ISO/IEC 27031:2025 u praksi — Testiranje, zatvaranje MBCO jaza i pregled rukovodstva (klauzule 11–13)
ISO/IEC 27031:2025 u praksi — deo 9 od 9
Testiranje, zatvaranje MBCO jaza i pregled rukovodstva
Prethodni deo je dao Zelenom Hmelju runbook za SCADA i pisanu workaround proceduru za porudžbine — dokumente koji postoje na papiru, ali još nisu bili stvarno isprobani zajedno, pod kontrolisanim uslovima. Ovaj poslednji deo serije zatvara ceo IRBC ciklus: planirana vežba koja testira runbook iz dela 8, formalna odluka šta se radi sa preostalim jazovima (zatvoriti ih ili svesno prihvatiti kao rizik), i godišnji pregled pred rukovodstvom koji ceo sistem vraća na početak — tačku u kojoj se ciklus ponavlja.
11.1–11.2 — Program testiranja i planiranje vežbe
Standard razlikuje kvalitativne kriterijume performansi (ankete, povratne informacije učesnika — jeftinije i pogodnije za manje firme) od kvantitativnih, i traži da se testiranje sprovodi postepeno — od upoznavanja sa procedurom do pune simulacije. Svaka vežba treba unapred definisan opseg, cilj i „term of reference" koji potpisuje sponzor vežbe pre početka.
Primer: Zeleni Hmelj je isplanirao prvu punu vežbu SCADA runbook-a, sa jasno definisanim opsegom i merilima uspeha unapred.
Šta ovo znači u praksi
Term of reference unapred definiše šta znači „uspeh" pre nego što se vežba izvede — bez toga, svaki rezultat bi mogao naknadno da se proglasi zadovoljavajućim, što poništava svrhu testiranja. Ograničavanje opsega samo na SCADA (ne sve tri usluge odjednom) je namerno — standard traži postepen pristup, ne punu simulaciju svega odmah.
11.3 — Učenje iz vežbe
Standard traži da se nalazi vežbe formalno prikupe, analiziraju naspram ciljeva, i da se dodele konkretne akcije sa rokovima — ne samo utisak da je „vežba prošla dobro".
Primer: vežba od 4. aprila je sprovedena, i izveštaj pokazuje mešovit, ali koristan rezultat.
Šta ovo znači u praksi
Vežba koja otkrije nedostajuću lozinku u dokumentu je uspešna vežba, ne neuspešna — upravo je to razlog zašto se testira pre stvarnog incidenta. Da nedostatak nije otkriven 4. aprila, otkrio bi se usred pravog ispada, kada bi svaki minut tražeći lozinku direktno produžio stvaran prekid proizvodnje.
12–13 — Zatvaranje MBCO jaza i odobrenje rukovodstva
Standard postavlja jasan izbor kada IRBC ne može odmah da ispuni postavljeni MBCO: zatvoriti jaz unapređenjem sposobnosti, ili svesno prihvatiti jaz i uneti ga u registar rizika. Oba su legitimni ishodi — standard ne traži da svaki jaz nestane, nego da odluka o njemu bude eksplicitna i da je odobri rukovodstvo, čime se klauzula 13 (odobrenje strategija od strane top menadžmenta) prirodno nadovezuje.
Primer: godišnji pregled je sumirao status svih jazova otvorenih tokom devet delova ove serije, sa odlukom za svaki.
Šta ovo znači u praksi
Ovakva tabela je prirodan završetak IRBC ciklusa i početak novog — svaki red predstavlja nešto što je ova serija otvorila u prethodnih osam delova, a rukovodstvo sada svesno bira šta se zatvara, šta se prihvata kao trajan rizik, i šta ostaje za sledeći ciklus. Nijedan IRBC sistem, pa ni u mnogo većim firmama, nema nulu otvorenih stavki — poenta je da lista bude poznata i vlasnicima, ne skrivena dok ne postane hitna.
Ovim se zatvara serija ISO/IEC 27031:2025 u praksi. Zeleni Hmelj je za devet delova prešao put od kratke beleške koja povezuje BCMS sa IRBC-om do godišnjeg pregleda koji taj isti IRBC vraća pred rukovodstvo na ponovnu ocenu — što je i najbolji pokazatelj da sistem zaista radi: ne kao jednokratni projekat, nego kao ciklus koji se ponavlja, sa sve manje iznenađenja svakog puta kada se ponovi.
Comments
Post a Comment