Virtuális CISO · Üzletmenet-folytonosság
Mely folyamatok kritikusak, és mennyi kiesés engedhető meg
A folytonosságtervezés kiszámítható módon szokott elromlani: a rendszerekből indul. Valaki felsorolja a szervereket, mindet fontosnak nyilvánítja, és olyan terv születik, amely mindent egyformán véd, tehát semmit külön. A működésből kiindulni és onnan visszafelé haladni lassabb, és ez az egyetlen változat, amely egy valódi kiesést túlél.
Az üzletmenet szempontjából kritikus folyamatok
Rendelésfelvétel, bérszámfejtés, kiszállítás, betegfelvétel, elszámolás — az a néhány, amely nélkül a szervezete nem működik. Mindegyik kap egy nevesített felelőst, egy típust, és egy megítélést arról, mekkora baj, ha leáll.
Aztán az a két szám, amin minden más múlik. A helyreállítási időcél (RTO) azt mondja meg, mennyi időn belül kell a leállt folyamatot újra működésbe hozni. A helyreállítási pontcél (RPO) azt, hogy legfeljebb mekkora, időben kifejezett adatvesztés fogadható el — egy óra, vagy egy nap. A legtöbb szervezet egyiket sem írta le soha, és az a két ember, aki másképp válaszolna rájuk, még sosem ült egy szobában.
- Nevesített felelős folyamatonként, mert az a folyamat, amelyik egy osztályé, hajnali kettőkor senkié
- Hatásbesorolás, amely megkülönbözteti a kisebb fennakadást a szervezet fennmaradását veszélyeztető kieséstől, ahelyett hogy mindent kritikusnak jelölne
- Helyreállítási időcél és helyreállítási pontcél, megállapodva, nem feltételezve
- Becsült havi veszteség, ha a folyamat nem elérhető — ettől lesz ez üzleti dokumentum, nem informatikai
Min múlik az egyes folyamatok működése, és ezért mi számít
A rendszerek kérdése csak akkor válaszolható meg, amikor a folyamatok már rangsorolva vannak. Minden folyamat össze van kötve az alkalmazásokkal, adatokkal és beszállítókkal, amelyekre szüksége van, és egy rendszer prioritása a mögötte lévő folyamatok következménye lesz, nem annak a kérdése, ki érvel a leghangosabban a sajátja mellett.
Itt derülnek ki a kényelmetlen dolgok is. Az a folyamat, amelynek négy órán belül újra mennie kell, és legfeljebb négy óra munkát veszíthet, miközben olyan rendszeren múlik, amit éjszakánként mentenek, nem terv, hanem ellentmondás — a visszaállítás időben végezhet, és mégis a tegnapi adatot adja vissza. Csak akkor látszik, ha a két szám egymás mellé van írva.
A feladatok, amelyektől a számok igazzá válnak
Az a célérték, amiért senki nem dolgozott, kívánság. Minden folyamat viszi magával azokat a feladatokat, amelyektől a helyreállítási célja valóban teljesíthető lenne — tesztelt visszaállítás, dokumentált átállás, beszállítói szerződés megfelelő vállalással, begyakorolt alternatív folyamat —, és ezek ugyanabban a listában vannak, mint minden más, ugyanazon prioritások szerint versenyezve.
Hasznos következmény, hogy a folytonosság megszűnik éves dokumentumgyakorlat lenni, és a terv látható részévé válik, ugyanazokkal a felelősökkel, dátumokkal és bizonyítékokkal, mint a biztonsági program többi része.
Üzleti hatáselemzés, és egy folytonossági terv, amit még be kell fejeznie
A hatáselemzés önálló dokumentum: a folyamatok, a felelőseik, a helyreállítási céljaik, a függőségeik és a becsült veszteség, abban a formában, ahogy egy auditor vagy tanúsító szervezet várja.
A folytonossági terv ebből az elemzésből előre kitöltött sablon — és sablon, ez rá az őszinte szó. Az Ön folyamatait, céljait és függőségeit viszi, nem általános példát, és ettől megspórolja azt a részt, amit mindenki elront. Amit nem tud vinni, az a próba. A folytonossági terv akkor válik tervvé, amikor valaki végigmegy rajta, megtalálja azt a három lépést, amelyik nem működik, és megjavítja. Addig egy nagyon jó tervezete van, és inkább most mondjuk ezt meg, mint hogy incidens közben derüljön ki.
