הסמכה לתקן ISO 22301 לניהול המשכיות עסקית BCP

תקן ISO 22301 זה לא רק מסמך חירום, אלא מערכת שמכינה את הארגון לפעול גם בזמן אמת

ארגונים פועלים בסביבה שבה אירועי סייבר, תקלות טכנולוגיות, השבתות ספקים, פגיעה בתשתיות, מחסור בכוח אדם ואירועים ביטחוניים עלולים לשבש פעילות עסקית חיונית.
השאלה אינה רק האם יתרחש אירוע משבש, אלא כיצד הארגון יגיב כאשר הוא יתרחש, אילו שירותים ימשיך לספק וכמה זמן יידרש לו לחזור לפעילות מלאה.

ISO 22301 הוא תקן בינלאומי למערכת ניהול המשכיות עסקית, Business Continuity Management System או בקיצור BCMS. התקן מספק מסגרת שיטתית לזיהוי תהליכים קריטיים, הבנת השפעת ההשבתה, קביעת יעדי התאוששות, בניית תוכניות תגובה והטמעת מנגנונים למדידה ולשיפור מתמשך.

ההסמכה לתקן 22301 מאפשרת לארגון להציג ללקוחות, לשותפים ולגורמים רגולטוריים כי נושא ההמשכיות העסקית מנוהל באמצעות תהליך מובנה, מתועד, מתורגל ומבוקר.

מידע נוסף:
תקינה ורגולציה

ISO 22302 – סטנדרט להמשך עבודה גם במצב קיצון

מה כולל תקן ISO 22301?

חיבור בין הנהלה, תהליכים, עובדים, ספקים ומערכות טכנולוגיות

התקן אינו מתמקד רק בהתאוששות מערכות המחשוב. הוא בוחן את יכולתו הכוללת של הארגון להמשיך לספק מוצרים ושירותים ברמה שנקבעה מראש במהלך אירוע משבש.

מערכת ניהול המשכיות עסקית כוללת, בין היתר:

• הבנת ההקשר הארגוני והצדדים המעוניינים.
• הגדרת מדיניות ויעדים להמשכיות עסקית.
• קביעת תחומי אחריות וסמכויות.
• זיהוי תהליכים ושירותים קריטיים.
• ביצוע ניתוח השפעה עסקית, BIA.
• הערכת סיכונים ותרחישי שיבוש.
• קביעת יעדי התאוששות וסדרי עדיפויות.
• גיבוש אסטרטגיות המשכיות והתאוששות.
• כתיבת תוכניות תגובה, BCP ו־DRP.
• ניהול תקשורת בזמן משבר.
• תרגול ובדיקת התוכניות.
• ביקורות פנימיות, סקר הנהלה ושיפור מתמשך.

התוצאה היא מערכת ניהולית המחברת בין הפעילות העסקית, מערכות המידע, הספקים, העובדים, אתרי הארגון ושרשרת האספקה.

מדוע ארגונים פונים להסמכת ISO 22301?

עמידה בדרישות עסקיות לצד חיזוק היכולת להתמודד עם משברים

הצורך בהסמכה עשוי להגיע מדרישת לקוח, מכרז, הסכם מסחרי, ביקורת ספקים, רגולציה ענפית או החלטה פנימית של ההנהלה. עם זאת, הערך של התהליך אינו מסתכם בתעודה.

יישום נכון של התקן מסייע לארגון:

• לזהות מראש שירותים ותהליכים שאסור שייעצרו.
• להבין את ההשלכות הכספיות, התפעוליות והמשפטיות של השבתה.
• לקבוע זמני התאוששות ריאליים ומוסכמים.
• לצמצם תלות באנשים, בספקים או במערכות יחידות.
• להגדיר תפקידים ברורים בזמן אירוע.
• לשפר את התיאום בין ההנהלה, מערכות המידע והיחידות העסקיות.
• לעמוד בדרישות לקוחות, מכרזים וביקורות ספקים.
• לחזק את האמון מצד לקוחות ושותפים עסקיים.
• להציג ראיות מסודרות למוכנות הארגון.
• להטמיע מנגנון קבוע של תרגול ושיפור.

