Elutähtsa teenuse toimepidevuse riskianalüüsi ja plaani koostamise juhendid

1. Elutähtsa teenuse toimepidevuse riskianalüüsi ja plaani koostamise juhendid Kaido Tee Pääste-ja kriisireguleerimispoliitika osakond Siseministeerium

2. Alusmaterjalid • Briti standard (BS 25999); • Saksamaa (Protecting critical infrastructures – Risk and Crisis Management. A guide for companies and government authorities, 2008); • Austraalia (A practitioners guide to business continuity management, 2006); • Finantsinspektsiooni soovituslik juhend (Nõuded finantsjärelevalve subjekti talitluspidevuse protsessi korraldamisele, 2009).

3. Põhisammud • Teenuse kirjeldus • Kriitilised tegevused • Ressursid • Katkestuste tagajärjed • Määratleda ohud • Tõenäosus • Riskimaatriks

4. Kriitiliste tegevuste väljaselgitamine • Elutähtsa teenuse osutaja selgitab välja need kriitilised tegevused, mis on vajalikud teenuse kui terviku toimepidevuseks. Võtmeteenuste ja protsesside lahtikirjutamine tegevusteks. Juhendi tabelid vahenditeks ja abimaterjalideks, kuidas seda teha. Ei pea neist lähtuma kui olemas oma teenuse eripärasid arvestavad kriteeriumid. Lõplik otsustaja, selles osas, millised on teenuse osutamise seisukohast kõige kriitilisemad tegevused, on teenuse pakkuja. Mõisted “Katkestuste maksimaalne lubatud kestus” ja “nõutav taasteaeg” T0 Katkestus KNT MLK

5. Kriitiliste tegevuste väljaselgitamine

6. Näide 1: statsionaarne eriarstiabi kriitilised tegevused: • laboriuuringud; • diagnostika; • ravi; • operatsioon; • intensiivravi; • vesi ja toit; • Ravidokumentatsioon; • ohutus, hügieen

7. Näide 2: sularaha kättesaadavuse teenuse kirjeldus

8. Näide 2: kriitilised tegevused: sularaha kättesaadavuse teenus • Eesti Pank • Krediidiasutused • Uue sularaha tellimine • Sularahavarude säilitamine • Ringluse sularahaga varustamine • Ringlusest tagastatava sularaha vastuvõtmine • Sularaha kvaliteedi tagamine / käibekõlbmatute hävitamine • Kontorivõrgustiku korraldamine • ATM ja sissemakseautomaatide võrgustiku korraldamine • Üle leti sularahatehingud • ATMide täitmine

9. Näide 3: elutähtis teenus: lennuväljade toimimine: kirjeldus • Õigusaktides ja lepingutes sätestatud kohustused • Partnerid • Kriitilised tegevused • Rahvusvahelised konventsioonid; SLA logistika ettevõtetega; SLA turismifirmadega • Turvafirmad, Lennuliiklusteeninduse AS, kütusetarnijad, toitlustus, päästeteenistus, politsei- ja piirivalveamet • Lennuradade puhastamine; tolli- ja passikontroll; pagasi käitlus; check in; turvateenus lennujaama sees; territooriumi turvamine; lennujuhtimine; ilmaennustus.

10. Tagajärjed • Näitab kui suure häire põhjustab kriitilise tegevuse katkestus teenusele kui tervikule. Kirjeldada tuleks mõjutatud valdkondi (inimeste elu ja tervis, majanduslik kahju, mainekahjud, teenuse kvaliteedi häired, looduskesskonna kahjud, muud teenuse osutamise seisukohast olulised valdkonnad). • viieastmeline raskusastme skaala, lisa 3

11. Ohud, mistõttu kriitiline tegevus katkeb, kirjeldus • Kogemus, statistika, uuringud, eksperthinnangud, määruse lisa 8, hädaolukordade riskianalüüs. Võimalikuks stsenaariumiks on kriitilise tegevuse katkestus – kirjeldada tuleb ohtusid, mis seda põhjustada võivad.

12. Terroriakt Küberrünnak Loodusõnnetused Varustus-häired Tehnilised vead Juhtimisvead Streik

13. Katkestuste tõenäosus • Lisa 5 – viieastmeline skaala: • väga suur; • suur; • keskmine; • väike; • väga väike.

14. Viimane samm – riskimaatriksi koostamine • Prioriteetsed riskid, mis vajavad esmaseid maandamismeetmeid, riskide kirjeldus; • Kombinatsioon katkestuse tõenäosusest ja tagajärjest elutähtsa teenuse osutamisele

16. Toimepidevuse plaani koostamine • §6. Plaani kasutuselevõtu tingimused • (1) Plaanis tuuakse välja katkestuse ulatus, mille ilmnemise korral rakendatakse plaanis kirjeldatud meetmeid. • (2) Plaanis kirjeldatakse plaani kasutuselevõtu protseduuri. • (3) Plaanis tuuakse välja plaani elluviimise eest vastutavate isikute loetelu, ülesanded ning volitused plaani elluviimisel.

