Hvad ISO 22301 er
ISO 22301 er den internationale standard for et ledelsessystem for forretningskontinuitet. Den kræver, at en organisation gennem en forretningskonsekvensanalyse forstår, hvad den skal holde kørende, fastsætter mål for genetablering, planlægger, hvordan målene nås, afprøver planerne gennem øvelser og forbedrer dem. Den kan certificeres og har samme struktur som ISO 27001. Kundespørgeskemaer bruger dens begreber, også når de aldrig nævner den.
Det spørger kunderne om
- Om du har en forretningskontinuitetsplan og en katastrofeberedskabsplan, hvem der ejer dem, og hvornår de sidst blev gennemgået.
- Dine mål for gendannelsestid og gendannelsespunkt for den tjeneste, de køber.
- Hvordan der tages backup, hvor ofte, hvor den opbevares, om den er krypteret, og hvornår en gendannelse sidst blev testet.
- Om tjenesten kører i mere end ét datacenter eller én tilgængelighedszone, og hvad der sker, hvis et af dem falder bort.
- Hvornår planerne sidst blev afprøvet, hvad man fandt, og hvad der blev ændret bagefter.
- Hvordan du ville informere kunden om et større nedbrud, og hvor hurtigt.
- Hvad der sker med tjenesten og kundens data, hvis din virksomhed lukker.
At svare som leverandør
Angiv tal og datoer. "Vi har en katastrofeberedskabsplan" lukker ingenting; "RTO 8 timer og RPO 24 timer, daglige krypterede backups i en anden region, gendannelse testet i marts, plan gennemgået i juni" lukker afsnittet. Står din hostingudbyder for infrastrukturdelen, så henvis til dens certificering, og beskriv, hvad du selv lægger oveni: dine backups, din gendannelsestest, din kommunikationsplan. Vær ærlig om målene. Ser den, der gennemgår, en RTO på fire timer fra en lille virksomhed, vil vedkommende spørge, hvordan den er testet.
Finansielle kunder under DORA og væsentlige og vigtige enheder under NIS2 beder om flere detaljer om exit og om dine egne leverandørers kontinuitet. Exit-spørgsmålet, altså hvordan kunden får sine data ud og skifter til en anden udbyder, fortjener sit eget skriftlige svar.
I Responsemate
Kontinuitetsplanen, den seneste testrapport og backuppolitikken ligger i vidensbasen som dokumentation med udløbsdatoer, så en forældet test dukker op, før en kunde opdager den. Hver kontinuitetsrække udarbejdes ud fra dem med kilden vist. Viden i Responsemate.
Spørgsmål, folk stiller
Hvad er forskellen på RTO og RPO?
Målet for gendannelsestid er, hvor længe tjenesten må være nede, før den er genetableret. Målet for gendannelsespunkt er, hvor meget data, målt i tid, der må gå tabt. "RTO 8 timer, RPO 24 timer" betyder oppe igen inden for otte timer med højst et døgns ændringer tabt.
Har vi brug for en ISO 22301-certificering?
Sjældent. Kunder i finanssektoren og i kritiske sektorer beder nogle gange om den, men de fleste accepterer en dokumenteret kontinuitetsplan, en forretningskonsekvensanalyse og dokumentation for en nylig test.