ISO 27031: Šta se dešava kada IT prestane da radi

Cloud provajder ima regionalni prekid u petak uveče. Ili: u ponedeljak ujutru, otkriva se da je preko noći neko enkriptovao fajl servere. U oba slučaja, za pet minuta stižu ista pitanja – koliko dugo ćemo biti nedostupni, šta gubimo dok čekamo, i ko tačno zna šta treba da radi.

ISO 27001 vam daje kontrole koje smanjuju šansu da se ovo desi. ISO 22301 vam kaže koji poslovni procesi su prioritetni i za koliko vremena moraju da se vrate. Nijedan od ta dva standarda ne kaže IT sektoru šta konkretno da uradi da bi taj rok bio ispunjen, testiran, ne samo zapisan na papiru. To je posao standarda ISO/IEC 27031.

Šta standard pokriva

Pun naziv je ISO/IEC 27031:2025, drugo izdanje, objavljeno u maju 2025, koje zamenjuje prvo izdanje iz 2011. Centralni pojam je IRBC – skraćenica za ICT Readiness for Business Continuity, spremnost informaciono-komunikacione tehnologije za kontinuitet poslovanja. Jednostavnije rečeno: da li je vaša IT infrastruktura – serveri, mreža, podaci, ljudi koji njome upravljaju, dobavljači od kojih zavisite – stvarno spremna da podrži firmu kad dođe do ozbiljnog prekida.

Standard nije sertifikacioni. Ne postoji "ISO 27031 sertifikat" koji dobijate posle audita, kao što postoji za ISO 27001 ili ISO 22301. Koristi formulacije tipa "trebalo bi", ne "mora". To znači da niko spolja neće proveravati da li ste ga primenili – vrednost dolazi isključivo od toga da li ga stvarno sprovedete, ne od plakete na zidu.

Zašto klasičan DR plan nije dovoljan

Većina IT sektora ima neki plan oporavka (disaster recovery plan, skraćeno DR plan). Taj plan obično kreće od tehnike: "ako padne server X, evo kako ga vraćamo". IRBC kreće od poslovanja: "ova aktivnost mora da se vrati za toliko vremena, sa najviše toliko izgubljenih podataka – šta sve to zahteva od IT-a?"

Razlika nije kozmetička. Firma sa klasičnim DR planom često otkrije, tek kad se nešto pokvari, da je savršeno vratila server koji nikog nije zanimao, dok je usluga koja donosi prihod stajala satima jer je zavisila od nečega što niko nije upisao u plan – DNS-a, sistema za prijavu korisnika, jedne mrežne veze.

Kako se uklapa uz ISO 27001 i ISO 22301

ISO 27001 štiti poverljivost, integritet i dostupnost informacija – to je ISMS, sistem upravljanja bezbednošću informacija. ISO 22301 upravlja kontinuitetom cele firme – to je BCMS, sistem upravljanja kontinuitetom poslovanja – i kroz analizu uticaja na poslovanje određuje koje aktivnosti su prioritetne i koliko brzo moraju da rade, bez obzira da li je uzrok IT kvar, požar ili gubitak dobavljača. ISO 27031 uzima te poslovne rokove i prevodi ih u konkretan IT posao: koji serveri i servisi podržavaju koju aktivnost, i kako se ta spremnost gradi, testira i održava.

Tri broja koja ćete stalno sretati

RTO (Recovery Time Objective, vreme oporavka) – koliko sme da prođe od kvara do ponovnog rada. RTO od dva sata znači: od trenutka kvara, imate dva sata da vratite sistem u pogon.

RPO (Recovery Point Objective, tačka oporavka) – koliko podataka sme da se izgubi, izraženo kao vreme. RPO od 15 minuta znači: u najgorem slučaju, smete da izgubite ono što je uneto u poslednjih 15 minuta pre kvara. Taj broj određuje koliko često morate da pravite bekap.

BIA (Business Impact Analysis, analiza uticaja na poslovanje) – proces kojim se za svaku poslovnu aktivnost izračunava RTO i RPO na osnovu stvarne štete koju prekid pravi, ne na osnovu nagađanja.

Zašto je izdanje iz 2025. bitno baš sad

Kad je standard prvi put napisan 2011, firme su retko zavisile od cloud-a. Danas je hibridna infrastruktura – deo u sopstvenoj serverskoj sobi, deo kod cloud provajdera – pravilo, ne izuzetak. Novo izdanje to prepoznaje: prvi put ozbiljno pokriva zavisnost od cloud provajdera i drugih spoljnih dobavljača, ne samo ono što fizički stoji kod vas.

Za koga je ovo

Puna primena ovog standarda ima najviše smisla tamo gde IT prekid direktno staje novac (izgubljen prihod, ugovorne kazne), gde je infrastruktura dovoljno složena da niko više napamet ne zna sve zavisnosti, i gde postoji dovoljno ljudi da se spremnost stvarno testira, ne samo zapiše. Manjoj firmi sa tri servera i jednim cloud nalogom veći deo ovog aparata bio bi preterivanje.

Firma iz naše priče

Kroz ovu seriju pratimo fiktivnu firmu VoxServis d.o.o. – kontakt centar sa 560 zaposlenih koji za klijente iz Nemačke, Austrije i Švajcarske pruža korisničku podršku telefonom, četom i mejlom. Sedište i najveći kontakt centar su u Beogradu, drugi kontakt centar je u Novom Sadu.

Infrastruktura je mešovita, kao kod većine firmi ove veličine danas: telefonska platforma i lokalni serveri stoje u sopstvenoj serverskoj sobi u Beogradu, dok su CRM, imejl i bekap podataka u cloud-u. Ugovori sa klijentima imaju SLA (service level agreement, ugovoreni nivo usluge) sa novčanim kaznama za nedostupnost – što znači da za VoxServis, IT prekid nije apstraktan rizik, nego tačna cena po satu, koju direktor finansija prati isto pažljivo kao IT direktor.

Šta sledi

Sledeći tekst ide na to zašto klasičan DR plan, ma koliko dobro napisan, nije isto što i IRBC – na konkretnom primeru gde VoxServis-ov postojeći plan ima rupe.