כיצד ISO 27001 מחזק את המשכיות העסקים עבור אירועי ג'קפוט במשחקים

איך באמת נראים "אירועי ג'קפוט" בארגון שלכם?

אירועי ג'קפוט הם שיבושים נדירים ובעלי השפעה גבוהה, אשר מכבידים על תוכניות תקריות והמשכיות עסקית רגילות. הם בדרך כלל משלבים מספר כשלים בו זמנית, נמשכים זמן רב יותר מהפסקות רגילות וממצים במהירות פתרונות פשוטים לעקיפת הבעיה. מדובר בתרחישים בעלי סבירות נמוכה אך השפעה גבוהה מאוד - כגון הפסקת חשמל אזורית באתרים מרובים, מתקפת סייבר הרסנית במהלך שחרור גדול, או הפסקת חשמל של ספק ענן בשילוב עם חוסר זמינות של צוות מפתח - והם הופכים לניהול רק כאשר מתייחסים אליהם כסיכונים מפורשים בתוך מערכות ה-ISMS והמשכיות העסקית שלכם ולא כסיפורי סדנה מופשטים.

אירועים שגרתיים משפיעים על חלק מוגבל בסביבה שלך, בעוד שאירועי ג'קפוט (jackpot) מציפים שירותים מרובים בו זמנית ונמשכים כך למשך תקופה ממושכת. קריסת שרת בודדת או הפסקת פעילות במשרד מקומי אינה נוחה, אך בדרך כלל ניתן לספוג אותה על ידי מעבר לגיבוי סטנדרטי או פתרונות ידניים. אירוע ג'קפוט, לעומת זאת, פוגע בכמה אלמנטים קריטיים בו זמנית ודוחף את מודל התפעול, האנשים והספקים שלך לקצה גבול היכולת.

רוב תכנון ההמשכיות עדיין מתמקד בכשלים צפויים בנקודת בדיקה אחת, כגון כשל של שרת בודד, אובדן קישוריות במשרד מקומי או אי זמינות של אדם מפתח אחד לכמה ימים. תרחישים אלה חשובים, אך בדרך כלל אינם אלה המאיימים על הישרדות העסק שלך, על רישיון הפעילות שלך או על יכולתך לעמוד בחובות חוזיות ורגולטוריות.

אירועי ג'קפוט חולקים בדרך כלל שלושה מאפיינים:

גורמים מצטברים: – כמה דברים משתבשים בו זמנית; לדוגמה, הפסקת פעילות במרכז הנתונים וכשל מרכזי ב-SaaS.
משך זמן מורחב: – השיבוש נמשך מספיק זמן עד שפתרונות ידניים לעקיפת הבעיה והרצון הטוב מתחילים להיכשל.
השפעה מערכתית: – מספר שירותים קריטיים, אזורים או יחידות עסקיות מושפעים בו זמנית.

אם רישום הסיכונים ותוכנית הבדיקות שלך מתמקדים כמעט לחלוטין בתרחישים מסודרים של כשל בודד, כמעט בוודאות אתה חשוף מספיק לסיכון ג'קפוט ובטוח יתר על המידה ביכולתך להתמודד עם אירועים חמורים באמת.

כדי להפוך את ההבחנה לקונקרטית יותר, ניתן להשוות בין אירועים שגרתיים לאירועי ג'קפוט זה לצד זה.

השוואה פשוטה מראה כיצד אירועים שגרתיים ואירועי ג'קפוט שונים זה מזה בהיקפם ובציפיות.

מֵמַד	אירוע שגרתי	אירוע ג'קפוט
היקף	מערכת, אתר או צוות יחיד	מערכות, אתרים וצוותים מרובים
מֶשֶׁך	קצר, לעתים קרובות שעות או פחות	ממושך, לעתים קרובות שעות או ימים רבים
פְּגִיעָה	שיבוש מקומי, השפעה מוגבלת על הלקוח	שיבוש כלל-ארגוני, השפעה משמעותית על הלקוחות
דרכים לעקיפת הבעיה	ספרי משחק סטנדרטיים בדרך כלל מספיקים	פתרונות עוקפים מתדרדרים עם הזמן
מיקוד ממשל	צוותים תפעוליים והנהלה מקומית	הנהלה בכירה, רגולטורים ולקוחות גדולים
ציפיות הבדיקה	בדיקות פשוטות לגיבוי וגיבוי שחזור	תרגילי תרחישים מורכבים ותרגילים בין-צוותיים

מסגור זה עוזר לכם להחליט אילו תרחישים שייכים לבדיקות המשכיות יומיומיות ואילו יש להתייחס אליהם כאירועי ג'קפוט המצדיקים תשומת לב רצינית וחוצת-תפקודים יותר - הבחנה שתשתמשו בה שוב כשתעצבו תרחישים ובדיקות בהמשך ספר הדרכה זה.

אירועים שגרתיים לעומת אירועי ג'קפוט

אירועים שגרתיים משפיעים על מערכות או מיקומים סגורים, בעוד שאירועי ג'קפוט משתרעים על פני כל הארגון שלכם על פני טכנולוגיה, אנשים וצדדים שלישיים. חשיבה מפורשת על שני הסוגים עוזרת לכם להימנע מלהתמקד יתר בבעיות שאתם כבר מטפלים בהן היטב.

רוב תכנון ההמשכיות עדיין מעוגן בכשלים היומיומיים הצפויים שצוותי תפעול רואים בתדירות הגבוהה ביותר. ייתכן שיש לכם נהלים חזקים להפסקות במערכת בודדת, שיבושים במשרדים מקומיים או היעדרות קצרת טווח של עובדים, אך מעט מאוד לשילובים המביכים שמביאים יחד כמה מהבעיות הללו בו זמנית.

עבור מנהיגים כמו מנהלי מערכות מידע (CISO), מנהלי המשכיות וראשי IT, הערך האמיתי טמון בשימוש בהבחנה זו כדי לתעדף זמן והשקעה. אירועים שגרתיים צריכים להישאר בתהליכי ניהול האירועים והשירותים הסטנדרטיים שלכם. אירועי ג'קפוט, לעומת זאת, מצדיקים תשומת לב מיוחדת בהערכת הסיכונים, ניתוח ההשפעה העסקית ותוכנית התרגילים שלכם, משום שהם אלה שסביר להניח שיבחנו את רישיון הפעולה שלכם ואת ההבטחות שלכם ללקוחות ולרגולטורים.

למה אירועי ג'קפוט הפכו פתאום לבעיה של כולם

אירועי ג'קפוט הפכו רלוונטיים כמעט לכל ארגון משום שזעזועים מערכתיים ותלות דיגיטלית הפכו שיבושים חמורים לסבירים יותר. כיום אתם תלויים בתשתית ענן משותפת, ספקי SaaS קריטיים ותהליכים המחוברים זה לזה באופן הדוק בדרכים שהיו נדירות לפני עשור, כך שכשלים יכולים להתפשט הרבה יותר רחוק ומהר יותר מבעבר.

בעשור האחרון, מספר מגמות דחפו אירועי ג'קפוט מלהיות מעניינים לנושאים ברמת הלוח:

מגפות וזעזועים גיאופוליטיים: הראו כי שיבושים עולמיים, כביכול נדירים, יכולים להתרחש בתוך מחזור תכנון יחיד.
תוכנות כופר ותוכנות זדוניות הרסניות: כעת משביתות באופן שגרתי מאות מערכות וארגונים בקמפיין אחד.
ריכוז ענן וספקים משותפים: משמעות הדבר היא שכישלון של ספק אחד יכול לפגוע בחלקים גדולים של מערכת אקולוגית בו זמנית.
רגולציה בנושא חוסן תפעולי: בשירותים פיננסיים ותשתיות קריטיות מצפה כיום תכנון ובדיקות עבור שיבושים חמורים אך סבירים, לא רק הפסקות חשמל יומיומיות.

בין אם אתם שואפים להסמכת ISO 27001, מתחזקים אותה, או פשוט משתמשים בתקן כנקודת ייחוס, ציפיות אלו מעצבות את האופן שבו מבקרים, רגולטורים ולקוחות קוראים את סיפור ההמשכיות שלכם. אירועי ג'קפוט עברו למעשה מקצה תיאבון הסיכון שלכם למרכז האופן שבו נשפטת החוסן שלכם, כך שהם מהווים כעת דאגה גדולה לא פחות לקציני פרטיות, מנהלי מערכות מידע (CISO) ואנשי מקצוע בתחום ה-IT כמו לצוותי המשכיות עסקית.

הזמן הדגמה

כיצד אירועי ג'קפוט משתלבים ב-ISMS וב-BCMS שלכם?

אירועי ג'קפוט מתאימים בצורה הטובה ביותר כאשר מתייחסים אליהם כסיכוני אבטחת מידע והמשכיות בעלי השפעה גבוהה, החיים בתוך מערכות הניהול הקיימות שלכם. עליהם להופיע בהערכת הסיכונים, בניתוח ההשפעה העסקית ובתוכנית התרגילים באותו אופן מובנה כמו תרחישים מוכרים יותר, רק עם הנחות שונות לגבי קנה מידה ומשך הזמן. השאלה האמיתית היא האם מערכות ה-ISMS וה-BCMS שלכם מתארים, מחזיקים ובודקים כעת את התרחישים הללו בצורה קוהרנטית, או שמא הם עדיין קיימים רק כ"מה אם" שלעולם לא הופכים לתוכניות קונקרטיות.

אם כבר מריצים מערכת ניהול מערכות (ISMS) התואמת לתקן ISO 27001 בפלטפורמה ייעודית כמו ISMS.online, ניתן להתייחס לתרחישי ג'קפוט כקטגוריה נוספת במודל הסיכון וההמשכיות הקיים שלכם ולא כפרויקט נפרד. לאחר מכן ניתן לחבר את התרחישים הללו לבעלים, לבקרות, ספרי ריצה וראיות בדיקה מבלי להמציא מבנה מקביל, ששומר על הכל גלוי בתוך מערכת ממשל אחת.

