Работна среща на ръководството около заседателна маса

Непрекъсваемост на дейността · BCMS

ISO 22301 - когато нещо спре, бизнесът продължава

Пожар, кибератака, отпаднал доставчик или авария с тока - въпросът не е дали, а кога. Изграждаме система, с която знаете кои дейности да възстановите първо, за колко време и с какви ресурси - и я проверяваме с упражнения.

Безплатна първоначална оценка или се обадете0882 396 555

Какво е ISO 22301

Три числа, които решават всичко

ISO 22301 е международният стандарт за управление на непрекъсваемостта на дейността. В основата му са три въпроса: кои дейности са критични, колко дълго могат да спрат и до какво ниво трябва да се върнат.

MTPDМаксимален допустим период на прекъсванеВремето, след което загубите от спряна дейност стават неприемливи.
RTOЦелево време за възстановяванеДо кога дейността трябва да е възстановена - винаги преди MTPD.
MBCOМинимално приемливо нивоС колко може да работи фирмата, докато трае прекъсването.

Ниво на дейността след инцидент

С план дейността се връща над минималното ниво преди RTO - далеч преди MTPD.Без план прекъсването продължава отвъд MTPD и загубите стават неприемливи.

Анализ на въздействието (BIA)

Кое боли най-бързо - оттам започваме

Анализът показва как растат загубите с всеки час прекъсване. От него излизат приоритетите и сроковете за възстановяване. Изберете процес.

Процес · време без него1 ч4 ч1 ден3 дни1 седмица

ниско
средно
високо
неприемливо
MTPD

Резултат от анализа

ИТ системи и ERP

RTO - възстановяване до: 4 ч
MTPD - неприемливо след: 1 ден

Пример. Реалните стойности излизат от разговори с ръководителите на процесите във вашата фирма.

Стратегии и планове

План за всеки сценарий - стъпка по стъпка

Всеки знае какво прави и кога. Плановете са кратки, с телефони, роли и срокове - за да се използват в стрес, а не да стоят в папка.

План за реакция · КибератакаНапример криптиращ вирус в мрежата.

T+0Засегнатите системи се изолират от мрежата
T+15 минЕкипът за инциденти се събира, ръководството е уведомено
T+1 чОценка на обхвата и решение за възстановяване от резервни копия
T+4 чКритичните системи работят от чисти резервни копия
T+24 чРанно предупреждение към CSIRT - ако фирмата е субект по NIS2

План за реакция · Пожар или наводнениеСградата или складът са неизползваеми.

T+0Евакуация и проверка, че всички са в безопасност
T+30 минКризисният екип оценява щетите
T+2 чКлиентите и доставчиците са уведомени
T+1 денРабота от резервен обект или дистанционно
T+1 седмицаПлан за трайно възстановяване

План за реакция · Отпаднал доставчикКлючов доставчик спира доставките.

T+0Потвърждаване на очаквания срок на прекъсване
T+2 чПроверка на наличностите и приоритетните поръчки
T+4 чКлиентите със засегнати поръчки са уведомени
T+1 денПоръчка към предварително одобрен резервен доставчик
T+3 дниДоставките се стабилизират

План за реакция · Екстремно времеГорещини, бури, наводнения - климатът е част от стандарта от 2024 г.

T−48 чПредупреждение: проверка на запасите, графиците и оборудването
T+0Безопасност на хората, защита на техниката
T+2 чВременни мерки - смени, охлаждане, резервно захранване
T+1 денВъзстановяване на доставките и графика
T+1 седмицаПреглед: какво да подобрим в плана

Упражнения

План, който не е упражняван, е само документ

Стандартът изисква програма от упражнения. Започваме от преглед на хартия и стигаме до реално превключване - екипът знае какво да прави, а планът става по-добър.

1Преглед на планаЕкипът минава плана ред по ред - телефони, роли, ресурси.
2Упражнение на масаСценарий около масата; водещият добавя нови събития.
3СимулацияРеалистично изиграване, без да спира работата.
4Реално превключванеДейността наистина минава на резервния вариант.

Основен обектработи

ERP и складова система
Телефони и имейл
Приемане на поръчки
Заплати

Резервен обектв готовност

ERP и складова система
Телефони и имейл
Приемане на поръчки
Заплати

Натиснете „Превключи“, за да изиграете упражнението.

Ръководство

ISO 22301 - накратко и по същество

ISO 22301 е международният стандарт за система за управление на непрекъсваемостта на дейността (BCMS). Той помага на организацията да се подготви за прекъсвания - пожар, кибератака, авария, отпаднал доставчик, екстремно време - и да възстанови критичните си дейности в приемливи срокове.

