Krisisbestuur is hoe 'n organisasie besluite neem wanneer die situasie dit oorskry wat normale prosesse en planne kan absorbeer. Dit is nie dieselfde as insidentrespons nie, wat 'n bekende probleem bevat deur bekende prosedures te gebruik. 'n Krisis word gedefinieer deur onsekerheid en deur die vlak waarop keuses gemaak moet word: onvolledige inligting, mededingende prioriteite en gevolge wat verder strek as bedrywighede tot reputasie, regulering en vertroue.
- Die onderskeidende kenmerk is besluitnemingsgesag, nie die grootte van die gebeurtenis nie.
- 'n Verklaarde krisis skort normale besluitnemingsroetes op en vervang dit doelbewus.
- Drempels moet voor die dag ooreengekom word, anders verklaar niemand enigiets nie.
- Kommunikasie is deel van die reaksie, nie 'n nagedagte daarvan nie.
- Wat daarna hersien word, is die gehalte van die besluite, nie net die uitkoms nie.
Wat is krisisbestuur?
Die meeste organisasies het 'n kontinuïteitsvermoë en 'n voorvalproses, en neem aan dat 'n krisis tussen hulle gedek word. Dit is gewoonlik nie. Kontinuïteitsplanne vertel mense hoe om aan te hou werk wanneer 'n bekende aktiwiteit ontwrig word. Voorvalprosedures vertel tegniese spanne hoe om 'n bekende kategorie probleem te beheer. Nie een van die twee antwoorde gee wat om te doen wanneer die situasie onbekend is, die inligting betwis word, en die keuses kompromieë behels wat geen prosedure verwag word nie.
Dit is die gaping wat krisisbestuur vul. Dit is 'n klein stel vooraf ooreengekome reëlings: wie kan 'n krisis verklaar, wie vergader, wat daardie groep gemagtig is om te besluit sonder om terug te gaan deur normale regering, en hoe besluite en hul redenasies aangeteken word terwyl hulle geneem word.
Dit sit langs besigheidskontinuïteit eerder as daarbinne. Die kontinuïteitsplan kan wel tydens 'n krisis ingeroep word, en word dikwels, maar die krisis is die laag bo die besluit oor wat die organisasie doen omtrent die gevolge wat die plan nie dek nie.
Wanneer word 'n voorval 'n krisis?
Organisasies doen dit in beide rigtings verkeerd. Sommige verklaar 'n krisis vir enigiets sigbaars, wat die span uitput en die meganisme devalueer. Ander verklaar nooit een nie, en senior mense improviseer rondom 'n prosedure wat vir iets kleiners ontwerp is. Die uitweg is om die grense vooraf te definieer, op die as wat hulle eintlik skei: wie moet besluit.
| Voorval | krisis | Ramp | |
|---|---|---|---|
| Wie besluit | Die diensspan, binne bestaande prosedure en gedelegeerde gesag. | 'n Byeengeroepte krisisspan met vooraf uitdruklike magtiging. | Uitvoerende leierskap, dikwels saam met eksterne agentskappe. |
| Wat is op die spel | Diensgehalte en 'n gedefinieerde operasionele uitkoms. | Verskeie uitkomste gelyktydig, insluitend reputasie, regulatoriese posisie en vertroue. | Fisiese veiligheid, lewensvatbaarheid van 'n terrein of van die organisasie. |
| Waarvoor die respons optimaliseer | Herstel die diens so vinnig as wat die prosedure toelaat. | Die minste slegte algehele posisie, om doelbewus 'n paar verliese te aanvaar. | Lewensveiligheid eerste, dan inperking, dan enigiets anders. |
| Waar dit gedokumenteer is | Insidentprosedures en loopboeke. | Krisisreëlings: drempels, span, besluitnemingsregte, logboek. | Nood- en ontruimingsplanne, ekstern gekoördineer. |
| Hoe dit eindig | Diens herstel en die kaartjie gesluit. | 'n Besluit om terug te staan, geneem deur dieselfde gesag wat dit verklaar het. | Eksterne afsluiting, dan 'n lang herstel. |
Die middelste kolom is die een wat die meeste organisasies nie neergeskryf het nie. Let ook daarop dat erns nie die as is nie. 'n Klein tegniese fout kan 'n krisis word as die gevolge wyd is en die regte reaksie werklik onduidelik is, terwyl 'n groot onderbreking met 'n geoefende tydelike oplossing deurgaans 'n voorval kan bly.
Daar is 'n groter prentjie hieragter.
