Ett ramverk för operativ motståndskraft är den operativa modell en organisation använder för att hålla sina viktigaste tjänster igång även under störningar, byggd kring namngivna tjänster, överenskomna toleranser för hur länge de kan vara nedsatta och bevis på att båda har testats. Det är inte ett policydokument. Det är den struktur som omvandlar en regulatorisk förväntan till något som en organisation faktiskt kör, månad efter månad, och kan visa upp på begäran.
- Viktiga affärstjänster, namngivna ur kundens synvinkel snarare än organisationsschemat.
- Stöttoleranser som anger den maximala tolererbara störningen för var och en, i siffror.
- Beroendekartläggning som spårar personerna, systemen, leverantörerna och lokalerna bakom varje tjänst.
- Scenarietestning mot allvarliga men troliga händelser, inte bekväma sådana.
- En åtgärdsplan för de avslöjanden som uppstått vid gaptestning, med ägare och datum.
- Styrning och en skriftlig självbedömning som håller allting aktuellt och försvarbart.
Vad är ett ramverk för operativ motståndskraft?
Ett ramverk besvarar en fråga som en policy inte kan: hur kan organisationen fortsätta att fungera när något går sönder, och hur kan vi veta det innan det händer? Brittiska tillsynsmyndigheter har kommit fram till ett konsekvent svar. Istället för att be företag att förhindra varje misslyckande, ber de dem att anta att misslyckanden kommer att inträffa och att bevisa att de kan hantera det inom en gräns de har satt och försvarat.
Den förändringen förändrar vad ramverket måste innehålla. Förebyggande ramverk katalogiserar kontroller. Ett ramverk för operativ motståndskraft utgår från den tjänst som kunden är beroende av, arbetar bakåt genom allt som tjänsten är beroende av och sätter en försvarbar gräns för hur länge den kan försämras innan skadan blir oacceptabel. Kontroller spelar fortfarande roll, men de är bevis snarare än målet.
Den här sidan behandlar själva ramverket. För definitionen, regelverket och hur disciplinen relaterar till affärskontinuitet, se operativ motståndskraft.
Vilka är komponenterna i ett ramverk för operativ motståndskraft?
Sex komponenter, i ordning. Var och en är beroende av den föregående, vilket är anledningen till att ramverk som sätts ihop i fel ordning tenderar att kollapsa under testning.
- identifieraLista de tjänster vars fel skulle orsaka oacceptabel skada för kunder eller marknadens integritet. De flesta organisationer börjar med för många och förfinar dem.
- KartaSpåra varje tjänst från början till slut, genom de människor, processer, teknik, anläggningar, data och tredje parter den är beroende av. Kartläggning är där dolda enskilda felpunkter dyker upp.
- Toleranser: ange den maximala tolererbara störningen för varje tjänst, uttryckt som tid och volym snarare än ett adjektiv.
- TestaKör allvarliga men rimliga scenarier och observera om tjänsten håller sig inom toleransgränsen. Ett test som kräver att allt klarar var inte tillräckligt allvarligt.
- Avhjälpa: åtgärda det som testningen avslöjade, med namngivna ägare, datum och en förteckning över vad som ändrades.
- Styra: håll det under styrelsens tillsyn, granska det löpande och upprätthåll den skriftliga självbedömningen som förklarar dina bedömningar.
Vilka bevis producerar varje komponent?
Varje komponent i ramverket producerar en specifik artefakt, och dessa artefakter är vad en handledare, en revisor eller en större kund faktiskt ber om att få se. Detta är det mest användbara testet för att se om ett ramverk fungerar: om en komponent inte producerar någonting fungerar det inte, oavsett vad dokumentationen säger.
| Komponent | Bevis begärs | Var det kommer ifrån |
|---|---|---|
| identifiera | Listan över viktiga affärstjänster och resonemanget bakom var och en av dem | En styrelsegodkänd dokumentation, som granskas vid verksamhetsförändringar snarare än årligen |
| Karta | En aktuell beroendekarta för varje tjänst, som når ut till leverantörer och lokaler | Data om tillgångar, leverantörer och processer underhålls som en del av den normala verksamheten |
| Toleranser | Toleransen för varje tjänst och analysen som motiverade antalet | Konsekvensanalys, överenskommen på den nivå som äger risken |
| Testa | Scenariotester som visar datum, deltagare och vad som faktiskt hände | Träningsloggar som samlas in under testet, inte skrivs ner efteråt |
| Avhjälpa | Varje funnen sårbarhet, dess ägare, dess måldatum och dess nuvarande status | En logg över korrigerande åtgärder kopplad till testet som fann det |
| Styra | En skriftlig självbedömning som förklarar de bedömningar du har gjort | Underhålls kontinuerligt medan ramverket körs |
Det som skiljer ett ramverk som håller måttet från ett som inte gör det är sällan huruvida dessa artefakter överhuvudtaget existerar. Det handlar om huruvida toleranserna kan försvaras, om kartläggningen återspeglar verksamheten som den fungerar idag och om självbedömningen beskriver den organisation som faktiskt existerar. Den som granskar ramverket tenderar att komma fram till dessa tre frågor, oavsett om de är en handledare, en extern revisor eller en större kund som utför due diligence. De regulatoriska detaljerna bakom disciplinen finns på sidan om operativ motståndskraft , med sektorspecifika förväntningar på motståndskraft för finans.
