Przejdź do głównej zawartości

5.30 Gotowość ICT do zapewnienia ciągłości działania ★

W skrócie: systemy ICT są przygotowane na zakłócenia tak, by krytyczne usługi wróciły w czasie, jakiego wymaga biznes.

Cel: zapewnienie dostępności informacji i innych powiązanych aktywów organizacji podczas zakłóceń.

★ Zabezpieczenie nowe w wydaniu 2022 — nie ma odpowiednika w ISO/IEC 27002:2013.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Corrective (korygujące)
Właściwości bezpieczeństwa informacji#Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Respond (reagowanie)
Zdolności operacyjne#Continuity (ciągłość działania)
Domeny bezpieczeństwa#Resilience (odporność)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Gotowość ICT wynika z wymagań ciągłości działania. Analiza wpływu na działalność (BIA) określa wpływ przerwy w czasie, a z niej wynikają wymagania wobec ICT.
  • Dla usług ICT wspierających krytyczne działania ustala się RTO (docelowy czas odtworzenia) i RPO (docelowy punkt odtworzenia, czyli dopuszczalną utratę danych).
  • Organizacja określa strategie ciągłości ICT na czas przed, w trakcie i po zakłóceniu, zgodne z tymi celami.
  • Plany ciągłości ICT są zatwierdzone przez kierownictwo, mają właścicieli, a osoby z rolami w planach są przeszkolone i mają uprawnienia.
  • Plany są regularnie testowane — przez ćwiczenia i próby — i aktualizowane.
  • Plany zawierają m.in. kryteria uruchomienia, działania i procedury odtworzenia, wymagania dotyczące wydajności i pojemności.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Klasy usług według RTO, np. poniżej 1 godziny, poniżej 4 godzin, poniżej 24 godzin, z dopasowanymi technikami (replikacja, ciepła rezerwa, odtwarzanie z kopii).
  • Coroczny test przełączenia do zapasowego centrum danych lub regionu chmury z pomiarem rzeczywistego czasu.
  • Zależności między systemami zmapowane w CMDB — odtwarzanie aplikacji bez jej bazy i usługi katalogowej nie działa.

Powiązania​