ISO 22301 Test ve Tatbikat Rehberi

İSP Tatbikatları ISO 22301 Denetiminizi Neden Belirler?

Birçok kuruluş iş sürekliliği denetimlerine sahte bir güvenlik duygusuyla yaklaşır. Kapsamlı bir İş Sürekliliği Planı (İSP) hazırlamak, İş Etki Analizleri yapmak ve kurtarma stratejilerini belirlemek için aylar harcarlar. Ancak denetçi geldiğinde, kuruluş genellikle büyük bir uygunsuzluk alır. Nedeni neredeyse her zaman aynıdır: belgelenmiş ISO 22301 test ve tatbikatları eksikliği.

Kağıt üzerinde bir plana sahip olmak sadece ilk adımdır. ISO 22301, stratejilerinizin pratikte gerçekten işe yaradığına ve ekibinizin baskı altında bunları nasıl uygulayacağını bildiğine dair kanıt talep eder. Gerçekçi tatbikatlardan elde edilen somut kanıtlar olmadan, iş sürekliliği yönetim sisteminiz teorik ve uyumsuz kabul edilir.

Denetçiler dokümantasyonun ötesine bakmak üzere eğitilmişlerdir. Kuruluşunuzun beklenmedik kesintilere nasıl yanıt verdiğini, kriz sırasında iletişimin nasıl aktığını ve belirlenen Kurtarma Süresi Hedeflerinizin gerçekçi bir şekilde ulaşılabilir olup olmadığını görmek isterler. Bu makale, denetçilerin tam olarak ne görmek istediklerini ve belgelendirme başarısını garanti eden bir tatbikat programını nasıl oluşturabileceğinizi detaylandıracaktır.

ISO 22301 Madde 8.5 Gerekliliklerini Çözümlemek

Denetiminizi geçmek için, tatbikat programını yöneten ISO 22301:2019 Madde 8.5'i tam olarak anlamalısınız. Standart sadece tek seferlik bir test istemez; iş sürekliliği düzenlemelerinizi zaman içinde doğrulayan yapılandırılmış, sürekli bir tatbikat programı gerektirir.

Madde 8.5, tatbikatlarınızın İş Sürekliliği Yönetim Sisteminizin kapsamı ve hedefleriyle tutarlı olması gerektiğini şart koşar. Açıkça tanımlanmış amaç ve hedeflerle iyi planlanmış, uygun senaryolara dayanmalıdırlar. Ayrıca standart, tatbikatların bir kesintiye müdahale etmede rolü olanlar arasında ekip çalışması, yetkinlik ve güven geliştirmesini gerektirir.

Çok önemli ve genellikle göz ardı edilen bir gereklilik de tatbikatların değerlendirilmesi gerektiğidir. Sadece bir tatbikat yapıp geçemezsiniz. İyileştirme fırsatlarını belirleyen resmi bir tatbikat sonrası gözden geçirmeyi belgelemeniz gerekir. Denetçiler, tatbikat sonuçlarınız ile sürekli iyileştirme süreçleriniz arasındaki bağlantıyı özellikle arayacaklardır. Tatbikatlarınız her zaman kusursuz geçiyorsa ve iyileştirilecek alanlar bulamıyorsanız, bir denetçi muhtemelen senaryolarınızın yeterince zorlayıcı olmadığı veya değerlendirmelerinizin yüzeysel olduğu sonucuna varacaktır.

İş Sürekliliği Tatbikat Türleri

ISO 22301 test ve tatbikatları hakkındaki en yaygın yanılgılardan biri, uyumluluğu kanıtlamak için tüm BT altyapınızı kapatmanız veya binanızı tahliye etmeniz gerektiğidir. Gerçekte denetçiler, zaman içinde karmaşıklığı artan bir tatbikat türleri karması görmeyi beklerler.

Masa Başı Tatbikatları

Bunlar, ekip üyelerinin varsayımsal bir senaryoyu gözden geçirmek için bir odada toplandığı tartışma tabanlı oturumlardır. Kolaylaştırıcı yeni bilgiler sunar ve ekip, İş Sürekliliği Planına dayanarak nasıl yanıt vereceklerini tartışır. Masa başı tatbikatları, iletişim protokollerini doğrulamak ve günlük operasyonları kesintiye uğratmadan plandaki bariz boşlukları belirlemek için mükemmeldir.

Simülasyon Tatbikatları

Simülasyonlar daha operasyoneldir. Genellikle kısıtlı bir ortamda da olsa, gerçek rol yapma ve kaynakların seferber edilmesini içerirler. Örneğin, kriz yönetim ekibiniz, odanın dışında normal işler devam ederken simüle edilmiş bir siber saldırıyı yönetmek için gerçek iletişim araçlarını kullanarak özel bir komuta merkezinde toplanabilir.

