En konsekvensanalyse for virksomheten er øvelsen som fastslår hvilke av aktivitetene dine som betyr mest, hva som ville skje hvis hver enkelt stoppet, og hvor raskt den må være tilbake. Den produserer gjenopprettingsprioriteringene og tidsrammene som hver kontinuitets- og gjenopprettingsplan deretter bygges for å oppfylle. Utført riktig er det det mest nyttige arbeidet i kontinuitetsplanlegging, fordi alt nedstrøms arver sine vurderinger. Utført dårlig, vil det stille feilstyre hele programmet.
- Aktiviteter rangert etter skaden som oppstår hvis de stoppes, ikke etter hvor viktig avdelingen føler er.
- En tidsramme for gjenoppretting for hver enkelt, avledet fra når skaden blir uakseptabel.
- Avhengighetene hver aktivitet er avhengig av, inkludert de som ingen hadde skrevet ned.
- Minimumsnivået av service som ville duge i starten, i stedet for å anta full kapasitet.
- Signer fra de som er ansvarlige for konsekvensene, slik at prioriteringene holder seg under press.
Hva er en konsekvensanalyse for næringslivet?
En forretningskonsekvensanalyse, vanligvis forkortet til BIA, er en strukturert vurdering av konsekvensene av avbrudd. Du tar hver aktivitet organisasjonen utfører, spør hva som ville skjedd hvis den stoppet, og sporer hvordan skaden vokser over tid. Resultatet er ikke et dokument i seg selv. Det er en rangert liste over aktiviteter med en gjenopprettingsramme knyttet til hver, som er inputen alle andre kontinuitetsbeslutninger er avhengige av.
Det viktige skillet er mellom risikovurdering og konsekvensanalyse. En risikovurdering spør hva som kan skje og hvor sannsynlig det er. En konsekvensanalyse bryr seg ikke om sannsynlighet. Den antar at avbruddet har skjedd og spør hvor vondt det gjør og hvor raskt. Det er derfor de to er komplementære, og hvorfor det å erstatte den ene med den andre etterlater et gap: du ender enten opp med å beskytte mot årsaker du kan navngi mens du ignorerer konsekvensene, eller det motsatte.
BIA-en befinner seg i analysefasen av den bredere syklusen som er beskrevet under forretningskontinuitet , og prioriteringene den produserer, gir grunnlag for planene som er beskrevet der.
Hva produserer en analyse av forretningsmessige konsekvenser?
Fire resultater, og en plan som mangler noen av dem, jobber ut fra antagelser snarere enn analyse. Gjenopprettingsmålingene er den delen folk sliter med, fordi de ser ut som tekniske parametere og faktisk er forretningsmessige vurderinger.
| Produksjon | Hva det betyr | Hvordan det avgjøres |
|---|---|---|
| MTPD | Maksimal tolererbar periode med forstyrrelse. Punktet der skaden ved å miste en aktivitet blir uakseptabel for organisasjonen. | En forretningsmessig vurdering av konsekvenser, foretatt av de som er ansvarlige for dem. |
| RTO | Mål for gjenopprettingstid. Målet for å få aktiviteten til å fungere igjen, satt innenfor MTPD slik at det er en margin. | Avledet fra MTPD, aldri satt uavhengig av den. |
| RPO | Gjenopprettingspunktsmål. Hvor mye nyere data du har råd til å miste, uttrykt som en tidsperiode. | Bestemmes av hvor mye omarbeid eller rekonstruksjon virksomheten kan absorbere. |
| MBCO | Minimumsmål for forretningskontinuitet. Det reduserte servicenivået som er godt nok mens du gjenoppretter. | Enig med aktivitetseieren, som vanligvis synes den er lavere enn antatt. |
Det er i forholdet mellom MTPD og RTO at de fleste analyser går galt. Hvis målet for gjenopprettingstid er lik den maksimalt tolererbare perioden, bryter enhver forsinkelse det. RTO-en bør ligge komfortabelt innenfor MTPD, og gapet mellom dem er marginen du kjøper.
Det er et større bilde bak dette.
Denne siden dekker én del av forretningsrobusthet. Real Resilience – IOs rammeverk for å koble sammen sikkerhet, personvern og AI-styring – er der hele bildet kommer sammen.
Hvordan gjennomfører du en analyse av forretningsmessige konsekvenser?
Sekvensen nedenfor er bevisst forhåndslastet. Å få riktig omfang og aktivitetsliste tar lengre tid enn folk forventer, og gjør resten enkelt.
- Bli enige om omfanget: hvilke deler av organisasjonen, hvilke steder og hvilken tidsramme. En analyse som stille utvides, blir aldri ferdig.