Hierdie bladsy dek een deel van sakeveerkragtigheid. Ware Veerkragtigheid — IO se raamwerk vir die koppeling van sekuriteit, privaatheid en KI-bestuur — is waar die volle prentjie bymekaar kom.
Wie sit in die krisisspan, en wat mag hulle besluit?
’n Krisisspan moet klein genoeg wees om te besluit. Meer as sowat sewe mense word dit ’n inligtingsgehoor, en die besluite verskuif na ’n stiller gesprek elders. Die nuttigste ding wat jy vooraf kan doen, is om neer te skryf wat elke rol gemagtig is om te doen sonder om verdere goedkeuring te vra, en wat elke rol doelbewus nie moet doen nie.
| Rol | Mag alleen besluit | Moet nie doen nie |
|---|---|---|
| Krisisleidraad | Verklaar en tree terug, stel prioriteite, verbind besteding tot 'n ooreengekome limiet. | Om enige werkstroom persoonlik te bestuur. Die hoof se werk is om te besluit, nie om reg te stel nie. |
| bedrywighede | Roep kontinuïteitsreëlings in en hertoewys mense tussen aktiwiteite. | Wag vir die tegniese prentjie om volledig te wees voordat met oplossings begin word. |
| Tegnologie | Tegniese inperking en herstelvolgorde binne die ooreengekome doelwitte. | Eksterne inligtingsessies gee, of prioriteite direk met kliënte onderhandel. |
| kommunikasie | Reik voorafgoedgekeurde houstate uit en kies kanaal en tydsberekening. | Bewerings maak oor oorsaak of tydskaal wat die span nie bevestig het nie. |
| Regs- en privaatheidsbeleid | Adviseer oor kennisgewingsverpligtinge en bewaar bewyse en voorreg. | Tree op as 'n rem op operasionele besluite wat behoorlik die leier s'n is. |
| Logist | Teken elke besluit aan, die inligting waarop dit berus het en die tyd. | Deelname aan die besluite wat hulle aanteken. |
Die loggis is die rol wat die meeste oorgeslaan word en die een wat homself die betroubaarste betaal. 'n Gelyktydige rekord van wat bekend was en wanneer, is wat jou toelaat om 'n redelike besluit te verdedig wat sleg uitgedraai het, en dit is byna onmoontlik om daarna te rekonstrueer. Elke rol benodig ook 'n benoemde adjunk, want 'n krisis wat om tweeuur die oggend of gedurende 'n vakansiedag begin, is nie 'n spesiale geval nie.
Hoe word 'n krisis eintlik bestuur?
Die volgorde hieronder is nie 'n prosedure om streng te volg nie. Dit is die stel bewegings wat 'n eienaar moet hê, want in die praktyk loop krisisse verkeerd by die verbindings eerder as in die middel van enige aktiwiteit.
Verklaring is die stap wat besluit hoe die res verloop. Totdat iemand met gesag die situasie 'n krisis noem, bly die organisasie normale proses op 'n abnormale gebeurtenis toepas, en elke uur wat daaraan bestee word, vernou die opsies. Daarom het die drempel 'n naam en 'n persoon wat daaraan gekoppel is, nodig eerder as om op oordeel in die oomblik te rus.
Besluitneming en kommunikasie loop parallel, nie in volgorde nie. Om vir sekerheid te wag voordat jy enigiets sê, is 'n besluit op sigself, en gewoonlik die verkeerde een, want stilte word gevul deur ander mense se vertellings.
Die inroep van die sakekontinuïteitsplan is gewoonlik een van die krisisspan se vroegste besluite eerder as 'n aparte proses wat daarmee saamloop. Die krisisspan besluit wat die organisasie doen omtrent die gevolge wat die plan nie bereik nie.
Wat moet krisiskommunikasie dek?
Vier gehore, met verskillende behoeftes en verskillende horlosies. Personeel moet weet wat om te doen en wat om te sê as hulle gevra word, en hulle het dit eerste nodig, want hulle sal gevra word. Kliënte moet weet wat geraak word en wat om te verwag, in eenvoudige terme, voordat hulle elders uitvind. Verskaffers en vennote moet dalk optree. Reguleerders en toesighoudende owerhede kom met verpligtinge, en watter van toepassing is, hang af van die aard van die geleentheid.
