Hva er ISO 22301? Styring av virksomhetskontinuitet, forklart
En introduksjon i klartekst til ISO 22301: den internasjonale standarden for styringssystemer for virksomhetskontinuitet, BIA-en, RTO/RPO og MTPD, og den operasjonelle kjernen i punkt 8.
ISO 22301 er den internasjonale standarden for styringssystemer for virksomhetskontinuitet (BCMS). Der ISO 27001 handler om å beskytte informasjon, handler ISO 22301 om et vanskeligere spørsmål: når noe forstyrrer deg, kan du holde driften i gang og gjenopprette innenfor tiden virksomheten kan tolerere?
Et styringssystem, ikke en perm
Den største misforståelsen om ISO 22301 er at det er et dokument du skriver og arkiverer. Det er det ikke. Som andre ISO-standarder for styringssystemer følger den planlegg-gjennomfør-kontroller-korriger-syklusen, og verdien ligger i å holde seg oppdatert etter hvert som virksomheten endrer seg. En kontinuitetsplan som er tolv måneder utdatert er verre enn ingen, fordi den gir falsk trygghet.
Den operasjonelle kjernen (punkt 8)
Hjertet i ISO 22301 er punkt 8, som tar deg fra «hva er viktig?» til «kan vi bevise at vi ville ha gjenopprettet?»:
- 8.2 Virksomhetskonsekvensanalyse og risikovurdering. Kartlegg prosessene dine, ranger hvor kritiske de er, og sett gjenopprettingsmål. Det er her nøkkeltallene kommer fra:
- MTPD (maksimalt tolererbar avbruddsperiode), hvor lenge en prosess kan være nede før skaden blir uakseptabel.
- RTO (gjenopprettingstid), hvor raskt du sikter mot å gjenopprette den.
- RPO (gjenopprettingspunkt), hvor mye datatap som er tolererbart. BIA-en identifiserer også avhengighetene hver prosess er bygget på: mennesker, applikasjoner, leverandører og infrastruktur.
- 8.3 Strategier og løsninger. Velg hvordan du vil gjenopprette hver prosess for å møte dens RTO/RPO, fra varm reserve til manuell reserveløsning.
- 8.4 Planer og prosedyrer. Kontinuitetsplaner med aktiveringskriterier, roller og eskalering, bygget ut fra strategien framfor en tom mal.
- 8.5 Øvelsesprogram. Planlegg, gjennomfør og dokumenter øvelser, med funn sporet til korrigerende tiltak. Det er dette som gjør en plan til en testet evne.
- 8.6 Evaluering. Revurder jevnlig alt som er bygget gjennom 8.2 til 8.5 slik at BCMS-en forblir effektiv.
Hvorfor det betyr noe utover sertifisering
Den røde tråden gjennom ISO 22301 er testet gjenoppretting. En plan du aldri har øvd på er ikke kontinuitet; det er et dokument. Nettopp dette skillet er det tilsynsmyndigheter i økende grad undersøker, og det er grunnen til at ISO 22301 har blitt det foretrukne rammeverket for virksomheter som også må oppfylle kontinuitetskravene i DORA og NIS2.