ΕΣΠΕΡΙΔΑ«ΕΠΙΧΕΙΡΗΣΙΑΚΗ ΣΥΝΕΧΕΙΑ ΚΑΙ

ΔΙΑΧΕΙΡΙΣΗ ΚΙΝΔΥΝΩΝ»Τ Ε Τ Α Ρ Τ Η 2 1 Ν Ο Ε Μ Β Ρ Ι Ο Υ 2 0 1 2

Το BS 25999 γίνεται ISO 22301 “soc ie ta l secur i ty – bus iness cont inui ty

management sys tems- requi rements”

ΝΙΚΟΣ ΔΕΠΟΥΝΤΗΣ, ΜΕΛΟΣ ΤΗΣ Δ .Ε . ΤΟΥ ΕΙΔΙΠ, ΕΠΙΚΕΦΑΛΗΣ ΑΞΙΟΛΟΓΗΤΗΣ ΕΣΥΔ

Νίκος Δεπούντης

2

η ικανότητα του οργανισμού να συνεχίζει την παράδοση

των προϊόντων ή των υπηρεσιών σε αποδεκτά προκαθορισμένα επίπεδα

μετά από ένα αποδιοργανωτικό συμβάν.

(ορισμός από iso 22300)

Τι είναι η Επιχειρησιακή συνέχεια;

Νίκος Δεπούντης

3

Οι κίνδυνοι οι οποίοι απειλούν την Επιχειρησιακή Συνέχεια είναι :

Νίκος Δεπούντης

4

Οι κίνδυνοι οι οποίοι απειλούν την Επιχειρησιακή Συνέχεια

είναι :

φυσικές καταστροφές (σεισμοί, πυρκαγιές, πλημμύρες, θύελλες)

αστοχία υλισμικού ή λογισμικού πληροφορικής,απώλεια τροφοδότησης ενέργειας (ηλεκτρικό,

φυσικό αέριο, κλπ), εισβολή, αστοχία ή ιογενής δράση στο

εσωτερικό ή εξωτερικό δίκτυο δεδομένων, ανθρώπινο λάθος,τρομοκρατικές ενέργειες καικυβερνητική και πολιτική αστάθεια

Νίκος Δεπούντης

5

Οι επιπτώσεις στην επιχειρηματική δραστηριότητα μεταξύ των άλλων είναι:

Απώλεια πωλήσεων και εσόδωνΕπιπτώσεις στο όνομα και στη φήμη του οργανισμούΑπώλεια ανταγωνιστικού πλεονεκτήματοςΜείωση της εμπιστοσύνης των ενδιαφερομένων μερών

δηλαδή των μετόχων, των επενδυτών και των πελατώνΚαθυστερήσεις στην εκτέλεση έργων Καθυστερήσεις στις πληρωμέςΑυξημένα ασφάλιστραΝομικά και κανονιστικά προβλήματαΔιακυβέρνηση και Διοικητικές ευθύνες του οργανισμού

Νίκος Δεπούντης

6

Από το BS 25999 στο ISO 22301

Η ανάπτυξη του διεθνούς προτύπου ISO 22301 στηρίχθηκε σε πρότυπα, μεθοδολογίες και μοντέλα κυβερνητικά ή μη, όπως οι Κατευθυντήριες Οδηγίες Καλής Πρακτικής του Business Continuity Institute (Good Practice Guidelines BCI2001), το BS25999, το NFPA 1600, το PAS56 και πρότυπα ANSI.

Το BS 25999 είναι πρότυπο που αναφέρεται στη Διαχείριση Επιχειρησιακής Συνέχειας (Business Continuity Management), και εκδόθηκε το Νοέμβριο του 2007 από το British Standards Institution. Από το Νοέμβριο του 2012 θα πρέπει να αποσυρθεί και να αντικατασταθεί από το νέο Διεθνές Πρότυπο, ISO 22301 που εκδόθηκε στις αρχές του 2012

Νίκος Δεπούντης

7

Κύριες διαφορές των προτύπων BS 25999 και ISO 22301

Το ISO 22301 προσφέρει μία κοινή γλώσσα με τα υπόλοιπα συστήματα διαχείρισης μέσω της μεθόδου Plan Do Check Act (PDCA)

Πλήρης σύνδεση ISO 22301 με τη σειρά ISO 31000 (Διαχείριση κινδύνων)

Το ISO 22301 δίνει πολύ μεγαλύτερη έμφαση στον καθορισμό των στόχων, την παρακολούθηση των επιδόσεων και τις μετρήσεις.

Το ISO 22301 περιγράφει με περισσότερη σαφήνεια τις προσδοκίες σχετικά με τη διαχείριση και τις συνοψίζει σε μια ενιαία ενότητα.

