Audyt ISO 22301 Twojego systemu ciągłości działania
Audyt ISO 22301 sprawdza, czy po ataku ransomware, pożarze serwerowni albo upadku dostawcy Twoja firma wróci do pracy w czasie, który sama uznała za dopuszczalny. To audyt dla firm, w których kilka godzin przestoju oznacza realne straty. Dostajesz raport z niezgodnościami wobec ISO 22301:2019 i listę poprawek ułożoną według wpływu na działalność.
- Analiza BIA oceniona pod kątem procesów i dostawców, nie tylko IT
- RTO i RPO zestawione z tym, ile naprawdę trwa odtworzenie
- Plan ciągłości sprawdzony w rozmowach z osobami, które mają go wykonać
Twój kontakt:Bartosz MachnikAktualizacja:
Czym jest norma ISO 22301 i co sprawdza audyt
ISO 22301:2019 to międzynarodowa norma z wymaganiami dla systemu zarządzania ciągłością działania (SZCD, ang. BCMS). Każe ustalić, które działania firmy muszą wrócić najszybciej i w jakim czasie, a potem regularnie to ćwiczyć i poprawiać. Certyfikacja jest dobrowolna. Mimo to o plan ciągłości działania pytają banki swoich dostawców i zamawiający w przetargach.
Audyt ISO 22301, nazywany też audytem BCM albo audytem ciągłości działania, porównuje to, co firma zapisała, z tym, co naprawdę potrafi. Czytamy analizę BIA, strategie i plany, a potem rozmawiamy z ludźmi, którzy mają je wykonać. Luki wychodzą wtedy na audycie, a nie w trakcie awarii.
Ciągłości działania wymagają też przepisy. Ustawa o KSC, która wdraża NIS2, nakłada ten obowiązek na podmioty kluczowe i ważne, a DORA wymaga od podmiotów finansowych planów ciągłości ICT i ich testowania. Żaden z tych przepisów nie nakazuje certyfikatu ISO 22301, ale norma daje strukturę, na której można oprzeć ich wymagania.
Kiedy zamówić audyt ciągłości działania
- Zaczynasz wdrażać ISO 22301 i chcesz wiedzieć, ile brakuje Ci do wymagań normy
- Przed Tobą audyt certyfikujący i chcesz poznać niezgodności, zanim znajdzie je jednostka certyfikująca
- Potrzebujesz audytu wewnętrznego z pkt 9.2 normy i chcesz, żeby poprowadził go ktoś spoza zespołu, który zbudował system
- Ustawa o KSC albo DORA wymaga od Ciebie planów ciągłości działania i chcesz je sprawdzić, zanim zrobi to organ nadzoru
- Chcesz sprawdzić ciągłość działania dostawcy, od którego zależy Twoja firma
Audyt sprawdza system, dokumenty i zapisy, ale nie symuluje ataku. Odtwarzanie z kopii i gotowość zespołu reagowania na incydenty sprawdzisz w praktyce w symulacji ransomware. Jeśli masz SZBI według ISO 27001, a ciągłość działania obejmujesz tylko jego zabezpieczeniami (A.5.29 i A.5.30), wystarczy audyt ISO 27001.
Co obejmuje audyt ISO 22301
Audyt obejmuje wymagania ISO 22301:2019 od kontekstu organizacji po doskonalenie. Najwięcej czasu poświęcamy sześciu obszarom, w których plany najczęściej rozmijają się z tym, co firma naprawdę potrafi.
Analiza BIA, RTO i RPO (pkt 8.2)
Sprawdzamy, czy analiza BIA obejmuje wszystkie działania priorytetowe, procesy i dostawców, a nie tylko systemy IT. RTO i RPO powinni ustalić właściciele procesów i zatwierdzić kierownictwo, bo wartości z szablonu nie wytrzymują pytania, skąd się wzięły.
Strategie ciągłości (pkt 8.3)
Zestawiamy RTO z tym, co firma faktycznie potrafi: jeśli odtworzenie bazy danych trwa 12 godzin, cel 4 godzin jest nierealny. Sprawdzamy też, czy strategia przewiduje utratę centrum danych albo głównego dostawcy.
Plan ciągłości działania (pkt 8.4)
Plan ma wskazywać konkretne osoby i ich zastępców oraz odwoływać się do procedury obsługi incydentów. Sprawdzamy, czy zespół uruchomi go, kiedy nie działa firmowa poczta ani komunikator.
Ćwiczenia i testy (pkt 8.5)
Plan, którego nikt nie przećwiczył, to hipoteza. Czytamy raporty z ćwiczeń i sprawdzamy, czy wnioski z nich trafiły z powrotem do planów.
Kopie zapasowe i odtwarzanie
Grupy ransomware zwykle zaczynają od usunięcia kopii zapasowych. Sprawdzamy, czy backup jest odseparowany od domeny i sieci produkcyjnej oraz kiedy ktoś ostatnio odtworzył z niego cały system, a nie pojedynczy plik.
Przegląd zarządzania (pkt 9.3)
Sprawdzamy, czy kierownictwo zna wyniki ćwiczeń i audytów, zatwierdza wymagania odtworzenia i przydziela zasoby na poprawki. Jeśli w protokole z przeglądu nie ma po tym śladu, system działa tylko na papierze.
Jak przebiega audyt
Rodzaj i zakres
Ustalamy, czego potrzebujesz: analizy luk, audytu wewnętrznego, audytu przed certyfikacją czy audytu dostawcy. Wybieramy usługi, lokalizacje i osoby do rozmów.
Przegląd dokumentów
Czytamy politykę ciągłości działania, analizę BIA, ocenę ryzyka, strategie, plany i raporty z ćwiczeń. Już na tym etapie widać, czy RTO i RPO mają uzasadnienie.