חוסן נפשי צומח הכי מהר כשאתה בוחן במכוון את הדברים שאתה מקווה שלעולם לא יקרו.

ISMS לעומת BCMS: שתי עדשות באותן קצוות

מערכות ה-ISMS וה-BCMS שלכם בוחנים את אותם אירועים קיצוניים מזוויות שונות אך משלימות. אחת מתמקדת בהגנה על מידע; השנייה מתמקדת בשמירה על שירותים חשובים פועלים. כאשר אתם מיישרים ביניהם קו, תרחישי ג'קפוט הופכים לאובייקט משותף ולא לחפיפה מבלבלת בין צוותים ומסמכים נפרדים.

מערכת ניהול אבטחת מידע (ISMS) תחת תקן ISO 27001 עוסקת בעיקר בסודיות, שלמות וזמינות של מידע. מערכת ניהול המשכיות עסקית (BCMS), שבדרך כלל תואמת לתקן ISO 22301, מתמקדת בהמשך פעילויות קריטיות במהלך ואחרי שיבוש.

לאירועי ג'קפוט:

השמיים עדשת ISMS בודק האם המידע נשאר מאובטח וזמין תחת לחץ על ידי שאילת שאלות מה קורה לנתונים, למערכות ולבקרות האבטחה שלך כאשר מתרחש תרחיש קיצוני.
השמיים עדשת BCMS בוחן האם ניתן לשמור על השירותים החשובים ביותר שלך בגבולות נסבלים תחת תרחיש זה, גם אם חלקים מהסביבה נפגעים.

אם שתי המערכות הללו משתמשות בשפה ורשימות שונות של אירועים, תראו פערים ובלבול. דפוס איתן יותר הוא להשתמש ב:

טקסונומיית סיכונים משותפת: – כולל תגיות מפורשות של "סבירות נמוכה / השפעה גבוהה" כך שסיכוני ג'קפוט יהיו גלויים
רשימה משותפת של שירותים קריטיים ונכסים תומכים: – כך שגם ISMS וגם BCMS מעוגנים באותן סדרי עדיפויות עסקיים.
ספריית תרחישים יחידה: הזנה הן של תוכניות BC והן של ספרי ריצה לתגובה לאירועי ביטחון.

יישור קו זה מקל הרבה יותר על ההצגה למבקרים, לרגולטורים ולהנהלה שתכנון אבטחה והמשכיות פועלים מאותה תמונה של סיכון קיצוני ולא מתוך גרסאות מתחרות של המציאות.

היכן תרחישי ג'קפוט צריכים להופיע בתיעוד שלך

תרחישי ג'קפוט צריכים להופיע באופן עקבי בכל תיעוד ה-ISMS וה-BCMS שלכם, כך שהם ינוהלו, ייבדקו וישופרו בצורה אחידה. עקביות חשובה יותר מנפח: מבקרים ובעלי עניין פנימיים רוצים לראות שאותם תרחישים חמורים מופיעים בכל מקום בו מתקבלות החלטות ממשל ובדיקה.

במערכת ISMS/BCMS משולבת, אירועי ג'קפוט אמורים להופיע בדרך כלל במספר מקומות ספציפיים:

הקשר והיקף: – הצהרה קצרה לפיה הארגון חשוף לשיבושים נדירות, כלל-מערכתיים, כגון כשלים אזוריים בתשתיות, קריסת ספקים משמעותית או אירועי סייבר הרסניים.
הערכת סיכונים: – סיכונים מפורשים עם דירוגי השפעה גבוהים מאוד, גם אם הסבירות נמוכה, עם בעלים ברורים ותוכניות טיפול מוסכמות.
ניתוח השפעה עסקית (BIA): – תרחישים המשמשים לאימות יעדי זמן התאוששות (RTOs), יעדי נקודת התאוששות (RPOs) וזמני הפסקה מקסימליים נסבלים, המבוטאים בשפה פשוטה.
תוכניות המשכיות ואירועים: – ספרי משחק המניחים מספר בקרות או מיקומים עלולים להיכשל בבת אחת, ולא מקרים בודדים ומסודרים.
לוחות שנה של אימונים: – לפחות כמה תרגילים בכל שנה המוקדשים לתרחישים מורכבים ורב-גורמים במקום בדיקות פשוטות של כשל בודד.

אם אינכם יכולים להצביע במהירות היכן נמצאים "הפסקת ענן אזורית בתוספת כשל ספקים" במרשם הסיכונים, ב-BIA וביומן התרגילים שלכם, גיליתם את הזדמנות השיפור הראשונה שלכם. איחוד ההתייחסויות הללו יקל גם על שמירת היישור ככל שהארכיטקטורה ומערך הספקים שלכם מתפתחים וככל שתפקידים כמו CISO, DPO ו-Continuity Lead משתנים.

ISMS.online מעניק לך יתרון של 81% מרגע הכניסה

ISO 27001 בקלות

עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.

התחל כאן

כיצד תקני ISO 27001 ו-ISO 22301 יכולים להעניק לכם עמוד שדרה לניהול ניהולי?

תקני ISO 27001 ו-ISO 22301 מעניקים לכם עמוד שדרה משותף לניהול, כך שבדיקות אירועי ג'קפוט מתוכננות, נמצאות בבעלות, משופרות ומנוהלות בבירור, במקום להיות מאולתרות או אד-הוק. שני התקנים פועלים לפי מבנה מערכת הניהול של Annex SL, המאפשר לכם לשלב תכנון תרחישים חמורים ישירות בסעיפים ותהליכים מוכרים לצורך הקשר, הערכת סיכונים, תפעול, מדידה ושיפור. במקום להמציא מסגרת חדשה, אתם מרחיבים את מה שכבר קיים, עוטפים את בדיקות הג'קפוט בתוך מחזור הניהול הרגיל שלכם ומעניקים למבקרים, רגולטורים ולקוחות גדולים דרך פשוטה לראות חוסן לצד סיכונים אחרים שלכם, במקום כ"פרויקט מיוחד" נפרד.

סעיפי ליבה של ISO 27001 שחשובים לאירועי ג'קפוט

קומץ סעיפים בתקן ISO 27001 מעגנים את האופן שבו אתם מתארים, מפעילים ומשפרים בדיקות אירועי ג'קפוט במערכת ה-ISMS שלכם. אינכם צריכים להתייחס לתרחישי ג'קפוט כסטנדרט נפרד; אתם פשוט צריכים לשלב אותם במבנה הסעיפים הקיים בצורה גלויה כך שבעלי עניין בתחום הבטחת הביצועים יוכלו לעקוב אחר הקצב.

מספר סעיפים ופקדים בנספח A של תקן ISO 27001:2022 רלוונטיים במיוחד:

סעיף 4 – הקשר הארגון:

אתם מזהים בעיות חיצוניות ופנימיות וצדדים בעלי עניין. חשיפה ל"ג'קפוט" שייכת לכאן: יש להכיר במפורש בהסתמכות על אזורי ענן משותפים, צדדים שלישיים קריטיים ותשתיות אזוריות, כך שהפרעות קיצוניות הן חלק מההנחות הבסיסיות שלכם.

סעיף 6 – תכנון (הערכת סיכונים וטיפול בהם):

אירועי ג'קפוט מעוצבים כסיכונים בעלי השפעה קיצונית. ייתכן שתתייחסו אליהם בצורה שונה במתודולוגיה שלכם, למשל על ידי שימוש בניתוח תרחישים במקום בציוני סבירות פשוטים, אך הם נשארים חלק מתהליך הסיכונים של ISMS, כאשר בעלים ותוכניות טיפול מוגדרים.

סעיף 8 – הפעלה:

כאן אתם מפעילים ובודקים את הבקרות והתהליכים הנכנסים לפעולה במהלך שיבושים חמורים, כולל תגובה לאירועים, נהלי המשכיות והתאוששות מאסון. כאן אתם מדגימים שניתן למעשה להפעיל את הבקרות שלכם מתרחישים חמורים תחת לחץ.

סעיף 9 – הערכת ביצועים:

אתם מחליטים אילו מדדי המשכיות וחוסן אתם עוקבים אחריהם, וכיצד אתם מעריכים את יעילותם של תרגילים ובדיקות. כאן נמצאים באופן טבעי מדדי אירועי ג'קפוט, לצד מדדים אחרים של ביצועי בקרה ותוכן סקירות הנהלה.

סעיף 10 – שיפור:

מבחני Jackpot-Event מזינים ממצאים ופעולות מתקנות למחזור השיפור המתמיד שלך, כך שחולשות עוקבות ונפתרות במקום להישאר קבורות בדוחות התרגיל, ואתה יכול להדגים למידה לאורך זמן.

נספח א' מוסיף בקרות ספציפיות בטעם המשכיות, כגון אבטחת מידע במהלך שיבושים ומוכנות טכנולוגיית מידע והיקפי (ICT) להמשכיות עסקית. לדוגמה, בקרות הדורשות פעולה מאובטחת במהלך שיבושים ומוכנות של מתקני עיבוד מידע נותנות לכם קישור ישיר מתכנון תרחישים לאמצעי הגנה ספציפיים, ועוזרות לכם להראות שהמשכיות היא חלק מתכנון בקרות אבטחת מידע רגיל ולא דיסציפלינה נפרדת.

כיצד ISO 22301 משלים את ISO 27001

תקן ISO 22301 מוסיף עומק לאופן שבו מנתחים השפעות, בוחרים אסטרטגיות המשכיות ומנהלים תוכנית אימונים מאורגנת. הוא מתמקד בשאלות בצד העסקי של אילו שירותים חשובים ביותר, כמה זמן הם עלולים להינזק וכיצד מוכיחים שהאסטרטגיות שבחרתם אכן עובדות עבור שירותים אלה.