- List opp aktiviteteneBeskriv hva bedriften gjør på en måte som noen utenfor avdelingen ville gjenkjenne. Avdelinger er ikke aktiviteter, og det er heller ikke systemer.
- Spor avhengigheteneFor hver aktivitet, menneskene, systemene, dataene, leverandørene, lokalene og utstyret den trenger. Det er her udokumentert avhengighet dukker opp.
- Vurder effekten over tid: spør hva som skjer etter en time, en dag, en uke. Virkningen er sjelden lineær, og formen på kurven er det som bestemmer tidsrammen.
- Sett tidsrammene: utlede MTPD fra der skaden blir uakseptabel, deretter sette en RTO inni den, en RPO fra tolerabelt datatap og en MBCO for redusert drift.
- Få det godkjentPrioriteringene trenger formelt eierskap. Uten det blir analysen et dokument som alle senere i stillhet kan være uenige i.
Intervju heller enn å sirkulere et skjema. Et skjema gir deg svaret respondenten tror du vil ha, og hver aktivitet kommer tilbake som kritisk. En samtale lar deg spørre hva kunden faktisk ville legge merke til og når, noe som gir en forsvarlig rangering.
Resultatene må deretter arves i stedet for å bli gjenoppfunnet. Gjenopprettingstidsrammene som er satt her, er det en beredskapsplan forplikter seg til for en spesifikk navngitt risiko, og det en katastrofegjenopprettingsplan må oppfylle når den gjenoppretter systemene bak aktiviteten. En plan som setter sine egne tidsrammer uavhengig av analysen, beskytter noe i et tempo ingen har blitt enige om.
Hvor går forretningskonsekvensanalyser feil?
Feilene er gjennomgående, og de handler hovedsakelig om hvordan analysen ble samlet inn snarere enn hvordan den ble dokumentert.
- Alt kommer kritisk tilbakeUten tvungen rangering rangerer hver eier sin egen aktivitet høyest, og resultatet kan ikke prioritere noe.
- Gjenopprettingsmål satt av IT-avdelingentidsrammer utledet fra hva dagens infrastruktur kan levere snarere enn fra skaden, noe som gir mål som alltid nås og aldri er meningsfulle.
- Avdelinger behandlet som aktiviteterÅ analysere finans i stedet for å betale leverandører og samle inn penger skjuler det faktum at de to har svært forskjellige hastesaker.
- Avhengigheter som stopper ved systemgrensen: navngi applikasjonen, men ikke leverandøren som er vert for den, datastrømmen den trenger eller den ene personen som vet hvordan den skal startes på nytt.
- Konsekvensvurdering på ett enkelt tidspunkt: spørre hva som skjer hvis dette stopper, snarere enn hva som skjer etter en time, en dag og en uke.
- Aldri besøkt igjenEn analyse fra tre år siden beskriver en organisasjon som siden har endret systemer, leverandører og struktur.
En nyttig test på om analysen er reell: spør hva som ble rangert lavest. Hvis ingen kan svare, har ikke øvelsen prioritert, og alle planer som bygger på den vil konkurrere om de samme ressursene på samme tidspunkt.
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hvordan kobles analysen til resiliens?
En analyse av forretningsmessige konsekvenser forteller deg hva du skal beskytte og hvor raskt. Den forteller deg ikke hvordan du skal beskytte det, og den sier ingenting om hvorvidt kontrollene under fungerer. Det er sammenhengen med robusthet: de samme aktivitetene analysen prioriterer, avhenger av tilgangsstyring, sikkerhetskopiering, leverandørsikring og hendelsesrespons, og det er disse kontrollene som gjør en gjenopprettingsramme oppnåelig snarere enn ambisiøs.
Resilience Loop kjører informasjonssikkerhet i henhold til ISO 27001 , databeskyttelse i henhold til ISO 27701 og AI-styring i henhold til ISO 42001 som ett tilkoblet system. Avhengighetskartleggingen som gjøres for en BIA er den samme kartleggingen som disse standardene ber om, så arbeidet teller mer enn én gang. Kontinuitet i seg selv er spesifisert og sertifiserbar i henhold til ISO 22301 , som krever en konsekvensanalyse for virksomheten og definerer hva den må etablere. Den bredere strukturen er angitt i rammeverket for forretningsrobusthet.
Hvordan holder du en analyse av forretningsmessige konsekvenser oppdatert?
En BIA forfaller raskere enn de fleste kontinuitetsartefakter fordi den er knyttet til hvordan organisasjonen er organisert, og det endrer seg stadig. En ny leverandør, et migrert system, en omstrukturering eller et oppkjøp kan alle ugyldiggjøre et avhengighetskart uten at noen legger merke til det, og analysen vil fortsatt se komplett ut.
