ISO/IEC 27031:2025 u praksi — Poslovna očekivanja od ICT-ja: kritične usluge, RTO/RPO i ugovorne zavisnosti (klauzula 7)

ISO/IEC 27031:2025 u praksi — deo 2 od 9

Poslovna očekivanja od ICT-ja: kritične usluge, RTO/RPO i ugovorne zavisnosti

Prvi deo serije zatvorio se procenom jaza — nijedan od tri ključna ICT sistema Zelenog Hmelja nije mogao sa sigurnošću da potvrdi da ispunjava poslovni cilj kontinuiteta. Ovaj deo taj jaz pretvara u formalan, dokumentovan popis kritičnih ICT usluga sa sopstvenim RTO/RPO ciljevima, i uvodi praćenje pretnji koje standard traži u klauzuli 7.1.

7.1 — Praćenje, detekcija i analiza pretnji

Standard traži da organizacija uspostavi proces praćenja pojave ICT bezbednosnih pretnji — ne samo reaktivno, nego kontinuirano, kroz nekoliko oblasti: zadržavanje osoblja i znanja, upravljanje prostorom u kojem je ICT oprema, promene u tehnologiji, budžet, i efikasnost spoljnih dobavljača. Monitoring ICT sistema je prva linija odbrane koja omogućava detekciju neobičnih situacija pre nego što prerastu u incident.

Primer: Dragan je uspostavio mesečni pregled ovih oblasti, umesto da čeka da se problem sam pojavi kroz incident.

Zeleni Hmelj d.o.o. — interni dokument IRBC sistema

Mesečni pregled praćenja pretnji i spremnosti — februar 2026.

Šifra dokumenta: ZH-IRBC-DOC-005	Verzija: 1.0	Status: Aktivan
Priprema: Dragan Savić	Odobrio: —	Datum: 28.02.2026.

Oblast praćenja	Nalaz za februar	Ocena
Zadržavanje osoblja i znanja	Bez promena — Dragan i Miloš Tanasković i dalje jedini nosioci ključnog znanja	Rizik i dalje otvoren
Prostor sa ICT opremom (serverska soba)	Bez bezbednosnih incidenata; klima uređaj star 6 godina, bez rezervnog	Prihvatljivo, uz napomenu
Promene u tehnologiji	Cloud provajder najavio migraciju na novu infrastrukturu u aprilu 2026.	Zahteva praćenje pre migracije
Budžet	Nije predviđena posebna stavka za IRBC u budžetu za 2026.	Rizik — nema sredstava za hitne mere
Efikasnost spoljnih dobavljača	AutomatikaPro odgovorila na jedan upit u proseku za 4h (u okviru ugovora)	Prihvatljivo

Nalaz koji zahteva akciju: Najavljena migracija cloud provajdera u aprilu 2026. mora biti praćena i procenjena pre izvođenja — ovo se prosleđuje kao stavka za klauzulu 7.3 (ugovorni aspekti zavisnosti) niže u ovom tekstu.

Šta ovo znači u praksi

Ovakav pregled ne mora biti opsežan — pet redova jednom mesečno je dovoljno da se najavljena promena kod dobavljača (migracija infrastrukture) uhvati pre nego što postane iznenađenje na dan izvođenja.

7.2 — Popis kritičnih ICT usluga sa RTO/RPO

Standard traži da svaka kritična ICT usluga ima sopstveni dokumentovan RTO, RPO i MBCO — ne samo poslovni cilj koji je nasleđen iz BCMS-a, nego tehnički cilj specifičan za tu uslugu. Ovo je centralni dokument klauzule 7 i osnova na kojoj će se graditi strategije u kasnijim delovima serije.

Primer: Zeleni Hmelj je formalizovao popis tri kritične ICT usluge, sa opisom, zavisnostima i predloženim (još ne potvrđenim) tehničkim ciljevima.

