ISO 22301 ბიზნესის უწყვეტობის მართვა საქართველოში

რა არის ISO 22301

ISO 22301:2019 ადგენს მოთხოვნებს ბიზნესის უწყვეტობის მართვის სისტემისთვის (BCMS). 2024 წელს მასში შევიდა ცვლილება, რომლითაც კლიმატის ცვლილების გათვალისწინება დაემატა. სტანდარტი მოითხოვს, განსაზღვროთ, რომელი საქმიანობებია ყველაზე მნიშვნელოვანი, გადაწყვიტოთ, რა სისწრაფით უნდა აღდგეს თითოეული მათგანი შეფერხების შემდეგ, შეიმუშაოთ უწყვეტობისა და აღდგენის გეგმები და წვრთნებით დაამტკიცოთ, რომ გეგმები მუშაობს. ის მოიცავს ადამიანებს, შენობებს, IT სისტემებს, მომწოდებლებსა და კომუნიკაციას და არა მხოლოდ მონაცემთა ცენტრის აღდგენას.

რატომ არის ეს აქტუალური საქართველოში

ქართული ბაზრის რამდენიმე თავისებურება უწყვეტობის დაგეგმვას პრაქტიკულ საკითხად აქცევს და არა ფორმალობად:

• ფინანსური სექტორის ზედამხედველობა. საქართველოს ეროვნული ბანკი ზედამხედველობას უწევს ბანკებს, მიკროსაფინანსო ორგანიზაციებსა და გადახდის მომსახურების პროვაიდერებს და მიღებული აქვს კომერციული ბანკების კიბერუსაფრთხოების მართვის რეგულირება. ზედამხედველები და კორესპონდენტი ბანკები კრიტიკული მომსახურებებისთვის გამოცდილ აღდგენის შესაძლებლობებს მოელიან.
• კრიტიკული ინფორმაციული სისტემები. საქართველოს კანონი „ინფორმაციული უსაფრთხოების შესახებ“, 2021 წლის ცვლილებების გათვალისწინებით, კრიტიკული ინფორმაციული სისტემის სუბიექტებს კატეგორიებად ყოფს, მათ შორის კერძო სექტორის სუბიექტებს, როგორიცაა ბანკები და ელექტრონული კომუნიკაციების კომპანიები, და მარეგულირებელ უფლებამოსილებას ოპერატიულ-ტექნიკურ სააგენტოს ანიჭებს. ამ სისტემების ხელმისაწვდომობა მათი უსაფრთხოების ვალდებულებების ნაწილია.
• ტრანზიტი და ლოჯისტიკა. საქართველო, ფოთისა და ბათუმის პორტებით, ევროპასა და ცენტრალურ აზიას შორის სატრანსპორტო დერეფნის რგოლია. ექსპედიტორები, ტერმინალები და გადამზიდავები დამოკიდებული არიან IT სისტემებზე, საწვავზე, სასაზღვრო პროცედურებსა და მცირე რაოდენობის საკვანძო თანამშრომლებზე.
• მომსახურების ექსპორტი. უცხოელ კლიენტებს მომსახურე IT, აუთსორსინგისა და საკონტაქტო ცენტრების კომპანიებს ხელშეკრულებებსა და აუდიტებში უწყვეტობის გეგმებსა და ტესტირების შედეგებს სთხოვენ.

როგორ გამზადებთ BALTUM

1. ფარგლები და კონტექსტი. ვთანხმდებით, რომელი პროდუქტები, მომსახურებები და ლოკაციები შედის ფარგლებში, და ვადგენთ შესაბამის სამართლებრივ, მარეგულირებელ და სახელშეკრულებო მოთხოვნებს.
2. ბიზნესზე ზეგავლენის ანალიზი (BIA). პროცესების მფლობელებთან ერთად ვადგენთ შეფერხების ზეგავლენას დროის მიხედვით და თითოეული საქმიანობისთვის ვსაზღვრავთ შეფერხების მაქსიმალურ დასაშვებ პერიოდს, RTO-სა და RPO-ს.
3. რისკების შეფასება. ვაფასებთ საფრთხეებს, რომლებმაც შეიძლება შეფერხება გამოიწვიოს, ელექტროენერგიისა და ქსელის გათიშვიდან მომწოდებლის დაკარგვამდე, კიბერინციდენტებამდე და ექსტრემალურ ამინდამდე.
4. სტრატეგიები და გეგმები. გეხმარებით უწყვეტობის სტრატეგიების შერჩევაში და ვწერთ ინციდენტზე რეაგირების, ბიზნესის უწყვეტობისა და IT აღდგენის გეგმებს, რომლებსაც ადამიანები ზეწოლის პირობებშიც შეძლებენ მიჰყვნენ.
5. წვრთნები. ვგეგმავთ და ვუძღვებით სამაგიდო წვრთნას და, შესაძლებლობის შემთხვევაში, ტექნიკური აღდგენის ტესტს, და ვაფიქსირებთ მიღებულ გაკვეთილებს.
6. შიდა აუდიტი და ხელმძღვანელობის მიერ ანალიზი. ვამოწმებთ BCMS-ს და ვამზადებთ ხელმძღვანელობის მიერ ანალიზს.
7. სერტიფიცირების მხარდაჭერა. გეხმარებით აკრედიტებული სასერტიფიკაციო ორგანოს შერჩევაში და მხარს გიჭერთ აუდიტების დროს.

