Hva ISO 22301 er
ISO 22301 er den internasjonale standarden for et styringssystem for forretningskontinuitet. Den krever at en organisasjon forstår hva den må holde i gang, gjennom en konsekvensanalyse for virksomheten, setter mål for gjenoppretting, planlegger hvordan de skal nås, tester planene gjennom øvelser og forbedrer dem. Den kan sertifiseres og har samme struktur som ISO 27001. Kundenes spørreskjemaer bruker begrepene fra den selv når de aldri nevner den ved navn.
Hva kundene spør om
- Om dere har en plan for forretningskontinuitet og en plan for katastrofegjenoppretting, hvem som eier dem, og når de sist ble gjennomgått.
- Målene for gjenopprettingstid og gjenopprettingspunkt for tjenesten de kjøper.
- Hvordan sikkerhetskopier tas, hvor ofte, hvor de oppbevares, om de er kryptert, og når en gjenoppretting sist ble testet.
- Om tjenesten kjører i mer enn ett datasenter eller én tilgjengelighetssone, og hva som skjer hvis en av dem faller bort.
- Når planene sist ble øvd på, hva som ble funnet, og hva som ble endret etterpå.
- Hvordan dere ville varslet kunden om et større driftsavbrudd, og hvor raskt.
- Hva som skjer med tjenesten og kundens data hvis selskapet deres legges ned.
Å svare som leverandør
Oppgi tall og datoer. «Vi har en plan for katastrofegjenoppretting» lukker ingenting; «RTO 8 timer og RPO 24 timer, daglige krypterte sikkerhetskopier i en annen region, gjenoppretting testet i mars, planen gjennomgått i juni» lukker seksjonen. Håndterer hostingleverandøren infrastrukturdelen, viser du til sertifiseringen deres og beskriver hva dere legger til: sikkerhetskopiene, gjenopprettingstesten og kommunikasjonsplanen. Vær ærlig om målene. Den som vurderer og ser en RTO på fire timer fra et lite selskap, vil spørre hvordan den er testet.
Finanskunder under DORA og virksomheter som omfattes av NIS2, ber om flere detaljer om avslutning og om kontinuiteten hos deres egne leverandører. Avslutningsspørsmålet, altså hvordan kunden får dataene sine ut og flytter til en annen leverandør, fortjener et eget skriftlig svar.
I Responsemate
Kontinuitetsplanen, den siste testrapporten og policyen for sikkerhetskopiering ligger i kunnskapsbasen som dokumentasjon med utløpsdatoer, så en utdatert test dukker opp før en kunde finner den. Hver kontinuitetsrad får et utkast fra dem med kilden synlig. Kunnskap i Responsemate.
Vanlige spørsmål
Hva er forskjellen mellom RTO og RPO?
Mål for gjenopprettingstid (RTO) er hvor lenge tjenesten kan være nede før den er gjenopprettet. Mål for gjenopprettingspunkt (RPO) er hvor mye data, målt i tid, som kan gå tapt. «RTO 8 timer, RPO 24 timer» betyr i drift igjen innen åtte timer, med høyst ett døgns endringer tapt.
Trenger vi en ISO 22301-sertifisering?
Sjelden. Kunder i finans og kritiske sektorer ber av og til om den, men de fleste godtar en dokumentert kontinuitetsplan, en konsekvensanalyse for virksomheten og dokumentasjon på en nylig test.