Що таке ISO 22301?
ISO 22301 — міжнародний стандарт систем управління безперервністю бізнесу (СУББ, BCMS). Він описує, як організація визначає критично важливі процеси, аналізує наслідки збоїв, встановлює цілі відновлення та впроваджує плани, ресурси й структуру реагування на інциденти, щоб продовжувати роботу, коли щось іде не так.
Чинна редакція ISO 22301:2019 побудована на тій самій структурі високого рівня (розділи 4–10), що й ISO 27001 та ISO 9001, тому СУББ можна інтегрувати з наявними системами управління. Сертифікат видає акредитований орган із сертифікації після двоетапного аудиту; він діє три роки з щорічними наглядовими аудитами.
Кому потрібна сертифікація ISO 22301?
- Банкам, фінтех-компаніям і страховикам, від яких DORA та NIS2 очікують задокументованої безперервності та здатності до відновлення
- Дата-центрам, SaaS- і хостинг-провайдерам, клієнти яких залежать від доступності сервісів
- Логістичним компаніям і виробникам у критичних ланцюгах постачання
- Постачальникам державного сектору та операторам критичної інфраструктури
- Будь-якій організації, якій потрібно довести клієнтам, регуляторам чи страховикам, що вона відновить роботу в погоджені строки
Що перевіряє самооцінка ISO 22301
- Контекст організації, зацікавлені сторони, законодавчі вимоги та сфера застосування СУББ (розділ 4)
- Лідерство, політика безперервності бізнесу, ролі та відповідальність (розділ 5)
- Аналіз впливу на бізнес (BIA), оцінювання ризиків, RTO та RPO для критичних процесів (розділи 6 і 8)
- Стратегії та рішення щодо безперервності, плани та процедури, структура реагування на інциденти, оповіщення та комунікація (розділ 8)
- Програма навчань і тестування, оцінювання планів (розділи 8–9)
- Моніторинг результатів, внутрішній аудит, аналізування керівництвом і поліпшення (розділи 9–10)
Типові прогалини перед аудитом ISO 22301
- Аналіз впливу на бізнес не проводився або BIA застарів на кілька років і не відображає поточний бізнес
- Цільовий час відновлення (RTO) і цільова точка відновлення (RPO) не визначені або не погоджені з бізнесом
- Плани безперервності існують на папері, але жодного разу не відпрацьовувалися на навчаннях
- Безперервність ключових постачальників і аутсорсингових послуг не оцінювалася
- Немає плану кризових комунікацій із працівниками, клієнтами, регуляторами та ЗМІ
Від самооцінки до сертифікації
Самооцінка показує, де ви є сьогодні. За звітом про прогалини сплануйте роботу, оновіть BIA та плани, проведіть навчання, а потім відрепетируйте інтерв’ю в симуляторі аудиту BALTUM AI. Сертифікацію проводить обраний вами акредитований орган із сертифікації. BALTUM — незалежне програмне забезпечення і сертифікатів не видає.