Becsült veszteség, olyan számként, amivel lehet kezdeni valamit
A felvett folyamatok becsült havi veszteségét összeadva egyetlen kitettségi szám adódik. Becslés, az Ön saját számaiból, és az értéke nem a pontosság — hanem hogy ugyanabban a mértékegységben van, mint a kért költségvetés.
A valószínűséggel és súlyossággal előadott biztonsági érvet udvariasan meghallgatják. Ha viszont megmutatjuk, mekkora havi bevétel vagy működési érték függ a még nem megfelelően helyreállítható folyamatoktól, és mely feladatok csökkentik ezt a kitettséget, a vezetőség konkrét döntést tud hozni.
A folytonosság az irányelv szerint nem opcionális
A 21. cikk (2) bekezdés c) pontja nevesíti az üzletmenet-folytonosságot — a mentéskezelést, a katasztrófa utáni helyreállítást és a válságkezelést — a hatály alá tartozó szervezetek kötelező intézkedései között. Nem elégíti ki az, hogy van mentés. Az elégíti ki, hogy meg tudja mutatni: tudja, mely folyamatok számítanak, mik a helyreállítási céljaik, és valaki tesztelte, hogy tartani tudja-e őket.
Vagyis az ezen az oldalon leírt munka ugyanaz a munka, amit az audit kér, ugyanabba a feladatlistába számítva, mint minden más, nem külön projektként, saját dokumentumokkal és saját határidővel.
Gyakran ismételt kérdések
A biztonsági és IT-vezetőktől leggyakrabban kapott kérdések.
Nem találja, amit keres? Kérdezzen tőlünk közvetlenül
Még nem, és ezt inkább most mondjuk meg. A hatáselemzésből olyan terv jön ki, amely az Ön folyamataival, helyreállítási céljaival és függőségeivel van előre kitöltve — ez az a rész, amit mindenki elront, és messze több egy üres sablonnál. Ami még nem történt meg vele, az a próba. A folytonossági terv akkor válik valóságossá, amikor valaki végigmegy rajta, megtalálja azt a három lépést, amelyik nem működik, és megjavítja. Ezt a gyakorlatot le tudjuk vezetni Önnel; amit nem teszünk meg, az az, hogy átadunk egy dokumentumot, és tesztelt tervnek nevezzük.
Ön, és konkrétan az, aki a folyamatért felel, nem az, aki az alatta lévő rendszert üzemelteti. Az elemzés pontosan ezt a beszélgetést kényszeríti ki: az informatika meg tudja mondani, mi teljesíthető ma, de csak az üzlet tudja megmondani, milyen gyorsan kell a folyamatnak újraindulnia, és mennyi friss munka veszhet el. Ahol a két válasz nem egyezik — négy óra elfogadható adatvesztés éjszakai mentés mellett —, ott a különbség maga a megállapítás, és általában többet ér, mint a dokumentum.
A mentés szükséges, és nem folytonosság. A mentés arra válaszol, megvan-e még az adat. A folytonosság arra, hogy a működés fenntartható-e a helyreállítás alatt, és meddig várhat — ez pedig olyasmin múlik, amiről a mentési szabályzat semmit nem mond: ki hirdeti ki az incidenst, melyik folyamat megy addig kézzel, melyik beszállító van a kritikus úton, és tesztelte-e valaha valaki a visszaállítást végig. A két dolog közti rést a legtöbb szervezet az esemény közben fedezi fel.
Hol tart most, és mi következik
Vizsgálatok
A külső támadási felület és a belső címtár biztonsági állapotának rendszeres vizsgálata.
Beszállítói kockázat
Beszállítói felmérés válaszok és bizonyítékok alapján, nevesített szakértő által jóváhagyott minősítéssel.
Vezetői riportok
A havi csomag: pontszámok, elmozdulás, és az az egy dia, amit a vezetőség tényleg elolvas.
Készen áll a kezdésre?
Dolgozzon együtt a Spirity Enterprise-zal, hogy a szervezetéhez illő biztonsági és IT-megoldások valósuljanak meg.