Ünite 3. İş Sürekliliği Yönetim Sistemi
• BCMS nedir?
• Her Şeyi Ayarlama
BCMS Politikası vs BCMS Programı: Aradaki Fark Nedir?
• Herkesi Gemiye Almak
• Neyin Ne Olduğunu Öğrenmek
• Bir sürecin kritiklik düzeyini nasıl ölçebilirim?
• BIA nasıl gerçekleştirilir
• BIA’dan sonra, CRA: Süreklilik Gereksinimleri Analizi
• Son olarak, Tehdit Değerlendirmesi
• Neyin Ne Olduğunu Bulma (Adım Adım)
• A Noktasından B Noktasına Nasıl Gidilir
• Planlar, planlar ve sadece planlar
• Çalışıp Çalışmadığını Görmek İçin Her Şeyi Test Etmek
BCMS nedir?
Bir iş sürekliliği yönetim sistemi, bir kuruluşun ürün veya hizmetlerinin sürekli olarak sunulmasını sağlamak için gerekli tüm faaliyetleri teşvik eden ve sürdüren organize uygulamalar bütünüdür.
ISO 22301: 2019, yeterince işlevsel bir BCMS için gereklilikleri ortaya koyan ana uluslararası standarttır, ancak piyasada kuruluşunuzda nasıl uygulanacağını gösteren birçok metodoloji vardır.
ISO 22313: 2020, ISO 22301’in içeriğini detaylandırmaktadır, ancak aşağıda İş Sürekliliği Enstitüsü tarafından kavramsallaştırıldığı şekliyle uygulama için genel adımları görmektesiniz.
Her Şeyi Ayarlama
Her BCMS’nin etkili olabilmesi için yeterli desteği ve kaynağı alması gerekir. Sadece kuruluşun üst yönetimi, hem başlangıçta hem de yıllar boyunca bunun böyle olmasını sağlayabilir.
Buna göre, üst yönetim aşağıdaki dört sorunun cevabı konusunda hiçbir şüphe olmadığından emin olmalıdır:
1. BCMS’nin kapsamı nedir?
2.BCMS’den kim sorumludur?
3.Stratejik ve operasyonel hedefleri nelerdir?
4.Kurum kültürü BCMS’yi kabul etmeye hazır mı?
BCMS Politikası vs BCMS Programı: Aradaki Fark Nedir?
Birçok kuruluş, kuruluşun İSYS Politikasını İSYS Programı ile karıştırmaktadır. Gerçekten de kuruluşların, doğru anlaşıldığında kendi İSYS Programı olan bir belge tanımlayıp buna İSYS Politikası adını vermeleri oldukça yaygındır. Gerçekte, iki belge birbirinden çok farklıdır.
“Eğer nereye gittiğinizi bilmiyorsanız,
başka bir yere gidersiniz.” – Yogi Berra
Herkesi Gemiye Almak
İSYS’nin yeterli kaynağı sağlandıktan ve tanıtımı yapıldıktan sonra, kuruluşun kültürünün ve çalışanlarının yeni yönetim sistemini özümsemeye ve sürdürmeye hazır olmalarını sağlamak için çaba gösterilmesi gerekir.
Bu aşamanın temel hedefleri şunlardır:
1.Herkesin ortak bir operasyonel dil konuşmasını sağlamak
2.Personelin BCMS rollerine ilişkin 360° farkındalığın geliştirilmesi
3.İş sürekliliğinin günlük faaliyetlere dahil edilmesi
Bunu yapmanın birçok yolu vardır.
İş sürekliliğini bir kuruluşa yerleştirmek sürekli bir çabadır. Diğer tüm yönetim uygulamaları gibi, düzenli olarak sürdürülmesi gerekir.
Düzgün bir şekilde sürdürüldüğü takdirde, iş sürekliliğinin kuruma getirebileceği uzun vadeli birçok yan fayda vardır.
Neyin Ne Olduğunu Öğrenmek
Analiz aşamasında kuruluş, iş etki analizi (veya BIA) adı verilen bir analiz gerçekleştirerek şunları belirler
1.Kuruluşun kritik süreçleri
2.Kurtarma öncelikleri (kritik süreçler arasında hangileri diğerlerinden daha kritik?)
3.Süreklilik kaynak gereksinimleri, yani bir kesintiden sonra süreç çıktısını minimum kabul edilebilir seviyelerde devam ettirmek için gerekli araçlar ve varlıklar
KED sırasında, sonuçların mümkün olduğunca objektif ve karşılaştırılabilir olması için öznel görüşler dikkate alınmamalıdır.
Bir sürecin kritiklik düzeyini nasıl ölçebilirim?
BIA mümkün olduğunca objektif olmalıdır. Bu, özellikle kritiklik seviyeleri için, kuruluşun kritik ve kritik olmayan süreçlerin yanı sıra daha fazla ve daha az kritik süreçler arasında ayrım yapmasına olanak tanıyan ölçülebilir bir kriter olmasını gerektirir.
Bu kriter genellikle RTO ya da kurtarma süresi hedefi olarak bilinir. Bir sürecin kritikliği, en kötü senaryoda kurum üzerindeki etkiler kabul edilemez hale gelmeden önce kurumun bu sürecin kesintiye uğramasına tahammül edebileceği süre olarak tanımlanır.