Το ISO 22301 απαιτεί πολύ πιο προσεκτικό σχεδιασμό και την προετοιμασία των πόρων που απαιτούνται για τη διασφάλιση της επιχειρησιακής συνέχειας. Οι απαιτήσεις είναι πλέον πιο εκτεταμένες και πιο καλά δομημένες

Νίκος Δεπούντης

8

Βασικές αρχές του ISO 22301

Απευθύνεται σε οργανισμούς κάθε τύπου και μεγέθους, ενώ συνδυάζεται και συμπληρώνει απόλυτα τα άλλα πρότυπα σε συγγενείς περιοχές (όπως το ISO27001 για την Ασφάλεια των Πληροφοριών, το ISO 9001 για την Ποιότητα και το ISO31000 για τη Διαχείριση Κινδύνων).

Το ISO 22301:2012 παρέχει ένα πλαίσιο σε ένα Οργανισμό για να σχεδιάζει, εδραιώνει, εφαρμόζει, λειτουργεί, παρακολουθεί, αναθεωρεί, συντηρεί και συνεχώς να βελτιώνει ένα σύστημα διαχείρισης επιχειρησιακής συνέχειας. (κύκλος του Deming)

Νίκος Δεπούντης

9

Το PDCA μοντέλο στο Σύστημα διαχείρισης επιχειρησιακής συνέχειας

Νίκος Δεπούντης

10

Το PDCA μοντέλο

Plan- Εγκαθιστώ: καθιέρωση πολιτικής, αντικειμενικών σκοπών, στόχων και διεργασιών που είναι απαραίτητοι για την επίτευξη αποτελεσμάτων για την επιχειρησιακή συνέχεια σύμφωνα με την συνολική πολιτική και τους στόχους του οργανισμού.

Do-Εφαρμόζω και λειτουργώ: εφαρμογή και λειτουργία της πολιτικής, των ελέγχων, των διεργασιών και των διαδικασιών για την Επιχειρησιακή συνέχεια.

Check-Παρακολουθώ και Αναθεωρώ: παρακολούθηση και μέτρηση των διεργασιών της Επιχειρησιακής συνέχειας έναντι της πολιτικής, των αντικειμενικών σκοπών και στόχων, των νομικών και άλλων απαιτήσεων, και έκθεση των αποτελεσμάτων.

Act- Συντηρώ και Βελτιώνω: ανάληψη ενεργειών για τη συνεχή βελτίωση της επίδοσης του συστήματος Επιχειρησιακής Συνέχειας.

Νίκος Δεπούντης

11

Λεξιλόγιο

business continuity management system BCMS- σύστημα διαχείρισης της επιχειρησιακής συνέχειας BCMS

business continuity plan – σχέδιο επιχειρησιακής συνέχειας business impact analysis - ανάλυση επιχειρησιακών

επιπτώσεων maximum acceptable outage MAO - μέγιστη αποδεκτή

διακοπή λειτουργίας maximum tolerable period of disruption MTPD- μέγιστη

ανεκτή περίοδος διάσπασης minimum business continuity objective MBCO- ελάχιστος

στόχος επιχειρησιακής συνέχειας recovery point objective RPO - στόχος σημείου

αποκατάστασης recovery time objective RTO - χρονικός στόχος

αποκατάστασης

Νίκος Δεπούντης

12

Βασικές απαιτήσεις του προτύπου

Ο οργανισμός θα πρέπει να καταρτίζει, εφαρμόζει, διατηρεί και βελτιώνει συνεχώς ένα BCMS (Σύστημα Διαχείρισης επιχειρησιακής συνέχειας), που περιλαμβάνει τις διεργασίες που απαιτούνται και τις αλληλεπιδράσεις τους, σύμφωνα με τις απαιτήσεις του προτύπου.

Η ανώτατη διοίκηση θα πρέπει να αποδεικνύει τη δέσμευση της ηγεσίας σε σχέση με το BCMS

Η ανώτατη Διοίκηση θα πρέπει να καταρτίζει μια πολιτική επιχειρησιακής συνέχειας

Η Ανωτάτη Διοίκηση θα πρέπει να εξασφαλίζει ότι οι ευθύνες και οι αρμοδιότητες για σχετικούς ρόλους έχουν εκχωρηθεί και ανακοινώνονται εντός του οργανισμού

Νίκος Δεπούντης

13

Σχεδιασμός

Δράσεις για την αντιμετώπιση των κινδύνων και ευκαιριών

Αντικειμενικοί στόχοι Επιχειρησιακής συνέχειας και σχέδια για την επίτευξή τους

Νίκος Δεπούντης

14

Υποστήριξη

ΠόροιΕπάρκειαΕυαισθητοποίησηΕπικοινωνίαΤεκμηριωμένη πληροφόρηση και έλεγχος

Νίκος Δεπούντης

15

Λειτουργία

Επιχειρησιακός σχεδιασμός και έλεγχοςΑνάλυση επιχειρησιακών επιπτώσεων και

αξιολόγηση των κινδύνων Business impact analysis - Ανάλυση

επιχειρησιακών επιπτώσεων Risk assessment - Αξιολόγηση κινδύνου

Στρατηγική επιχειρησιακής συνέχειας Προσδιορισμός και επιλογή καθορισμός των απαιτήσεων σε πόρους Προστασία και μετριασμός των επιπτώσεων

