Besigheidskontinuïteit hou die organisasie se kritieke aktiwiteite aan die gang tydens 'n ontwrigting. Rampherstel herstel die tegnologie waarvan daardie aktiwiteite afhanklik is. Hulle is nie mededingende benaderings nie en hulle is nie dieselfde dokument nie. Kontinuïteit is 'n besigheidsdissipline wat besluit wat moet voortgaan en hoe. Herstel is 'n tegniese dissipline wat stelsels in 'n gedefinieerde volgorde herbou om die besigheid te teiken.
- Verskillende eienaars: kontinuïteit sit gewoonlik by bedrywighede of risiko, herstel by IT.
- Verskillende snellers: kontinuïteit aktiveer by besigheidsimpak, herstel by tegniese mislukking.
- Verskillende definisies van sukses: werk wat voortduur teenoor stelsels wat herstel word.
- Een gedeelde stel syfers, albei geneem uit dieselfde besigheidsimpakanalise.
- Die mislukkings gebeur by die naat tussen hulle, nie binne-in enigeen nie.
Hoe verskil besigheidskontinuïteit en rampherstel eintlik?
Vra die meeste mense oor besigheidskontinuïteit teenoor rampherstel en die antwoord kom terug as omvang: kontinuïteit is breed, herstel is tegnies. Dit is waar, en dit is nie veel nut wanneer jy besluit wie wat skryf nie. Die meer nuttige skeiding is deur waarvoor elke dissipline verantwoordelik is en waar dit sy instruksies kry.
'n Kontinuïteitsplan begin met aktiwiteite. Dit vra watter dinge die organisasie doen wat nie gestaak kan word nie, hoe lank elkeen onderbreek kan word voordat die skade ernstig word, en watter alternatiewe werkswyse intussen sal geld. Die uitset daarvan is 'n stel besluite oor prioriteit en tydelike oplossing.
'n Herstelplan begin by stelsels. Dit vra wat terug moet kom, in watter volgorde, om die tydsraamwerke waaraan kontinuïteit verbind is, te bereik. Die uitset daarvan is 'n loopboek. Die breër prentjie van hoe beide binne 'n enkele vermoë sit, word uiteengesit onder besigheidskontinuïteit.
| Sakekontinuïteit | Ramp herstel | |
|---|---|---|
| Wie besit dit | Bedrywighede, risiko of 'n toegewyde kontinuïteitsleier, met uitvoerende borgskap. | IT of infrastruktuur, dikwels dieselfde span wat die platform daagliks bestuur. |
| Wat dit veroorsaak | Besigheidsimpak wat 'n drempel bereik, ongeag die oorsaak, insluitend oorsake sonder 'n tegniese komponent. | 'n Tegniese fout of verlies van 'n stelsel, webwerf of datastel. |
| Wat herstel beteken | Kritieke aktiwiteite word weer aan kliënte gelewer, deur enige aanvaarbare roete. | Die genoemde stelsels loop, is bereikbaar en geverifieer teen hul data-integriteitskontroles. |
| Waar die doelwitte vandaan kom | Die besigheidsimpakanalise, onderteken deur die mense wat verantwoordelik is vir elke aktiwiteit. | Geërf van kontinuïteit. Herstel stel nie sy eie teikens nie. |
| Wat ouditeure vra | Bewyse van oefeninge wat die besigheid betrek, en dat die prioriteite huidige bedrywighede weerspieël. | Bewyse van hersteltoetse met resultate, en dat rugsteun werklik herwinbaar is. |
| Wat dit kos om verkeerd te wees | Werk stop al is die stelsels reg, want niemand het die handleidingroete ingestem nie. | Stelsels kom terug in 'n volgorde wat die kritieke aktiwiteit die langste laat wag. |
Wie besit elke plan, en waarom veroorsaak dit probleme?
Gesplete eienaarskap is verstandig. Die mense wat weet watter kliëntverbintenisse saak maak, is nie die mense wat die herstelvolgorde vir 'n databasisgroep ken nie. Die probleem is nie die verdeling nie, maar dat die twee kante dikwels in isolasie skryf en die wanverhouding eers tydens 'n insident ontdek.