Årlig gjennomgang fanger opp noe av det. Å knytte gjennomgangen til endringer fanger i stedet opp mer: når et system byttes ut, når en leverandør blir tatt i bruk, når en aktivitet flyttes mellom team. Versjonen som forblir oppdatert er den som er koblet til eiendels- og leverandørregistrene i stedet for å ligge i et separat regneark. Denne tilnærmingen er beskrevet i hvordan man dokumenterer robusthet , og robusthetspoengsummen gir deg et grunnlag å starte fra.
Hvorfor velge ISMS.online for analyse av forretningsmessige konsekvenser?
Verdien av en BIA ligger i hvorvidt planene som er bygget på den fortsatt samsvarer med organisasjonen. ISMS.online holder de to sammenkoblet.
- Aktiviteter knyttet til det de er avhengige avKoble hver aktivitet til eiendelene, leverandørene og kontrollene bak den, slik at en endring i den ene er synlig i den andre.
- Gjenopprettingsmålene som er oppfylt med planeneMTPD, RTO, RPO og MBCO registrert mot aktiviteten og arvet av planene som må oppfylle dem.
- Ett kontrollsett, hvert rammeverkAvhengighetsarbeidet kartlegges én gang og brukes på nytt på tvers av ISO 22301, ISO 27001, ISO 27701 og ISO 42001.
- Anmeldelse som faktisk skjereiere, gjennomgangsdatoer og påminnelser, slik at analysen gjennomgås på nytt når ting endrer seg, i stedet for i beste fall årlig.
- Bevis på forespørselvis en revisor en aktuell analyse med godkjenningssporet i stedet for å rekonstruere et.
- Informert av dyp ekspertiseVeiledet implementering fra spesialister som har gjennomført disse øvelsene i regulerte organisasjoner.
- Bygget for britiske og regulerte markeder: utviklet for organisasjoner som må bevise motstandskraft for å vinne og beholde kontrakter.
Se hvordan det passer sammen på plattformen for forretningsrobusthet , eller bestill en demonstrasjon.
Spørsmål og svar
Hva er forskjellen mellom en konsekvensanalyse for virksomheten og en risikovurdering?
En risikovurdering spør hva som kan gå galt og hvor sannsynlig det er. En konsekvensanalyse for næringslivet antar at noe allerede har gått galt og spør hvor vondt det gjør og hvor raskt aktiviteten må være tilbake. Du trenger begge deler, fordi en risikovurdering alene forteller deg ingenting om prioriteringer for gjenoppretting, og en konsekvensanalyse alene forteller deg ingenting om hvilke årsaker du bør beskytte deg mot.
Hva er forskjellen mellom MTPD og RTO?
Den maksimalt tolererbare perioden for forstyrrelse er punktet der skaden blir uakseptabel for virksomheten. Gjenopprettingstidsmålet er målet du setter for å være i drift igjen, og det bør ligge innenfor MTPD snarere enn lik den. Hvis de to er det samme tallet, betyr enhver glidning at den tolererbare grensen er brutt, så gapet mellom dem er sikkerhetsmarginen.
Hvem bør involveres i en konsekvensanalyse for næringslivet?
De som driver aktivitetene, fordi de kjenner avhengighetene, og de som er ansvarlige for konsekvensene, fordi de har vurderingen av hva som er tolererbart. Tekniske team bidrar med det som er oppnåelig, men bør ikke sette tidsrammene. Noen uavhengige bør tilrettelegge, siden aktivitetseiere naturlig vurderer sitt eget arbeid som kritisk, og en tvungen rangering trenger en nøytral hånd.
Hvor lang tid tar en konsekvensanalyse for næringslivet?
For en mellomstor organisasjon med et tydelig omfang, gikk det meste av tiden med noen få uker til å intervjue aktivitetseiere i stedet for å skrive. Variabelen er omfangsdisiplin. Analyser som utvides til å dekke alle aktiviteter på alle steder tar måneder og er vanligvis utdaterte før de blir godkjent, og det er derfor en snevrere første gjennomgang av de virkelig kritiske aktivitetene er mer nyttig enn en omfattende.
Kreves det en konsekvensanalyse for virksomheten i henhold til ISO 22301?
Ja. ISO 22301 krever at organisasjonen utfører en konsekvensanalyse av virksomheten og beskriver hva den må etablere, inkludert aktivitetene som støtter produktene og tjenestene, konsekvensene av forstyrrelser over tid og prioriterte tidsrammer for å gjenoppta dem. Å arbeide i henhold til standarden betyr også at analysen må gjennomgås i stedet for å utføres én gang.
