Obsah PAS 56:2003 - Risk analysis consultants

Information Security Management
Information Risk Management
Business Continuity Management
Information Forensic Analysis
Guide to Business Continuity Management
... be sure in doing your business
RISK ANALYSIS CONSULTANTS
PAS 56
Guide to Business Continuity Management
Překlad a interpretace pro české prostředí
© 2003, British Standards Institution
© 2005, Risk Analysis Consultants
PAS 56:2003 Překlad a interpretace pro české prostředí
Obsah
PŘEDMLUVA.......................................................................................................................................... V
ÚVOD ..................................................................................................................................................... VI
1
ROZSAH ........................................................................................................................................... 1
2
TERMINOLOGIE A DEFINICE ......................................................................................................... 1
2.1
OVĚŘENÍ (ASSURANCE) ............................................................................................................. 1
2.2
ZPRACOVÁNÍ NAHROMADĚNÝCH ČINNOSTÍ (BACKLOG PROCESSING)............................ 1
2.3 ŘÍZENÍ KONTINUITY ČINNOSTÍ ORGANIZACE (BUSINESS CONTINUITY MANAGEMENT,
BCM) 1
2.4
PLÁNOVÁNÍ KONTINUITY ČINNOSTÍ ORGANIZACE (BUSINESS CONTINUITY PLANNING)1
2.5
ANALÝZA DOPADŮ (BUSINESS IMPACT ANALYSIS, BIA) ...................................................... 1
2.6
MÍSTO OBNOVY ČINNOSTI, ZÁLOŽNÍ PROSTORY (BUSINESS RESPONSE WORK AREA) 1
2.7
RIZIKO ČINNOSTÍ ORGANIZACE, OBCHODNÍ RIZIKO (BUSINESS RISK) ............................. 2
2.8
ŘÍZENÍ A SPRÁVA SPOLEČNOSTI (CORPORATE GOVERNANCE)........................................ 2
2.9
KRIZOVÉ ŘÍZENÍ (CRISIS MANAGEMENT) ................................................................................ 2
2.10
VYMEZENÝ PROSTOR (DEDICATED WORK AREA) ............................................................... 2
2.11
REAKCE NA INCIDENT (EMERGENCY RESPONSE).............................................................. 2
2.12
END-TO-END (END-TO-END)..................................................................................................... 2
2.13
UZAVŘENÁ OBLAST (EXCLUSION ZONE) .............................................................................. 2
2.14
CVIČENÍ (EXERCISING) ............................................................................................................. 2
2.15
ŠITÝ NA MÍRU, VHODNÝ PRO DANÝ ÚČEL (FIT FOR PURPOSE) ........................................ 3
2.16
INCIDENT (INCIDENT)................................................................................................................ 3
2.17
DODÁVKY V POŽADOVANÉM ČASE (JUST-IN-TIME SUPPLY CHAIN, JIT) ......................... 3
2.18
KLÍČOVÝ INDIKÁTOR VÝKONU (KEY PERFORMANCE INDICATOR, KPI) ........................... 3
2.19 ÚROVEŇ KONTINUITY ČINNOSTÍ ORGANIZACE (LEVEL OF BUSINESS CONTINUITY,
LBC) 3
2.20
KRITICKÉ ČINNOSTI ORGANIZACE (MISSION CRITICAL ACTIVITIES, MCA)...................... 3
2.21
MOBILNÍ ZÁLOŽNÍ PROSTORY (MOBILE RECOVERY SOLUTION) ...................................... 3
2.22
PROVOZNÍ RIZIKO (OPERATIONAL RISK)............................................................................... 3
2.23
MĚŘÍTKO VÝKONU (PERFORMANCE MEASURE).................................................................. 3
2.24
RECIPROČNÍ DOHODA (RECIPROCAL AGREEMENT)........................................................... 4
2.25
RECIPROČNĚ POSKYTOVANÉ PRACOVIŠTĚ (RECIPROCAL WORK AREA)..................... 4
2.26
CÍL OBNOVY ČINNOSTI (RECOVERY POINT OBJECTIVE, RPO).......................................... 4
2.27
LHŮTA OBNOVY ČINNOSTI (RECOVERY TIME OBJECTIVE, RTO) ...................................... 4
2.28
ZBYTKOVÉ RIZIKO (RESIDUAL RISK) ..................................................................................... 4
2.29
ODOLNOST (RESILIENCE) ........................................................................................................ 4
2.30
OPATŘENÍ ZVYŠUJÍCÍ ODOLNOST (RESILIENCE MEASURE).............................................. 4
2.31
ŘEŠENÍ OBNOVY ZDROJŮ (RESOURCE RECOVERY SOLUTION) ...................................... 4
2.32
ODEZVA (RESPONSE)............................................................................................................... 4
2.33
RIZIKO (RISK) ............................................................................................................................. 4
2.34
PŘIJATELNÁ ÚROVEŇ RIZIKA (RISK APPETITE)................................................................... 5
© BSI 2003, © 2005 Risk Analysis Consultants
i
PAS 56:2003 Překlad a interpretace pro české prostředí
2.35
