מסגרת חוסן תפעולי היא מודל התפעול בו משתמש ארגון כדי לשמור על השירותים החשובים ביותר שלו פועלים גם במהלך שיבושים, הבנויה סביב שירותים בעלי שם, סבילות מוסכמת למשך הזמן שבו הם עלולים להיפגע, והוכחות לכך ששניהם נבדקו. זוהי אינה מסמך מדיניות. זהו המבנה שהופך ציפייה רגולטורית למשהו שהארגון מפעיל בפועל, חודש אחר חודש, ויכול להציג לפי דרישה.
- שירותים עסקיים חשובים, הנקראים מנקודת מבטו של הלקוח ולא מתרשים הארגון.
- סבילות השפעה המציינות את ההפרעה המקסימלית הנסבלת עבור כל אחת מהן, במספרים.
- מיפוי תלות העוקב אחר האנשים, המערכות, הספקים והמתקנים שמאחורי כל שירות.
- בדיקת תרחישים כנגד אירועים חמורים אך סבירים, לא אירועים נוחים.
- תוכנית תיקון לחשיפת הפערים בבדיקת הפערים, עם בעלים ותאריכים.
- ממשל והערכה עצמית בכתב ששומרת על כל העניין עדכני ובר-הגנה.
מהי מסגרת חוסן תפעולי?
מסגרת עבודה עונה על שאלה שמדיניות לא יכולה לענות עליה: כיצד ארגון זה נשאר פעיל כאשר משהו מתקלקל, ואיך נדע לפני שזה קורה? רגולטורים בבריטניה הגיעו לתשובה עקבית. במקום לבקש מחברות למנוע כל כישלון, הם מבקשים מהן להניח שכישלון יתרחש ולהוכיח שהן יכולות לספוג אותו במסגרת המגבלה שהציבו והגנו עליה.
שינוי זה משנה את מה שהמסגרת צריכה להכיל. מסגרות מניעה מקטלגות בקרות. מסגרת חוסן תפעולי מתחילה מהשירות עליו הלקוח תלוי, עובדת אחורה דרך כל מה שהשירות מסתמך עליו, וקובעת גבול בר הגנה על כמה זמן היא יכולה להתדרדר לפני שהנזק יהפוך לבלתי מתקבל על הדעת. בקרות עדיין חשובות, אך הן ראיות ולא המטרה.
דף זה מכסה את המסגרת עצמה. להגדרה, לנוף הרגולטורי וכיצד התחום מתייחס להמשכיות עסקית, ראו חוסן תפעולי.
מהם מרכיבי מסגרת חוסן תפעולי?
שישה רכיבים, ברצף. כל אחד מהם תלוי ברכיב שלפניו, ולכן מסגרות המורכבות בצורה לא נכונה נוטות לקרוס במהלך בדיקות.
- לזהות: פרט את השירותים שכישולם יגרום נזק בלתי נסבל ללקוחות או לשלמות השוק. רוב הארגונים מתחילים עם יותר מדי שירותים ומעדכנים אותם.
- מַפָּהמעקב אחר כל שירות מקצה לקצה דרך האנשים, התהליכים, הטכנולוגיה, המתקנים, הנתונים והצדדים השלישיים שהוא תלוי בהם. מיפוי הוא המקום שבו צצות נקודות כשל בודדות נסתרות.
- סובלנות: קבע את ההפרעה המקסימלית הנסבלת עבור כל שירות, המתבטאת כזמן ונפח ולא כתואר.
- מִבְחָןהרץ תרחישים חמורים אך סבירים ובדוק האם השירות נשאר בטווח הסבילות שלו. בדיקה שכל הבדיקות יעברו לא הייתה חמורה מספיק.
- תיקון: תקן את מה שחשפה הבדיקה, עם ציון בעלים, תאריכים ותיעוד של מה שהשתנה.
- ממשלה: לשמור על כך תחת פיקוח הדירקטוריון, לסקור זאת באופן מחזורי, ולשמור על הערכה עצמית בכתב המסבירה את שיקולייך.
אילו ראיות כל רכיב מייצר?