Drie patrone verskyn herhaaldelik. Die eerste is 'n herstelplan met teikens waaroor niemand in die bedryf ooreengekom het nie, gewoonlik gestel op grond van wat die infrastruktuur gemaklik kan bereik eerder as op grond van wat die aktiwiteit benodig. Die tweede is 'n kontinuïteitsplan wat 'n handmatige tydelike oplossing veronderstel wat stilweg afhang van dieselfde stelsel wat gefaal het. Die derde is die algemeenste: beide planne bestaan, albei is tegnies gesond, en nie een sê wie 'n voorval verklaar of wie besluit dat normale diens hervat is nie.
Die oplossing is nie 'n samesmelting nie. Dit is 'n gedefinieerde koppelvlak: gedeelde doelwitte geneem uit die besigheidsimpakanalise , een gesag om in te roep en te onttrek, en 'n gesamentlike oefening ten minste een keer per jaar waar beide kante in die vertrek is.
Daar is 'n groter prentjie hieragter.
Hierdie bladsy dek een deel van sakeveerkragtigheid. Ware Veerkragtigheid — IO se raamwerk vir die koppeling van sekuriteit, privaatheid en KI-bestuur — is waar die volle prentjie bymekaar kom.
Waar gee die een oor aan die ander?
Die meeste voorval-nadoodse ondersoeke wat 'n plan blameer, beskryf eintlik 'n oordrag wat nooit gedefinieer is nie. Kontinuïteit en herstel loop parallel, nie in volgorde nie, en hulle raak by vier punte: die besluit om te gebruik, die keuse van wat die besigheid doen terwyl stelsels af is, die oomblik wanneer tegnologie weer bruikbaar verklaar word, en die bevestiging dat die besigheid werklik terug is eerder as bloot gekoppel.
Let op waar die reeks begin. Opsporing is amper altyd tegnies, en daarom behandel soveel organisasies die hele gebeurtenis as 'n IT-saak en betrek die besigheid te laat. Teen die tyd dat die kontinuïteitsbesluit nodig is, is die nuttige venster vir 'n skoon tydelike oplossing dikwels reeds gesluit.
Wat gebeur in die eerste 24 uur?
Beide planne is gelyktydig aktief en doen verskillende werk. Om dit eksplisiet uiteen te sit, is die waardevolste bladsy in enige dokument, want dit verwyder die pouse waar almal wag om te sien wie eerste beweeg.
| Stadium | Kontinuïteit doen | Herstel is besig |
|---|---|---|
| Eerste uur | Vasstel watter aktiwiteite geraak word en bevestig wie die gesag het om dit in te roep. | Diagnose van omvang, isolering van die fout en bevestiging of rugsteun ongeskonde is. |
| Ure twee tot vier | Staan op vir die alternatiewe manier van werk en vertel dit aan personeel en kliënte. | Besluit of herstelwerk in plek of oorfout moet plaasvind, en die herstel begin. |
| Ure vier tot twaalf | Hou die tydelike oplossing aan mense beskikbaar en hou dop wat ongedaan gemaak word. | Herstel in afhanklikheidsvolgorde en verifieer data soos elke laag terugkom. |
| Ure twaalf tot vier-en-twintig | Die bestuur van moegheid, oorhandigings en die groeiende agterstand wat die tydelike oplossing nie kan absorbeer nie. | Bring die oorblywende toepassings terug en toets hulle teen werklike transaksies. |
| Meer as vier-en-twintig uur | Besluit wanneer om terug te tree, en dan die agterstand in prioriteitsvolgorde uit te klaar. | Bevestiging van volle diens, versoening van data wat tydens die tydelike oplossing geskryf is. |
Die laaste ry is waar die meeste planne stop en die meeste werklike voorvalle nie. Werk wat handmatig gedoen word, moet daarna in die stelsels versoen word, en 'n agterstand wat in die verkeerde volgorde uitgewis word, kan 'n tweede ontwrigting van sy eie veroorsaak.
Het jy albei nodig, of kan een dokument dit dek?
Klein organisasies onderhou dikwels 'n enkele dokument, en vir 'n werklik klein operasie kan dit werk. Die toets is nie grootte nie, maar of die twee gehore elk onder druk kan vind wat hulle nodig het. 'n Ingenieur wat 'n databasis om drieuur die oggend herstel, moet nie oor kliëntekommunikasie lees nie, en 'n bedryfsbestuurder wat 'n handmatige proses opstel, moet nie deur oorskakelingsopdragte blaai nie. Wat die kontinuïteitsdokument self moet bevat, en waar elke afdeling sy inhoud kry, word uiteengesit onder die besigheidskontinuïteitsplan.