HODNOCENÍ RIZIK (RISK ASSESSMENT) ............................................................................... 5
2.36
KONCENTRACE RIZIK (RISK CONCENTRATION) .................................................................. 5
2.37
ŘÍZENÍ RIZIK (RISK MANAGEMENT) ........................................................................................ 5
2.38
PROGRAM ŘÍZENÍ RIZIK (RISK MANAGEMENT PROGRAMME) ........................................... 5
2.39
PROFIL RIZIK (RISK PROFILE) ................................................................................................. 5
2.40
KRITICKÝ PRVEK SELHÁNÍ (SINGLE POINT OF FAILURE)................................................... 5
2.41
STRATEGIE (STRATEGY).......................................................................................................... 5
2.42 SDRUŽENÝ NEBO SDÍLENÝ PRACOVNÍ PROSTOR (SYNDICATED OR SHARED
SUBSCRIPTION WORK AREA) ............................................................................................................. 6
2.43
SDRUŽENÝ POMĚR (SYNDICATION RATIO) ........................................................................... 6
2.44
EXISTENČNĚ DŮLEŽITÉ ZÁZNAMY (VITAL RECORDS) ........................................................ 6
2.45
MÍSTO PRO OBNOVU ČINNOSTI (WORK AREA RECOVERY, WAR)..................................... 6
3
ZKRATKY ......................................................................................................................................... 7
4
PŘEHLED ......................................................................................................................................... 7
4.1
PRINCIPY ...................................................................................................................................... 7
4.2
ŽIVOTNÍ CYKLUS BCM (MODEL A SLOŽKY) ............................................................................ 8
5
ŘÍZENÍ PROGRAMU BCM............................................................................................................... 8
5.1
PŘEHLED ...................................................................................................................................... 8
5.2
ŘÍZENÍ............................................................................................................................................ 9
5.2.1
VŠEOBECNĚ.............................................................................................................................. 9
5.2.2
ÚČEL/CÍLE ................................................................................................................................. 9
5.2.3
VÝSTUPY ................................................................................................................................... 9
5.3
POLITIKA..................................................................................................................................... 10
5.3.1
VŠEOBECNĚ............................................................................................................................ 10
5.3.2
VÝSTUPY ................................................................................................................................. 10
5.4
OVĚŘENÍ BCM............................................................................................................................ 11
5.4.1
VŠEOBECNĚ............................................................................................................................ 11
5.4.2
ÚČEL/CÍLE ............................................................................................................................... 11
5.4.3
VÝSTUPY ................................................................................................................................. 11
6
POROZUMĚNÍ ČINNOSTI ORGANIZACE .................................................................................... 11
6.1
VŠEOBECNĚ............................................................................................................................... 11
6.2
ANALÝZA DOPADŮ ................................................................................................................... 12
6.2.1
VŠEOBECNĚ............................................................................................................................ 12
6.2.2
ÚČEL/CÍLE ............................................................................................................................... 12
6.2.3
VÝSTUPY ................................................................................................................................. 15
6.3
HODNOCENÍ RIZIK..................................................................................................................... 15
6.3.1
VŠEOBECNĚ............................................................................................................................ 15
