Plan ciągłości działania: jak go przygotować, żeby spełniał NIS2, DORA i RODO

Czym jest plan ciągłości działania?

To udokumentowany zestaw decyzji i procedur na wypadek zakłócenia: kto decyduje, co przywracamy najpierw, gdzie pracujemy, jak komunikujemy się z klientami i nadzorem, skąd bierzemy dane. BCP nie jest tym samym co plan odtworzenia IT (DRP, disaster recovery plan). DRP opisuje przywracanie systemów, a BCP całej działalności, w tym ludzi, procesów, lokalizacji i dostawców. W praktyce DRP jest częścią BCP.

Kto musi mieć plan ciągłości działania?

BIA, RTO, RPO: co oznaczają te pojęcia?

• BIA (analiza wpływu na działalność) to ocena, jak z upływem czasu rośnie szkoda, gdy dany proces przestaje działać. Odpowiada na pytanie: co boli najbardziej i po jakim czasie.
• RTO (docelowy czas odtworzenia) to maksymalny czas, w którym system lub proces musi wrócić do działania, zanim szkoda stanie się nieakceptowalna.
• RPO (docelowy punkt odtworzenia) to moment, do którego trzeba odtworzyć dane. RPO równe 4 godzinom oznacza, że firma akceptuje utratę danych z najwyżej ostatnich 4 godzin.
• MTPD (maksymalny tolerowany okres zakłócenia) to granica, po której przekroczeniu skutki dla firmy stają się krytyczne.

Przykład: dla systemu obsługi zamówień sklepu internetowego BIA może pokazać, że po 4 godzinach przestoju firma traci klientów, a po 2 dniach narusza umowy z partnerami. RTO ustawiamy więc na 4 godziny, a RPO na 15 minut, bo utrata zamówień z całego dnia jest nie do przyjęcia.

Jak przygotować plan ciągłości działania: 8 części

1. Zakres i role. Które spółki, lokalizacje i procesy obejmuje plan, kto go zatwierdza, kto uruchamia i kto kieruje zespołem kryzysowym.
2. Analiza wpływu na działalność. Lista procesów krytycznych, ich zależności (systemy, ludzie, dostawcy) oraz RTO, RPO i MTPD dla każdego.
3. Analiza ryzyka. Scenariusze zakłóceń: ransomware, awaria centrum danych, utrata kluczowego dostawcy, niedostępność biura, utrata kluczowych osób.
4. Strategie ciągłości. Dla każdego procesu: jak działać w trybie awaryjnym (zastępcze systemy, praca zdalna, procedury ręczne, alternatywny dostawca).
5. Kopie zapasowe i odtwarzanie. Częstotliwość kopii zależna od krytyczności danych, kopie odseparowane od systemu źródłowego, procedury odtworzenia. DORA wymaga, aby przy odtwarzaniu kopii we własnych systemach korzystać z systemów fizycznie i logicznie odseparowanych od systemu źródłowego.
6. Komunikacja kryzysowa. Kto i kiedy informuje pracowników, klientów, media, nadzór; szablony komunikatów; powiązanie z procedurą zgłaszania incydentów (CSIRT, KNF, UODO).
7. Procedury odtworzenia i powrotu. Kolejność przywracania, kryteria zakończenia trybu awaryjnego, analiza po zdarzeniu.
8. Testy i przeglądy. Harmonogram testów, raporty z wynikami, aktualizacja planu po zmianach w organizacji lub systemach.

Jak testować plan ciągłości działania?

Plan, który nie był testowany, jest hipotezą. DORA wymaga testów co najmniej raz w roku, a dla systemów wspierających funkcje krytyczne lub istotne także po ich istotnych zmianach, a podmioty inne niż mikroprzedsiębiorstwa muszą uwzględniać scenariusze cyberataków i przełączenia na infrastrukturę zapasową. Ustawa o KSC mówi o testowaniu i utrzymywaniu planów, a RODO o regularnym testowaniu skuteczności zabezpieczeń.

Formy testów, od najprostszej:

Z każdego testu powinien powstać krótki raport: co zadziałało, co nie, jakie są zadania naprawcze i kto je wykona. Ten sam raport jest dowodem dla audytora KSC, KNF i ISO.

Jakie błędy w planach ciągłości działania są najczęstsze?

• Plan napisany dla IT, bez procesów biznesowych i komunikacji.
• RTO i RPO wpisane „z głowy”, bez analizy wpływu na działalność.
• Kopie zapasowe w tej samej sieci co systemy produkcyjne, więc ransomware szyfruje obie.
• Brak scenariusza utraty kluczowego dostawcy chmury lub oprogramowania.
• Nieaktualne dane kontaktowe i nazwiska osób, które odeszły z firmy.
• Brak testów albo testy bez raportu i zadań naprawczych.

Jak utrzymać plan ciągłości działania aktualny?

Plan ciągłości działania starzeje się z każdą zmianą: nowym systemem, nowym dostawcą, reorganizacją. Dlatego warto powiązać go z rejestrem zasobów i dostawców oraz ustawić cykliczne zadania: kwartalny przegląd danych kontaktowych, roczny test techniczny, przegląd po każdym incydencie.

W Audomate plan ciągłości działania nie jest osobnym plikiem. Procesy, systemy, dostawcy i kopie zapasowe są w jednym rejestrze, a AI generuje projekt planu i procedur na podstawie tych danych i wymagań NIS2, DORA i RODO. Testy i przeglądy trafiają na listę zadań z terminami i właścicielami.

Poproś o szablon planu ciągłości działania i sprawdź w bezpłatnej analizie luk Audomate, czy Twój plan spełnia wymagania NIS2, DORA i RODO.

Szablon BCP i bezpłatna analiza luk