כל רכיב במסגרת מייצר ארטיפקט ספציפי, ואותם ארטיפקטים הם מה שמפקח, מבקר או לקוח עיקרי מבקשים לראות בפועל. זהו המבחן השימושי ביותר לשאלה האם מסגרת פועלת: אם רכיב לא מייצר כלום, הוא לא פועל, מה שלא יהיה התיעוד אומר.
| רכיב | ראיות שנתבקשו | מאיפה זה מגיע |
|---|---|---|
| לזהות | רשימת השירותים העסקיים החשובים והנימוקים מאחורי כל אחד מהם. | רישום שאושר על ידי הדירקטוריון, אשר נבחן מחדש כאשר העסק משתנה ולא מדי שנה |
| מַפָּה | מפת תלות עדכנית עבור כל שירות, הכוללת הגעה לספקים ולמקומות העבודה | נתוני נכסים, ספקים ותהליכים נשמרים כחלק מפעילות רגילה |
| סובלנות | הסובלנות לכל שירות והניתוח שהצדיק את המספר | ניתוח השפעה, מוסכם ברמה הנושאת את הסיכון |
| מִבְחָן | רישומי בדיקות תרחישים המציגים תאריכים, משתתפים ומה שקרה בפועל | רישומי פעילות גופנית שנרשמו במהלך המבחן, ולא נכתבו לאחר מכן |
| תיקון | כל פגיעות שנמצאה, בעליה, תאריך היעד שלה ומצבה הנוכחי | יומן פעולות מתקנות הקשור לבדיקה שמצאה זאת |
| ממשלה | הערכה עצמית בכתב המסבירה את השיפוטים שגיבש | מתוחזק באופן רציף בזמן שהמסגרת פועלת |
מה שמבדיל מסגרת שעומדת בסטנדרטים ממסגרת שלא, הוא לעיתים רחוקות האם בכלל קיימים הפריטים הללו. השאלה היא האם ניתן להגן על הסבילות, האם המיפוי משקף את העסק כפי שהוא פועל כיום, והאם ההערכה העצמית מתארת את הארגון שקיים בפועל. כל מי שבוחן את המסגרת נוטה להגיע לשלוש השאלות הללו, בין אם מדובר במפקח, מבקר חיצוני או לקוח גדול שמבצע בדיקת נאותות. הפרטים הרגולטוריים העומדים מאחורי התחום נמצאים בדף החוסן התפעולי , עם ציפיות ספציפיות למגזר לגבי חוסן בתחום הפיננסים.
יש תמונה גדולה יותר מאחורי זה.
עמוד זה מכסה חלק אחד של חוסן עסקי. חוסן אמיתי - המסגרת של IO לחיבור אבטחה, פרטיות וממשל בינה מלאכותית - הוא המקום שבו התמונה המלאה מתחברת.
כיצד בונים מסגרת חוסן תפעולי?
הסדר שלהלן משקף היכן ארגונים נתקעים ולא תוכנית פרויקט אידיאלית. החלקים הקשים הם הצעדים השני והשלישי, ודילוג עליהם הוא מה שמייצר מסגרת שנקראת היטב ונכשלת בבדיקות.
- הגדרת שירותים מבחוץ פנימה: מתארים מה הלקוח מקבל, לא איזו מחלקה מספקת אותו. שירות שמתחבר בצורה מסודרת למבנה הפנימי שלך הוא בדרך כלל תהליך, לא שירות.
- הגדר את הסבילות לפני שאתה יודע אם אתה יכול לעמוד בה: להחליט על הנקודה שבה הנזק הופך לבלתי נסבל בפני עצמו. עבודה אחורה מהיכולת הנוכחית מייצרת סובלנות שתמיד ניתן לעמוד בה, וזה לא אומר לך כלום.
- מפה לעומק שבו ההחלטות משתנותמספיק פרטים כדי לראות את נקודות הכשל הבודדות ואת ה סיכון ריכוזיות אצל הספקים שלכם, ולא יותר. פרויקטים של מיפוי נכשלים בכך שהם שואפים לשלמות.
- בחרו תרחישים שבאמת יכולים לקרות לכם: כשל של ספק קריטי שצוין, אובדן מרכז נתונים, אירוע כופר, עזיבתו של הצוות היחיד שמבין במערכת מדור קודם.
- תעדו את הכשלונות בכנותיומן בדיקות המציג פרצות והתיקונים שבאו לאחר מכן מהווה ראיה חזקה יותר מרצף רצוף של בדיקות, מה שמעלה בעיקר את השאלה האם התרחישים היו חמורים מספיק.
- הקצאת נקודות תורפהלכל פער יש בעלים, תאריך תיקון ומסלול ללוח כשהוא מחליק.
- כתבו את ההערכה העצמית תוך כדי כתיבה: המסמך, שנאסף פעם בשנה מהזיכרון, הוא מסמך. הוא מתוחזק באופן רציף ומהווה את נתיב הביקורת של המסגרת.
