看到營運持續(business continuity)大家可能會想到舊版ISO27001:2013當中的A.17.1資訊安全持續,事實上在新版ISO27001:2022裡資訊安全持續被放到A.5.29服務中斷期間的資訊安全,強調的是確保資訊安全三面向(機密性、完整性、可用性)的持續性。
新控制項A.5.30營運持續之資通訊準備(ICT readiness for business continuity)即導入ISO27031營運持續之資通訊準備指引的精神,希望組織在進行營運衝擊分析(business impact analysis, BIA)時,將ICT回復服務所需的RTO及步驟納入考量,並發展出一套ICT持續性計畫(ICT continuity plans),確保關鍵營運項目在任何情況中斷時,ICT服務/基礎設施資訊與相關資產的可用性。
舉例,我們在建立ISMS時常設計一個情境:發現本機資料誤刪,從雲端喚起備份檔進行補救。在這個情境設定下,我們必須衍伸聯想:可能有哪些狀況會導致「雲端-本機」雙向網路中斷、需要多少RTO、需要採取哪些步驟…
這些內容要有完整的規劃、實施、維護、測試程序,即可符合A.5.30營運持續之資通訊準備這項新要求。
תגובות