Dolayısıyla kuruluş neyin kabul edilebilir ve kabul edilemez etkiler ve zaman dilimleri (“etki eşikleri”) oluşturduğunu tanımlayabilir ve sonuç olarak analiz sırasında uygulanabilecek bir RTO ölçeği türetebilir.
BIA nasıl gerçekleştirilir
Her kuruluşun kendine özgü bir iş etki analizi yapma yöntemi olacaktır, ancak çoğu kuruluş etki eşiklerini bir süreç sahibine göstererek ve şu soruyu sorarak başlar: En kötü senaryoda (işlerin en yoğun olduğu zamanlar gibi) normal faaliyetlerinizi uzun bir süre boyunca tamamlayamazsanız, bunun kuruluş üzerindeki etkileri ne olur?
Aşağıdaki ipuçlarını akılda tutarak süreç sahibine değerlendirmelerinde yardımcı olmak önemlidir:
1.Kesinti olasılığını göz önünde bulundurmayın
2.Şu anda aktif olan süreklilik stratejilerini/taktiklerini dikkate almayın
3.Şu anda aktif olan kurtarma planlarını dikkate almayın
Süreç sahibi, hem mevcut stratejilerin/taktiklerin/planların etkinliğini değerlendirmek hem de gerçekten kritik süreçlere – halihazırda koruma altında olma eğiliminde olanlara – uygun önceliğin verilmesini sağlamak için kuruluş üzerindeki “brüt” etkiyi değerlendirmelidir.
BIA’dan sonra, CRA: Süreklilik Gereksinimleri Analizi
Bir kuruluşun kritik süreçlerinin iyi bir şekilde anlaşılmasından sonra, bir sonraki adım süreklilik gereksinimleri analizinin (CRA) gerçekleştirilmesidir. Kuruluşun her bir kritik sürecin çalışması için neye ihtiyacı olduğunu anlaması gerekir, böylece zamanı geldiğinde, bir olay veya kesinti karşısında bu kaynakların kullanılabilir olmasını sağlamak için etkili stratejiler uygulanabilir.
AĢağıdakiler, süreç sahiplerinin analiz aĢamasında detaylandırması gereken yaygın süreklilik gereksinimleridir.
Son olarak, Tehdit Değerlendirmesi
Kuruluşun gerçekleştirmesi gereken son analiz faaliyeti, kritik süreçlerine özgü tek hata noktalarını ve kabul edilemez risk seviyelerini belirlemek için bir tehdit değerlendirmesidir.
Neyin Ne Olduğunu Bulma (Adım Adım)
A Noktasından B Noktasına Nasıl Gidilir
Analiz bilgi sağlar. Tasarım aşaması, kuruluşun aşağıdakilerden emin olmak için stratejiler ve çözümler “tasarlamaya” çalıştığı aşamadır:
1.Kurtarma öncelikleri karşılanır
2.Tehditler ve güvenlik açıkları azaltılır
3.Kaynak gereksinimleri dağıtılabilir
Bunu yapmak için kuruluş, onaylanan herhangi bir tedbirin gerçekçi, etkili olmasını ve mevcut veya önerilen diğer stratejilerle çelişmemesini sağlamak için hedeflerini mevcut kaynaklarıyla karşılaştırmalıdır.
Bir kuruluşun tasarlayacağı ve seçeceği stratejiler ve çözümler, çoğu durumda, analizde belirlenen kurtarma öncelikleriyle uyumlu olacaktır.
Özellikle, teyit edilen RTO’ların gerçekçi olması önemlidir – ve bunu sağlamak için çeşitli stratejiler vardır.
Planlar, planlar ve sadece planlar
Kuruluş, iş sürekliliği stratejilerini ve taktiklerini belirledikten sonra, bunların tam olarak uygulanmasını iş sürekliliği planlarında (BCP’ler) ortaya koymalıdır.
Başarılı BCP’lerin birkaç ortak özelliği vardır:
1.Özlü, uyarlanabilir ve konuyla ilgilidirler
2.Bunlar pratik belgelerdir, sadece okunmak için değil, kullanılmak için yapılmışlardır
3.Sürekli güncellenir ve test edilirler
Bir kuruluşun BCP’leri senaryodan bağımsız olmalı, bir iş kesintisinin nedenini düzeltmeye değil, kuruluşun buna tepki vermeye hazır olmasını sağlamaya odaklanmalıdır:
•Alan kaybı
•Personel kaybı
•BT/teknoloji kaybı
•Tedarikçi/tedarik kaybı
Çalışıp Çalışmadığını Görmek İçin Her Şeyi Test Etmek
Etkili bir BCMS’nin son adımı, kuruluşun iş sürekliliği yönetim yapılarını “stres testine” tabi tutması ve nerede etkili olduklarını ve nerede geliştirilebileceklerini görmesi gereken doğrulama aşamasıdır.
İş sürekliliği sürekli bir iyileştirme döngüsüdür. Her yıl, her döngüde dersler çıkarılır ve çıkarımlar yinelemeli olarak dahil edilmelidir.
Her şeyi ilk seferde doğru yapmak şart değildir. Bu iyi bir şey de değildir. “Hiçbir hata bulamayan bir tatbikat mükemmel bir başarısızlıktır.” Her zaman geliştirilebilir alanlar vardır ve bir kuruluşun tatbikatları bunları tespit etmiyorsa, tatbikatların kendisi etkili değil demektir.