במה זה שונה ממסגרת חוסן עסקי?
השניים לעיתים קרובות מעורבבים, וההבחנה היא מעשית ולא אקדמית. חוסן תפעולי הוא תחום רגולטורי בעל היקף מוגדר: שירותים עסקיים חשובים והסבילות הקשורות אליהם. חוסן עסקי הוא רחב יותר, ומכסה את יכולתו של הארגון לספוג שינויים מכל סוג שהוא, כולל סיכוני אבטחה, פרטיות ובינה מלאכותית לצד שיבושים.
בפועל, אחד יושב בתוך השני. חוסן תפעולי נותן לך את נקודת המבט של השירות ואת הסבילות. מסגרת החוסן העסקי הרחבה יותר נותנת לך את מערך הבקרה שעליו תלויה נקודת המבט של השירות, ואת המנגנון שמונע מכל תקנה חדשה להיות מטופלת באמצעות תוכנית נפרדת. אם אתה בוחר היכן להתחיל ואתה כפוף לכללי חוסן תפעולי, התחיל שם, כי ההיקף והמגבלות נקבעים חיצונית ולא על ידך. אם לא, המסגרת הרחבה יותר היא נקודת כניסה טובה יותר.
תכנון המשכיות הוא התחום השלישי הקשור. הוא מספק את התוכניות ויעדי ההתאוששות המאפשרים לשירות להישאר במסגרת הסבילות שלו, והוא מכוסה תחת המשכיות עסקית.
התחל בקלות עם הדגמת מוצר אישית
אחד ממומחי הקליטה שלנו ידריך אותך בפלטפורמה שלנו כדי לעזור לך להתחיל בביטחון.
כיצד לולאת החוסן תומכת בחוסן תפעולי?
כל רכיב במסגרת חוסן תפעולי נשען על בקרות שכבר קיימות איפשהו בארגון שלך. ניהול גישה, גיבוי ושחזור, הערכת ספקים, תגובה לאירועים ובקרת שינויים הם המנגנון שהופך סבילות להשגה. הבעיה היא שבקרות אלו לעיתים רחוקות חסרות. הסיבה לכך היא שכל מסגרת מבקשת אותן בנפרד, כך שאותה בקרה מתועדת שלוש פעמים ואף אחת מהן לא מוכחת היטב.
לולאת החוסן מפעילה אבטחת מידע תחת תקן ISO 27001 , פרטיות נתונים תחת תקן ISO 27701 וממשל בינה מלאכותית תחת תקן ISO 42001 כמערכת מחוברת אחת. חוסן תפעולי הופך לעדשה נוספת על פני אותה מערך בקרה במקום תוכנית מקבילה. הערכת ספקים המבוצעת פעם אחת משמשת את תרגיל המיפוי, תקן האבטחה ותקן הפרטיות יחד. יכולת המשכיות מוגדרת וניתנת לאישוש תחת תקן ISO 22301 , המספק את מערכת הניהול ששומרת על תוכניות בעלות ובדיקה.
איך שומרים על עדכניות הראיות?
כל מסגרת יוצרה את הארטיפקטים הנכונים לפחות פעם אחת. הקושי הוא שהם דועכים בשקט. מפת תלות מדויקת ביום שהיא מצוירת ושגויה ברגע שהספק מתחלף. סובלנות שהוסכמה לפני שנתיים עשויה כבר לא להתאים לנזק שנקבע לה. שום דבר לא מבשר על כך, כך שהפער בין המסגרת המתועדת לזו הפעילה נוטה להיפתח בשקט ולצוף ברגע הגרוע ביותר.
ההבדל טמון במועד יצירת הראיות. הן נוצרות כתוצר לוואי של הפעלת המסגרת, הן עדכניות מעצם הגדרתן ואין מה לשחזר. הן מורכבות לקראת סקירה, ומתעדות את מה שהארגון האמין לגבי עצמו ולא את אופן פעולתו, ופער זה הוא בדיוק מה שבחינה מדוקדקת חושפת. השיטה מתוארת באופן שבו ניתן להוכיח חוסן , וציון החוסן נותן לכם קו בסיס לפני שאתם מתחילים.
למה לבחור ב-ISMS.online עבור מסגרת חוסן תפעולי?
מסגרת עבודה טובה רק כמו המהירות שלה. ISMS.online בנויה כדי לשמור על קצב התצוגה של השירות, המיפוי והראיות בהתאם לאופן שבו אתם פועלים בפועל.
