http___www.iso27001standard.com_index.php_option_com_content_view_article_id_303_sto-je-bs-25999-2_catid_9_1.xml
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 8.2 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 22.2 23.1 24.1 24.2 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1
BS 25999-2 Basics A leading business continuity standard↓ Business impact analysis and risk assessment↓ Defining the business continuity strategy↓ Maintenance of plans and system; improvement↓ A leading business continuity standard BS 25999-2 is a British standard issued in 2007, which has quickly become the main standard for business continuity management – although it is a British national standard, it is used in many other countries, and it is predicted that it will soon be accepted as an international (ISO 22301) standard. Just like ISO 27001, ISO 9001, ISO 14001 and other standards that define management systems, BS 25999-2 also defines a business continuity management system which contains the same four management phases: planning, implementing, reviewing and monitoring, and finally improving. The point of these four phases is that the system is continually updated and improved in order to be usable when a disaster occurs. The following are some of the key procedures and documents required by BS 25999-2: - Scope of the BCMS – precise identification of that part of the organisation to which business continuity management is applied - BCM policy – defining objectives, responsibilities, etc. - Human resource management - Business impact analysis and risk assessment - Defining business continuity strategy - Business continuity plans - Maintenance of plans and systems; improvement Human resources management The standard states that it is essential to determine the necessary knowledge and skills, to identify the necessary training sessions, to conduct such training sessions, to check whether the required knowledge and skills have been achieved, and that records must be kept. BS 25999-2 also requires conducting awareness programs, and also communicating the importance of business continuity management to employees. Business impact analysis and risk assessment Business impact analysis deals with important activities in an organisation, defines the maximum tolerated period of disruption, the interdependence of individual actions, determines which activities are critical, explores the existing arrangements with suppliers and outsourcing partners, and finally sets the recovery time objective. Risk assessment is carried out to establish which disasters and other disruptions in business operations may occur, what their consequences are, but also which vulnerabilities and threats can lead to such business disruptions. Based on such assessment, the organisation determines how to reduce the probability of risk, and how it will be mitigated if it should occur. Defining the business continuity strategy A strategy refers to defining how an organisation will recover in case of disaster. The strategy is determined on the basis of the results of risk assessment and business impact analysis, and usually involves alternative locations, data recovery options, recovery of human resources, communications, equipment, management of suppliers and outsourcing partners, etc. Business continuity plan Business continuity plan include plans for incident response, {activation procedures for business continuity plan}, as well as recovery plans for critical activities – they are all written based on the business continuity strategy. An incident response plan must specify the manner of determining types of incidents, communication channels, types of response, responsibility, etc. Recovery plans must specify roles and responsibilities, key steps for recovery, locations, resources to be used and where they are located, priorities, what actions to take when recovery is completed, etc. Maintenance of plans and system; improvement The standard stipulates the following: - Regular exercising and testing of plans to make staff more familiar with the plans and to check their up-to-datedness - Conducting internal audits at regular intervals - Management reviews to ensure that the BCMS is functioning and to make appropriate improvements - Taking preventive and corrective actions to improve not only plans but also other elements of the system Documentation BS 25999-2 requires the following documents: - The scope of the BCM - The BCM policy - Specific responsibilities for the BCM - Procedures for managing documents and records, procedures for corrective and preventive actions - Methodology for business impact analysis, and results of the analysis - Risk assessment methodology - Business continuity strategy - Business continuity plan which includes the incident response plan(s) and recovery plan(s) - Records The amount of documentation depends on the number of critical activities in an organisation – an organisation with a small number of critical activities will also have a small amount of documentation related to business impact analysis, risk assessment and business continuity plans, while the documentation of larger organisations will be much more extensive. Other related standards In addition to BS 25999-2, BS 25999-1 is an “auxiliary” standard which provides more details on how to implement specific parts of BS 25999-2. Other useful standards are ISO 27001, which places business continuity in a broader context of information security, and ISO 27005 which gives a detailed description of the risk assessment process.