Zeleni Hmelj d.o.o. — interni dokument IRBC sistema

Registar kritičnih ICT usluga

Šifra dokumenta: ZH-IRBC-DOC-006	Verzija: 1.0	Status: U proveri
Vlasnik dokumenta: Dragan Savić	Odobrio: —	Datum: 03.03.2026.

ICT usluga	Podržava	Predloženi RTO	Predloženi RPO	Ključne zavisnosti
SCADA sistem (variona)	Proizvodnja piva	8h	1h (parametri procesa)	PLC kontroler, lokalna mreža, AutomatikaPro podrška
Cloud platforma za porudžbine	Prijem i obrada porudžbina kupaca	4h	15 min	Internet veza, cloud provajder, autentikacija korisnika
Lokalni ERP	Finansije, zalihe, nabavka	24h	24h (dnevni bekap)	Lokalni server, off-site bekap (u uspostavljanju)

Napomena: RTO za SCADA (8h) trenutno prevazilazi realnu sposobnost oporavka procenjenu u delu 1 (6–10h bez konsultanta) — ovo ostaje otvoren jaz do dela 4 i 5 serije, gde se strategije i preduslovi formalno definišu.

Šta ovo znači u praksi

Predloženi RTO za SCADA sistem (8h) je namerno postavljen ispod trenutnog realnog stanja (6–10h) — to je uobičajena situacija na početku IRBC uvođenja: cilj se postavlja prema poslovnoj potrebi, a tek kasnije se proverava da li je tehnički ostvariv, umesto da se cilj unapred prilagodi trenutnim ograničenjima.

7.3 — Obim, ICT arhitektura i ugovorne zavisnosti

Standard traži da organizacija dokumentuje arhitekturu ICT-ja u kontekstu IRBC-a — kako su komponente povezane, koje zavisnosti postoje, i koji su ugovorni aspekti sa dobavljačima. Posebno se traži analiza jaza između sposobnosti kontinuiteta dobavljača i dogovorenog RTO-a sa tim dobavljačem.

Primer: za cloud platformu za porudžbine, Dragan je proverio šta ugovor sa provajderom zaista garantuje — i otkrio da SLA ne pokriva ono što je Zelenom Hmelju potrebno.

Zeleni Hmelj d.o.o. — interni dokument IRBC sistema

Analiza jaza — ugovor sa cloud provajderom naspram poslovnog RTO-a

Šifra dokumenta: ZH-IRBC-DOC-007	Verzija: 1.0	Status: Aktivan
Priprema: Dragan Savić	Odobrio: —	Datum: 05.03.2026.

Stavka	Zahtev Zelenog Hmelja	Šta SLA garantuje	Jaz
Vreme oporavka usluge	RTO 4h	SLA ne definiše RTO, samo 99,5% mesečne dostupnosti	Da
Obaveštavanje o planiranim radovima	Najava najmanje 5 radnih dana unapred	Najava „u razumnom roku", bez preciznog broja dana	Da
Najavljena migracija (april 2026)	Potvrda da migracija ne utiče na RTO tokom prelaska	Nije adresirano u trenutnom ugovoru	Da — hitno

Preporučena akcija: Zatražiti od provajdera pisanu potvrdu uslova za period migracije, i otvoriti pitanje revizije SLA-a pri narednom obnavljanju ugovora kako bi RTO bio eksplicitno naveden, ne izveden iz procenta dostupnosti.

Šta ovo znači u praksi

Ovo je čest nalaz kod firmi koje prvi put ozbiljno čitaju sopstveni ugovor sa cloud provajderom kroz IRBC objektiv — postojeći SLA gotovo uvek govori o dostupnosti (uptime procenat), a retko o tome koliko brzo se usluga vraća posle konkretnog ispada, što je upravo ono što RTO meri.

Sledeći deo serije prelazi na klauzulu 8 — definisanje preduslova za IRBC: kapaciteti oporavka, redundansa opreme i formalno postavljanje ciljnog RTO/RPO na osnovu ovde otkrivenih jazova.