ვადები დამოკიდებულია ფარგლებში შემავალი კრიტიკული საქმიანობების, ობიექტებისა და IT სისტემების რაოდენობაზე. გეგმაზე პირველი შეფასების შემდეგ ვთანხმდებით.

როგორ მიმდინარეობს სერტიფიცირება

სასერტიფიკაციო ორგანო BCMS-ს ორ ეტაპად ამოწმებს. მეორე ეტაპზე აუდიტორი ელის დასრულებულ BIA-ს, დამტკიცებულ გეგმებს და მინიმუმ ერთი წვრთნის ჩანაწერებს. სერტიფიკატი სამი წლით მოქმედებს, ყოველწლიური საზედამხედველო აუდიტებით. უპირატესობა მიანიჭეთ სასერტიფიკაციო ორგანოს, რომელიც აკრედიტებულია IAF MLA-ს ხელმომწერი აკრედიტაციის ორგანოს მიერ, და სერტიფიკატები შეამოწმეთ IAF CertSearch-ში.

დაკავშირებული სტანდარტები და სტატიები

ISO 22301 მჭიდროდ არის დაკავშირებული ISO/IEC 27001-თან, რომელიც მოითხოვს ინფორმაციული უსაფრთხოების უზრუნველყოფას შეფერხების დროს და საინფორმაციო და საკომუნიკაციო ტექნოლოგიების მზადყოფნას ბიზნესის უწყვეტობისთვის. ფინანსურმა ორგანიზაციებმა ასევე უნდა წაიკითხონ კიბერუსაფრთხოების მოთხოვნები ბანკებისა და ფინანსური კომპანიებისთვის საქართველოში. ჩვენი სახელმძღვანელო შიდა აუდიტისა და ხელმძღვანელობის მიერ ანალიზის შესახებ სასერტიფიკაციო აუდიტამდე ბოლო ნაბიჯებს მოიცავს.

თქვენი კრიტიკული მომსახურებებისა და ფარგლების განსახილველად გამოგვიგზავნეთ მოკლე აღწერა მოთხოვნის ფორმით ან მისამართზე info@baltum.org.

ხშირად დასმული კითხვები

რა განსხვავებაა ISO 22301-სა და კატასტროფის შემდგომი აღდგენის გეგმას შორის?

კატასტროფის შემდგომი აღდგენის გეგმა IT სისტემებს მოიცავს. ISO 22301 მთელ ორგანიზაციას მოიცავს: ადამიანებს, შენობებს, მომწოდებლებს, კომუნიკაციასა და IT სისტემებს, და მოითხოვს გეგმების რეგულარულ ტესტირებასა და გაუმჯობესებას.

გვჭირდება თუ არა მეორე მონაცემთა ცენტრი სერტიფიცირებისთვის?

აუცილებლად არა. სტანდარტი მოითხოვს სტრატეგიებს, რომლებიც BIA-ში დადგენილ აღდგენის მიზნებს აკმაყოფილებს. ეს შეიძლება იყოს სარეზერვო ობიექტი, ღრუბელში აღდგენა, ხელით შესრულებული ალტერნატიული პროცედურები ან მომწოდებლებთან შეთანხმებები, თქვენი რისკებისა და ბიუჯეტის მიხედვით.

რამდენად ხშირად უნდა გამოვცადოთ ჩვენი გეგმები?

სტანდარტი მოითხოვს წვრთნებს დაგეგმილი ინტერვალებით და მნიშვნელოვანი ცვლილებების შემდეგ. ორგანიზაციების უმეტესობა წელიწადში მინიმუმ ერთ წვრთნას ატარებს, ხოლო სასერტიფიკაციო აუდიტორი ჩანაწერებს მოითხოვს.