Kibernetinė rizika ir veiklos tęstinumas: kaip užtikrinti stabilumą krizės metu
Veiklos tęstinumas nebegalioja tik kaip atsargumo plano dalis. Jis yra strateginis gebėjimas išlaikyti svarbiausius procesus net ir tada, kai atsiranda technologinė, organizacinė ar kibernetinė krizė.
Greita santrauka
Veiklos tęstinumas reiškia ne tai, kad įmonė „turės planą“, bet tai, kad ji žino, kaip išlaikyti pagrindines funkcijas, kai sutrinka sistemos, įvyksta incidentas ar prarandama dalis operacinės kontrolės.
Kodėl kibernetinė rizika yra verslo rizika, o ne tik IT problema
Kibernetinė rizika yra verslo rizika todėl, kad incidento pasekmė paprastai neapsiriboja neveikiančiu kompiuteriu. Sustojusi užsakymų, gamybos, mokėjimų ar klientų aptarnavimo sistema gali sutrikdyti pajamas, tiekimo įsipareigojimus, darbuotojų darbą ir pasitikėjimą. Prie poveikio prisideda ir duomenų atskleidimas, sutartiniai įsipareigojimai, reguliavimo reikalavimai bei tiekėjų veikla. Todėl vadovybė turi spręsti ne vien tai, kokį saugumo įrankį įsigyti, bet ir kokias paslaugas būtina apsaugoti pirmiausia, kokia rizika priimtina ir kas turi teisę priimti sprendimus incidento metu.
Vertinimą pradėkite nuo svarbiausių verslo procesų ir jų priklausomybių. Kiekvienam procesui išsiaiškinkite, kokių sistemų, duomenų, žmonių, vietų, ryšio kanalų ir išorinių tiekėjų jam reikia. Su proceso savininkais sutarkite, kiek laiko jis gali neveikti ir kokiu pajėgumu turi būti atkurtas. Šie susitarimai padeda nustatyti atkūrimo laiko tikslą (RTO) ir atkuriamų duomenų tašką (RPO): pirmasis nusako, per kiek laiko paslauga turi būti atkurta, antrasis – kokio naujausių duomenų praradimo organizacija gali toleruoti. Tikslai turi kilti iš verslo poveikio, o ne iš to, ką patogiausia sukonfigūruoti IT sistemose.
NIST kibernetinio saugumo sistemos CSF 2.0 funkcijos padeda apžvelgti visą rizikos valdymo ciklą: valdyti (Govern), identifikuoti, apsaugoti, aptikti, reaguoti ir atkurti. Tai naudinga vadovybei, nes saugumas nėra vien prevencija. Net ir geros apsaugos negali panaikinti visos rizikos, todėl reikia gebėti laiku pastebėti incidentą, apriboti jo plitimą, išsaugoti įrodymus, informuoti atsakingus asmenis ir atkurti paslaugas pagal sutartą prioritetą. Iš anksto apibrėžkite, kas vadovauja incidentui, kas sprendžia dėl sistemų izoliavimo, kas bendrauja su darbuotojais, klientais, tiekėjais ir institucijomis, o kas patvirtina veiklos atkūrimą.
Veiklos tęstinumo planas turi apimti realias alternatyvas: rankinį ar supaprastintą procesą, atsarginį tiekėją, alternatyvią darbo vietą, patikrintas atsargines kopijas ir aiškią prieigų atkūrimo tvarką. Kopijos vertingos tik tada, kai organizacija įsitikino, kad jos pasiekiamos, nepažeistos ir iš jų įmanoma atkurti reikiamas sistemas. ISO 22301 pabrėžia valdymo ciklą: pasirengti, įgyvendinti, stebėti, peržiūrėti ir nuolat gerinti. Todėl bent periodiškai atlikite scenarijų pratybas, įtraukite verslo padalinius ir kritinius tiekėjus, užfiksuokite, kiek truko sprendimai bei atkūrimas, ir pagal rezultatus taisykite planą. Valdybai rodykite ne vien incidentų skaičių, bet ir kritinių procesų aprėptį, atkūrimo bandymų rezultatus, neišspręstų rizikų savininkus bei veiksmų terminus.
Veiklos tęstinumo elementai
-
Kritinių procesų identifikavimas
Pradėkite nuo proceso, kuris yra kritiškas klientų aptarnavimui, finansiniam veikimui ar produkto tiekimui. Kiekviena funkcija turi aiškiai apibrėžti, kokia jos veikimo trukmė yra priimtina krizės scenarijuje.
-
Rizikos vertinimas
Identifikuokite, kokie išoriniai ir vidiniai veiksniai gali sutrikdyti veiklą: kibernetiniai incidentai, infrastruktūros gedimai, tiekėjų trikdžiai ar reguliavimo pokyčiai.
-
Atsparumo planai
Planai turi apimti komunikacijos modelį, atsakomybės paskirstymą, duomenų apsaugą, infrastruktūros alternatyvas ir sprendimų priėmimo tvarką incidento metu.
-
Testavimas ir treniruotės
Veiklos tęstinumui svarbus ne dokumentas, bet praktinis gebėjimas atlaikyti scenarijų, įvertinti laiką, klaidas ir reagavimo efektyvumą.
-
Nuolatinis tobulinimas
Veiklos tęstinumo lygis nuolat kinta: atsiranda nauji partneriai, technologijos, reguliavimo reikalavimai ir kibernetinių grėsmių tipai. Planai turi būti peržiūrimi ir atnaujinami reguliariai.
Į ką atkreipti dėmesį
- Ar organizacija turi aiškią prioritetų hierarchiją kritinių procesų atstatymui?
- Kokie kibernetinių incidentų scenarijai yra tinkamai išbandyti veiksmų plane?
- Kaip įmonė valdo duomenų apsaugą, atkūrimą ir komandos komunikaciją krizės metu?
- Ar atsparumo planai yra ne akademiniai dokumentai, o operaciniai įrankiai?
Dažniausiai užduodami klausimai
Kuo veiklos tęstinumas skiriasi nuo atsarginio kopijavimo?
Atsarginės kopijos yra techninis įrankis, o veiklos tęstinumas – verslo gebėjimas tęsti svarbiausius procesus krizės metu. Be planavimo, atsakomybių ir komunikacijos, technika savaime nenurodo operacinio stabilumo.
Kaip įvertinti, ar įmonė yra pasirengusi kibernetiniam incidentui?
Reikia įvertinti ne tik technologines apsaugas, bet ir incidentų valdymo procedūras, atsakomybės aiškumą, komunikacijos kanalus ir gebėjimą testuoti scenarijus praktikoje.
Ar komandos treniruotės yra būtinos?
Taip. Treniruotės atskleidžia spragas, klaidingą sąveiką, netinkamas atsakomybes ir nepakankamą reagavimo greitį. Praktika yra vienintelis būdas įsitikinti, kad planas veikia net krizės metu.
Reikia įvertinti riziką ir atsparumą?
Padedame įmonėms įvertinti kibernetinę riziką, identifikuoti kritinius procesus ir parengti veiksmingą atsparumo planą.
Susisiekti