Hou hulle apart sodra enige van die gehoor meer as 'n bladsy of twee benodig, en hou hulle kruisverwys. Wat nooit gedupliseer moet word nie, is die syfers. As die hersteltydraamwerk in beide dokumente verskyn en hulle verskil, sal die planne mekaar weerspreek presies wanneer dit die meeste saak maak. Stel die doelwitte een keer, in die impakanalise, en verwys hulle oral elders. Die besonderhede van die tegniese dokument word gedek onder rampherstelplan , en die scenariovlak onder beide is in jou gebeurlikheidsplanne.
Indien u belangstelling hier raamwerkspesifiek is, word die vergelyking met 'n SOC 2-oudit afsonderlik behandel in wat SOC 2 van kontinuïteit en herstel vereis.
Watter standaarde dek elkeen?
Die verdeling blyk in die standaarde self, wat 'n nuttige toets van die omvang is. ISO 22301 spesifiseer 'n bestuurstelsel vir besigheidskontinuïteit: dit is sertifiseerbaar en dit gaan oor die organisatoriese vermoë. ISO/IEC 27031 dek inligting- en kommunikasietegnologie-gereedheid vir besigheidskontinuïteit, wat die herstellaag is. ISO 27001 verbind hulle deur Aanhangsel A, waar beheer 5.29 inligtingsekuriteit tydens ontwrigting aanspreek en beheer 5.30 IKT-gereedheid aanspreek.
Om volgens daardie standaarde te werk, smelt nie die twee dissiplines saam nie, maar dit dwing wel die koppelvlak om te bestaan. 'n Bestuurstelsel moet wys dat die tegniese gereedheid die besigheidsprioriteite dien, en dit is presies die naat wat faal wanneer niemand gevra word om dit te demonstreer nie.
ISO 27001 maklik gemaak
'n Voorsprong van 81% van dag een af
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld. Al wat jy hoef te doen is om die spasies in te vul.
Hoe pas die paar in in sakeveerkragtigheid?
Kontinuïteit en herstel beantwoord albei dieselfde vraag: wat gebeur wanneer iets breek. Veerkragtigheid beantwoord 'n breër vraag. Dit is die vermoë om verandering van enige aard te absorbeer, insluitend ontwrigtings waarvoor jy nooit 'n plan geskryf het nie en verpligtinge wat nie bestaan het toe jy dit geskryf het nie. Beide planne is komponente daarvan eerder as plaasvervangers daarvoor.
Die Veerkragtigheidslus bestuur inligtingsekuriteit onder ISO 27001 , dataprivaatheid onder ISO 27701 en KI-beheer onder ISO 42001 as een gekoppelde stelsel. Kontinuïteit en herstel sit oor dieselfde kontroles as 'n verdere lens. Dit maak in die kern saak: die toegangsbestuur, rugsteun en verskafferkontroles waarvan 'n herstelboek afhanklik is, is dieselfde as die kontinuïteitsoplossing, dus die instandhouding daarvan dien albei. Hoe die hele stel bymekaar pas, word beskryf in die besigheidsveerkragtigheidsraamwerk.
Dit verduidelik ook waarom 'n onderbreking binne ure 'n privaatheidsaangeleentheid kan word. Die herstel van 'n stelsel vanaf 'n ouer rugsteun kan data herstel wat 'n persoon jou gevra het om uit te vee, en 'n tydelike oplossing wat kliëntrekords na 'n sigblad skuif, skep 'n verwerkingsroete wat niemand beoordeel het nie. Deur herstel as suiwer tegnies te behandel, word daardie gevolge misgekyk.
Hoe bewys jy dat albei werk?
Niemand toets of jy twee dokumente besit nie. Kliënte, ouditeure en gereguleerde kliënte vra 'n moeiliker vraag: wys my dat albei werk, dat hulle met mekaar ooreenstem, en dat hulle weerspieël hoe jy nou werk.
Dit beteken die huidige doelwitte met bewyse van wie dit goedgekeur het, 'n hersteltoets met resultate eerder as 'n geskeduleerde datum, 'n sake-oefening met genoemde deelnemers, die bevindinge van beide, en die regstellende aksies wat afgehandel is. Die gesamentlike oefening is die een wat die meeste ontbreek, en dit is die enigste bewyse wat hoegenaamd van die oordrag spreek. Die benadering word uiteengesit in hoe om veerkragtigheid te bewys , en die Veerkragtigheidstelling gee jou 'n basislyn.