בפועל, ISO 22301 מתמקד ב:

ניתוח השפעה עסקית
אסטרטגיות ופתרונות להמשכיות
נהלים מתועדים לתגובה לאירועים
תוכניות אימונים ובדיקות.

אם כבר יש לכם מערכת ניהול מערכות מידע (BCMS), המטרה אינה לשכפל את כל מה שיש למערכת ניהול המערכות שלכם, אלא:

התייחסו לארכיטקטים של BCMS ממערכת ה-ISMS שלכם, כאשר הם מכסים את המשכיות אבטחת המידע
לוודא שתרחישי ג'קפוט המשמשים בתרגילי BC מופיעים גם במרשם הסיכונים של ISMS ובהצהרת הישימות
להסכים על לוח שנה משותף של תרגילים כך שאותו תרחיש יוכל לבחון גם את המשכיות השירות וגם את בקרות האבטחה.

אם עדיין אין לכם מערכת ניהול מידע (BCMS) בוגרת, תקן ISO 27001 עדיין מצפה שתטפלו בהמשכיות של אבטחת מידע. במקרה כזה, תוכלו להתחיל בקטן: לזהות אחד או שניים מהשירותים הקריטיים ביותר שלכם התלויים במידע ולבנות עבורם גישת בדיקות המשכיות קלת משקל, לדוגמה על ידי בדיקה האם אתם יכולים לעמוד ביעדי התאוששות בסיסיים תחת תרחיש חמור מוגדר. שימוש בתקנים בדרך זו מספק לכם רשימת תיוג פשוטה כדי להראות שבדיקות הזכייה שלכם מתוכננות, מופעלות ומשופרות בתוך מערכת הניהול שלכם, ולא מותאמות בקצה.

עמוד שדרה זה של הממשל הופך לאחר מכן למסגרת לכל מה שיבוא לאחר מכן: תכנון תרחישים, תכנון תרגילים, איסוף ראיות ושיפור מתמיד, כולם מתחברים חזרה לסעיפים המוכרים הללו במקום לחיות בבידוד, וזה בדיוק מה שמבקרים ורגולטורים מצפים לראות.

איך הופכים רעיונות לג'קפוט לתרחישים קונקרטיים ותוכניות בדיקה?

אתם הופכים רעיונות להצלחה גדולה למבחנים קונקרטיים על ידי תרגום שאלות "מה אם?" מעורפלות לתרחישים ספציפיים וריאליסטיים עם מטרות וראיות ברורות, לא רק סיפורים דרמטיים על "קריסת הענן". תרחיש טוב מתאר אילו שירותים נמצאים בסיכון, מה נכשל, כמה זמן זה נמשך, מה אתם מנסים להוכיח ואת ההיקף, ההנחות, הטריגרים וקריטריוני ההצלחה בשפה שצוותים עסקיים וטכניים יכולים לשתף. ברגע שיש לכם את רמת הבהירות הזו, תוכלו לתכנן תרגילים שאנשים מבינים, להריץ אותם בבטחה, להראות בדיוק מה למדתם ולשמור על התרחישים מעודכנים ככל שהסביבה ומערך הספקים שלכם משתנים.

התחילו מהשירותים הקריטיים שלכם ומההשפעות הגרועות ביותר

נקודת ההתחלה המעשית ביותר היא רשימת השירותים הקריטיים שלכם והנזק הגרוע ביותר האמין אם הם ייכשלו. עבודה אחורה מתוצאות בלתי נסבלות שומרת עליכם כנים לגבי אילו תרחישים באמת חשובים ומונעת מכם לתכנן בדיקות סביב אירועים מעניינים אך בעלי השלכות נמוכות. התחילו עם רשימת השירותים או התהליכים החשובים שלכם ושאלו:

אילו שירותים, אם יופרעו לתקופה ממושכת, יגרמו נזק בלתי נסבל כגון הפסד כספי משמעותי, הפרת רגולציה או נזק מתמשך לתדמית?
אילו שילובי כשלים "האמינים ביותר" עלולים להשפיע על שירותים אלה, בהתחשב בארכיטקטורה ובמפת הספקים שלכם?

לדוגמה, עבור ספק תשלומים מקוונים, תרחיש של ג'קפוט עשוי להיות הפסקה ממושכת של אזור הענן של מעבד התשלומים העיקרי במהלך יום מסחר שיא, בשילוב עם כשל API במעבד הגיבוי וחוסר זמינות של מפקד האירוע הרגיל. האפקט המשולב הוא מפל שמדגיש הן את היכולת הטכנית והן את היכולת לקבל החלטות בו זמנית.

לכדו כל תרחיש בתבנית פשוטה שעשויה לכלול:

סיכום בשפה פשוטה: – תיאור במשפט אחד שכל בעל עניין יוכל להבין.
תְחוּם: – מערכות, מיקומים, צוותים וספקים המעורבים בתרחיש.
הנחות: – מה עדיין עובד ומה לא, כולל אילוצים ידועים.
קריטריונים לכניסה ויציאה: כיצד מתחיל המבחן ואילו תנאים מסתיימים בו.
מטרות: – יעדים ספציפיים כגון "חידוש זרימות תשלומים מרכזיות בתוך פרק זמן מוגדר באמצעות גיבוי מוסכם".

ויזואלי: מטריצה פשוטה הממפה את השירותים הקריטיים שלך לאורך ציר אחד ואת תרחישי ג'קפוט הגרועים ביותר לאורך הציר השני, כדי להראות היכן יש למקד את תשומת הלב ואילו שילובים ראויים לבדיקה מוקדמת.

בנה "ערכת בדיקה" רב פעמית לכל תרחיש

ערכת בדיקה רב פעמית הופכת תרחיש יחיד, מתוכנן היטב, לתרגיל חוזר שניתן לשכלל לאורך זמן. היא גם מקלה על תדרוך משתתפים חדשים ועל שמירה על עקביות בראיות מהפעלה אחת לאחרת, בין אם אתם מנהלי מערכות מידע (CISO), מנהלי המשכיות או אנשי IT המובילים את העבודה.

כדי להפוך תרחישים לניתנים לחזרה ולביקורת, הגדירו ערכת בדיקה הכוללת:

עבודה מקדימה: – זריעת נתונים, הכנת סביבה ותדרוכים תמציתיים לבעלי עניין.
תפקידים: – מי משחק איזה תפקיד, כולל מנהל התרגיל, משקיפים, מקבלי החלטות, רושמי הערות, מובילי טכנולוגיה וצוות הפונה ללקוחות.
ציר זמן: – שלבים ברורים של הבדיקה, כגון הלם ראשוני, הסלמה, ייצוב והתאוששות.
מזריקות: – אירועים מתוסרטים או הפצת מידע שמאלצים החלטות, לדוגמה "הספק מצהיר כי ה-RTO לא יעמוד" או "כלי תקשורת מדווח על הפסקת החשמל".
קריטריונים להצלחה: – קבוצה קטנה של מדדים שתמדדו, כגון RTO/RPO שהושג, מהירות קבלת החלטות ואיכות התקשורת.
דרישות ראיות: – מה שתלכוד, כולל יומנים, צילומי מסך, הקלטות, החלטות מרכזיות ובעיות.

לאחר מכן ניתן להרחיב את הבדיקות על ידי שימוש חוזר בערכות אלו, עדכונן ככל שהסביבה ופרופיל הסיכון משתנים, במקום להמציא כל תרגיל מחדש מאפס. עם הזמן, כל תרחיש הופך לנכס חי ב-ISMS או ב-BCMS שלכם ולא לאירוע חד פעמי הקבור במצעת שקופיות, ומנהיגים יכולים להשוות ביצועים על פני ריצות חוזרות כדי לראות האם היכולת משתפרת.

הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.

הזמן את ההדגמה שלך

איך מבצעים מבחני ג'קפוט מציאותיים ובעלי סיכון נמוך בפועל?

ניתן להריץ מבחני ג'קפוט מציאותיים מבלי להעמיד שירותים חיים בסיכון בלתי מתקבל על הדעת אם תבחרו סוגי תרגילים מתאימים ותתייחסו לבדיקות כאל שינויים מבוקרים. עלייה הדרגתית מדיונים בסיכון נמוך לתרגילים טכניים יותר מאפשרת לכם ללמוד הרבה לפני שאתם נוגעים בייצור. המטרה היא לצבור תובנות, לא להרשים אנשים בכמות ההפרעה שאתם יכולים לגרום.

צוותים רבים מהססים לבחון תרחישים קיצוניים משום שהם חוששים מזמן השבתה לא מתוכנן או כותרות שליליות. על ידי תכנון תרגילים עם יעדים ברורים, מעקות בטיחות ואפשרויות חזרה למצב אחר, תוכלו להפגין כוונה רצינית תוך שמירה על תיאבון הסיכון של הארגון וההתחייבויות הרגולטוריות שלו. עבור מנהלי מערכות מידע (CISO), מובילי המשכיות ומנהלי IT, זהו לעתים קרובות ההבדל בין תוכנית בדיקות שההנהלה תומכת בה לבין כזו שמעולם לא יוצאת לדרך.

בחרו את השילוב הנכון של סוגי פעילות גופנית

סוגי תרגילים שונים מאפשרים לכם לבנות ביטחון צעד אחר צעד לפני שאתם מנסים משהו פולשני. אינכם צריכים להתחיל עם גיבוי מלא בייצור כדי לגלות חולשות חשובות בקבלת החלטות, תיאום או תכנון טכני.