Действащата версия е ISO 22301:2019, допълнена с изменение от 2024 г., което изисква да се прецени дали климатичните промени са важен фактор за организацията.

За кого е ISO 22301

Стандартът е подходящ за всяка организация, за която прекъсването е скъпо:

Банки, застрахователи и финансови институции
ИТ, облачни и телекомуникационни доставчици
Производители с непрекъснат процес
Логистични и транспортни фирми
Болници и здравни заведения
Общини и държавни институции

Какво изисква ISO 22301

В основата е анализът на въздействието (BIA): кои дейности са критични, колко бързо растат загубите при спирането им и в какъв срок трябва да се възстановят - RTO, MTPD и минималното приемливо ниво. Следва оценка на рисковете от прекъсване.

По тях се избират стратегии и решения - резервни обекти, резервни доставчици, копия на данните - и се пишат планове за реакция и възстановяване. Стандартът изисква програма от упражнения, наблюдение, вътрешни одити и преглед от ръководството.

Какви са ползите

Когато нещо спре, всеки знае какво прави: кой се събира, кои дейности са първи, откъде се работи. Това съкращава престоя и загубите и пази доверието на клиентите.

Системата е готова рамка и за изискванията за непрекъсваемост в NIS2 и DORA - резервни копия, възстановяване след бедствие, управление на кризи. Сертификатът е аргумент пред клиенти, партньори и регулатори.

Как протича внедряването

Обхват и контекстКои продукти, услуги и обекти влизат в системата.
Анализ на въздействието (BIA)Разговори с ръководителите на процесите - RTO, MTPD, ресурси.
Оценка на рискаСценарии за прекъсване, вероятност, уязвимости.
Стратегии и плановеРешения за възстановяване и кратки, приложими планове с роли и телефони.
УпражненияОт преглед на хартия до реално превключване - и поуки след всяко.
Сертификационен одитПодготвяме организацията за одита от независим сертифициращ орган.

Какво получавате

Анализ на въздействието (BIA)
RTO и MTPD за критичните дейности
Оценка на рисковете от прекъсване
Стратегии за непрекъсваемост
Планове за реакция и възстановяване
Програма и записи от упражнения
Обучени екипи и вътрешни одитори
Подготовка за сертификационния одит

Свързани стандарти

Въпроси за ISO 22301

Често задавани въпроси

Не намирате отговор? Обадете се - консултант ще отговори още днес.

Балтов КонсултКонсултант отговаря в рамките на работния ден

Здравейте! Изберете въпрос - или ни попитайте директно. Първата консултация е безплатна.

0882 396 555 Задайте въпрос

Стандарт

Какво е ISO 22301?

Международният стандарт за системи за управление на непрекъсваемостта на дейността (BCMS). Действащата версия е ISO 22301:2019, допълнена с изменение от 2024 г., което изисква да се прецени дали климатичните промени са важен фактор за фирмата.

Термини

Каква е разликата между RTO и MTPD?

MTPD е времето, след което загубите от спряна дейност стават неприемливи. RTO е срокът, в който дейността трябва да е възстановена - винаги по-кратък от MTPD, за да има резерв. И двете излизат от анализа на въздействието (BIA).

NIS2 и DORA

Помага ли ISO 22301 за NIS2 и DORA?

Да. NIS2 изисква мерки за непрекъсваемост - резервни копия, възстановяване след бедствие и управление на кризи, а DORA (от 17 януари 2025 г. за финансовия сектор) - политика за непрекъсваемост на ИКТ. ISO 22301 дава готова рамка за тези изисквания, но не ги покрива автоматично - проверяваме ги отделно.

Упражнения

Колко често се правят упражнения?

Стандартът изисква програма от упражнения на планирани интервали и при съществени промени. Препоръчваме поне едно упражнение годишно, като с всяка година сценариите стават по-реалистични.

Интеграция

Може ли да се обедини с ISO 27001 или ISO 9001?

Да. Стандартите имат обща структура, затова политиката, вътрешните одити и прегледът от ръководството могат да бъдат общи.

Срокове

Колко време отнема внедряването?

Зависи от броя на дейностите, обектите и доставчиците. Точния срок определяме след безплатната първоначална оценка и го записваме в офертата.

Одит

Как протича сертификационният одит?

На два етапа: проверка на документите и готовността, след това одит на място. Сертификатът е валиден три години, с ежегодни надзорни одити.