Talitluspidevuse juhtimine (BCM) Kristi Hiob 25.06.2003

1. Talitluspidevuse juhtimine (BCM) Kristi Hiob 25.06.2003

2. teemakäsitluse aluseks on IS Control Journal vol 2, 2003 artikkel “Business Continuity Management Standards - A Side-by-Side Comparison” Protiviti – üks USA juhtivaid firmasid, mille tegevus on suunatud riskide ja siseauditi alasele konsultantsioonile www.knowledgeleader.com

3. Protsessi juhtimine • BCM protsessi juurutamine, mis hõlmab kriisijuhtimist, äritegevuse taastamise planeerimist ja IT taastetegevusi • BCM järelvalvekomitee loomine • BCM eesmärkide määratlemine • BCM dokumenteeritud missioon • BCM testimise ja ülalhoiu tegevuste planeerimine ja dokumenteerimine

4. Rollid ja vastutused • juhtkond - äririskid - äritegevuse jätkuvuse plaan • IT staff - tehnoloogilised riskid - taasteplaan • lõppkasutajad - igapäevase äritegevuse nõuded - lõppkasutaja protseduurid

5. Riskide hindamine • Identifitseerida asjakohane seadusandlus jm regulatsioonid ning tegevusala (industry) põhised tegevusjuhised • Määratleda formaalne riskihindamise protsess, mille eesmärk on id.-da ohtude allikad, esinemise tõenäosus ja tegevuste haavatavuse ulatus • Hinnata olemasolevad kontrollid

6. Ärimõju analüüs (Business Impact Analysis) - 1 • Id.-da äriprotsessid ja nende kriitilised sõltuvused. Äritegevuse katkemise mõjude hindamine ja järjepidev ajakohastamine • Määratleda protsesside põhised taasteajad (RTO) • Määratleda min jõudlusnõuded äritegevuse taastamiseks (jätkamiseks) vastuvõetaval tasemel

7. Ärimõju analüüs (Business Impact Analysis) - 2 • Määratleda taastamise prioriteedid (RTO-dest lähtudes) • Vaadata üle ettevõtte ja välispartnerite vahelised SLA-d • Id.-da ja registreerida kriitilised ressursid, kirjed, vahendid, varustus, kriitilised admed ja infrastruktuur

8. Taastamise strateegiad • Sätestada protseduur tarnijatega lepete sõlmimiseks kriisiolukorras kriitiliste ressursside tarnimiseks • Id.-da ja dokumenteerida kontaktid ja protseduurid kohalike võimudega suhtlemiseks • Id.-da alternatiivsed taasteasukohad kõigi kriitiliste äriprotsesside jaoks • Viia läbi kulu-tulu analüüs sobivama taasteasukoha määratlemiseks

9. Talitluspidevuse protseduurid - 1 • Määratleda standardmeetodid talitluspidevuse alaste tegevuste (reageerimine, taaste- tegevused, kommunikatsiooniplaanid) dokumenteerimiseks • Välja töötada ja dokumenteerida ümberasumis- ja tegevuste taastamise protseduurid, mis põhinevad juhtkonna poolt kinnitatud RTO-del • Dokumenteerida hädaolukorras reageerimise ja äritegevuse/IT protsesside taastamise protseduurid, mis põhinevad: - meeskonnatööl - väljatöötatud kontrollnimistutel - kindlal kronoloogial

10. Talitluspidevuse protseduurid - 2 • Määratleda taasteprotsessis osalevate inimeste nimed ja kontaktid • Määratleda taastetegvused, mis võtavad arvesse töötajate ohutust ning füüsilist ja IT turvalisust • Dokumenteerida kriisikommunikatsiooni protseduurid • Määrata kriisikommunikatsiooni koordinaator

11. Väljaõpe ja teadlikkus • Töötada välja ja dokumenteerida koolitusplaanid. Väljaõpe peab toimuma regulaarselt, kindlaksmääratud alustel

12. Testimisprotseduurid • Määratleda, dokumenteerida ja kommunikeerida TP plaanide testimise alased rollid ja vastutused. Testid peavad hõlmama kõiki kriitilisi äriüksusi ja –funktsioone • Kasutada mitmeid erinevaid testimismeetodeid (hädaolukorra simuleerimine, plaanide osalised ja täistestid, laua taga õppused jne) • Määratleda testimisjärgse analüüsi, aruandluse ja plaanide ülevaatuse protsess

13. Plaani auditeerimine ja ülalhoid • Määratleda ja dokumenteerida ajalised nõuded TP plaani ülevaatamiseks • Talletada TP plaanid nii online’is kui offsite • Auditeerida TP juhtimise protsessi perioodiliselt, et tagada vastavus ettevõtte standarditele

14. Enam eiratud nõuded -1 • TP planeerimise eelarve peab olema formaalne ja kõrgema juhtkonna poolt kinnitatud • Määratletud peab olema isik või organ, kes kriisiolukorra välja kuulutab ja taastamisstrateegia otsustab

15. Enam eiratud nõuded - 2 • Ettevõte peab juurutama intsidentide juhtimise süsteemi, et stabiliseerida, monitoorida ja taastada tegevus kriisiolukordades või äritegevuse katkemise korral • Plaani tuleb perioodiliselt üle vaadata ja võrrelda vastavust tegevusala regulatsioonidele ja teiste ettevõtete tegevustavadele

16. 10 levinud viga - 1 • Liigne usaldus olemasolevasse plaani – ei vaadata üle ja ei testita • Tihti piiratakse ulatust süsteemide taastamisele, äriprotsessid jäävad tähelepanu alt välja • Formaalne äriprotsesside prioriteetide määratlemine jääb tihti kõrgema juhtkonna tähelepanuta • Unustatakse või puudub toetav protsess muutuste kajastamiseks plaanis

17. 10 levinud viga - 2 • Omandus - BCP protsessi juhtima määratakse piisavate volitusteta isik • Kommunikatsioon • Turvalisus • Avalikud suhted • Kindlustus • Sisseostetava taasteteenuse hindamine

18. TP probleemide põhjused riistvara 22% üleujutus 19% energiakatkestus 15% orkaan 11% tulekahju/plahvatus 8% maavärin 6% pommiplahvatus 5%

19. Tänan tähelepanu eest!