התקדמות הגיונית עשויה להיראות כך:

תרגילי שולחן: – מפגשים מבוססי דיון המשתמשים בנרטיב התרחיש. הם בעלי סיכון נמוך ומצוינים לבחינת קבלת החלטות, תפקידים ותקשורת.
הדרכות או סימולציות: – חזרות מובנות באמצעות סביבות בדיקה או "חזרות על נייר" של שלבים טכניים, תוך התמקדות באופן שבו צוותים ומערכות מקיימים אינטראקציה.
תרגילים טכניים: – בדיקות ממוקדות בסביבות נמוכות יותר, כגון גילוי מכוון של כשל במסד נתונים שאינו בסביבת ייצור או סימולציה של כשל של ספק זהויות בארגז חול.
גיבוי חלקי או מקבילי: – ניתוב מחדש של קבוצה מסוימת של תעבורה לאתר גיבוי או פתרון בזמן שאתם עוקבים אחר ההתנהגות, עם תוכנית ברורה לביטול הפעולה אם משהו נראה לא בטוח.
גיבויים מלאים: – מעבר מלא של ייצור, בדרך כלל שמור לארגונים בעלי בגרות גבוהה, תוכניות החזרה חזקות ואישור ברור של ההנהלה.

אינכם צריכים לקפוץ ישר לגיבוי מלא של ייצור כדי ללמוד לקחים מועילים. התחלה מתרגילים בטבלה, ולאחר מכן הוספת עומק וריאליזם טכני לאורך זמן, בדרך כלל נותנת איזון טוב יותר בין תובנה לסיכון, ומאפשרת לכם להתקדם בסולם ככל שהביטחון והבגרות שלכם גדלים.

ויזואלי: דיאגרמת סולם פשוטה המציגה את ההתקדמות מדיונים על שולחן העבודה בתחתית, דרך סימולציות ותרגילים טכניים באמצע, ועד לגיבויים חלקיים ומלאים בחלק העליון ככל שהיכולת גדלה.

ניתן גם לבטא את הקשר בין סוגי פעילות גופנית, מטרות וסיכון יחסי בהשוואה קומפקטית.

סקירה כללית זו עוזרת לך לבחור סוגי תרגילים מתאימים לבגרות הנוכחית שלך ולתיאבון שלך לסיכון, ולראות כיצד תוכל להתקדם לעבר מבחנים שאפתניים יותר לאורך זמן.

סוג תרגיל	מטרה ראשונית	רמת סיכון יחסית
לוח	להבהיר החלטות, תפקידים, תקשורת	נמוך
הדרכה / סימולציה	אימות תהליך ומסירות	נמוך-בינוני
תרגיל טכני	בדיקת בקרות או ספרי ריצה ספציפיים	בינוני
גיבוי חלקי/מקביל	אימות נתיבי גיבוי לגיבוי באמצעות רשת ביטחון	בינוני גבוה
גיבוי מלא	הוכחת חוסן מקצה לקצה	גָבוֹהַ

טבלה זו אינה מרשם אלא מדריך. תוכלו להתאים את התמהיל שלכם לאורך זמן, ככל שצוותים צוברים ביטחון וככל שרגולטורים, לקוחות או ועדות סיכונים מצפים להפגנות ישירות יותר של חוסן.

ניהול סיכונים לפני, במהלך ואחרי בדיקות

התייחסות לתרגיל משמעותי כאל שינוי רשמי עוזרת לכם לשלוט בסיכונים ולהרגיע את בעלי העניין הבכירים. כאשר בדיקות מתוכננות, מאושרות ומנוטרות כמו כל שינוי משמעותי אחר, מנהלים נוטים יותר לתמוך בהן ופחות נוטים להיות מופתעים מתופעות לוואי.

עבור בדיקות פולשניות יותר, התייחסו לתרגיל עצמו כאל שינוי מבוקר:

לפני: – לקבל את אישור ההנהלה, לבצע הערכת סיכונים, להסכים על קריטריונים מפורשים של "אסור" ו"עצירה", ולתזמן בדיקות מחוץ לשעות השיא.
בְּמַהֲלָך: – לנטר מדדים מרכזיים כגון ביצועי מערכת, שיעורי שגיאות והשפעה על הלקוח, ולהסמיך אנשים ספציפיים להשהות או להפסיק את התרגיל אם נפגעים ספים.
אחרי: – לערוך תחקירים כל עוד הזיכרונות טריים, לתעד מה עבד ומה לא, ולהסכים על פעולות בלימה מיידיות לכל חולשה שהתגלתה.

ניתן גם לשאול רעיונות מהנדסת כאוס ומ-red-teaming. הנדסת כאוס פירושה הזרקה מכוונת של כשלים קטנים ומבוקרים בסביבות שאינן סביבות ייצור כדי לחשוף תלויות נסתרות. red-teaming פירושו סימולציה של התנהגות תוקף מציאותית כדי לראות כיצד צוותי אבטחה והמשכיות מתואמים. לא משנה באיזה שילוב תבחרו, המפתח הוא לוודא שכל בדיקה בטוחה, מכוונת ומנוהלת היטב ולא ניסוי אד-הוק שמדאיג את העסק.

איך מוכיחים למבקרים שבדיקות הג'קפוט שלכם באמת עובדות?

אתם מוכיחים שבדיקות ג'קפוט עובדות על ידי שילוב של מערך מדדים קטן ומשמעותי עם ערכות ראיות מובנות ומוכנות לביקורת. מבקרים, רגולטורים ולקוחות גדולים רוצים לראות שבחרתם תרחישים מתאימים, עמדתם ביעדים הגיוניים והשתמשתם בתוצאות כדי לחזק את הבקרות והתהליכים שלכם. הם לא מצפים לשלמות, אבל הם כן מצפים לדרך ברורה וחוזרת להדגמת יכולת ושיפור.

תכנון וביצוע בדיקות חשובים, אך הם רק חצי מהסיפור. החצי השני הוא הפיכת הבדיקות הללו לנרטיב הגיוני לבעלי עניין בתחום הבטחת הביצועים: אילו תרחישים חמורים בחרתם, מה ניסיתם להוכיח, כיצד מדדתם הצלחה ומה שיניתם כתוצאה מכך.

הגדר קבוצת מדדים קטנה ומשמעותית

מערך מדדים קטן ויציב אומר לך ולמבקרים האם היכולת שלך להתמודד עם תרחישים חמורים משתפרת עם הזמן. אינך זקוק ללוח מחוונים של עשרות מדדים; קומץ אינדיקטורים שנבחרו בקפידה בדרך כלל מספיקים כדי להראות האם אתה בדרך הנכונה.

עבור בדיקת המשכיות של אירועי ג'קפוט, מדדים שימושיים כוללים לעתים קרובות:

הישגי RTO ו-RPO: – האם התאוששת במסגרת הזמן וביעדי אובדן הנתונים שסוכמו ב-BIA שלך.
זמן להפעלה: – כמה זמן לקח לזהות את התרחיש ולהפעיל רשמית את תוכנית ההמשכיות או המשבר שלך, לדוגמה, שאיפה להפעלה תוך פרק זמן מוגדר לאחר אישור האירוע.
מהירות ואיכות קבלת החלטות: – האם האנשים הנכונים היו מעורבים והאם החלטות מפתח התקבלו בזמן, תוך שימוש במידע מתאים.
יעילות התקשורת: – האם בעלי עניין פנימיים, לקוחות, ספקים ורגולטורים קיבלו עדכון בזמן ובצורה הולמת.
ביצועי בקרה: – האם בקרות ספציפיות כגון גיבוי, מעבר לגיבוי בעת כשל או ניהול גישה פעלו כמתוכנן תחת לחץ.

קבוצה קטנה של מדדים, שנבחרו בקפידה ויושמו באופן עקבי, תיתן לכם תמונה חדה יותר של יכולות ונקודת מוצא ברורה לביקורות. זה גם עוזר לכם להימנע ממרדף אחר מספרים שנראים מרשימים אך לא משנים את אופן ההשקעה או ההכנות שלכם.

איסוף ראיות ב"ערכות תרגול" מוכנות לביקורת

חבילות תרגילים מוכנות לביקורת הופכות את פעילות הבדיקה הגולמית לראיות מובנות שתוכלו לשתף בביטחון. הן גם הופכות את הסקירות הפנימיות שלכם ליעילות יותר על ידי ריכוז כל מה שמקבלי ההחלטות צריכים במקום אחד.

עבור כל מבחן ג'קפוט, שאפו לייצר חבילת תרגילים המכילה:

תוכנית הבדיקה והיעדים שאושרו
תיאור התרחיש והיקפו
רשימות נוכחות וחלוקת תפקידים
ציר זמן של אירועים ו"הזרקות" ששימשו
יומני רישום, צילומי מסך וחפצים דומים המציגים את הצעדים המרכזיים שננקטו
תוצאות הבדיקה מול כל קריטריון הצלחה ומדד
סוגיות ותצפיות
פעולות מוסכמות, בעלים ומועדי יעד.

כאשר חומר זה נמצא במאגר מובנה במקום במיילים מפוזרים ובמצגות, תוכלו להגיב במהירות לבקשות ביקורת למעקב והסמכה מחדש של ISO 27001, ISO 22301 או סקירות חוסן תפעולי, בדיקת נאותות לקוחות ועריכות אבטחת מידע פנימיות. פלטפורמות כמו ISMS.online יכולות לעזור לכם לשמור על חבילות אלו מקושרות ישירות לסיכונים, בקרות ומדיניות, כך שהראיות שלכם יישארו ניתנות למעקב וקלות להצגה.

ויזואלי: תבנית סיכום תרגיל פשוטה בת עמוד אחד עם מדורים לתרחיש, יעדים, ציר זמן, מדדים, ממצאים עיקריים ופעולות מוסכמות, שניתן לעשות בהן שימוש חוזר בבדיקות וביקורות שונות.