BIA: הבסיס לתוכנית המשכיות עסקית אפקטיבית

מבינים מה באמת קריטי לפני שבונים את פתרון ההתאוששות

ניתוח השפעה עסקית, Business Impact Analysis, הוא אחד המרכיבים המרכזיים בתהליך. מטרתו לזהות את התהליכים והשירותים הקריטיים ולבחון מה יקרה אם הם יושבתו לפרקי זמן שונים.

במסגרת ניתוח השפעה עסקית – BIA נבחנים, בין היתר:

• ההשפעה הכספית של הפסקת הפעילות.
• פגיעה בשירות ללקוחות.
• השלכות חוזיות ורגולטוריות.
• פגיעה תפעולית או בטיחותית.
• תלות בעובדים ובבעלי תפקידים מרכזיים.
• תלות במערכות מידע, תשתיות וספקים.
• חלונות זמן קריטיים במהלך היום, החודש או השנה.
• רמת השירות המזערית שהארגון נדרש לשמר.

על בסיס הממצאים ניתן לקבוע את סדרי העדיפויות, את זמני ההתאוששות הנדרשים ואת המשאבים שיש להקצות לכל תהליך.

כיצד BCP ו-DRP משתלבות בתקן?

התוכנית העסקית ותוכנית ההתאוששות הטכנולוגית משלימות זו את זו

תוכנית המשכיות עסקית, BCP, מגדירה כיצד הארגון ימשיך להפעיל תהליכים ושירותים חיוניים בזמן שיבוש. היא מתייחסת לאנשים, תהליכים, מתקנים, ספקים, תקשורת, קבלת החלטות וחלופות תפעוליות.

תוכנית התאוששות מאסון, DRP, מתמקדת בהתאוששות התשתיות הטכנולוגיות, המערכות, הנתונים ושירותי המחשוב שעליהם נשענת הפעילות העסקית.

ה-BCP מגדירה מה הארגון חייב להמשיך להפעיל, בעוד שה-DRP מגדירה כיצד הסביבה הטכנולוגית תתאושש ותתמוך בכך. במסגרת ISO 22301 נדרש לחבר בין השתיים, כדי לוודא שיעדי ההתאוששות העסקיים והטכנולוגיים מתואמים ואינם נשארים כתוכניות נפרדות.

מידע נוסף:

• תוכנית המשכיות עסקית – BCP
• תוכנית התאוששות מאסון – DRP

תהליך ההכנה להסמכת ISO 22301

ליווי צמוד ואישי מאבחון הפערים ועד למבדק החיצוני

אינפוגארד מתאימה את תהליך ההכנה לגודל הארגון, למבנה הפעילות, לרמת הבשלות הקיימת ולהיקף ההסמכה המבוקש.

שלב 1: הגדרת היקף ההסמכה

בשלב הראשון מגדירים אילו יחידות, שירותים, אתרים ותהליכים ייכללו במערכת ניהול ההמשכיות העסקית. הגדרה מדויקת של היקף ההחלה מסייעת למנוע פערים וציפיות לא מתואמות בהמשך התהליך.

שלב 2: סקר פערים מול דרישות התקן

אנו בוחנים את המדיניות, הנהלים, התוכניות והבקרות הקיימות ומשווים אותם לדרישות ISO 22301. בסיום סקר פערים באבטחת מידע מתקבלת תמונת מצב ברורה ותוכנית עבודה המתעדפת את הפערים בהתאם לחשיבותם.

שלב 3: מיפוי תהליכים וביצוע BIA

ביחד עם בעלי התפקידים בארגון אנו ממפים את השירותים והתהליכים הקריטיים, את התלויות ביניהם ואת השפעת ההשבתה. התהליך כולל קביעת סדרי עדיפויות ויעדי התאוששות.

שלב 4: הערכת סיכונים ותרחישי שיבוש

נבחנים תרחישים העלולים לפגוע בתהליכים הקריטיים, לרבות אירועי סייבר, כשלי תשתית, השבתת אתר, כשל ספק, אובדן זמינות של מערכות או כוח אדם ומצבי חירום נוספים הרלוונטיים לארגון.