Waarom ISMS.online kies vir kontinuïteit en herstel?
Die naat tussen hierdie twee planne is net soveel 'n rekordprobleem as 'n beplanningsprobleem. ISMS.online hou beide kante van dieselfde bron af aan die gang.
- Een stel doelwittehersteltydraamwerke leef op een plek en voed beide planne, sodat hulle nie uitmekaar kan dryf nie.
- Planne gekoppel aan die beheermaatreëls waarop hulle staatmaakDie rugsteun-, toegangs- en verskafferkontroles agter elke plan is sigbaar, so 'n gaping in die een wys in die ander.
- Ingeboude oefenrekordsskeduleer tegniese hersteltoetse en besigheidsoefeninge saam, lê bevindinge vas en hou aksies in dieselfde stelsel dop.
- Een beheerstel, elke raamwerkkarteer een keer en hergebruik dit oor ISO 22301, ISO 27001, ISO 27701 en ISO 42001 eerder as om parallelle stelle te handhaaf.
- Bewyse op aanvraagtoon 'n huidige plan met 'n toetsgeskiedenis, nie 'n dokument en 'n versekering nie.
- Eienaarskap wat hou: genoemde eienaars, adjunkte en hersieningsdatums aan beide kante van die oorhandiging.
- Gebou vir Britse en gereguleerde markteontwerp vir organisasies wat veerkragtigheid moet bewys om kontrakte te wen en te behou.
Kyk hoe dit bymekaar pas op die sakeveerkragtigheidsplatform , of bespreek 'n demonstrasie.
Vrae & Antwoorde
Is rampherstel deel van besigheidskontinuïteit?
Ja, in die sin dat herstel die doelwitte dien wat deur kontinuïteit gestel word. Besigheidskontinuïteit is die breër dissipline wat alle kritieke aktiwiteite en elke oorsaak van ontwrigting dek, insluitend dié sonder 'n tegniese element. Rampherstel is die tegnologiese komponent daarbinne. Herstel erf sy teikens van kontinuïteit eerder as om sy eie te stel, en daarom is 'n herstelplan wat sonder 'n besigheidsimpakanalise geskryf is, geneig om eers die verkeerde stelsels te beskerm.
Kan ons 'n rampherstelplan hê sonder 'n sakekontinuïteitsplan?
Jy kan, en baie organisasies doen, maar jy raai dan oor jou eie prioriteite. Sonder 'n ooreengekome siening van watter aktiwiteite saak maak en hoe lank elkeen onderbreek kan word, word die herstelbevel deur tegniese gerief bepaal. Dit laat ook geen antwoord vir ontwrigtings wat nie tegnies is nie, soos die verlies van 'n perseel, 'n sleutelverskaffer of die mense wat 'n kritieke proses bestuur.
Wie moet elke plan besit?
Kontinuïteit behoort by die besigheid, gewoonlik bedrywighede of risiko, met 'n uitvoerende borg wat tot prioriteite kan verbind. Herstel behoort by IT of infrastruktuur. Die belangrike deel is nie die rapporteringslyn nie, maar die koppelvlak: een benoemde gesag om in te roep en terug te staan, een gedeelde stel hersteldoelwitte, en 'n gesamentlike oefening waar beide kante teenwoordig is.
Gebruik die twee planne dieselfde RTO?
Hulle moet dieselfde syfers gebruik, geneem uit een bron. Die hersteltyddoelwit vir 'n aktiwiteit word in die besigheidsimpakanalise gestel en die tegniese plan is ontwerp om dit te bereik, met inagneming van die feit dat 'n stelsel wat terug is nie dieselfde is as die aktiwiteit wat lewerbaar is nie. As die twee dokumente elk hul eie weergawe van die syfer bevat, sal hulle uiteindelik verskil, en die meningsverskil sal tydens 'n voorval na vore kom.
Hoe gereeld moet ons hulle saam oefen?
Ten minste jaarliks, en na enige verandering wat die oordrag beïnvloed: 'n nuwe kritieke stelsel, 'n ander gasheerreëling, 'n reorganisasie wat eienaarskap skuif, of 'n werklike voorval. Afsonderlike tegniese hersteltoetse kan meer gereeld uitgevoer word en behoort ook uitgevoer te word. Die gesamentlike oefening is die een wat die koppelvlak toets, dus laat 'n program van gereelde tegniese toetse en geen gesamentlike oefening die mees waarskynlike mislukkingspunt ongesien.