6.3.2
ÚČEL/CÍLE ............................................................................................................................... 15
6.3.3
VÝSTUPY ................................................................................................................................. 15
7
STRATEGIE ŘÍZENÍ KONTINUITY ČINNOSTÍ ORGANIZACE .................................................... 16
© BSI 2003, © 2005 Risk Analysis Consultants
PAS 56:2003 Překlad a interpretace pro české prostředí
7.1
VŠEOBECNĚ............................................................................................................................... 16
7.2
STRATEGIE ŘÍZENÍ KONTINUITY ČINNOSTÍ NA ÚROVNI ORGANIZACE............................ 17
7.2.1
VŠEOBECNĚ............................................................................................................................ 17
7.2.2
ÚČEL/CÍLE ............................................................................................................................... 17
7.2.3
VÝSTUPY ................................................................................................................................. 17
7.3
STRATEGIE ŘÍZENÍ KONTINUITY ČINNOSTÍ ORGANIZACE NA ÚROVNI PROCESŮ......... 18
7.3.1
VŠEOBECNĚ............................................................................................................................ 18
7.3.2
ÚČEL/CÍLE ............................................................................................................................... 19
7.3.3
VÝSTUPY ................................................................................................................................. 19
7.4
STRATEGIE ŘÍZENÍ KONTINUITY ČINNOSTÍ ORGANIZACE NA ÚROVNI OBNOVY ZDROJŮ
19
7.4.1
VŠEOBECNĚ............................................................................................................................ 19
7.4.2
ÚČEL/CÍLE ............................................................................................................................... 20
7.4.3
VÝSTUPY ................................................................................................................................. 20
8
VÝVOJ A IMPLEMENTACE PLÁNŮ OBNOVY FUNKČNOSTI.................................................... 20
8.1
PŘEHLED .................................................................................................................................... 20
8.2
PLÁN KONTINUITY ČINNOSTÍ .................................................................................................. 20
8.2.1
VŠEOBECNĚ............................................................................................................................ 20
8.2.2
ÚČEL/CÍLE ............................................................................................................................... 21
8.2.3
VÝSTUPY ................................................................................................................................. 21
8.3
PLÁN OBNOVY ZDROJŮ A NÁHRADNÍCH ŘEŠENÍ ............................................................... 21
8.3.1
VŠEOBECNĚ............................................................................................................................ 21
8.3.2
ÚČEL/CÍLE ............................................................................................................................... 22
8.3.3
VÝSTUPY ................................................................................................................................. 22
8.4
PLÁNOVÁNÍ KRIZOVÉHO ŘÍZENÍ............................................................................................. 22
8.4.1
VŠEOBECNĚ............................................................................................................................ 22
8.4.2
ÚČEL/CÍLE ............................................................................................................................... 22
8.4.3
VÝSTUPY ................................................................................................................................. 22
9
VYTVOŘENÍ A UPEVŇOVÁNÍ KULTURY ŘÍZENÍ KONTINUITY ČINNOSTÍ V ORGANIZACI... 23
9.1
POVĚDOMÍ, ŠKOLENÍ A KULTURA.......................................................................................... 23
9.1.1
VŠEOBECNĚ............................................................................................................................ 23
9.1.2
ÚČEL/CÍLE ............................................................................................................................... 23
9.1.3
VÝSTUPY ................................................................................................................................. 24
10
TESTOVÁNÍ, AKTUALIZACE, ZMĚNY A AUDIT BCM .............................................................. 24