Tam Ölçekli Kesintiler

Bunlar, yük devretme yeteneklerini ve fiziksel kurtarmayı test etmek için sistemlerin veya tesislerin fiilen kapatılmasını içeren en karmaşık ve riskli tatbikatlardır. Son derece etkili olmalarına rağmen, yalnızca masa başı ve simülasyon tatbikatlarının başarılı olduğu kanıtlandıktan sonra yapılmalıdır. Denetçiler, erken gerçekleştirilen riskli ve tam ölçekli bir test yerine, tüm bu türleri içeren çok yıllı bir tatbikat programı ararlar.

Uyumlu Bir Tatbikat Tasarlamak İçin Adım Adım Rehber

Uyumlu bir tatbikat tasarlamak titiz bir planlama gerektirir. Sadece ekibinizi toplayıp varsayımsal bir yangın anonsu yaparak buna tatbikat diyemezsiniz. Denetçiler, başlamadan önce testin parametrelerini özetleyen belgelenmiş bir tatbikat planı görmeyi beklerler.

İlk olarak, kapsamı ve hedefleri belirleyin. Tam olarak neyi test ediyorsunuz? Hedefler ölçülebilir olmalıdır. "Kurtarma planını test et" demek yerine, uyumlu bir hedef "ikincil sunucunun çevrimiçi hale getirilebildiğini ve finans ekibi tarafından dört saatlik Kurtarma Süresi Hedefi içinde erişilebildiğini doğrula" olacaktır.

Ardından, gerçekçi bir senaryo geliştirin. Senaryo makul olmalı ve resmi risk değerlendirmenizde belirlenen risklerle doğrudan ilişkili olmalıdır. Tesisiniz sel bölgesindeyse, sel senaryosu son derece uygundur. Kolaylaştırıcının tatbikat sırasında ekibi zorlamak ve karar vermeye zorlamak için sunacağı belirli bilgi veya olay parçalarından oluşan bir zaman çizelgesi hazırlayın.

Son olarak, net roller atayın. Senaryoyu yönlendirecek bir kolaylaştırıcıya, planı yürütecek katılımcılara ve neyin işe yarayıp neyin yaramadığına dair sessizce notlar alacak gözlemcilere ihtiyacınız var. KaliteGO tarafından sunulan yapılandırılmış şablonları veya yol haritası aracını kullanmak, bu tatbikat hedeflerini doğrudan standart gereksinimlerinizle eşleştirmenize yardımcı olabilir ve planlama aşamasında hiçbir şeyin atlanmamasını sağlar.

Tatbikatı Yürütmek ve Kanıt Toplamak

Tatbikat günü geldiğinde, birincil odağınız uygulamadan kanıt toplamaya kayar. En mükemmel şekilde yürütülen iş sürekliliği tatbikatı, gerçekleştiğini kanıtlayamazsanız bir ISO 22301 denetiminde değersizdir.

Denetçiler objektif kanıt prensibiyle çalışırlar. Tatbikat boyunca veri toplamalısınız. İmzalı bir katılım formu ile başlayın. Bu, gerekli personelin orada olduğunu ve aktif olarak katıldığını kanıtlar. Tatbikat sırasında gözlemciler, alınan aksiyonların, verilen kararların ve bu olayların gerçekleştiği kesin zamanların ayrıntılı günlüklerini tutmalıdır.

Bir BT yük devretme testi yapıyorsanız, yedek sistemlerin kaydedilen zamanlarda çevrimiçi olduğunu gösteren sistem günlüklerini ve ekran görüntülerini yakalayın. Acil durum iletişimini test ediyorsanız, toplu bildirim sisteminizden gelen teslimat makbuzlarını kaydedin.

Katılımcıları, tatbikat sırasında İş Sürekliliği Planınızda yer alan gerçek formları ve kontrol listelerini kullanmaya teşvik edin. Tatbikattan elde edilen simüle edilmiş verilerle doldurulmuş bu tamamlanmış belgelere sahip olmak, bir denetçiye ekibinizin planın araçlarına ve prosedürlerine aşina olduğuna dair inanılmaz derecede güçlü bir kanıt sağlar.

Tatbikat Sonrası Raporu ve Sürekli İyileştirme

ISO 22301 test ve tatbikat programınızın en kritik aşaması, tatbikat sonuçlandıktan sonra gerçekleşir. Madde 8.5, tatbikatın belgelenmiş bir değerlendirmesini kesinlikle gerektirir. Birçok kuruluşun başarısız olduğu yer burasıdır; tatbikatı yürütürler ancak raporu yazmayı unuturlar.

