Vad ISO 22301 är
ISO 22301 är den internationella standarden för ett ledningssystem för kontinuitet. Den kräver att en organisation förstår vad den måste hålla igång, genom en konsekvensanalys för verksamheten, sätter mål för återställning, planerar hur målen ska nås, testar planerna genom övningar och förbättrar dem. Den kan certifieras och har samma struktur som ISO 27001. Kundernas frågeformulär använder dess begrepp även när de aldrig nämner den.
Vad kunder frågar
- Om du har en kontinuitetsplan och en katastrofåterställningsplan, vem som äger dem och när de senast granskades.
- Dina mål för återställningstid och återställningspunkt för den tjänst de köper.
- Hur säkerhetskopior tas, hur ofta, var de förvaras, om de är krypterade och när en återställning senast testades.
- Om tjänsten körs i mer än ett datacenter eller en tillgänglighetszon, och vad som händer om en av dem faller bort.
- När planerna senast övades, vad som upptäcktes och vad som ändrades efteråt.
- Hur du skulle informera kunden om ett större avbrott, och hur snabbt.
- Vad som händer med tjänsten och kundens data om ditt företag upphör med verksamheten.
Att svara som leverantör
Ange siffror och datum. ”Vi har en katastrofåterställningsplan” besvarar ingenting; ”RTO 8 timmar och RPO 24 timmar, dagliga krypterade säkerhetskopior i en andra region, återställning testad i mars, planen granskad i juni” besvarar hela avsnittet. Om din hostingleverantör sköter infrastrukturdelen, hänvisa till dess certifiering och beskriv vad du lägger till: dina säkerhetskopior, ditt återställningstest, din kommunikationsplan. Var ärlig om målen. En granskare som ser en RTO på fyra timmar från ett litet företag kommer att fråga hur den har testats.
Finansiella kunder som omfattas av DORA och verksamheter som omfattas av NIS2 vill ha mer detaljer om exit och om dina egna leverantörers kontinuitet. Exitfrågan, hur kunden får ut sina data och byter till en annan leverantör, förtjänar ett eget skriftligt svar.
I Responsemate
Kontinuitetsplanen, den senaste testrapporten och policyn för säkerhetskopiering ligger i kunskapsbasen som underlag med utgångsdatum, så att ett inaktuellt test syns innan en kund hittar det. Varje kontinuitetsrad skrivs som utkast utifrån dem med källan synlig. Kunskap i Responsemate.
Vanliga frågor
Vad är skillnaden mellan RTO och RPO?
Målet för återställningstid (RTO) anger hur länge tjänsten får vara nere innan den är återställd. Målet för återställningspunkt (RPO) anger hur mycket data, mätt i tid, som får gå förlorad. ”RTO 8 timmar, RPO 24 timmar” betyder i drift igen inom åtta timmar, med högst ett dygns ändringar förlorade.
Behöver vi ISO 22301-certifiering?
Sällan. Kunder inom finans och kritiska sektorer frågar ibland efter den, men de flesta godtar en dokumenterad kontinuitetsplan, en konsekvensanalys för verksamheten och belägg för ett nyligen genomfört test.