שלב 5: גיבוש אסטרטגיית המשכיות

בהתאם ל-BIA ולהערכת הסיכונים, מגובשות חלופות תפעוליות וטכנולוגיות להמשך הפעילות. האסטרטגיה יכולה לכלול עבודה מאתר חלופי, עבודה מרחוק, מעבר לתהליכים ידניים, שימוש בספקים חלופיים, יתירות טכנולוגית או התאוששות מדורגת.

שלב 6: כתיבת מדיניות ותוכניות

אנו מסייעים בגיבוש מדיניות המשכיות עסקית, נוהלי ניהול אירוע, תוכניות BCP, תוכניות DRP, רשימות קשר, מטריצות אחריות, תהליכי הסלמה ותבניות לתיעוד האירוע.

שלב 7: הטמעה, הדרכה ותרגול

בעלי התפקידים עוברים הדרכה על אחריותם ועל אופן הפעלת התוכניות. לאחר מכן מתבצע תרגול המותאם לארגון, כגון תרגיל שולחני, סימולציית משבר או בדיקה תפעולית של תהליך התאוששות.

שלב 8: ביקורת פנימית והכנה להסמכה

לפני המבדק החיצוני מבוצעת בחינה של המערכת, שלמות התיעוד, יישום התוכניות וזמינות הראיות. אנו מלווים את תיקון הממצאים ומכינים את בעלי התפקידים לראיונות ולבדיקות שייערכו במסגרת מבדק ההסמכה.

אילו תוצרים מקבל הארגון?

תשתית ניהולית שניתן להפעיל, לתרגל ולהציג בביקורת

התוצרים מותאמים להיקף הפעילות ולצרכים הארגוניים ועשויים לכלול:

• דוח סקר פערים מול ISO 22301.
• תוכנית עבודה להשלמת הפערים.
• הגדרת היקף תוכנית המשכיות עסקית – BCMS.
• מדיניות המשכיות עסקית.
• מיפוי תהליכים ושירותים קריטיים.
• דוח BIA ויעדי התאוששות.
• הערכת סיכונים ותרחישי ייחוס.
• אסטרטגיית המשכיות עסקית.
• תוכניות BCP ברמת הארגון והיחידות.
• תוכנית DRP והלימה ליעדים העסקיים.
• תוכנית תקשורת וניהול משבר.
• הגדרת צוותי חירום ותחומי אחריות.
• תוכנית הדרכה והעלאת מודעות.
• תוכנית תרגילים ובדיקות.
• תיעוד תוצאות התרגילים והפקת לקחים.
• תוכנית ביקורת פנימית.
• תיעוד סקר הנהלה.
• תיק ראיות מסודר לקראת מבדק ההסמכה.

יעדי התאוששות: RTO ו-RPO

תרגום הצרכים העסקיים לדרישות מדידות

במהלך תהליך ההמשכיות מוגדרים מדדים המסייעים לתאם בין הדרישות העסקיות ליכולות הטכנולוגיות.

RTO – Recovery Time Objective הוא פרק הזמן המרבי שנקבע להשבת תהליך או מערכת לאחר שיבוש.

RPO – Recovery Point Objective מגדיר את היקף אובדן הנתונים המרבי שהארגון מוכן לקבל, בהתאם לנקודת השחזור האפשרית.

הגדרת המדדים צריכה להתבסס על צורכי הפעילות ולא רק על היכולות הקיימות של מערכות המידע. כאשר קיים פער בין הדרישה העסקית ליכולת הטכנולוגית, ניתן לקבל החלטה מושכלת לגבי השקעה, שינוי תהליך או התאמת רמת השירות.

למי מתאימה הסמכת ISO 22301?