אתם גם בונים זיכרון מוסדי. מצטרפים חדשים ומנהיגים עתידיים יכולים לראות כיצד הארגון תפקד תחת לחץ, לא רק מה מסמכים אומרים שצריך לקרות. היסטוריה זו מחזקת את האמינות שלכם בקרב בעלי עניין פנימיים וחיצוניים כאחד ותומכת בשיחות בטוחות יותר עם רואי חשבון שרוצים לראות ראיות ללמידה, לא רק לפעילות.

ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.

הזמן את ההדגמה שלך

איך הופכים בדיקות אירועי ג'קפוט לשיפור מתמיד?

אתם הופכים בדיקות של אירועי ג'קפוט לשיפור מתמיד על ידי מתן נתיב טיפול ברור לכל ממצא ולאחר מכן בדיקה חוזרת כדי לוודא שהשינויים פועלים. תקני ISO 27001 ו-ISO 22301 כבר מספקים את הלולאות לאי-התאמות, פעולות מתקנות וסקירת הנהלה. תפקידכם הוא לוודא שממצאי התרגיל זורמים דרך הלולאות הללו במקום להישאר ברשומות פגישות.

לבדיקה שחושפת חולשות אך לעולם לא מובילה לפעולה יש ערך מוגבל. בדיקה שמובילה לפעולות מתקנות ברורות, ספרי מעקב מעודכנים ותרגיל מעקב מראה למבקרים, רגולטורים ולקוחות שאתם רציניים לגבי חוסן ולא רק לגבי סימון. היא גם עוזרת לכם להדגים את כוונת סעיף 10 של ISO 27001 בנושא שיפור, המצפה מכם ללמוד מאירועים ותרגילים.

מתצפיות ועד לפעולות תיקון ושיפור

ניתן לעבור מתצפיות גולמיות לשיפורים אמיתיים על ידי סיווג מה שראיתם וצירוף שלו לתהליכי הסיכונים והשיפור הקיימים שלכם. בדרך זו, שום דבר לא הולך לאיבוד בין חדר התחקירים לבין סקירת ההנהלה הבאה.

לאחר כל תרגיל:

שלב 1 – סיווג הממצאים

יש להפריד בין תצפיות פשוטות המתארות מה הלך טוב לבין חולשות אמיתיות, כגון מידע חסר, תפקידים לא ברורים או בקרות כושלות. ממצאים חיוביים עדיין חשובים, אך בדרך כלל אינם זקוקים לאותה רמת מעקב.

שלב 2 – מסלול הטיפול

החליטו האם כל חולשה היא אי-התאמות למדיניות שלכם או לסעיפי ISO, הזדמנות לשיפור או סיכון מקובל באופן מודע. במגזרים מוסדרים, ייתכן שתצטרכו להראות שבעיות מסוימות מטופלות כאי-התאמות פורמליות עם פעולות מתקנות ברורות.

שלב 3 – פעולות מובנות

רשמו כל פריט עם בעלים, תאריך יעד וקישור לסיכון, לבקרה או למסמך הרלוונטיים, כך שלא יאבד אותו בין פגישות. השתמשו בכלי ISMS או BCMS שלכם במקום במעקבים נפרדים במידת האפשר, כך שהכל יישאר במערכת ניהול אחת.

שלב 4 – מסלול עד לסגירה

כללו פעולות בסקירות הסיכונים והשיפור הרגילות שלכם, ועדכנו את הסטטוס שלהן עד להשלמתן במקום להתייחס לדוחות התרגיל כאל מסמכים סטטיים. קשרו ממצאים משמעותיים לרישומי סיכון רשמיים, ואם רלוונטי, להצהרת הישימות שלכם, כך שיהיה קל להראות את השרשרת מהתרחיש לממצא ועד לשינוי.

גישה ממושמעת זו פירושה שכאשר מבקרים שואלים כיצד זיהיתם וטיפלתם בסיכונים מסוימים, תוכלו להצביע על דוגמאות קונקרטיות במקום להסתמך על אנקדוטות. זה גם עוזר למנהלים בכירים ולדירקטוריונים לראות שבדיקות של אירועי ג'קפוט הן חלק מלולאת שיפור מתמשכת, ולא "משחק מלחמה" מזדמן.

בחינה חוזרת ולמידה ברמת התוכנית

בדיקות חוזרות וסקירה תקופתית עוזרות לכם לראות האם הארגון שלכם באמת משתפר בטיפול באירועי ג'קפוט. שיפור הוא פחות ביצוע תרגילים רבים יותר ויותר הדגמה שעקומת היכולות שלכם מתנועעת בכיוון הנכון.

עבור פערים חמורים, תכננו בדיקות חוזרות מפורשות:

לחזור על אותו תרחיש לאחר יישום השינויים
או להריץ גרסה שמדגישה את אותה יכולת בצורה מעט שונה.

ברמת התוכנית, צעד אחורה כל שנה או שנתיים ושאל את עצמך שאלות כגון:

האם אתם נתקלים שוב ושוב באותם סוגי בעיות, כגון תקשורת לקויה או זכויות קבלת החלטות לא ברורות?
האם התרחישים שלכם עדיין משקפים את הארכיטקטורה הנוכחית שלכם, את הספקים ואת החובות הרגולטוריות?
האם אתם משתפרים בקצב הנדרש מהתיאבון לסיכון והרגולטורים?

השתמשו בתשובות כדי להתאים את לוח הזמנים של הבדיקות, את סדרי העדיפויות של ההשקעה ואת מיקוד ההדרכה. עם הזמן, אתם אמורים לראות פחות בעיות חוזרות, סגירות מהירות יותר ויותר ביטחון מצד בעלי העניין שתרחישים חמורים מנוהלים בצורה ממושמעת ולא כתרגילים מזדמנים ללא מעקב.

איך מאחדים את כל זה במקום אחד?

אתם מאחדים הכל באמצעות סביבה אחת ומובנית לחיבור סיכונים, תרחישים, תוכניות, בדיקות ופעולות. בדיקות Jackpot-Event נוגעות לחלקים נעים רבים: הערכת סיכונים, BIA, תוכניות המשכיות, תגובה לאירועים, ספרי ריצה טכניים, תוכניות בדיקות, יומני רישום ומעקב אחר פעולות. כאשר אלה נמצאים בכלים שונים ובתיקיות משותפות, אנשים מבזבזים זמן במרדף אחר מידע ומבקרים רואים תמונה לא עקבית. איחוד גורם לעבודה על תרחישים חמורים להרגיש כמו חלק מממשל רגיל ולא כפרויקט מיוחד.

סביבה מאוחדת משפרת גם את החוסן בין מעברי עבודה. כאשר אנשים מרכזיים עוזבים או תפקידים משתנים, תוכן וראיות מובנים היטב נשארים נגישים ומובנים, במקום להיעלם לתוך פעילויות אישיות או מצגות שלא נקראו.

מה פלטפורמה טובה צריכה לתת לך

פלטפורמת ISMS ייעודית או פלטפורמת ISMS/BCMS משולבת צריכה להפוך את בדיקות הזכייה לחלק מהפרקטיקה היומיומית, ולא לתרגיל נפרד בבעלות צוות אחד. המטרה היא לחבר את עמוד השדרה של הממשל, התרחישים, התרגילים והראיות שלכם בצורה שקל להפעיל ולהסביר למבקרים, רגולטורים ומנהיגים בכירים.

בין אם אתם משתמשים בפלטפורמה ספציפית ל-ISMS כגון ISMS.online או בערכת כלים אחרת, חפשו את היכולת:

קשרו סיכונים, בקרות, נכסים, שירותים ותרחישים במודל אחד כדי שתוכלו לראות כיצד אירוע ג'קפוט זורם בארגון
אחסון BC ותיעוד אירועים לצד תיעוד ISO 27001 ו-ISO 22301, עם בקרת גרסאות ברורה ואישורים
לתכנן ולתזמן תרגילים עם בעלות ברורה, מסלולי אישור ולוח זמנים גלוי לבחינות
צרף ראיות ישירות לרשומות הבדיקה, כגון יומנים, צילומי מסך, פרוטוקולים והחלטות, כך שלא תצטרך לחפש תיבות דואר נכנס בזמן הביקורת
מעקב אחר ממצאים ופעולות מתקנות עד לסגירה, כאשר הסטטוס גלוי להנהלה וקל לדיווח
צור דוחות מוכנים לביקורת המראים בדיוק כיצד מזוהים, נבדקים ומשתפרים תרחישי ג'קפוט.

ISMS.online, לדוגמה, נועד לספק לכם מקור אמת יחיד עבור ISO 27001 ומסגרות קשורות. תרחישי ג'קפוט הופכים אז לעוד קטגוריית סיכון שמנוהלת היטב במקום פרויקט מיוחד בגיליון אלקטרוני מבודד, והצוותים שלכם יכולים להשקיע יותר אנרגיה בתכנון תרחישים טובים ומעקב אחריהם. בין אם אתם משתמשים ב-ISMS.online או בפלטפורמה אחרת, הדפוס זהה: חברו ממשל, תרחישים, בדיקות ופעולות כך שעמידות לאירועים חמורים תהיה חלק ממערכת הניהול הרגילה שלכם.

צעד פרגמטי הבא

צעד פרגמטי הבא הוא להוכיח את הדפוס מקצה לקצה על תרחיש בודד ולאחר מכן להרחיב אותו בהדרגה. אינך זקוק לתוכנית מלאה כדי להתחיל להשתפר; אתה רק צריך מבחן אחד שנבחר בקפידה, שיעבור לכל אורך הדרך, מזיהוי סיכונים ועד למבחן החוזר.