- סט בקרה אחד, כל מסגרתלמפות בקרות פעם אחת ולעשות בהן שימוש חוזר לאורך חוסן תפעולי, ISO 27001, ISO 27701, ISO 42001 ו-ISO 22301 במקום לבנות אותן מחדש עבור כל אחת מהן.
- שירותים הקשורים למה שהם תלויים בו: לחבר שירותים עסקיים חשובים לבקרות, לספקים ולנכסים שמאחוריהם, כך ששינוי באחד יגלה על השני.
- רישומי בדיקות וממצאים במקום אחדלתזמן בדיקות תרחישים, לתעד את מה שנכשל ולעקוב אחר התיקון עד לסגירה לצד המסגרת עצמה.
- ראיות מוכנות לפי דרישה: לייצר את התמונה הנוכחית עבור מפקח, רואה חשבון או לקוח ללא תרגיל שחזור.
- סיכון צד שלישי באותה מערכת: להעריך ולנטר את הספקים שהסבילות שלך תלויה בהם בשקט.
- מושפע ממומחיות מעמיקהיישום מודרך על ידי מומחים שהפעילו את המסגרות הללו בתוך ארגונים מוסדרים.
- נבנה עבור שווקים בבריטניה ושווקים מוסדריםמיועד לארגונים שצריכים להוכיח חוסן בפני מפקחים ולזכות בחוזים.
ראו איך זה משתלב בפלטפורמת החוסן העסקי , או הזמינו הדגמה.
שאלות נפוצות
מהי מסגרת חוסן תפעולי במילים פשוטות?
זוהי הדרך בה ארגון מזהה את השירותים שלקוחותיו אינם יכולים להסתדר בלעדיהם, מחליט כמה זמן כל אחד מהם עלול להיפגע לפני שהנזק יהפוך לבלתי מתקבל על הדעת, מחשב את כל מה שהשירותים הללו תלויים בו, ולאחר מכן בודק האם המגבלות מתקיימות. המסגרת היא המבנה ששומר על ארבעת הדברים הללו עדכניים ומוכחים במקום להיות כתובים פעם אחת.
מהי סבילות פגיעה?
סבילות השפעה היא רמת ההפרעה המקסימלית לשירות עסקי חשוב שארגון מוכן לקבל, ומוצגת כמגבלה מדידה כגון מספר שעות או נפח עסקאות כושלות. היא נקבעת במכוון מהנקודה שבה הנזק הופך לבלתי נסבל, ולא ממה שהארגון יכול להשיג כעת, ולכן סבילות שנקבעה היטב לרוב אינה נוחה בהתחלה.
האם מסגרת חוסן תפעולי מיועדת רק לשירותים פיננסיים?
החובה הרגולטורית מוטלת בעיקר על שירותים פיננסיים, אך השיטה אינה כזו. ספקי תקשורת, שירותי בריאות ושירותים מנוהלים עומדים בפני ציפיות שוות במסגרת המשטרים שלהם, וכל ארגון עם התחייבויות חוזיות לזמינות נהנה מאותו תחום. נקודת המבט של השירות והסובלנות הן כלי ניהול שימושיים ללא קשר למי שמפקח עליך.
על איזה סטנדרט יש לבנות מסגרת חוסן תפעולי?
אין תקן אחד המכסה זאת, משום שהדרישות מגיעות מהרגולטורים ולא ממפרט הניתן להסמכה. בפועל, המסגרת מתבססת על כמה תקנים: ISO 22301 לניהול המשכיות, ISO 27001 לבקרות האבטחה שהשירותים תלויים בהן, ו-ISO/IEC 27031 למוכנות טכנולוגיות מידע ותקשורת (ICT). עבודה לפי תקנים אלה מספקת לכם את רוב הראיות שמפקח מבקש, בצורה שכבר עברה ביקורת עצמאית.
באיזו תדירות יש לבחון את המסגרת?
לפחות פעם בשנה לאורך כל המחזור, עם בדיקות תרחישים לפי לוח זמנים לאורך כל השנה ומיפוי מתעדכן בכל פעם שמשהו משתנה באופן מהותי. ספק חדש, העברת מערכת, רכישה או לקח מאירוע חי - כל אלה צריכים לעורר סקירה במקום להמתין לתאריך השנתי. מיפוי שמפגר אחרי הארגון הוא חולשה נפוצה, והוא חותר תחת כל רכיב שתלוי בו.