Wat die laaste groep betref, wees presies oor wat werklik op jou van toepassing is, eerder as om 'n algemene plig aan te neem. Waar die gebeurtenis 'n persoonlike data-oortreding behels, stel die Britse AVG 'n kennisgewingstydperk van 72 uur vas vanaf bewuswording, waar die oortreding aan die risikodrempel voldoen. Sektorregimes het hul eie reëlings, en organisasies binne die bestek van NIS 2 staar afsonderlike rapporteringsstappe in die gesig soos uiteengesit in die NIS 2-krisisbestuursriglyne . Watter hiervan jou bind, is 'n vraag om vooraf te beslis, want die middel van 'n krisis is 'n swak tyd om dit te vestig.
Berei voorleggings voor voordat jy dit nodig het. Nie gedetailleerde skrifte wat nooit by die geleentheid pas nie, maar goedgekeurde strukture wat kommunikasie toelaat om binne die eerste uur iets akkuraats te sê sonder om 'n konsepkomitee byeen te roep.
Begin jou gratis toets
Wil jy verken?
Sluit vandag aan vir jou gratis proeftydperk en kry al die voldoeningskenmerke wat ISMS.online kan bied, in die hand
Hoe oefen jy krisisbestuur?
Tegniese hersteltoetsing en krisisoefening is verskillende aktiwiteite en die een vervang nie die ander nie. 'n Hersteltoets bewys dat 'n stelsel terugkeer. Dit sê niks oor of jou bestuurders 'n betwiste besluit met gedeeltelike inligting kan neem terwyl die telefoon lui nie. Die vyf vlakke van tegniese toetsing word gedek onder die rampherstelplan.
Krisisoefening werk anders. Dit is gebaseer op scenario's, dit hou doelbewus inligting terug, en die waarde daarvan lê in die ongemak. 'n Nuttige oefening plaas die werklike krisisspan in 'n kamer met 'n scenario wat geen duidelike antwoord het nie, voeg nuwe inligting halfpad deur in wat 'n vorige besluit ongeldig maak, en vereis dat hulle onder tydsdruk ekstern kommunikeer. Wat jy toets, is of gesag duidelik is, of die drempels enigiets beteken, en of mense kan besluit sonder eenparige ooreenkoms.
Twee gewoontes maak oefeninge die moeite werd. Gebruik scenario's wat vir jou organisasie aanneemlik is, eerder as dramatiese scenario's, en sluit ten minste een in waar die regte antwoord is om 'n verlies te aanvaar. Spanne wat slegs herstelbare scenario's uitgeoefen het, is geneig om te huiwer wanneer 'n ware opoffering vereis word. Teken die besluite aan en hersien dit daarna op grond van hul redenasie, nie of die uitkoms goed was nie.
Hoe hou krisisbestuur verband met sakeveerkragtigheid?
Krisisbestuur is die skerpste toets of bestuur enigiets opgelewer het. Alles wat die krisisspan op die dag nodig het, is óf vooraf gebou óf is nie beskikbaar nie: om te weet watter aktiwiteite saak maak, watter verskaffers agter hulle sit, watter data betrokke is, wie wat besit, en wat jy reeds vir kliënte gesê het jy sou doen.
Die Veerkragtigheidslus bestuur inligtingsekuriteit onder ISO 27001 , dataprivaatheid onder ISO 27701 en KI-bestuur onder ISO 42001 as een gekoppelde stelsel. 'n Krisis bly selde binne een van daardie domeine. 'n Losprysware-gebeurtenis is 'n sekuriteitsvoorval, 'n privaatheidsaangeleentheid met kennisgewinggevolge, en 'n kontinuïteitsprobleem gelyktydig, en 'n span wat drie afsonderlike stelsels moet raadpleeg om vas te stel watter data betrokke was, verloor ure wat dit nie het nie. Om hulle as een bedryfsmodel te bestuur, is wat die antwoord binne minute beskikbaar maak. Die breër struktuur word uiteengesit in die sakeveerkragtigheidsraamwerk.
Hoe bewys jy dat jou krisisbestuur werk?
Krisisreëlings is van die moeilikste dinge om te bewys, want die ding wat jy wil demonstreer, is 'n vermoë eerder as 'n dokument. Wat getoon kan word: die reëlings self met datums en goedkeuring, die drempels en wie elke gesag het, oefeningrekords met deelnemers en scenario's, die besluitnemingslogboeke van oefeninge en van enige werklike gebeure, die bevindinge en die veranderinge wat as gevolg daarvan aangebring is.