אם אתם רוצים לעבור מהתיאוריה למעשה מבלי להעמיס על הארגון שלכם:

בחרו תרחיש או שניים של ג'קפוט שמדאיגים אתכם באמת.
מיפוי אותם לתוך מערכות ה-ISMS וה-BCMS שלכם - רישום סיכונים, BIA ותוכניות.
תכנן מבחן צנוע, כגון מבחן שולחני רב-תכליתי, עם מטרות ברורות ודרישות ראיות.
הפעילו את התרגיל, תעדו את מה שקורה והסכימו על קומץ פעולות קונקרטיות.
אחסן הכל בסביבת עבודה אחת מובנה, באופן אידיאלי בסביבת ISMS/BCMS ייעודית כמו ISMS.online, כך שתוכל להראות בדיוק מה עשית.

לאחר שהוכחתם את הדפוס הזה מקצה לקצה, תוכלו להרחיב את מערך התרחישים, לחדד את המדדים שלכם ולבנות מפת דרכים רב שנתית לבדיקות. עם הזמן, אירועי ג'קפוט מפסיקים להיות פחד מופשט והופכים לחלק מנוטרל היטב מתוכנית החוסן שלכם, המתאימה לתקן ISO. זה משאיר אתכם במצב טוב יותר לענות על שאלות קשות מהרגולטורים ולקוחות, ובטוחים יותר שהארגון שלכם יכול להתמודד כאשר מספר דברים רעים קורים בו זמנית.

הזמן הדגמה

שאלות נפוצות

כיצד יש להתייחס ל"אירועי ג'קפוט" במסגרת ISMS ו-BCMS של ISO 27001?

עליך להתייחס לאירועי ג'קפוט כסיכונים בעלי השפעה גבוהה, הנמשכים לאורך מחזור החיים הרגיל של ISO 27001 ו-(כאשר נעשה שימוש) ISO 22301, ולא כמקרי קצה מעורפלים החונים מחוץ למערכת ה-ISMS שלך. הם נמצאים בקצה הקיצוני של ספקטרום הסיכונים הקיים שלך וראויים לבעלים, טיפולים ובדיקות מפורשים.

מה מייחד אירוע ג'קפוט מ"יום רע" רגיל?

רוב התקריות פוגעות במערכת, צוות או ספק יחיד וניתן לבלום אותן באמצעות הוראות שימוש מוכרות. אירוע ג'קפוט נוטה לשלב שלושה דברים בו זמנית:

מספר כשלים במקביל: – לדוגמה, הפסקת פעילות באזור ענן ראשי, כשל משמעותי ב-SaaS וצוות מפתח או שותף שירות לא זמינים באותו היום.
משך זמן ארוך יותר מהמתוכנן עבור: – פתרונות רגילים לעקיפת הבעיה מתחילים להתפורר, הסכמי רמת שירות מופרים, וצצים סיכונים משניים.
צימוד הדוק בין שירותים וספקים: – כך שגיאה אחת מתפשטת במהירות על פני יישומים, צוותים ומיקומים.

מבחן לקמוס פשוט שמשתמשים בו מנהלי מערכות מידע ולידי המשכיות רבים:

אם תרחיש זה יתפתח בצורה גרועה, האם נוכל לאבד את רישיון ההפעלה שלנו, להפר את הרגולציה או לאבד את לקוחות העוגן שלנו?

אם התשובה הכנה היא כן, אתם מתמודדים עם תרחיש של ג'קפוט, לא סתם בוקר קשה.

לפי תקן ISO 27001 אינך זקוק לקטגוריה חדשה לשם כך. עליך:

לִיצוֹר רישומי סיכון מפורשים במרשם הסיכונים ISO 27001 שלך עבור תרחישים אלה (סעיף 6), עם בעלים וטיפולים ברורים
לשקף אותם בך ניתוח השפעה עסקית ואסטרטגיית המשכיות אם אתם מפעילים את תקן ISO 22301
להפוך אותם ל מטרות ניתנות לבדיקה, כך שהחלטות מנהיגות ותיאום בין-צוותי מתורגלות, לא מאולתרות.

משמעת זו הופכת "תרחישי סיוט" לסיכונים מנוהלים שתוכלו להסביר לרואי חשבון, לרגולטורים, לדירקטוריון שלכם וללקוחות גדולים.

היכן בדיוק צריכים להיות אירועי ג'קפוט בתקן ISO 27001 ו-ISO 22301?

ניתן לעגן תרחישים חמורים בצורה נקייה בסעיפים שכבר עובדים איתם:

סעיף 4 בתקן ISO 27001 – הקשר וצדדים מעוניינים:

תעדו את החשיפות המבניות שהופכות את הזכיות לאמינות: ריכוז ענן או מרכזי נתונים, הסתמכות על ספקי זהות יחידים, סטטוס תשתית קריטית, ערבויות קפדניות לזמן פעולה או כללי חוסן תפעולי. זה מסביר למה תרחישים מסוימים נמצאים בהיקף.

סעיף 6 – הערכת סיכוני אבטחת מידע וטיפול בהם:

רשום את התרחישים האמינים הגרועים ביותר שלך כ סיכונים בעלי השפעה גבוהההשתמשו בקני מידה איכותיים מבוססי תרחישים ("נדירים אך קטסטרופליים") במקום בתדרים פסאודו-מדויקים, וקשרו טיפולים בין ארכיטקטורה, אסטרטגיית ספקים, תרגילים וממשל.

סעיף 8 – הפעלה:

הבטחת נהלי אירוע, התאוששות מאסון והמשכיות עסקית ציינו את תרחישי הג'קפוט המובילים שלכם, לא רק כשלים של מערכת בודדת. ספרי ריצה, תוכניות בדיקה ורישומי שינויים צריכים להראות כיצד אתם מצפים להתנהג כאשר מספר דברים משתבשים בו זמנית.

סעיפים 9 ו-10 – הערכת ביצועים ושיפורם:

התייחסו לתרגילי תרחישים חמורים כקלטים לביקורת פנימית, סקירת הנהלה, אי התאמות ופעולות מתקנות. תכננו בדיקות חוזרות כדי להוכיח שהשינויים מתרגילים קודמים אכן מוטמעים.

אם גם אתם משתמשים ISO 22301:

הכניסו תרחישי ג'קפוט לתוככם ניתוח השפעה עסקית, אסטרטגיית המשכיות ותוכנית אימונים
להראות שרשרת עקבית מ הקשר ← סיכון ← השפעה ← אסטרטגיה ← תוכניות ← בדיקות ← שיפור עבור מספר קטן של אירועים בעלי השפעה גבוהה.

שימוש בסביבה אחת כגון ISMS.online הופך את זה להרבה יותר קל. ניתן להחזיק סיכוני ג'קפוט לצד סיכוני ISO 27001 אחרים, לקשר אותם ל-BIAs, תוכניות ותרגילים של המשכיות, ולאחסן ראיות במקום אחד. בדרך זו, תכנון היום הגרוע ביותר הופך לחלק מעבודת ה-ISMS/BCMS הרגילה שלכם, ולא לניסוי מחשבתי נפרד שחי רק בשקופיות.

כיצד ניתן לתכנן מבחני ג'קפוט מציאותיים מבלי להעמיד את הייצור בסיכון בלתי מתקבל על הדעת?

אתם מתכננים מבחני ג'קפוט בטוחים וריאליסטיים על ידי התחלה מהשירותים הקריטיים ביותר שלכם, הסכמה על תרחישים "האמינים ביותר" ובחירת סוגי תרגילים המדגישים קבלת החלטות ובקרות מבלי לחרוג מהתיאבון שלכם לסיכון.

כיצד אתם מגדירים תרחישי ג'קפוט "הגרועים ביותר" עבור השירותים המרכזיים שלכם?

התחל עם השירותים שאתה באמת לא יכול להרשות לעצמו להפסיד לאורך זמן, לדוגמה:

פלטפורמות קריטיות להכנסות כגון מערכות מסחר, תשלומים, הזמנות או מימוש
מערכות חיים, בטיחות או טיפול קליני
שירותי זהות וגישה של לקוחות ועובדים
שירותי רגולציה, הסדר או דיווח מרכזיים.

עבור כל אחד מהם, מפו שלושה אלמנטים:

נזק בלתי נסבל: – הקווים שאסור לחצות: הפסקות חשמל ממושכות, השלכות בטיחותיות חמורות, הפרות רגולטוריות ספציפיות או קנסות חוזיים משמעותיים.
תלויות קריטיות: – אזורי ענן קונקרטיים, מאגרי נתונים, נתיבי רשת, פלטפורמות צד שלישי ותפקידים מומחים עליהם השירות מסתמך.
צירופי כישלון אמינים: – אירועים רב-גורמיים מציאותיים עבור הסביבה שלך, כגון "אובדן אזור ענן ראשי בתוספת אירוע אחסון ארוך טווח" או "הפסקת פעילות של ספק זהויות במהלך איפוס סיסמה גדול".

לאחר מכן צורה שניים או שלושה תרחישי ג'קפוט בשפה פשוטה לכל שירותדפוס שימושי הוא:

אִם חוויות עֲבוּר , עלינו לשמור לפחות בְּתוֹך .

מבנה זה שומר על עיצוב הבדיקה שלך קשור ל תוצאות עסקיות והתחייבויות RTO/RPO במקום פשוט לדמות הפסקות טכניות דרמטיות.

אילו סגנונות אימון מעניקים לך ריאליזם ללא פעלולים מסוכנים?

