E-ITS DER.4: avariihaldus ja talitluspidevuse kontseptsioon

Õiguslik alus (Eesti infoturbestandard)

Eesti infoturbestandard DER.4 p 1.1

> 1.1. Eesmärk Esitada meetmed infoturbe ja jätkuvuse halduse tagamiseks avariiolukordades.

Eesti infoturbestandard DER.4.M7

> DER.4.M7 Avariikontseptsioon [organisatsiooni juhtkond] (C-I-A)

a. On määratud kriitilised äriprotsessid ja nendega seotud varad (nt äritoime analüüsi abil).

b. On tuvastatud kriitiliste äriprotsesside ja varadega seotud olulised riskid.

c. Iga riski korral otsustatakse, millist strateegiat riskikäsitluses rakendatakse.

d. Avariikontseptsiooni osana on valitud meetmed ja koostatud tegevuskavad kriitiliste äriprotsesside taaskäivituseks ja taasteks. Taastamine peab olema võimalik kokkulepitud aja piires.

e. Avariikontseptsioonis on esitatud avariiolukorras tegutsemisel kasutatavad turvameetmed.

Mida see praktikas tähendab

Avariihaldus tähendab lihtsalt öeldes seda, et organisatsioon on ette mõelnud, mis juhtub siis, kui midagi läheb tõsiselt katki. Standardi selle osa eesmärk on esitada meetmed infoturbe ja jätkuvuse halduse tagamiseks avariiolukordades. Ehk: turvalisus ja tegevuse jätkumine ei tohi kaduda hetkel, mil süsteem, hoone või teenus välja langeb — just siis peavad nad kõige paremini toimima.

Keskne nõue on avariikontseptsioon, mille eest vastutab organisatsiooni juhtkond. See ei ole tehniline dokument IT-osakonna sahtlis, vaid juhtimisotsus. Kontseptsioon katab kõiki kolme infoturbe põhiomadust — konfidentsiaalsust, terviklust ja käideldavust.

Praktikas koosneb see loogilisest ahelast:

• Mis on tegelikult kriitiline? Määratakse kriitilised äriprotsessid ja nendega seotud varad — näiteks äritoime analüüsi abil.
• Mis võib neid tabada? Tuvastatakse kriitiliste äriprotsesside ja varadega seotud olulised riskid.
• Mida me iga riskiga teeme? Iga riski korral otsustatakse, millist strateegiat riskikäsitluses rakendatakse.
• Kuidas me püsti tõuseme? Avariikontseptsiooni osana valitakse meetmed ja koostatakse tegevuskavad kriitiliste äriprotsesside taaskäivituseks ja taasteks.
• Kuidas me kriisi ajal turvalisust hoiame? Avariikontseptsioonis esitatakse avariiolukorras tegutsemisel kasutatavad turvameetmed.

Üks nõue väärib eraldi rõhutamist: taastamine peab olema võimalik kokkulepitud aja piires. See tähendab, et taasteaeg ei ole "nii kiiresti kui suudame", vaid organisatsioonisiseselt kokku lepitud ja kirja pandud suurus, mille vastu saab tegevuskavasid ka päriselt kontrollida.

Mida ettevõte peab tegema

Esimene samm on omanikustamine. Kuna avariikontseptsioon on juhtkonna vastutusala, tuleb juhatuse tasandil määrata, kes kontseptsiooni koostamist veab ja kes selle kinnitab. Juhtkonna otsus on ka see, millised äriprotsessid loetakse kriitiliseks — seda ei saa delegeerida üksnes IT-le, sest tegemist on ärialase hinnanguga.

Teine samm on alusanalüüs. Koostage nimekiri kriitilistest äriprotsessidest ja nendega seotud varadest, kasutades selleks näiteks äritoime analüüsi. Iga kriitilise protsessi ja vara juurde märkige sellega seotud olulised riskid ning fikseerige kirjalikult, millist riskikäsitluse strateegiat konkreetse riski puhul rakendatakse. Ilma selle sisendita jäävad taastekavad õhku rippuma, sest pole teada, mida täpselt kaitstakse.

Kolmas samm on dokumendi enda koostamine. Avariikontseptsioon peab sisaldama valitud meetmeid ja tegevuskavasid kriitiliste äriprotsesside taaskäivituseks ja taasteks ning eraldi ka avariiolukorras tegutsemisel kasutatavaid turvameetmeid. Leppige organisatsioonis kokku taasteaeg iga kriitilise protsessi kohta ja veenduge, et koostatud tegevuskavad võimaldavad taastamist selle kokkulepitud aja piires — vastasel juhul tuleb kas meetmeid tugevdada või kokkulepet üle vaadata.

Neljas samm on hoidmine elus. Määrake vastutaja, kes uuendab avariikontseptsiooni siis, kui muutuvad äriprotsessid, varad või riskipilt, ning hoidke dokument kättesaadavana ka olukorras, kus põhisüsteemid on maas. Kui vajate täiendavat tuge nõuete tõlgendamisel, lähtuge Riigi Infosüsteemi Ameti (RIA) avaldatud juhistest.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.