17. Toimepidevuse plaani koostamine §7. Töötajate andmed • Plaanis tuuakse välja elutähtsa teenuse osutamise seisukohast oluliste töötajate nimed ning nende sidevahendite andmed. Andmeid ajakohastatakse regulaarselt

18. Toimepidevuse plaani koostamine §8. Kriitiliste tegevuste minimaalse toimepidevuse nõuded • Plaanis näidatakse elutähtsa teenuse toimepidevuse riskianalüüsi käigus määratud: • 1) kriitilise tegevuse maksimaalne lubatud katkestuse kestus; • 2) kriitilise tegevuse katkestuse nõutav taasteaeg; • 3) muud seadustes või nende alusel kehtestatud õigusaktides või lepingutes ettenähtud kohustused elutähtsateenuse osutamiseks.

19. Toimepidevuse plaani koostamine §9. Ressursside loetelu ja asukoht • (1) Plaanis tuuakse välja loetelu kriitilise tegevuse süsteemselt oluliste ja alternatiive nõudvate ressursside kohta. • (2) Ressursside loetelu koostamise aluseks on elutähtsa teenuse toimepidevuse riskianalüüsi käigus määratletudkriitiliste tegevuste ressursid. • (3) Plaanis antakse teavet elutähtsa teenuse osutamiseks vajalike ressursside paiknemise kohta, kaasa arvatud vajalike lepingute, operatsioonisüsteemide, rakenduste, andmefailide, kasutusjuhendite ning programmi- ,süsteemi- ja kasutajadokumentatsiooni varuasukoht.

20. Toimepidevuse plaani koostamine §10. Alternatiivasukoht • (1) Sõltuvalt elutähtsa teenuse kriitilise tegevuse olulisusest ning elutähtsa teenuse toimepidevuse riskianalüüsikäigus määratud katkestuste riskiklassist, määratakse teenuse osutamiseks vajalik alternatiivasukoht. • (2) Alternatiivasukoht on piisavalt kaugel põhiasukohast ning alternatiivasukohas on ajakohased andmed ja vajalik seadmestik, süsteemid ning alternatiivsed töökohad, et taastada ja hallata elutähtsa teenuse osutamiseseisukohast kriitilisi tegevusi piisava aja vältel olukorras, kus põhiasukoht on kahjustatud või ligipääs sinna on piiratud. • (3) Plaanis kirjeldatakse protseduure, mida rakendatakse elutähtsa teenuse osutamiseks vajalike ressurssidetranspordiks põhiasukohast alternatiivasukohta.

21. Toimepidevuse plaani koostamine §11. Detailsed taastestsenaariumid • Detailseid taastestsenaariumid kajastavad abinõusid katkestustelikvideerimiseks ning lisaks alljärgnevat: • 1) inimeste turvalisust; • 2) võimalusi katkestuste ennetamiseks; • 3) strateegilisi ning operatiivseid võimalusi katkestuse likvideerimiseks; • 4) abinõusid edasiste kahjustuste vältimiseks; • 5) abinõusid kriitilise tegevuse taastamiseks alternatiivses asukohas, kui alternatiivasukoht on vajalik.

22. Toimepidevuse plaani koostamine §13. Katkestustest teavitamise korraldus • (1) Teavitamise korralduses määratakse, kuidas ja millal teavitatakse töötajaid, tarnijaid, äripartnereid ning kliente elutähtsa teenuse kriitiliste tegevuste katkestustest. • (2) Plaanis määratletakse infovahetuse toimimise eest vastutavad isikud. • (3) Plaanis tuuakse välja võimalikud teavitusega seonduvad probleemid, mis võivad tekkida suurematekatkestuste ajal. Samuti kirjeldatakse probleemide lahendeid, mis tagavad õigeaegse ja piisava avalikkuseteavitamise elutähtsa teenuse toimepidevuse suuremate katketuste korral.

23. Mõisted • Risk - elutähtsa teenuse osutamise protsesside ja riskielementide toimepidevuse lakkamist tingiva ohustsenaariumi realiseerumise võimalus • Ohustsenaarium - loogiline ning faktilisele materjalile toetuv infokogum teguritest, mis võivad põhjustada elutähtsa teenuse osutamise toimepidevuse tõsise häire või katkemise

24. Tänan tähelepanu eest!