Менеджмент непрерывности бизнеса ISO 22301 в Грузии

Что такое ISO 22301

ISO 22301:2019 устанавливает требования к системе менеджмента непрерывности бизнеса (BCMS). В 2024 году в него внесено изменение, добавившее учёт изменения климата. Стандарт требует определить наиболее важные виды деятельности, решить, как быстро каждый из них нужно восстановить после сбоя, подготовить планы обеспечения непрерывности и восстановления и подтвердить учениями, что планы работают. Он охватывает людей, помещения, IT, поставщиков и коммуникации, а не только восстановление центра обработки данных.

Почему это актуально в Грузии

Ряд особенностей грузинского рынка делает планирование непрерывности практической задачей, а не формальностью:

• Надзор за финансовым сектором. Национальный банк Грузии осуществляет надзор за банками, микрофинансовыми организациями и поставщиками платёжных услуг и принял регулирование по управлению кибербезопасностью для коммерческих банков. Надзорный орган и банки-корреспонденты ожидают проверенной способности восстанавливать критичные услуги.
• Критические информационные системы. Закон Грузии «Об информационной безопасности» в редакции 2021 года делит субъектов критических информационных систем на категории, включая частные организации, такие как банки и компании электронных коммуникаций, и наделяет Оперативно-техническое агентство регуляторными полномочиями. Доступность этих систем входит в их обязательства по безопасности.
• Транзит и логистика. Через порты Поти и Батуми Грузия служит звеном транспортного коридора между Европой и Центральной Азией. Экспедиторы, терминалы и перевозчики зависят от IT-систем, топлива, пограничных процедур и небольшого числа ключевых сотрудников.
• Экспорт услуг. IT-компании, аутсорсинговые компании и контакт-центры, обслуживающие иностранных клиентов, получают в договорах и на аудитах запросы о планах обеспечения непрерывности и результатах их проверки.

Как BALTUM готовит вас к сертификации

1. Область и контекст. Согласуем, какие продукты, услуги и площадки входят в область, и определяем применимые законодательные, регуляторные и договорные требования.
2. Анализ воздействия на бизнес (BIA). Вместе с владельцами процессов определяем, как воздействие сбоя растёт со временем, и устанавливаем для каждого вида деятельности максимально допустимый период нарушения, RTO и RPO.
3. Оценка рисков. Оцениваем угрозы, которые могут вызвать сбой: от отключения электроэнергии и сети до потери поставщика, киберинцидентов и экстремальных погодных явлений.
4. Стратегии и планы. Помогаем выбрать стратегии непрерывности и написать планы реагирования на инциденты, обеспечения непрерывности бизнеса и восстановления IT, которым люди смогут следовать в стрессовой ситуации.
5. Учения. Разрабатываем и проводим штабные учения и, где возможно, техническую проверку восстановления, а также фиксируем извлечённые уроки.
6. Внутренний аудит и анализ со стороны руководства. Проводим аудит системы менеджмента непрерывности бизнеса и готовим анализ со стороны руководства.
7. Сопровождение сертификации. Помогаем выбрать аккредитованный орган по сертификации и сопровождаем вас во время аудитов.

Продолжительность зависит от количества критичных видов деятельности, площадок и IT-систем в области сертификации. План мы согласуем после первичной оценки.

Как проходит сертификация

Орган по сертификации проводит аудит системы в два этапа. На втором этапе аудитор ожидает увидеть завершённый BIA, утверждённые планы и записи как минимум об одних учениях. Сертификат действует три года с ежегодными надзорными аудитами. Отдавайте предпочтение органу по сертификации, аккредитованному органом по аккредитации, подписавшим IAF MLA, и проверяйте сертификаты в базе IAF CertSearch.

Связанные стандарты и материалы

ISO 22301 тесно связан с ISO/IEC 27001, который требует обеспечивать информационную безопасность во время сбоев и готовность ИКТ к обеспечению непрерывности бизнеса. Финансовым организациям также стоит прочитать статью о требованиях к кибербезопасности для банков и финансовых компаний в Грузии. Наше руководство по внутреннему аудиту и анализу со стороны руководства описывает последние шаги перед сертификационным аудитом.

Чтобы обсудить ваши критичные услуги и область сертификации, отправьте краткое описание через форму заявки или на info@baltum.org.

Частые вопросы

Чем ISO 22301 отличается от плана аварийного восстановления?

План аварийного восстановления охватывает IT-системы. ISO 22301 охватывает всю организацию: людей, помещения, поставщиков, коммуникации и IT, и требует регулярно проверять и улучшать планы.

Нужен ли второй центр обработки данных, чтобы получить сертификат?

Не обязательно. Стандарт требует стратегий, которые обеспечивают цели восстановления, установленные в BIA. Это может быть резервная площадка, восстановление в облаке, ручные обходные процедуры или договорённости с поставщиками, в зависимости от ваших рисков и бюджета.

Как часто нужно проверять планы?

Стандарт требует проводить учения с запланированной периодичностью и после существенных изменений. Большинство организаций проводят как минимум одни учения в год, и аудитор органа по сертификации запросит записи о них.