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 9.2 9.3 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 23.2 24.1 25.1 25.2 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1
Osnove BS 25999-2 Vodeća norma za kontinuitet poslovanja↓ Upravljanje ljudskim resursima↓ Analiza utjecaja na poslovanje i procjena rizika↓ Određivanje strategije kontinuiteta poslovanja↓ Održavanje planova i sustava; poboljšavanje↓ Vodeća norma za kontinuitet poslovanja BS 25999-2 je britanska norma izdana 2007. godine, i u kratko vrijeme je postala glavna norma za upravljanje kontinuitetom poslovanja – iako se radi o nacionalnoj britanskoj normi ona se koristi i u mnogim drugim zemljama, i predviđa se da će se uskoro prihvatiti kao međunarodna (ISO 22301) norma. Kao i ISO 27001, ISO 9001, ISO 14001 i ostale norme koje propisuju sustave upravljanja, i BS 25999-2 propisuje sustav upravljanja kontinuitetom poslovanja (engl. BCMS – business continuity management system) koji u sebi sadrži iste četiri faze upravljanja: planiranje, implementaciju, pregledavanje i praćenje, te na kraju poboljšavanje. Smisao te četiri faze jest da se sustav kontinuirano ažurira i poboljšava, kako bi bio upotrebljiv u situacijama kada dođe do havarije. Neke od ključnih postupaka i dokumenata koje BS 25999-2 propisuje su sljedeći: - opseg BCMS-a – precizno određivanje na koji dio organizacije se primjenjuje upravljanje kontinuitetom poslovanja - politika BCM-a – određivanje ciljeva, odgovornosti i sl. - upravljanje ljudskim resursima - analiza utjecaja na poslovanje i procjena rizika - određivanje strategije kontinuiteta poslovanja - planovi kontinuiteta poslovanja - održavanje planova i sustava; poboljšavanje Upravljanje ljudskim resursima Norma propisuje da je potrebno odrediti potrebna znanja i vještine za osoblje, odrediti koje su obuke potrebne, provesti takve obuke, provjeriti da li su postignuta potrebna znanja i vještine, te da je potrebno održavati zapise. BS 25999-2 također zahtijeva da se provode programi osvješćivanja, ali i da se prema djelatnicima komunicira važnost upravljanja kontinuitetom poslovanja. Analiza utjecaja na poslovanje i procjena rizika Tijekom analize utjecaja na poslovanje se analizira koje bitne aktivnosti postoje u organizaciji, koliko je maksimalno tolerirano vrijeme prekida, međuovisnosti pojedinih aktivnosti, određuje se koje su aktivnosti kritične, istražuje koji aranžmani postoje s dobavljačima i outsourcing partnerima, te na kraju postavlja ciljano vrijeme oporavka. Procjena rizika se provodi kako bi se ustanovilo do kojih havarija odnosno drugih prekida u poslovanju može doći, koje su njihove posljedice, ali isto tako i koje ranjivosti i prijetnje mogu dovesti do pojave takvih prekida u poslovanju. Temeljem takve procjene organizacija određuje kako će umanjiti vjerojatnost pojave rizika, i na koji način će se isti ublažiti ako do njih dođe. Određivanje strategije kontinuiteta poslovanja Strategija je određivanje na koji način će se organizacija oporaviti ako dođe do havarije. Strategija se određuje na temelju rezultata procjene rizika i analize utjecaja na poslovanje, i obično uključuje alternativne lokacije, opcije oporavka podataka, oporavka ljudskih resursa, komunikacija, opreme, kako upravljati s dobavljačima i outsourcing partnerima i sl. Plan kontinuiteta poslovanja Plan kontinuiteta poslovanja uključuje planove odziva na incident, aktivacijske procedure za plan kontinuiteta poslovanja i planove oporavka kritičnih aktivnosti – svi oni pišu se na temelju strategije kontinuiteta poslovanja. Plan odziva na incident mora odrediti način određivanja vrste incidenta, kanale komunikacije, određivanje vrste odziva, odgovornosti i sl. Planovi oporavka moraju odrediti uloge i odgovornosti, ključne korake za oporavak, lokacije, koje resurse je potrebno koristiti i gdje se isti nalaze, koji su prioriteti, na koji način postupiti kada se oporavak završi i sl. Održavanje planova i sustava; poboljšavanje Norma propisuje sljedeće: - redovito vježbanje i testiranje planova kako bi se osoblje bolje upoznalo s planovima i provjerilo njihovu ažurnost - provedba internih audita u redovitim intervalima - poduzimanje pregleda od strane menadžmenta kako bi se osiguralo da BCMS funkcionira i da se poduzmu odgovarajuća poboljšanja - poduzimanje preventivnih i korektivnih mjera kako bi se unaprijedili ne samo planovi, već i ostali elementi sustava Dokumentacija BS 25999-2 zahtijeva sljedeću dokumentaciju: - opseg BCM-a - politika BCM-a - određene odgovornosti za BCM - procedure za upravljanje dokumentacijom i zapisima, za korektivne i preventivne mjere - metodologija za analizu utjecaja na poslovanje, kao i rezultati te analize - metodologija za procjenu rizika - strategija kontinuiteta poslovanja - plan kontinuiteta poslovanja koji uključuje plan(ove) odziva na incident i plan(ove) oporavka - zapise Količina dokumentacije ovisi o broju kritičnih aktivnosti pojedine organizacije – organizacija koja ima manji broj kritičnih aktivnosti imat će manju količinu dokumentacije vezanu za analizu utjecaja na poslovanje, procjenu rizika i planove kontinuiteta poslovanja, dok će velike organizacije imati bitno opsežniju dokumentaciju. Ostale povezane norme Osim norme BS 25999-2 postoji i norma BS 25999-1 koja je „pomoćna” norma i detaljnije opisuje na koji način provesti određene dijelove BS 25999-2. Također je korisna i norma ISO 27001 koja kontinuitet poslovanja stavlja u širi kontekst informacijske sigurnosti, te norma ISO 27005 koja detaljnije opisuje proces procjene rizika.