BIA (analiza vpliva na poslovanje) ugotovi, kateri procesi so ključni, kako hitro posledice prekinitve naraščajo in kolikšna sta največji dopustni čas izpada in ciljni čas obnove. Rezultat je podlaga za strategije, načrte in vaje po ISO 22301.
Kaj BIA ugotavlja
BIA je strukturiran pregled procesov in njihove odvisnosti. Odgovarja na vprašanja:
- Kateri procesi so za organizacijo ključni?
- Kako hitro naraščajo posledice, če proces ne deluje (finančne, pogodbene, zakonske, ugled)?
- Kateri viri jih podpirajo: ljudje, lokacije, sistemi, dobavitelji?
- Kolikšen izpad je še sprejemljiv?
Ključni pojmi
| Pojem | Pomen |
|---|---|
| MTPD (največji dopustni čas izpada) | čas, po katerem posledice postanejo nesprejemljive |
| RTO (ciljni čas obnove) | v kolikšnem času je treba proces obnoviti; mora biti krajši od MTPD |
| MBCO (najmanjša raven delovanja) | kolikšen del storitve mora delovati med prekinitvijo |
| RPO (ciljna točka obnove) | največja dopustna izguba podatkov; v praksi pogost kazalnik, ki ga standard ne uporablja kot samostojen pojem |
Potek BIA
- Določite obseg in vključene procese.
- Pripravite vprašalnik za lastnike procesov.
- Ocenite vplive po časovnih intervalih (ura, dan, teden).
- Določite MTPD, RTO, MBCO in odvisnosti (sistemi, dobavitelji, ljudje).
- Razvrstite procese po prednosti obnove.
- Rezultate potrdi vodstvo.
Povezava z naslednjimi koraki
BIA je vhod za oceno tveganj, izbiro strategij obnove, načrte neprekinjenosti in vaje. Brez nje se pogosto zgodi, da so cilji obnove izmišljeni ali nerealni: IT obljubi štiri ure, poslovanje pa pričakuje eno uro.
Pogoste napake
- BIA izpolni samo IT, brez lastnikov poslovnih procesov,
- vsi procesi so označeni za »kritične«,
- odvisnosti od dobaviteljev niso vključene,
- cilji obnove niso preverjeni z vajo ali testom obnove,
- rezultati BIA se ne posodobijo po spremembi organizacije.
Zakaj je pomembna tudi zunaj ISO 22301
Neprekinjenost poslovanja je ena od zahtev NIS2 in ZInfV-1, prav tako ISO 27001 ureja neprekinjenost informacijske varnosti. BIA daje skupno podlago.
Več: ISO 22301 in svetovalni pregled ISO 22301.
Pogosta vprašanja
Ali je BIA obvezna?
Če uvajate sistem po ISO 22301, da: standard zahteva proces analize vpliva na poslovanje in ocene tveganj. Brez BIA ni mogoče utemeljiti ciljev obnove.
Kako pogosto BIA ponavljamo?
Ob večjih spremembah organizacije in procesov, sicer vsaj enkrat letno pregledamo, ali predpostavke še veljajo.
Kakšna je razlika med RTO in RPO?
RTO je ciljni čas, v katerem je treba proces ali sistem obnoviti. RPO je največja dopustna izguba podatkov, izražena kot čas od zadnje varnostne kopije.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja. Obveznosti so odvisne od položaja posamezne organizacije.