Die besluitnemingslogboek is die mees oortuigende artefak wat jy kan hou, en die een wat niemand retrospektief produseer nie. Dit is ook die ding wat 'n organisasie wat oefen die duidelikste onderskei van een wat 'n plan besit. Hoe om bewyse as 'n neweproduk van die werk te bou eerder as om dit later saam te stel, word uiteengesit in hoe om veerkragtigheid te bewys , en die Veerkragtigheidstelling gee jou 'n basislyn om teen te meet.
Waarom ISMS.online vir krisisbestuur kies?
'n Krisisspan doen wat hulle in die eerste tien minute kan vind. ISMS.online is gebou sodat inligting reeds daar is.
- Een siening van wat afhang van watAktiwiteite, stelsels, verskaffers en data word saam gekarteer, sodat omvangvrae onmiddellik antwoorde het.
- Rolle en gesag aangeteken: genoemde eienaars en adjunkte met hersieningsdatums, dus is die spansamestelling huidig eerder as histories.
- Oefening- en besluitnemingsrekords: leg scenario's, deelnemers, besluite en bevindinge op dieselfde plek as die reëlings vas.
- Kennisgewingkonteks byderhanddie verpligtinge verbonde aan u raamwerke en kontrakte wat saam met die voorval gehou word, nie in 'n aparte liasseerstelsel nie.
- Een beheerstel, elke raamwerkkarteer een keer en hergebruik oor ISO 22301, ISO 27001, ISO 27701 en ISO 42001.
- Korrektiewe aksies tot sluiting gevolgbevindinge van 'n oefening word werk met 'n eienaar, nie 'n paragraaf in 'n verslag nie.
- Gebou vir Britse en gereguleerde markteontwerp vir organisasies wat veerkragtigheid moet bewys om kontrakte te wen en te behou.
Kyk hoe dit bymekaar pas op die sakeveerkragtigheidsplatform , of bespreek 'n demonstrasie.
Vrae & Antwoorde
Wat is die verskil tussen krisisbestuur en insidentrespons?
Insidentrespons hanteer 'n erkende probleem deur gebruik te maak van 'n gevestigde prosedure, met gesag wat reeds aan die diensspan gedelegeer is. Krisisbestuur hanteer situasies waar die probleem onbekend is, die inligting onvolledig is en die keuses afwegings behels sonder dat 'n prosedure verwag word. Die praktiese verskil is die vlak waarop besluite geneem word en hoeveel diskresie die respondente het.
Wie behoort 'n krisis te kan verklaar?
'n Klein aantal benoemde persone, elk met 'n adjunk, en ideaal gesproke insluitend iemand wat buite kantoorure beskikbaar is en nie 'n lid van die uitvoerende gesag is nie. Die beperking van verklaring tot een senior individu beteken dat die meganisme afhang van daardie persoon se beskikbaarheid. Die drempel moet neergeskryf word sodat verklaring 'n gedefinieerde toestand erken eerder as om 'n loopbaanbesluit te neem.
Het ons 'n aparte krisisbestuursplan nodig?
Jy benodig aparte reëlings, maar hulle moet kort wees. Die nuttige inhoud is drempels, die span en hul besluitnemingsregte, kontakroetes wat werk wanneer stelsels nie werk nie, kommunikasiestrukture en hoe besluite aangeteken word. 'n Lang krisisdokument is 'n teken dat kontinuïteitsinhoud daarin gedupliseer is. Verwys na die kontinuïteitsplan en die herstelboeke eerder as om dit te herhaal.
Hoe gereeld moet die krisisspan oefen?
Ten minste jaarliks met die werklike span in die vertrek, en weer wanneer die lidmaatskap wesenlik verander. Omdat krisisspanne uit senior mense bestaan, is oefeninge die eerste ding wat uitgestel word, en 'n span wat nie saam geoefen het nie, is effektief 'n lys name. Korter, meer gereelde scenariobesprekings is makliker om te hou en bring steeds die meeste van die dubbelsinnigheid oor gesag na vore.
Word krisisbestuur deur 'n standaard gedek?
Geen enkele standaard is daaraan toegewy nie, maar dit word binne verskeie aangespreek. ISO 22301 dek die struktuur en kommunikasie van voorvalreaksies as deel van 'n besigheidskontinuïteitsbestuurstelsel, en ISO 22361 bied spesifiek leiding oor krisisbestuur. ISO 27001 dra by deur sy inligtingsekuriteitsvoorvalbestuurskontroles. Deur volgens ISO 22301 te werk, kry jy die bestuurstelsel wat die reëlings in besit hou, uitvoer en hersien.