Tatbikatın hemen ardından tüm katılımcılarla bir değerlendirme oturumu yapın. Neyin iyi gittiğini, neyin başarısız olduğunu ve planda neyin eksik olduğunu tartışın. Bu içgörüleri resmi bir Tatbikat Sonrası Raporuna aktarın. Bu rapor, başlangıçtaki ölçülebilir hedeflere ulaşılıp ulaşılmadığını açıkça değerlendirmelidir.

Rapor ayrıca bir düzeltici faaliyet planı içermelidir. Tatbikat sırasında boşluklar veya başarısızlıklar tespit edildiğinde, bunlar Madde 10.1 kapsamında yönetim sisteminizin sürekli iyileştirme sürecine beslenmelidir. Belirli eylemleri belgelemeli, bunları kişilere atamalı ve İş Sürekliliği Planını güncellemek veya ek eğitim sağlamak için son tarihler belirlemelisiniz. Bir sonraki denetiminiz sırasında denetçi, bu düzeltici faaliyetlerin gerçekten uygulanıp uygulanmadığını ve doğrulandığını kontrol edecektir.

Sık Karşılaşılan Denetçi Soruları ve Uygunsuzluklar

Denetçilerin nasıl düşündüğünü anlamak, uygunsuzluklara karşı en iyi savunmanızdır. Tatbikat programınızı incelerken, denetçiler dokümantasyonunuzdaki ve metodolojinizdeki zayıflıkları araştıracaktır.

Tipik Denetçi Soruları

• Bana tatbikat programınızın takvimini gösterin. Bu testlerin sıklığını nasıl belirlediniz?
• Tatbikatların canlı iş operasyonlarınıza kabul edilemez riskler getirmemesini nasıl sağlıyorsunuz?
• Bana son tatbikatınızın tatbikat sonrası raporunu gösterebilir misiniz? Bunun sonucunda planda ne gibi iyileştirmeler yapıldı?
• Bu tatbikatlar sırasında kriz yönetim ekibine atanan kişilerin yetkinliğini nasıl doğruluyorsunuz?

Yaygın Uygunsuzluklar

Sık karşılaşılan büyük bir uygunsuzluk, iş süreçlerini, iletişim protokollerini ve insan kaynaklarını göz ardı ederken yalnızca BT felaket kurtarmayı test eden bir tatbikat programına sahip olmaktır. Bir diğer yaygın sorun da ölçülebilir hedeflerin eksikliğidir; denetçi başarıyı nasıl ölçtüğünüzü belirleyemezse bir bulguyla karşılaşırsınız. Son olarak denetçiler, tatbikat sonrası düzeltici faaliyetler belgelendiğinde ancak gerekçesiz olarak aylarca açık ve çözümsüz bırakıldığında sıklıkla uygunsuzluk yazarlar.

Bir Sonraki Tatbikatınız İçin Pratik Kontrol Listesi

Belgelendirme veya gözetim denetiminize tam olarak hazır olduğunuzdan emin olmak için, bir sonraki iş sürekliliği tatbikatınızı yönetmek üzere bu pratik kontrol listesini kullanın.

Tatbikat Öncesi Planlama

• Tatbikat senaryosunun resmi risk değerlendirmenizle uyumlu olduğunu doğrulayın.
• Kurtarma Süresi Hedeflerinizle bağlantılı ölçülebilir hedefleri belgeleyin.
• Kolaylaştırıcı için olayların ve yönlendirmelerin ayrıntılı bir zaman çizelgesini hazırlayın.
• Kolaylaştırıcıyı, katılımcıları ve özel gözlemcileri atayın ve bilgilendirin.
• Gerekli tüm tatbikat belgelerinin ve iletişim araçlarının hazır olduğundan emin olun.

Tatbikat Sırasında

• Resmi bir katılım listesinde imzaları toplayın.
• Gözlemcilerin önemli kararların ve eylemlerin kesin zamanlarını belgelemesini sağlayın.
• Kanıt olarak sistem günlüklerini, ekran görüntülerini ve iletişim makbuzlarını yakalayın.
• Gerçek iş operasyonlarını kesintiye uğratmadığından emin olmak için tatbikatı izleyin.

Tatbikat Sonrası Faaliyetler

• Tatbikattan hemen sonra tüm katılımcılarla bir değerlendirme oturumu yapın.
• Hedeflerin başarısını değerlendiren resmi bir Tatbikat Sonrası Raporu hazırlayın.
• Boşlukları belirleyin ve bunları resmi düzeltici faaliyetler olarak kaydedin.
• Öğrenilen derslere dayanarak İş Sürekliliği Planını güncelleyin.