לכל ארגון ששירותיו חייבים להמשיך גם בתנאים לא שגרתיים

התקן מתאים לארגונים מכל גודל ומכל ענף, ובמיוחד לארגונים:

• המספקים שירותים חיוניים או רציפים.
• הפועלים בסביבה רגולטורית.
• המחויבים לזמני שירות במסגרת הסכמי SLA.
• המשתתפים במכרזים הדורשים הוכחת מוכנות.
• המספקים שירותים לארגונים גדולים או בינלאומיים.
• התלויים במערכות מידע ובשירותי ענן.
• הנשענים על ספקים ושרשראות אספקה מורכבות.
• הפועלים במספר אתרים או במדינות שונות.
• המעוניינים לחזק את החוסן הארגוני ואת אמון הלקוחות.
• המבקשים לחבר בין BCP, DRP, ניהול סיכונים וניהול משברים.

הסמכה לתקן ISO 22301 לעומת יישום אמיתי בארגון – מה שעושה את ההבדל

גם ארגון שאינו נדרש לתעודה יכול לעבוד בהתאם לעקרונות התקן

ארגון יכול ליישם את דרישות ISO 22301 גם ללא פנייה מיידית להסמכה חיצונית. יישום כזה מאפשר לבנות תהליך סדור ולשפר את המוכנות, גם כאשר הצורך העסקי הנוכחי אינו מחייב תעודה.

כאשר קיימת דרישה לקבלת הסמכה, המבדק מבוצע על ידי גוף התעדה חיצוני ועצמאי. אינפוגארד מלווה את ההקמה, ההטמעה, הבדיקות וההכנה למבדק, אך אינה הגוף המנפיק את תעודת ההסמכה. הפרדה זו שומרת על עצמאות תהליך הביקורת.

שילוב ISO 22301 עם תקנים ומסגרות נוספות

יצירת מערכת ניהולית משולבת במקום אוסף תוכניות נפרדות

ארגונים רבים משלבים את ISO 22301 עם תקנים ודרישות נוספות, ובראשן ISO 27001 לניהול אבטחת מידע. החיבור מאפשר לתאם בין ניהול הסיכונים, תגובה לאירועי אבטחה, זמינות מערכות, התאוששות טכנולוגית והמשך הפעילות העסקית.

ניתן לשלב את התהליך גם עם:

• ISO 27001 לניהול אבטחת מידע
• ISO 27701 לניהול מידע אישי
• תקנות הגנת הפרטיות.
• PCI DSS
• SOC 2
• NIST Cybersecurity Framework
• דרישות רגולטוריות ענפיות
• תוכניות לניהול אירועי סייבר ומשברים
• סקרי סיכונים וסקרי שרשרת אספקה

שילוב נכון מצמצם כפילויות בתיעוד, מאפשר שימוש משותף בראיות ומחזק את הקשר בין ניהול הסיכון לבין הפעילות השוטפת

למה אנחנו באינפוגארד?

תהליך מותאם לארגון ולאנשים שלכם – לא תבנית כללית להסמכה

אנחנו באינפוגארד שואפים ליצור סביבה ארגונית בטוחה יותר, לעובדים, לספםקים וללקוחות. מבחינתינו ההסמכה לתקן היא היא המוכנות של הארגון להיות עמידים בזמנים הקשים ביותר.
הכנה ל-ISO 22301 דורשת הבנה של הפעילות העסקית לצד היכרות עם מערכות מידע, ניהול סיכונים, ספקים, רגולציה וניהול אירועים. באינפוגארד אנו מחברים בין התחומים ומלווים את בעלי התפקידים לאורך התהליך כולו.

הגישה שלנו מבוססת על:

• התאמה אישית: היקף ותוכנית עבודה המותאמים לפעילות ולרמת הבשלות.
• ראייה הוליסטית: חיבור בין הנהלה, יחידות עסקיות, IT, אבטחת מידע וספקים.
• יישום מעשי: בניית תוכניות שניתן להפעיל בזמן אמת ולא רק להציג במבדק.
• שיתוף ידע: הכשרת בעלי התפקידים כדי ליצור יכולת פנימית בארגון.
• שקיפות: תמונת מצב ברורה, תיעדוף פערים ועדכון שוטף לאורך התהליך.
• ליווי מתמשך: תמיכה בהטמעה, בתרגול, בתיקון ממצאים ובהיערכות למבדק.
• ניסיון בתקינה ובניהול סיכונים: שילוב בין דרישות התקן לבין המציאות התפעולית והטכנולוגית.