10.1
TESTOVÁNÍ............................................................................................................................... 24
10.1.1
VŠEOBECNĚ.......................................................................................................................... 24
10.1.2
ÚČEL/CÍLE ............................................................................................................................. 26
10.1.3
VÝSTUPY ............................................................................................................................... 26
10.2
AKTUALIZACE A ZMĚNY ........................................................................................................ 27
10.2.1
VŠEOBECNĚ.......................................................................................................................... 27
10.2.2
ÚČEL/CÍLE ............................................................................................................................. 27
© BSI 2003, © 2005 Risk Analysis Consultants
iii
PAS 56:2003 Překlad a interpretace pro české prostředí
10.2.3
10.3
VÝSTUPY ............................................................................................................................... 27
AUDIT ........................................................................................................................................ 28
10.3.1
VŠEOBECNĚ.......................................................................................................................... 28
10.3.2
ÚČEL/CÍLE ............................................................................................................................. 29
10.3.3
VÝSTUPY ............................................................................................................................... 29
PŘÍLOHA A
(INFORMATIVNÍ) ÚČASTNÍCI ŽIVOTNÍHO CYKLU BCM.......................................... 30
PŘÍLOHA B
(INFORMATIVNÍ) HODNOTÍCÍ KRITÉRIA BCM ......................................................... 32
PŘÍLOHA C
(INFORMATIVNÍ) FREKVENCE A DŮVODY PŘEZKOUMÁNÍ................................... 42
LITERATURA........................................................................................................................................ 43
BSI — BRITISH STANDARDS INSTITUTION ......................................................................................... 46
RAC – DŮLEŽITÉ INFORMACE ............................................................................................................. 47
© BSI 2003, © 2005 Risk Analysis Consultants
PAS 56:2003 Překlad a interpretace pro české prostředí
Úvod
Řízení kontinuity činností organizace (Business Continuity Management, BCM) by měla být aktivita
"šitá na míru", vlastněná a řízená organizací, měla by sjednocovat široké spektrum obchodních
a řídících disciplin, jak ve veřejném tak v soukromém sektoru, včetně krizového řízení, řízení rizik
a obnovování technologií, a neměla by být omezována pouze na obnovu informačních technologií po
havárii (Information Technology Disaster Recovery, ITDR) (viz Obrázek 1). Činnosti BCM jsou přímo
propojeny s podnikovým řízením. Řízení kontinuity činností organizace stanovuje nejlepší manažerské
praktiky.
Obrázek 1 BCM Sjednocující proces3
Program řízení kontinuity činností organizace definuje strategický a provozní rámec k aktivnímu
zvyšování odolnosti organizace proti narušení, přerušení výroby a nebo ztrátě služeb. Neměl by být
brán pouze jako reaktivní opatření podniknuté následně poté, co došlo k incidentu. Řízení kontinuity
činností vyžaduje plánování z hlediska mnoha aspektů napříč celou organizací (viz Obrázek 2), proto
také její odolnost záleží stejnoměrně jak na řídícím a provozním personálu, tak i na technologiích a
vyžaduje holistický přístup při návrhu a zavádění programu řízení kontinuity činností.
Obrázek 2 Vazby BCM4
3
Zdroj: Smith, 2002 [1]
© BSI 2003, © 2005 Risk Analysis Consultants
Licence k užití pro Risk Analysis Consultants, s.r.o.
Datum verze 13.9.2005, výtisk #3
© 2005 Risk Analysis Consultants
Překlad, kopírování a sdílení zakázáno
iii
Information Security Management
Information Risk Management
Business Continuity Management
Information Forensic Analysis
Guide to Business Continuity Management
... be sure in doing your business
Risk Analysis Consultants is an independent
Czech based provider
of professional services and solutions
in all areas of information security.
RAC is first Czech company NATO BOA partner.
RAC is registered in part I. of the Czech
government list of institutes
qualified for forensic expertise
in the area of cybernetics
and computer systems.
Risk Analysis Consultants
Spanelska 2
120 00 Prague 2
Czech Republic
tel:
+420 221 628 400
fax:
+420 221 628 401
e-mail: [email protected]
www.rac.cz
RISK ANALYSIS CONSULTANTS
V050906