ניתן להגביר את הריאליזם בהדרגה במקום לקפוץ ישר לגיבויים מלאים:

תרגילי שולחן: – הדרכות חוצות-פונקציות בהן אתם חוקרים את התרחיש, מבהירים תפקידים, נתיבי הסלמה והחלטות. הן בעלות סיכון נמוך ומצוינות לבחינת התנהגות מנהיגות.
הדרכות וסימולציות: – שלבים בפעולות טכניות קריטיות בסביבות שאינן ייצור או בסביבות מבוקרות בקפידה, כדי לוודא שמחברות הריצה שמישות במהירות אמיתית.
תרגילים ממוקדים: – בדיקות ממוקדות של בקרות בודדות (שחזור גיבוי, שינוי DNS, חלופת אימות) בארגזי חול או פרוסות ייצור צרות.
גיבוי חלקי או מקבילי: – הסטת חלק קטן, שנבחר בקפידה, מהתנועה לנתיבים משניים באמצעות תוכנית ברורה לביטול התנועה.
גיבויים מלאים: – העברת כל התעבורה לנתיבי חירום כאשר כבר יש לכם ניטור, ממשל ורקורד טובים מבדיקות קטנות יותר.

כל בדיקה שעשויה לגעת בייצור צריכה להתבצע כ... שינוי רשמי, בהתאם לציפיות של ISO 27001 ו-ISO 22301:

להשלים הערכת שינויים/סיכונים עבור התרגיל
הגדר מפורש קריטריוני ביטול ולציין את שם האדם המורשה לעצור את הבדיקה
הימנעו מתקופות שיא של שימוש וחלונות אחרים הידועים כבעלי סיכון גבוה
לוודא שמקבלי ההחלטות הטכניים והעסקיים הנכונים זמינים לאורך כל הדרך.

אם אתה משתמש ISMS.online, ניתן לקשר כל תרחיש לערך הסיכון שלו, לרשומת השינוי, לתסריט הבדיקה, לראיות ולפעולות השיפור. זה נותן לך דפוס חוזר לבדיקות אירועי ג'קפוט ויישור ברור עם ISMS ו-BCMS שלך, מבלי להזדקק לניסויי "כאוס" לא בטוחים בייצור.

אילו דרישות ISO 27001 ו-ISO 22301 הן החשובות ביותר כשאתם מתכננים תרחישים של אירועי ג'קפוט?

הדרישות החשובות ביותר הן אלו שמעצבות את האופן שבו אתה להבין את ההקשר, להעריך סיכונים קיצוניים, להפעיל בקרות המשכיות ולהוכיח שיפוראינך זקוק לסטנדרטים נוספים; עליך לוודא שהתרחישים הגרועים ביותר והאמינים שלך תקפים לכל אורך הדרך גם לאלה שאתה כבר פועל על פיהם.

אילו סעיפי ISO 27001 עליכם להדגיש בתרחישים חמורים?

חמישה תחומים מועילים במיוחד:

סעיף 4 – הקשר הארגון והצדדים המעוניינים:

תאר את הגורמים החיצוניים והפנימיים שהופכים תרחישי ג'קפוט לרלוונטיים: ריכוז בספק ענן יחיד, זרימת נתונים חוצת גבולות, התחייבויות רגולטוריות לזמן פעולה תקינה, או תלות במספר קטן של ספקים קריטיים.

סעיף 6 – הערכת סיכונים וטיפול בהם:

התאם את השיטה שלך כך שתוכל להתמודד בצורה הגיונית אירועים בעלי סבירות נמוכה, השפעה גבוההזה בדרך כלל אומר:

שימוש בתיאורי תרחישים מובנים במקום הערכות תדירות מספריות פריכות
יישום רמות השפעה איכותיות כגון "חמור", "גדול", "קטסטרופלי"
הגדרת טיפולים הכוללים טכנולוגיה, אנשים, חוזים ותרגילים.

סעיף 8 – הפעלה:

ודא את נהלי התפעול ותוכניות ההמשכיות שלך התייחסו במפורש לתרחישים החמורים שלכם, לא רק כשלים בודדים של רכיבים. אירועים חמורים צריכים להניע תרגילים אמיתיים עם יעדים ברורים וקריטריונים להצלחה.

סעיף 9 – הערכת ביצועים:

החליטו מראש כיצד תשפטו את המוכנות והביצועים לאירועי ג'קפוט: תוצאות RTO/RPO, זמן להפעלת תוכניות, איכות התקשורת הבין-צוותית, התנהגות שליטה תחת לחץ.

סעיף 10 – שיפור:

ודאו שממצאים מבדיקות תרחישים חמורים מופיעים כאי התאמות, פעולות מתקנות ושינויים מתוכננים, ושתבצעו בדיקות חוזרות כדי לאשר שהן יעילות.

בקרות רלוונטיות בנספח א' (גיבוי, יתירות, רישום, ניטור, קשרי ספקים, ניהול קיבולת, בקרת גישה, מוכנות טכנולוגיות מידע ותקשורת (ICT) להמשכיות עסקית) יעניקו לכם ווים פרקטיים על הפיכת תרחישים אלה לעבודות תכנון ובדיקה קונקרטיות.

כיצד תקן ISO 22301 עוזר לכם להפוך את תכנון הזכיות לחזק יותר?

אם אתם מפעילים BCMS רשמי, ISO 22301 מוסיף מבנה שימושי:

ניתוח השפעה עסקית (BIA): – לדמות כיצד הפסקות מורכבות מרובות שירותים או מרובי אתרים משפיעות על כל תהליך קריטי לאורך זמן, ואילו ספים (פיננסיים, בטיחותיים, רגולטוריים) החשובים ביותר.
אסטרטגיות המשכיות: – לבחור שילובים של טכנולוגיה, פתרונות ידניים לעקיפת הבעיה והסדרים חוזיים שעדיין תקפים כאשר יותר מהנחה אחת נכשלת.
תרגילים ומבחנים: – תכננו שילוב של תרגילים שבו התרחיש והמטרות קשורים בבירור לסיכוני הג'קפוט שלכם ול-BIAs שלכם.

הארגונים שמרשימים את רואי החשבון והרגולטורים יכולים להראות שרשרת פשוטה וניתנת לחזרה מ... הקשר וסיכון דרך השפעה ואסטרטגיה ל תוכניות, תרגילים ופעולות שיפור לתרחישים הקשים שלהם.

שימוש ISMS.online ניהול ה-ISO 27001 וה-ISO 22301 יחד מקל על הדגמת שרשרת זו. ניתן לקשר כל סיכון ג'קפוט ל-BIAs, אסטרטגיות, תוכניות המשכיות, רישומי בדיקות ופעולות מתקנות שלו, ולשלוף את הקומה הזו תוך דקות כאשר חבר דירקטוריון, לקוח או רואה חשבון שואלים כיצד אתם מתכוננים לימים רעים מאוד.

באיזו תדירות יש לבדוק תרחישים של אירועי ג'קפוט, ואילו ראיות באמת משכנעות רואי חשבון ודירקטוריונים?

רוב הארגונים נהנים מלפחות אירוע ג'קפוט משמעותי אחד בכל שנה עבור השירותים הקריטיים ביותר שלהם, הנתמך על ידי תרגילים ממוקדים תכופים יותר. המפתח הוא שהלוח זמנים שלכם תואם את... פרופיל סיכונים, קצב שינוי וציפיות רגולטוריות, לא כלל כללי של "בדיקה שנתית".

כיצד ניתן לבחור תדירות בדיקות שתשקף את הסיכון האמיתי שלך?

דפוס שעובד היטב במגזרים רבים הוא:

מדי שנה: להפעיל לפחות אחד תרגיל ג'קפוט בין-קבוצתי ממוקדים בשירותים בעלי ההשפעה הגבוהה ביותר שלכם. המטרה היא למתוח את תהליך קבלת ההחלטות, ניהול הספקים והתקשורת, לא לגרום לשיבוש ייצור לשמה.
רבעוני או פעמיים בשנה: לָרוּץ מקדחות צרות יותר על בקרות טכניות או פרוצדורליות ספציפיות - לדוגמה, שחזור גיבוי, שינויי DNS, גיבויים לאימות, נתיבי תקשורת חירום - כך שיכולות אלה יישארו חדות.
לאחר שינוי משמעותי: תכנית בדיקות מונעות אירועים כאשר ישנם שינויים משמעותיים בארכיטקטורה, החלפת ספקים, מיזוגים או התחייבויות רגולטוריות חדשות.

אם אתם נופלים תחת משטרי חוסן תפעולי או כללי תשתית קריטית, ייתכן שתידרשו לבצע בדיקות לעתים קרובות יותר, או מול תרחישים ספציפיים שהוגדרו על ידי הרגולטורים. גם אז, עליכם להיות מסוגלים להסביר:

כיצד תבנית התרגילים שלך מתיישבת עם סיכונים שתיעדת בסעיפים 4 ו-6
באיזו תדירות אתם סוקרים ומתאימים את התוכנית בסקירות הנהלה ובביקורות פנימיות
כאשר אירועים אמיתיים הובילו לשינויים בתוכנית הבדיקות שלך.

רישום רציונל זה במפורש במדיניות ה-ISMS או ה-BCMS שלכם מקל על הראייה למבקרים כי לוח הזמנים של התרגילים שלכם הוא החלטה מכוונת, מבוססת סיכון, ולא הרגל.

אילו מדדים וארכיטקטים הופכים את סיפור המוכנות שלך לאמין?

במקום למדוד הכל, התמקדו בקבוצה קטנה ויציבה של אינדיקטורים שעונים על שלוש שאלות: האם השגנו את המטרות שלנו? היכן התקשינו? מה השתנה לאחר מכן?

מדדים שימושיים כוללים:

ביצועי RTO ו-RPO: עבור שירותים מרכזיים במהלך כל מבחן אירוע ג'קפוט
הגיע הזמן לזהות את התרחיש: ולהפעיל רשמית את התוכניות
הגיע הזמן לכנס את מקבלי ההחלטות ולהסכים על פעולות גל ראשון:
דיוק ההודעות: ללקוחות, רגולטורים ובעלי עניין פנימיים כנגד התחייבויות ספציפיות
מספר וחומרת הבעיות: נמצא, אחוז הפעולות שנסגרו בזמן והאם תיקונים אלה נבדקו מחדש בהצלחה.

