InfoSec bez stresa

Ova serija od osam članaka provodi vas kroz sve zahteve standarda ISO 22301:2019 — Sistemi upravljanja kontinuitetom poslovanja (BCMS) , klauzulu po klauzulu, na konkretnom praktičnom primeru: fiktivnoj proizvodnoj pivari „Zeleni Hmelj" d.o.o. , sa sopstvenom varionicom, punionicom i hibridnom IT/OT arhitekturom (SCADA/PLC industrijski sistemi, lokalni ERP i cloud servisi — Microsoft 365, cloud backup/DR, SaaS CRM). Umesto apstraktnog prepričavanja teksta standarda, svaki post gradi stvaran, upotrebljiv dokument — politiku, matricu, BIA analizu, BCP plan, zapisnik — kakav bi auditor tražio na sertifikacionoj proveri. Kroz celu seriju provlači se jedan princip: zahtevi kontinuiteta poslovanja dolaze od biznisa ka IT sektoru, a ne obrnuto — proizvodnja i komercijala definišu koliko dugo mogu da izdrže bez svog sistema, a IT/OT sektor sprovodi tehnička rešenja koja taj zahtev ispunjavaju. Sadržaj serije Deo 1 Uvod u BCMS i Klauzula 4 — Kontekst organizacije Razlika BCMS v...

Stigli smo do poslednjeg posta. Pivara „Zeleni Hmelj" je kroz prethodnih sedam postova izgradila kompletan BCMS — od konteksta i politike, preko BIA analize i konkretnih BCP planova, do izveštaja sa vežbe koji dokazuje da planovi zaista rade. Ovaj post zatvara PDCA krug kroz Check (Klauzula 9) i Act (Klauzula 10) fazu — mehanizme kojima top menadžment dokazuje, sebi i eksternom auditoru, da sistem koji je izgrađen zaista funkcioniše i da se kontinuirano unapređuje. Zašto ova klauzula nije samo formalnost pred audit Organizacije koje BCMS grade isključivo radi sertifikata često klauzule 9 i 10 tretiraju kao papirologiju koja se „obavi" jednom godišnje pred posetu sertifikacionog tela. To je greška koja se obično otkrije tek kada dođe do stvarnog poremećaja i ispostavi se da niko nije ni primetio da rezervni agregat mesecima nije testiran. Merenje performansi i poboljšanje su mehanizam kojim generalni direktor „Zelenog Hmelja" zadržava vlasništvo nad sistemom — a n...

Do sada smo za Pivaru „Zeleni Hmelj" definisali šta je kritično (BIA), šta preti (procena rizika), kojim rešenjima se odgovara (strategije) i ko to sprovodi (struktura odgovora). U ovom postu sve to sažimamo u ono što će krizni tim stvarno držati u ruci u trenutku poremećaja — konkretan, upotrebljiv plan kontinuiteta poslovanja (BCP) . 8.4.4 — Anatomija jednog BCP dokumenta Standard je vrlo precizan po pitanju sadržaja. Prema 8.4.4.2, planovi kontinuiteta moraju kolektivno sadržati: detalje akcija koje će timovi preduzeti da nastave ili obnove prioritizovane aktivnosti u predodređenim rokovima i da prate uticaj poremećaja; referencu na unapred definisane pragove i proces aktiviranja odgovora; procedure za isporuku proizvoda i usluga na dogovorenom kapacitetu; i detalje za upravljanje neposrednim posledicama poremećaja — sa dužnom pažnjom prema dobrobiti pojedinaca, sprečavanju daljeg gubitka ili nedostupnosti prioritizovanih aktivnosti, i uticaju na životnu sredinu. Prema ...

U prethodnom postu Pivara „Zeleni Hmelj" je kroz BIA matricu definisala šta mora biti obnovljeno i koliko brzo , a kroz procenu rizika identifikovala šta konkretno preti tim aktivnostima. Ovaj post odgovara na sledeće pitanje: kako — kojim konkretnim tehničkim i organizacionim rešenjima se ti zahtevi ispunjavaju, i ko ih aktivira kada dođe do stvarnog poremećaja. 8.3 — Strategije i rešenja kontinuiteta poslovanja Standard u 8.3.1 zahteva da se, na osnovu rezultata BIA i procene rizika, identifikuju i odaberu strategije koje razmatraju opcije pre, tokom i nakon poremećaja, pri čemu se svaka strategija sastoji od jednog ili više rešenja. Identifikacija (8.3.2) se zasniva na tome u kojoj meri rešenja ispunjavaju zahteve za nastavak/oporavak u definisanim rokovima, štite prioritizovane aktivnosti, smanjuju verovatnoću poremećaja, skraćuju period poremećaja, ograničavaju uticaj na proizvode i usluge, i obezbeđuju dostupnost adekvatnih resursa. Selekcija (8.3.3) dodatno razmat...

Stižemo do centralnog posta cele serije. Sve što smo do sada uradili za Pivaru „Zeleni Hmelj" — kontekst, politika, uloge, ciljevi, resursi — postoji da bi omogućilo ono što sledi: Poslovnu uticaj analizu (Business Impact Analysis, BIA) i procenu rizika. Ovde se, crno na belo, definiše koliko dugo pivara sme da čeka pre nego što posledice prekida postanu neprihvatljive — i ta odluka, naglašavamo ponovo, ne pripada IT sektoru . Princip koji sve povezuje: zahtev dolazi od biznisa, IT ga sprovodi Ovo je klauzula u kojoj se najčešće dešava greška u praksi: IT rukovodilac, pod pritiskom da „nešto napiše" za potrebe sertifikacije, sam procenjuje da li ERP sistem sme biti nedostupan 4 sata ili 4 dana — na osnovu toga koliko mu je tehnički lakše da to postigne. To je pogrešan redosled. Ispravan proces izgleda ovako: vlasnik poslovnog procesa (menadžer proizvodnje, komercijalni menadžer, finansijski sektor) analizira šta se dešava ako njegov proces stane — koliko para gubi p...