analizy wpływu. jak wspomniałam wcześniej, jest to podstawa całego naszego pomysłu na przetrwanie. Dobre praktyki dopuszczają stosowanie metod eksperckich, ale trudne je uznać za obiektywną miarę, która pozwoli nam uzasadnić przez nadzorem, audytem lub klientem, dlaczego przyjęliśmy takie a nie inne strategie ciągłości działania.
Równie niebezpiecznym błędem jest brak rzetelności w analizie ryzyka, wynikający np. ze słabości przyjętej metodyki. To temat na odrębny artykuł, ale warto pamiętać o tym, by analiza ryzyka pod kątem ciągłości działania odnosiła się do wpływu oszacowanego podczas analizy BIA, uwzględniała istniejące zabezpieczenia i kumulację ryzyka w kluczowych zasobach. Zainteresowanym polecamy nasz autorską metodykę ERAMIS (Evidence-based Risk Assessment Methodology for ICT Services.), którą można z powodzeniem stosować do wszystkich obszarów działalności. Nieuwzględnienie wszystkich istotnych zagrożeń może prowadzić do luk w strategiach ciągłości działania (strategiach BCM), nieadekwatnych planów reagowania na incydenty i niewystarczającego przygotowania na różnorodne scenariusze (tzw. All-Hazard-Approach).
Zaniedbanie prawidłowego i regularnego testowania BCP niesie ze sobą ryzyko tego, że plan po prostu nie zadziała w sytuacji kryzysowej. Nie ma lepszego szkolenia dla członków zespołów awaryjnych, niż dobrze przygotowany test., Jak zwykle trzeba pamiętać o utrzymaniu spójności scenariuszy testów, z ich celami, naszymi możliwościami (np. nie powinniśmy “testować” rozwiązań, które dopiero są w planach) i z zagrożeniami, które zidentyfikowaliśmy w analizie ryzyka lub w rzeczywistości (czyli wyników tzw. analiz "post mortem" po wystąpieniu incydentu).
Dobry plan i inne usługi w zakresie ciągłości działania odpowiedzią na problemy
Plan Ciągłości Działania jest koniecznością w świecie pełnym niepewności i rosnącej liczby zagrożeń – zarówno technologicznych, jak i geopolitycznych. Dobrze przygotowany BCP staje się podstawą odporności operacyjnej organizacji, która pozwala zachować spokój, ograniczyć straty i szybciej wrócić na właściwe tory.
W Davidson Consulting wspieramy organizacje w tworzeniu i doskonaleniu Planów Ciągłości Działania – od weryfikacji istniejących procedur po budowę kompleksowych strategii od podstaw.
Jeśli Twoja firma nie ma jeszcze BCP albo chcesz upewnić się, że obecny plan spełnia najwyższe standardy, skontaktuj się z nami. Potrafimy pomóc szybko i skutecznie!
