ISO 22301 Toplumsal Güvenlik ve İş Sürekliliği Yönetim Sistemi

ISO 22301 Toplumsal Güvenlik ve İş Sürekliliği Yönetim Sistemi programı, bir kuruluşun yangın, sel, deprem, uzun süreli elektrik ya da internet kesintisi, siber saldırı, kilit tedarikçinin iflası veya salgın gibi aksaklıklarda kritik faaliyetlerini kabul edilebilir bir düzeyde sürdürebilmesi için gereken yönetim sistemini anlatan 120 saatlik bir eğitimdir. "Toplumsal güvenlik" ifadesi, standardın güvenlik ve dayanıklılık alanındaki uluslararası standart ailesinin bir parçası olmasından gelir; ISO 22301 bu ailenin belgelendirilebilir iş sürekliliği şartlarını içerir.

Program, standardın diğer ISO yönetim sistemleriyle ortak olan bağlam, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme yapısını izler, fakat ağırlığı iş sürekliliğine özgü operasyon bölümüne verir: iş etki analizi, risk değerlendirmesi, süreklilik stratejileri, planlar ve tatbikatlar. Bankalar, hastaneler, lojistik firmaları, veri merkezleri, üretim tesisleri ve kamu hizmeti sunan kuruluşlar bu yaklaşımı hem kendi dayanıklılıkları hem de müşterilerinin tedarik güvencesi talepleri için kullanır.

Eğitim İçeriği

1. Kuruluşun Bağlamı ve Programın Kapsamı

• İş sürekliliği, kriz yönetimi, acil durum yönetimi ve felaket kurtarma kavramlarının ayrımı
• İlgili tarafların beklentileri: müşteri, düzenleyici, sigortacı, tedarikçi
• Sistem kapsamının ürün, hizmet ve lokasyon bazında çizilmesi
• Üst yönetimin taahhüdü, iş sürekliliği politikası ve rollerin atanması

2. İş Etki Analizi (BIA)

• Ürün ve hizmetlerden faaliyetlere inen analiz sırası
• Kesintinin zamana bağlı etkisi: finansal, yasal, itibar ve müşteri boyutu
• Maksimum tolere edilebilir kesinti süresi (MTPD) ve kurtarma süresi hedefi (RTO)
• Kurtarma noktası hedefi (RPO) ve asgari hizmet düzeyinin belirlenmesi
• Faaliyetlerin bağımlılıkları: personel, bina, BT sistemleri, veri, tedarikçi

3. Kesinti Riskinin Değerlendirilmesi

• Öncelikli faaliyetleri durdurabilecek tehditlerin belirlenmesi
• Tek hata noktalarının tespiti
• Olasılık ve etki temelinde risklerin önceliklendirilmesi
• Önleyici ve hafifletici önlemlerin seçilmesi

4. Süreklilik Stratejileri ve Çözümleri

• Alternatif çalışma yeri, uzaktan çalışma ve iş yükünün başka tesise kaydırılması
• Yedekleme, veri çoğaltma ve BT felaket kurtarma çözümleri
• Çift tedarikçi, stok tamponu ve tedarikçi süreklilik şartları
• Çapraz eğitim ve kilit personel yedeklemesi
• Çözüm maliyetinin RTO ve RPO hedefleriyle dengelenmesi

5. Olay Müdahale Yapısı ve İş Sürekliliği Planları

• Olayın algılanması, değerlendirilmesi ve planın devreye alınma kriterleri
• Kriz ekibi, müdahale ekipleri ve karar yetkilerinin belirlenmesi
• Çalışanlara, müşterilere, medyaya ve yetkili mercilere iletişim
• Plan içeriği: görev listeleri, irtibat bilgileri, kaynak listeleri, geri dönüş adımları

6. Tatbikat, Performans Değerlendirme ve İyileştirme

• Masa başı senaryo tatbikatı, işlevsel test ve tam ölçekli tatbikat
• Tatbikat sonrası değerlendirme raporu ve aksiyon takibi
• İş sürekliliği belgelerinin ve yeteneklerinin periyodik değerlendirilmesi
• İç tetkik, yönetimin gözden geçirmesi ve düzeltici faaliyet

Bu Eğitimle Neler Yapabilirsiniz?

• Bir birimin faaliyetleri için RTO, RPO ve asgari hizmet düzeyini gerekçeleriyle belirleyen bir iş etki analizi tablosu hazırlayabilirsiniz.
• Kritik bir hizmetin tek hata noktalarını haritalayıp her biri için süreklilik seçeneği önerebilirsiniz.
• Görev, iletişim ve geri dönüş adımlarını içeren bir iş sürekliliği planı yazabilirsiniz.
• Veri merkezi kaybı ya da ana tedarikçinin durması gibi bir senaryo için masa başı tatbikat tasarlayıp yönetebilirsiniz.
• Tatbikat bulgularını düzeltici faaliyetlere ve plan revizyonuna dönüştürebilirsiniz.

Kimler Katılabilir?

• Risk yönetimi, iç kontrol ve uyum birimlerinde çalışanlar
• BT altyapı, felaket kurtarma ve bilgi güvenliği ekipleri
• Tesis, operasyon ve tedarik zinciri yöneticileri
• Kuruluşunda ISO 22301 belgelendirme projesine katılacak kişiler

Belirli bir ön koşul yoktur; başka bir ISO yönetim sistemi standardını tanımak ortak bölümleri hızla kavramanızı sağlar.

Çalışırken İpucu

Çalıştığınız yerde müşteriye dönük tek bir hizmet seçin ve "bu hizmet yarın sabah dört saat duramaz, sekiz saat durursa ne olur, iki gün durursa ne olur" sorularını yazılı olarak yanıtlayın. Ardından bu hizmetin çalışması için gereken kişileri, sistemleri ve tedarikçileri listeleyin. Bu küçük analiz, eğitimdeki BIA, strateji ve plan bölümlerini sırasıyla uygulayabileceğiniz somut bir vaka dosyasına dönüşür.

Sık Sorulan Sorular

İş sürekliliği ile BT felaket kurtarma aynı şey mi?

Hayır. Felaket kurtarma, sistemlerin ve verinin geri getirilmesine odaklanır. İş sürekliliği ise insan, bina, tedarikçi ve iletişim dahil tüm kaynaklarla faaliyetin sürdürülmesini ele alır; BT kurtarma bunun bir parçasıdır.

RTO ile RPO arasındaki fark nedir?

RTO, kesintiden sonra faaliyetin ne kadar sürede yeniden başlaması gerektiğini; RPO ise geri dönüldüğünde ne kadar geriye ait verinin kaybını göze alabileceğinizi ifade eder.

Deprem riski yüksek bir bölgedeyiz; program buna değiniyor mu?

Doğal afetler senaryo ve risk değerlendirmesi örnekleri arasında yer alır. Program, tehlikeden bağımsız düşünmeyi öğretir: binaya erişim kaybı, personel kaybı ve altyapı kaybı gibi etkiler üzerinden plan kurulur.

ISO 22301 ile ISO 27001 birlikte uygulanabilir mi?

Evet. İki standart aynı üst düzey yapıyı paylaşır; bilgi güvenliğinin süreklilik boyutu ve BT kurtarma planları iki sistemde ortak kullanılabilir.