Audyt ISO 22301 – zarządzanie ciągłością działania

Dla kogo jest audyt ciągłości działania?

Badanie jest przydatne organizacjom zależnym od dostępności usług, systemów IT, kluczowych pracowników i dostawców. Może objąć firmę, instytucję, wybraną usługę lub proces. Uzgadniamy audyt wewnętrzny, ocenę gotowości przed certyfikacją albo przegląd istniejących planów. Kryteria odnosimy do ISO 22301:2019 i właściwych zmian normy.

Zakres: BIA, ryzyko i plany BCP/DRP

• Zakres systemu, odpowiedzialność, cele ciągłości i nadzór kierownictwa.
• Analiza wpływu na działalność (BIA): krytyczne procesy, zależności, skutki zakłóceń i wymagane zasoby.
• Ocena ryzyka niedostępności ludzi, lokalizacji, technologii, informacji oraz dostawców.
• Strategie ciągłości, rozwiązania zastępcze i uzgodnione priorytety odtwarzania.
• Plany ciągłości działania (BCP), procedury odtwarzania (DRP), komunikacja i uruchamianie trybu awaryjnego.
• Ćwiczenia, testy, przeglądy i udokumentowane działania po wykryciu braków.

Co sprawdzamy w praktyce?

Przykładowo: czy po awarii systemu zespół potrafi rozpoznać moment uruchomienia planu, wskazać osoby decyzyjne i wykonać czynności odtworzeniowe. Porównujemy założenia BIA z dostępnymi zasobami, umowami dostawców i wynikami ćwiczeń. Cele czasu odtworzenia (RTO) oraz dopuszczalnej utraty danych (RPO) powinny mieć uzasadnienie w potrzebach organizacji i rzeczywistych możliwościach.

Posiadanie kopii zapasowej jest jednym z elementów przygotowania. Audyt obejmuje również ludzi, lokalizacje, komunikację, dostawców i zdolność pracy w warunkach ograniczonej dostępności. Ćwiczenia i testy techniczne planujemy z uwzględnieniem bezpieczeństwa działania usług.

Dokumenty i wynik audytu ISO 22301

Przygotuj wykaz krytycznych procesów, BIA, ocenę ryzyka, politykę ciągłości, plany BCP i DRP, umowy z kluczowymi dostawcami oraz protokoły ćwiczeń. Raport wskazuje luki, niespójności, dowody i priorytety poprawy. Omawiamy ustalenia z właścicielami procesów, aby można było przypisać działania i terminy.

Nasza oferta dotyczy audytu i oceny systemu. Certyfikacja ISO 22301 jest odrębną usługą jednostki certyfikującej. Zakres audytu nie oznacza deklaracji odporności organizacji na każdy możliwy scenariusz.

Powiązanie ciągłości z ISO 27001 i NIS2

Przy badaniu łączonym łączymy dowody z zarządzania bezpieczeństwem informacji, incydentami i ciągłością usług. W raporcie wskazujemy odrębne kryteria ISO 22301, ISO 27001 i właściwych wymagań cyberbezpieczeństwa. Pozwala to ograniczyć powtarzanie rozmów i dokumentacji bez mieszania wyników różnych ocen.

Źródła i kryteria badania

• ISO – ISO 22301:2019: system zarządzania ciągłością działania

Wycena audytu i współpraca w całej Polsce

Realizujemy badania zdalnie, stacjonarnie u klienta i hybrydowo. Cena zależy od zakresu, liczby podmiotów i lokalizacji, dokumentacji oraz potrzebnych czynności. W pierwszym zapytaniu opisz organizację lub program, cel badania i termin otrzymania raportu. Szczegółowe materiały oraz bezpieczny sposób ich udostępnienia uzgodnimy przed rozpoczęciem prac.

Prześlij informacje do indywidualnej oferty

Audyt ISO 22301 w praktyce: przykład awarii kluczowego dostawcy

Przykład organizacji badania: dostawca systemu obsługującego klientów staje się niedostępny. Sprawdzamy, czy BIA wskazuje zależne usługi, kto uruchamia BCP, jak zespół kontaktuje się z odbiorcami i czy istnieje wykonalny sposób pracy zastępczej.

Czy sam plan awaryjny wystarczy do oceny ISO 22301?

Plan jest jednym z dowodów. W audycie oceniamy również odpowiedzialność, analizę wpływu, zasoby, ćwiczenia i doskonalenie systemu. Przykład ten służy uzgodnieniu zakresu i nie jest gotowym scenariuszem dla każdej organizacji.

Do wyceny podaj krytyczne procesy, lokalizacje, dostawców i zakres dotychczasowych ćwiczeń. Zapytaj o audyt ciągłości działania.