Νίκος Δεπούντης

16

Κατάρτιση και εφαρμογή διαδικασιών επιχειρησιακής συνέχειας

Δομή αντιμετώπισης συμβάντοςΠροειδοποίηση και επικοινωνίαBusiness continuity plans – Σχέδια

επιχειρησιακής συνέχειαςΑνάκτησηΆσκηση και δοκιμές

Νίκος Δεπούντης

17

Αξιολόγηση των επιδόσεων

Παρακολούθηση, μέτρηση, ανάλυση και αξιολόγηση

Αξιολόγηση των διαδικασιών επιχειρησιακής συνέχειας

Εσωτερική ΕπιθεώρησηΑνασκόπηση από τη Διοίκηση

Νίκος Δεπούντης

18

Βελτίωση

Μη συμμορφώσεις και διορθωτικές ΕνέργειεςΣυνεχής Βελτίωση

Νίκος Δεπούντης

19

Σε ποιους οργανισμούς απευθύνεται;

Σε οποιαδήποτε επιχείρηση, ανεξάρτητα από τον επιχειρηματικό τομέα στον οποίο ανήκει, οποιουδήποτε μεγέθους και ιδιοκτησίας (κρατικής, ιδιωτικής, τρίτου τομέα). Ενδεικτικά αναφέρουμε: Τράπεζες Logistics Εταιρίες IT Τηλεπικοινωνίες Πανεπιστημιακά Ιδρύματα Στρατός

Νίκος Δεπούντης

20

Πιστοποίηση- Διαπίστευση

Η πιστοποίηση του Συστήματος Διαχείρισης Επιχειρησιακής Συνέχειας από ανεξάρτητο διαπιστευμένο φορέα, αποδεικνύει σε όλα τα ενδιαφερόμενα μέρη τη πραγματική δέσμευση του Οργανισμού σε θέματα επιχειρησιακής συνέχειας. Υπογραμμίζει την πραγματική διάθεση του οργανισμού για αυξημένη 'ανθεκτικότητα' και για αυξημένη ανταπόκριση στην αντιμετώπιση των επιχειρηματικών απειλών.

Νίκος Δεπούντης

21

Οφέλη από την υιοθέτηση του προτύπου

Εκπλήρωση της ανάγκης των οργανισμών για μείωση των κινδύνων εκδήλωσης αρνητικών συμβάντων και ενίσχυση της ικανότητας τους για την επιτυχή αντιμετώπιση των συμβάντων αυτών, όταν και αν εκδηλωθούν, προασπίζοντας τη διαθεσιμότητα των προϊόντων και υπηρεσιών τους.

Μείωση των συμβάντων που προκαλούν διακοπές και ασυνέχειες στην επιχειρηματική λειτουργία και απόδειξη της ικανότητας του οργανισμού να λειτουργεί σε ένα σύγχρονο και απαιτητικό περιβάλλον.

Νίκος Δεπούντης

22

Οφέλη από την υιοθέτηση του προτύπου (συνέχεια)

Αντιμετώπιση και ανάκαμψη των επιχειρηματικών λειτουργιών και της ικανότητας του επιχειρείν με τάξη σε περίπτωση αρνητικού συμβάντος η οποία προέρχεται ύστερα από κατάλληλη και επικυρωμένη οργανωσιακή διεργασία.

Εξασφάλιση μέσα από συστηματική προετοιμασία ότι το αποτέλεσμα της προσπάθειας δεν έχει κενά, παραλείψεις, ή εσφαλμένες προσεγγίσεις.

Εναρμόνιση και «προτεραιοποίηση» των επενδύσεων στην Επιχειρηματική Συνέχεια με τους επιχειρηματικούς στόχους και τη στρατηγική του οργανισμού.

Νίκος Δεπούντης

23

Οφέλη από την υιοθέτηση του προτύπου (συνέχεια)

Εξασφάλιση (για τους συμμετόχους) μέσα από την επιθεώρηση από κάποιο φορέα πιστοποίησης, ότι η προετοιμασία που έγινε και οι πόροι που διατέθηκαν, καλύπτουν πραγματικά τις ανάγκες του οργανισμού.

Δημιουργία ανταγωνιστικού πλεονεκτήματος όσον αφορά τη διαθεσιμότητα των προσφερόμενων προϊόντων και υπηρεσιών.

Ανάδειξη της ωριμότητας και πρωτοπορίας της διοίκησης, των μετόχων και του προσωπικού.

Νίκος Δεπούντης

24

Οφέλη από την υιοθέτηση του προτύπου (συνέχεια)

Εξασφάλιση ροών κεφαλαίωνΜείωση του κόστους (π.χ. από ασφαλιστήρια

συμβόλαια)

Νίκος Δεπούντης

25

Ευχαριστώ για τη προσοχή σας…