Det finns en större bild bakom detta.
Den här sidan täcker en del av företags motståndskraft. Real Resilience – IO:s ramverk för att koppla samman säkerhet, integritet och AI-styrning – är där hela bilden kommer samman.
Hur bygger man ett ramverk för operativ motståndskraft?
Ordningen nedan återspeglar var organisationer kör fast snarare än en idealiserad projektplan. De svåra delarna är det andra och tredje steget, och att hoppa över dem är det som ger ett ramverk som är läsbart och misslyckas med testning.
- Definiera tjänster utifrån och in: beskriver vad kunden får, inte vilken avdelning som levererar det. En tjänst som passar in snyggt i din interna struktur är vanligtvis en process, inte en tjänst.
- Ställ in toleransen innan du vet om du kan uppfylla den: avgör punkten då skada blir oacceptabel på egen hand. Att arbeta baklänges från nuvarande förmåga producerar en tolerans som du alltid kan möta och det säger dig ingenting.
- Karta till djupet där beslut ändrastillräckligt med detaljer för att se de enskilda felpunkterna och koncentrationsrisk hos era leverantörer, och inte mer. Kartläggningsprojekt misslyckas genom att sträva efter fullständighet.
- Välj scenarier som faktiskt skulle kunna hända dig: fallissemang av en namngiven kritisk leverantör, förlust av ett datacenter, en ransomware-händelse, avskedet av det enda teamet som förstår ett äldre system.
- Registrera misslyckandena ärligtEn testlogg som visar intrång och de korrigeringar som följde är starkare bevis än en obruten serie av testpass, vilket främst väcker frågan om scenarierna var tillräckligt allvarliga.
- Tilldela sårbarheternaVarje lucka får en ägare, ett åtgärdsdatum och en väg till brädet när den glider.
- Skriv självbedömningen allt eftersom: sammanställs en gång om året ur minnet, det är ett dokument. Underhålls kontinuerligt och fungerar som ramverkets revisionslogg.
Hur skiljer sig detta från ett ramverk för företags motståndskraft?
De två blandas ofta ihop, och skillnaden är mer praktisk än akademisk. Operativ motståndskraft är en reglerande disciplin med ett definierat omfång: viktiga affärstjänster och de toleranser som är kopplade till dem. Affärsmotståndskraft är bredare och täcker organisationens förmåga att absorbera förändringar av alla slag, inklusive säkerhets-, integritets- och AI-risker samt störningar.
I praktiken sitter det ena inuti det andra. Operativ motståndskraft ger dig servicevyn och toleranserna. Det bredare ramverket för affärsmotståndskraft ger dig den kontrolluppsättning som servicevyn är beroende av, och mekanismen som hindrar att varje ny reglering besvaras med ett separat program. Om du väljer var du ska börja och du omfattas av regler för operativ motståndskraft, börja där, eftersom omfattningen och gränserna sätts externt snarare än av dig. Om du inte gör det är det bredare ramverket en bättre utgångspunkt.
Kontinuitetsplanering är den tredje relaterade disciplinen. Den tillhandahåller planer och återställningsmål som gör att en tjänst håller sig inom sina toleransgränser och omfattas av affärskontinuitet.
Kom igång enkelt med en personlig produktdemo
En av våra introduktionsspecialister kommer att guida dig genom vår plattform för att hjälpa dig komma igång med självförtroende.
Hur stöder Resilience Loop operativ motståndskraft?
Varje komponent i ett ramverk för operativ motståndskraft vilar på kontroller som redan finns någonstans i din organisation. Åtkomsthantering, säkerhetskopiering och återställning, leverantörsbedömning, incidenthantering och ändringskontroll är de maskiner som gör en tolerans uppnåelig. Problemet är sällan att dessa kontroller saknas. Det är att varje ramverk efterfrågar dem separat, så samma kontroll dokumenteras tre gånger och ingen av dem är väl dokumenterad.
Resilience Loop kör informationssäkerhet enligt ISO 27001 , dataskydd enligt ISO 27701 och AI-styrning enligt ISO 42001 som ett sammankopplat system. Operativ motståndskraft blir en ytterligare lins över samma kontrolluppsättning snarare än ett parallellt program. En leverantörsbedömning som utförs en gång tjänar kartläggningsövningen, säkerhetsstandarden och integritetsstandarden tillsammans. Kontinuitetsförmågan specificeras och certifieras enligt ISO 22301 , som tillhandahåller det ledningssystem som håller planerna ägda och testade.