המטרה אינה רק לעבור את מבדק ההסמכה, אלא לבנות מערכת ניהולית שמחזקת את יכולת הארגון להתמודד עם שיבושים ולשמור על השירותים החשובים לו וללקוחותיו.

מוכנים להפוך את תוכניות החירום למערכת שעובדת בפועל?

אינפוגארד תלווה אתכם משלב סקר הפערים וה-BIA, דרך בניית תוכניות BCP ו־DRP ותרגול בעלי התפקידים, ועד להכנה מסודרת למבדק ISO 22301.

דברו איתנו לייעוץ ראשוני

שאלות נפוצות

האם ISO 22301 הוא תקן חובה?

ברוב המקרים מדובר בתקן וולונטרי, אך הוא עשוי להפוך לדרישה עסקית או חוזית במסגרת מכרזים, הסכמי לקוח, רגולציה ענפית או ביקורות ספקים. גם ללא חובת הסמכה, ארגונים יכולים לאמץ את דרישות התקן כדי לשפר את מוכנותם.

מה ההבדל בין ISO 22301 לבין תוכנית BCP?

BCP היא תוכנית המגדירה כיצד להמשיך תהליכים ושירותים בזמן שיבוש. ISO 22301 מקיף יותר ומגדיר מערכת ניהול מלאה הכוללת מדיניות, אחריות הנהלה, BIA, הערכת סיכונים, תוכניות, תרגילים, ביקורות ושיפור מתמשך.

מה ההבדל בין ISO 22301 לבין DRP?

DRP מתמקדת בהתאוששות מערכות המידע והתשתיות הטכנולוגיות. ISO 22301 מתייחס להמשכיות הכוללת של הפעילות העסקית ומשלב את ה־DRP כחלק מהמענה הנדרש לתהליכים הקריטיים.

האם ניתן לשלב את התהליך עם ISO 27001?

כן. שני התקנים מבוססים על עקרונות של מערכת ניהול וניתן לשלב ביניהם בתחומים כגון ניהול סיכונים, תיעוד, ביקורות פנימיות, סקרי הנהלה, ניהול ספקים, טיפול באירועים ושיפור מתמשך.

האם חייבים לבצע תרגיל לפני ההסמכה?

הארגון נדרש לבדוק ולהעריך את תוכניות ההמשכיות ואת יכולתן להשיג את היעדים שנקבעו. תרגילים הם כלי מרכזי להוכחת היישום, לזיהוי פערים ולהפקת לקחים לפני מבדק ההסמכה.

מי מעניק את תעודת ISO 22301?

התעודה מוענקת על ידי גוף התעדה חיצוני המבצע את מבדק ההסמכה. אינפוגארד מלווה את הארגון בתהליך ההכנה, ההטמעה, הביקורת הפנימית ותיקון הממצאים לקראת המבדק.

כמה זמן נמשך תהליך ההכנה?

משך התהליך תלוי בגודל הארגון, במספר האתרים והתהליכים, ברמת התיעוד הקיימת, בהיקף ההסמכה ובזמינות בעלי התפקידים. לאחר סקר פערים ראשוני ניתן לבנות תוכנית עבודה ולוח זמנים מותאמים.

האם תקן מתאים 22301 גם לארגונים קטנים ובינוניים?

כן. דרישות המערכת מיושמות בהתאם לגודל הארגון, למורכבותו ולסיכונים שלו. ניתן לבנות תהליך ממוקד ויעיל שאינו מייצר עומס תיעודי שאינו נחוץ.

יש לכם עדיין שאלות לגבי תקינה והסמכה לתקן ISO 22301?

דברו עם המומחים שלנו לייעוץ ראשוני.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו בא להחליף ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי בהתאם לארגון שלכם.
אנחנו מאמינים שאין פתרון אחד שמתאים לכולם ולכן כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
דברו עם מומחי הטכנולוגיה שלנו

המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Messagenet מקבוצת IDOR, ונערך על ידי רועי קיש (AKA Roy Kisch) חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).