Rozmowy i dowody
Rozmawiamy z kierownictwem, właścicielami procesów, IT i osobami wskazanymi w planach. Sprawdzamy dowody: protokoły testów odtworzenia, raporty z ćwiczeń i odseparowanie kopii zapasowych.
Raport i omówienie
Każda niezgodność ma w raporcie punkt normy, dowód i zalecenie. Wyniki omawiamy z Twoim zespołem i kierownictwem.
Wsparcie po audycie
Jeśli chcesz, pomagamy usunąć niezgodności i jesteśmy z Tobą na audycie certyfikującym. Certyfikat wydaje akredytowana jednostka certyfikująca, nie PWNONE.
Na czym opieramy audyt
- Norma ISO 22301:2019, od kontekstu organizacji (rozdział 4) po doskonalenie (rozdział 10)
- Wytyczne ISO 22313:2020, które opisują, jak stosować wymagania ISO 22301 w praktyce
- Przepisy, jeśli Cię dotyczą: ustawa o KSC (art. 8 ust. 1 pkt 2 lit. f), NIS2 (art. 21 ust. 2 lit. c) i DORA (art. 11)
- Wymagania Twoich klientów i umów (pkt 4.2 normy), np. czas przywrócenia usługi obiecany w SLA
- Obiektywizm i bezstronność, których wymaga pkt 9.2 normy: audytor nie ocenia własnej pracy
Co dostajesz po audycie
- Raport z niezgodnościami wobec ISO 22301:2019, każda z punktem normy i dowodem
- Zalecenia ułożone według wpływu na działalność, a nie kolejności rozdziałów normy
- Zestawienie deklarowanych RTO i RPO z wynikami testów odtworzenia
- Omówienie wyników z kierownictwem i raport, który wykorzystasz w przeglądzie zarządzania (pkt 9.3)
- Przy audycie dostawcy: ocenę, czy jego ciągłość działania pokrywa Twoje RTO i RPO
Często zadawane pytania
Na czym polega audyt ISO 22301?
Audyt ISO 22301 sprawdza, czy system zarządzania ciągłością działania spełnia wymagania normy ISO 22301:2019 i czy działa w praktyce. Audytor czyta analizę BIA, strategie, plany ciągłości i raporty z ćwiczeń, rozmawia z właścicielami procesów i porównuje deklarowane RTO z wynikami testów odtworzenia. Efektem jest raport z niezgodnościami i zaleceniami. Może to być analiza luk, audyt wewnętrzny, audyt przed certyfikacją albo audyt dostawcy.
Co to jest analiza BIA?
Analiza BIA (business impact analysis), czyli analiza wpływu na działalność, pokazuje, co się stanie, gdy proces albo usługa przestanie działać, i jak skutki rosną z czasem. Na jej podstawie firma wybiera działania priorytetowe i ustala RTO, czyli czas, w jakim mają wrócić, oraz RPO, czyli ile danych może stracić. W ISO 22301 analizę BIA opisuje pkt 8.2, ale konkretnych wartości RTO i RPO nie podaje ani norma, ani ustawa o KSC. Dobra analiza obejmuje też dostawców i zależności między procesami, a nie tylko systemy IT.
Co powinien zawierać plan ciągłości działania?
Plan ciągłości działania opisuje, kto, kiedy i jak przywraca działania priorytetowe po zakłóceniu. Według ISO 22301 (pkt 8.4) zawiera m.in. role zespołu, kryteria uruchomienia, kroki przywracania w ustalonym czasie, potrzebne zasoby, zależności od dostawców i zasady komunikacji. Powinien wskazywać konkretne osoby wraz z zastępcami i dać się uruchomić także wtedy, gdy nie działa firmowa poczta. Bez ćwiczeń nie wiadomo, czy zadziała.
Czy norma ISO 22301 jest obowiązkowa?
Nie. Certyfikacja jest dobrowolna i ani ustawa o KSC, ani DORA nie nakazują stosowania tej normy. Obowiązkowa bywa za to sama ciągłość działania: ustawa o KSC, która wdraża NIS2, wymaga jej od podmiotów kluczowych i ważnych, a DORA wymaga od podmiotów finansowych planów ciągłości ICT i ich testowania. ISO 22301 daje gotową strukturę, na której można oprzeć te wymagania.
Czym różni się ISO 22301 od ISO 27001?
ISO 27001 dotyczy bezpieczeństwa informacji, a ciągłości działania dotyka w kilku zabezpieczeniach, m.in. A.5.29 i A.5.30, patrząc na nią od strony informacji i IT. ISO 22301 obejmuje całą organizację, razem z procesami, ludźmi i dostawcami. Obie normy mają tę samą strukturę rozdziałów, więc audyty wewnętrzne i przeglądy zarządzania można prowadzić wspólnie.
Kto wydaje certyfikat ISO 22301?
Certyfikat ISO 22301 wydaje akredytowana jednostka certyfikująca po własnym audycie certyfikującym. PWNONE certyfikatów nie wydaje. Prowadzimy audyty wewnętrzne, których wymaga sama norma (pkt 9.2), i audyty przed certyfikacją, po których wiesz, co poprawić przed wizytą jednostki. Audyt wewnętrzny firma może też przeprowadzić własnymi siłami, o ile audytor nie ocenia własnej pracy.
Porozmawiaj z Bartoszem Machnikiem o audycie ISO 22301
Bartosz Machnik, CBDO PWNONE, ustali z Tobą rodzaj i zakres audytu: które usługi, lokalizacje i dostawców obejmuje Twój system ciągłości działania. Jeśli wystarczy mniejszy zakres, np. sama analiza luk, powie to wprost. Sam audyt prowadzi audytor wiodący ISO 22301 z naszego zespołu.
Umów rozmowę o audycie ISO 22301