מאחורי המספרים, רואי החשבון והדירקטוריונים יחפשו דברים מוחשיים עדות:

היקפי ומטרות ברורים של הבדיקה
רשימות נוכחות ותפקידים
יומני רישום, צילומי מסך, פלטי ניטור ורישומי שינויים
פרוטוקולי תחקיר ומעקב אחר פעולות המקושרים לסיכונים ובקרות ספציפיים.

אם אתם מנהלים את החפצים האלה ב ISMS.online, תוכלו לעבור במהירות מלוח מחוונים ברמה גבוהה לפרטים הבסיסיים. היכולת להציג גם את הסקירה הכללית וגם את הראיות נותנת לדירקטוריונים, לרגולטורים וללקוחות ביטחון שהעבודה שלכם באירועי ג'קפוט היא תוכנית חוסן ממושמעת, לא תרגיל כיבוי אש של פעם בשנה.

אילו דפוסי כשל נפוצים צצים בבדיקות אירועי ג'קפוט, וכיצד ISO 27001 יכול לעזור לכם לסגור אותם?

תרגילי תרחישים חמורים מגלים לעתים קרובות שתוכניות כתובות נראות חזקות יותר מהתנהגות בעולם האמיתי. תקן ISO 27001 מספק לכם את המבנה להפוך את התובנות הללו לשיפורים שנשארים, במקום לחזור על אותן נקודות תורפה בכל פעם שאתם בודקים.

אילו חולשות מגלים ארגונים שוב ושוב במבחנים קשים?

בתעשיות שונות, מופיעים נושאים דומים:

הנחות נסתרות שנשברות תחת לחץ: – לדוגמה, תוכניות המניחות שצוות ספציפי זמין תמיד, שספקים מסוימים יגיבו תוך זמן נתון, או שכשלים הם בודדים ולא מרובי שירותים או מרובי אזורים.
בעלות לא ברורה לתכנון ג'קפוט: – אין אדם או קבוצה ששמם אחראיים על תכנון, קביעת סדרי עדיפויות ואישור של ניסויי תרחישים חמורים, כך שהם מתרחשים רק כאשר מקדם אחד מקדם אותם.
תוכניות שקשה ליישם כרגע: – מסמכי המשכיות ארוכים וגנריים המאוחסנים במקומות מפוזרים, מה שמוביל צוותים לאלתר במקום לפעול לפי צעדים מובנים.
תיעוד חלש של מה שקרה: – תרגילים מתנהלים באופן לא פורמלי, כאשר החלטות ולקחים מרכזיים קבורים בערוצי צ'אט, מה שמקשה על המבקרים להראות מה השתנה כתוצאה מכך.
ביצוע לקוי של פעולות: – ממצאי תחקיר שאינם הופכים לאי-התאמות שנרשמות או לעבודה ממומנת, כך שאותן בעיות יופיעו בכל תרגיל עיקרי.

זיהוי דפוסים אלה הוא בעל ערך משום שהוא אומר לך בדיוק היכן לחזק את ה-ISMS וה-BCMS שלך.

כיצד ISMS התואם לתקן ISO 27001 עוזר לכם להפוך ממצאים לחוסן עמיד?

תקן ISO 27001 מעניק לכם עמוד שדרה לניהול מוכנות לאירועי ג'קפוט:

הערכת סיכונים והצהרת תחולה (סעיף 6 ונספח א'):

כאשר התרחישים הגרועים ביותר מתועדים כסיכונים עם בקרות, בעלים וטיפולים, הם מקבלים נראות בקבלת החלטות. קל יותר לטעון לשינויים בארכיטקטורה, גיוון ספקים או השקעות בבדיקות מכיוון שהם מעוגנים באופן ברור במרשם הסיכונים וב-SoA שלכם.

בקרות ונהלים תפעוליים (סעיף 8 + נספח א'):

בקרות לגיבוי, יתירות, גישה, רישום, ניטור, ניהול שינויים וספקים, ומוכנות טכנולוגיות מידע ותקשורת (ICT) להמשכיות עסקית מעצבות את אופן התפתחויות אירועים חמורים. על ידי תכנון בדיקות המפעילות במכוון את הבקרות הללו יחד, עוברים מ"שליטה קיימת על הנייר" ל"ראינו שהשליטה הזו עובדת - או נכשלת - תחת לחץ ריאלי".

הערכת ביצועים ושיפורם (סעיפים 9 ו-10):

כאשר אתם מזינים את תוצאות אירועי הזכייה לביקורות פנימיות, סקירות הנהלה, אי התאמות ופעולות מתקנות, אתם מבטיחים שהממצאים יובילו לשיפורים ממומנים ובאחריות. בדיקות מעקב מתוכננות מאשרות את השינויים הללו, וסקירות הנהלה עוקבות אחר ההתקדמות לאורך זמן.

הפעלת זה בתוך פלטפורמה כמו ISMS.online הופך את המכניקה להרבה פחות תובענית:

סיכוני אירועי ג'קפוט ניצבים לצד סיכוני ISO 27001 יומיומיים עם בקרות ובעלים ממופים
תוכניות המשכיות ואירועים חיות עם אישורים והיסטוריית גרסאות, כך שצוותים בודקים מול מקור יחיד ועדכני
היקף התרגילים, הראיות והתחקירים נרשמים ברשומות מובנות
שיפורים ואי התאמות קשורים ישירות לסיכונים ובקרות ספציפיים, עם תאריכי בדיקה חוזרת.

שילוב זה של מבנה ויכולת מעקב עוזר למנהלי מערכות מידע, לקציני פרטיות ולמתרגלים להדגים לדירקטוריונים ולרגולטורים שהמוכנות שלהם ליום הגרוע ביותר שיטתי ומשפר, לא תלוי בזיכרון או בהתלהבות של כמה אנשים.

כיצד ISMS.online יכול לפשט את התכנון, ההפעלה והוכחת בדיקות המשכיות של אירועי ג'קפוט עבור הארגון שלך?

ISMS.online יכול לפשט את עבודת אירועי ג'קפוט על ידי מתן מקום אחד להגדרת תרחישים, התאמתם לתקני ISO 27001 ו-ISO 22301, תיאום תרגילים ואחסון כל הראיות והפעולות הרלוונטיות יחד. זה הופך בדיקות תרחישים חמורים מפרויקט צדדי מזדמן לחלק מהממשל היומיומי.

כיצד ISMS.online תומך בניהול מקצה לקצה של תרחישי ג'קפוט?

מבחינה מעשית, הצוות שלכם יכול להשתמש ב-ISMS.online כדי:

סיכוני ג'קפוט: לצד סיכונים אחרים של ISO 27001, כולל תיאורי תרחישים ברורים, הערכת השפעה, בעלים, בקרות ממופות בנספח A וטיפולים מוסכמים.
שמירה על המשכיות ותוכניות אירועים: עם אישורים והיסטוריית גרסאות, כך שאנשים תמיד עובדים מהגרסה המוסכמת האחרונה בבדיקות ובאירועים אמיתיים.
תכננו תרגילים כפרויקטים מובנים: , עם משימות מקושרות, יעדים, תרחישים, סקריפטים וחפצי עזר תומכים כגון דיאגרמות, מפות זרימת נתונים ועצי קשר.
צרף ראיות תוך כדי ביצוע התרגילים: – יומני רישום, צילומי מסך, פלטי ניטור, החלטות ופרוטוקולים - כולם יכולים להיות מפוזרים כנגד רשומת הבדיקה על פני כוננים וצ'אטים.
ממצאי יומן ופעולות מתקנות: ישירות לתוך זרימת העבודה לשיפור שלך, מקושר לסיכונים ובקרות ספציפיים, ותזמן בדיקות חוזרות כדי שתוכל להדגים סגירה.

עבור מנהלי מערכות מידע ומנהיגים בכירים, זה יוצר מבט יחיד וקוהרנטי של מוכנות לאירוע ג'קפוט. עבור אנשי מקצוע וקציני פרטיות, זה מסיר הרבה ניהול ידני ומקל על תכנון וביצוע של תרגילים חוזרים.

כיצד זה מחזק את הסיפור שאתה מספר לדירקטוריונים, לרואי חשבון ולרגולטורים?

מנקודת מבט של אבטחת מידע, ISMS.online עוזר לך להציג תמונה מגובשת שמתיישבת עם האופן שבו מקבלי החלטות חושבים:

אתה יכול להראות חוט ברור מהארגון הקשר וסיכון, דרך בקרות, תוכניות ותרגילים, כדי לקחים שנלמדו ושיפורים
ניתן לענות במהירות על שאלות מפורטות לגבי תרחישים ספציפיים, משום שהיקף, ראיות ופעולות מאוחסנים יחד
אתם יכולים להדגים התקדמות לאורך זמן בתרחישי הג'קפוט החשובים ביותר שלכם, לא רק לטעון ש"אנו בודקים חוסן מדי שנה".

אם אתם בשלב מוקדם של עבודה זו, נקודת התחלה מעשית היא לבחור תרחיש דגל אחד של ג'קפוט - לדוגמה, הפסקה ארוכת טווח באזור ענן קריטי המשפיעה על השירות העיקרי שלכם הפונה ללקוחות - ולמודל אותו ב-ISMS.online מקצה לקצה: כניסת סיכונים, בקרות ממופות, תוכניות המשכיות, תרגיל מתוכנן, ראיות ופעולות שיפור.

ברגע שראיתם כיצד מבנה זה מקל על תכנון, ביצוע והוכחת המבחן, טבעי להרחיב את התבנית. כך תעברו מהתקווה שתתמודדו ביום הגרוע ביותר שלכם ליכולת להראות, ברוגע ובביטחון, שהתכוננתם, התאמנתם ויכולתם להוכיח זאת כשזה הכי חשוב.