Hur håller du bevisen aktuella?
Varje ramverk producerar rätt artefakter minst en gång. Svårigheten är att de förfaller tyst. En beroendekarta är korrekt den dag den ritas och fel i det ögonblick då en leverantör byter. En tolerans som överenskommits för två år sedan kanske inte längre motsvarar den skada den riktades mot. Ingenting förebådar något av detta, så gapet mellan det dokumenterade ramverket och det fungerande tenderar att öppnas tyst och komma till ytan vid värsta möjliga tillfälle.
Skillnaden ligger i när bevisen skapas. Den produceras som en biprodukt av att ramverket drivs, är per definition aktuell och det finns inget att rekonstruera. Den sammanställs inför en granskning och dokumenterar vad organisationen trodde om sig själv snarare än hur den fungerar, och den skillnaden är precis vad en närmare granskning avslöjar. Metoden beskrivs i hur man bevisar resiliens , och Resilience Score ger dig en baslinje innan du börjar.
Varför välja ISMS.online för ett ramverk för operativ motståndskraft?
Ett ramverk är bara så bra som det är aktuellt. ISMS.online är byggt för att hålla tjänstevyn, kartläggningen och bevisen i takt med hur du faktiskt arbetar.
- En kontrolluppsättning, varje ramverkkartlägg kontroller en gång och återanvänd dem över operativ motståndskraft, ISO 27001, ISO 27701, ISO 42001 och ISO 22301 istället för att bygga om för varje.
- Tjänster kopplade till vad de är beroende av: koppla viktiga affärstjänster till kontrollerna, leverantörerna och tillgångarna bakom dem, så att en förändring i det ena syns i det andra.
- Testrapporter och resultat på ett ställeschemalägga scenariotester, fånga upp vad som misslyckades och spåra åtgärd till avslut tillsammans med själva ramverket.
- Bevis redo på begäran: ta fram den aktuella bilden för en handledare, en revisor eller en kund utan en rekonstruktion.
- Tredjepartsrisk i samma system: bedöm och övervaka de leverantörer som dina toleranser i tysthet är beroende av.
- Informerad av djupgående expertisGuidad implementering av specialister som har kört dessa ramverk inom reglerade organisationer.
- Byggd för brittiska och reglerade marknaderUtformad för organisationer som måste bevisa motståndskraft gentemot handledare och vinna kontrakt.
Se hur det passar ihop på plattformen för företagsresiliens , eller boka en demo.
Vanliga frågor
Vad är ett ramverk för operativ motståndskraft, enkelt uttryckt?
Det är hur en organisation identifierar de tjänster dess kunder inte kan klara sig utan, bestämmer hur länge var och en kan störas innan skadan blir oacceptabel, räknar ut allt dessa tjänster är beroende av och testar sedan om gränserna håller. Ramverket är den struktur som håller dessa fyra saker aktuella och bevisade snarare än nedskrivna en gång.
Vad är en stöttolerans?
En tolerans för påverkan är den maximala nivån av störningar i en viktig affärstjänst som en organisation är beredd att acceptera, uttryckt som en mätbar gräns, såsom ett antal timmar eller en volym misslyckade transaktioner. Den är medvetet satt från den punkt då skadan blir oacceptabel, inte från vad organisationen för närvarande kan uppnå, vilket är anledningen till att en väl satt tolerans ofta är obekväm till en början.
Är ett ramverk för operativ motståndskraft endast för finansiella tjänster?
Den regulatoriska skyldigheten ligger huvudsakligen på finansiella tjänster, men det gör inte metoden. Telekom, hälso- och sjukvård och leverantörer av hanterade tjänster har motsvarande förväntningar inom sina egna system, och alla organisationer med avtalsenliga åtaganden om tillgänglighet drar nytta av samma disciplin. Serviceperspektivet och toleransen är användbara ledningsverktyg oavsett vem som övervakar dig.
Vilken standard bör ett ramverk för operativ motståndskraft byggas på?
Ingen enskild standard täcker det, eftersom kraven kommer från tillsynsmyndigheter snarare än från en certifierbar specifikation. I praktiken bygger ramverket på flera: ISO 22301 för kontinuitetshantering, ISO 27001 för de säkerhetskontroller som tjänsterna är beroende av, och ISO/IEC 27031 för IKT-beredskap. Att arbeta enligt dessa standarder ger dig de flesta bevis som en handledare begär, i en form som redan har granskats oberoende.
Hur ofta bör ramverket ses över?
Minst årligen under hela cykeln, med scenariotestning enligt ett schema under året och kartläggning som uppdateras när något väsentligt förändras. En ny leverantör, en systemmigrering, ett förvärv eller en lärdom från en live-incident bör alla utlösa en granskning snarare än att vänta på det årliga datumet. Kartläggning som halkar efter organisationen är en vanlig svaghet, och den undergräver varje komponent som är beroende av den.
