Liiketoimintavaikutusten analyysi on tehtävä, jolla määritetään, mitkä toiminnoista ovat tärkeimpiä, mitä tapahtuisi, jos kukin niistä pysähtyisi, ja kuinka nopeasti ne on palautettava. Se tuottaa palautumisprioriteetit ja aikataulut, joita varten jokainen jatkuvuus- ja palautumissuunnitelma sitten rakennetaan. Oikein tehtynä se on hyödyllisin osa jatkuvuussuunnittelua, koska kaikki myöhemmässä vaiheessa perii omat arvionsa. Huonosti tehtynä se ohjaa hiljaa koko ohjelmaa harhaan.
- Toiminnot luokitellaan niiden lopettamisesta aiheutuvan haitan mukaan, ei sen mukaan, kuinka tärkeäksi osasto kokee itsensä.
- Jokaiselle on toipumisaika, joka johdetaan siitä, milloin vahinko muuttuu sietämättömäksi.
- Riippuvuudet, joihin kukin toiminto perustuu, mukaan lukien ne, joita kukaan ei ollut kirjoittanut muistiin.
- Aluksi kelpaava vähimmäispalvelutaso täyden kapasiteetin olettamatta.
- Vapauta vastuu seurauksista, jotta prioriteetit pysyvät paineen alla.
Mikä on liiketoimintavaikutusten analyysi?
Liiketoimintavaikutusten analyysi, joka yleensä lyhennetään BIA:ksi, on jäsennelty arviointi toiminnan keskeytymisen seurauksista. Siinä tarkastellaan organisaation jokaista toimintoa, kysytään, mitä tapahtuisi, jos se pysähtyisi, ja seurataan, miten vahinko kasvaa ajan myötä. Tulos ei ole dokumentti sinänsä. Se on luokiteltu luettelo toiminnoista, joihin on liitetty palautumisaikataulu, josta kaikki muut jatkuvuuspäätökset riippuvat.
Olennainen ero on riskinarvioinnin ja vaikutusanalyysin välillä. Riskinarvioinnissa kysytään, mitä saattaa tapahtua ja kuinka todennäköistä se on. Liiketoiminta-analyysi ei välitä todennäköisyydestä. Se olettaa, että keskeytys on tapahtunut, ja kysyy, kuinka paljon se sattuu ja kuinka nopeasti. Siksi nämä kaksi täydentävät toisiaan ja miksi toisen korvaaminen toisella jättää aukon: päädyt joko suojaamaan itse nimettäviä syitä vastaan ja jättämään seuraukset huomiotta, tai päinvastoin.
Liiketoiminta-analyysi on liiketoiminnan jatkuvuuden alla määritellyn laajemman syklin analyysivaiheessa , ja sen tuottamat prioriteetit tukevat siinä kuvattuja suunnitelmia.
Mitä liiketoimintavaikutusten analyysi tuottaa?
Neljä tuotosta, ja suunnitelma, josta jokin niistä puuttuu, perustuu oletuksiin eikä analyysiin. Palautumismittarit ovat se osa, jonka kanssa ihmiset kamppailevat, koska ne näyttävät teknisiltä parametreilta, mutta ovat itse asiassa liiketoimintaharkintoja.
| ulostulo | Mitä se tarkoittaa | Miten se päätetään |
|---|---|---|
| MTPD | Keskeytymisen enimmäiskesto. Piste, jossa toiminnan keskeyttämisestä aiheutuva haitta muuttuu organisaatiolle sietämättömäksi. | Seurauksista vastuussa olevien ihmisten tekemä liiketoiminta-arvio. |
| RTO | Palautumisaikatavoite. Tavoite, jonka mukaan aktiviteetti saadaan taas toimimaan. Tavoite asetetaan keskimääräisen palautumisajan (MTPD) sisälle, jotta on liikkumavaraa. | Johdettu MTPD:stä, ei koskaan asetettu siitä riippumatta. |
| RPO | Palautumispisteen tavoite. Kuinka paljon viimeaikaista dataa sinulla on varaa menettää, ilmaistuna ajanjaksona. | Määräytyy sen mukaan, kuinka paljon uudelleentyötä tai jälleenrakennusta yritys pystyy ottamaan vastaan. |
| MBCO | Liiketoiminnan jatkuvuuden vähimmäistavoite. Palvelun alennettu taso, joka on riittävän hyvä toipumisen ajaksi. | Samaa mieltä aktiviteetin omistajan kanssa, joka yleensä toteaa sen olevan oletettua alhaisempi. |
MTPD:n ja RTO:n välinen suhde on se kohta, jossa useimmat analyysit menevät pieleen. Jos palautumisaikatavoite on yhtä suuri kuin suurin siedettävä aika, mikä tahansa viive rikkoo sen. RTO:n tulisi olla mukavasti MTPD:n sisällä, ja niiden välinen ero on ostamasi kate.
Tämän takana on suurempi kuva.
Tämä sivu käsittelee yhtä osaa liiketoiminnan sietokyvystä. Kokonaiskuva loksahtaa kohdalleen Real Resiliencessa – IO:n viitekehyksessä, joka yhdistää tietoturvan, yksityisyyden ja tekoälyn hallinnan.
Miten teet liiketoimintavaikutusanalyysin?
Alla oleva järjestys on tarkoituksella etupainotteinen. Laajuus- ja aktiviteettiluettelon saaminen oikein vie odotettua kauemmin ja tekee lopusta suoraviivaista.
- Sovi laajuudesta: mitkä organisaation osat, mitkä toimipisteet ja mikä aikataulu. Hiljaa laajeneva analyysi ei koskaan pääty.
- Listaa aktiviteetitKuvaile yrityksen toimintaa termein, jotka osaston ulkopuolinen henkilö ymmärtäisi. Osastot eivät ole toimintoja, eivätkä järjestelmätkään.
- Jäljitä riippuvuudet: kullekin toiminnolle tarvittavat ihmiset, järjestelmät, data, toimittajat, tilat ja laitteet. Tässä kohtaa tulee esiin dokumentoimaton riippuvuus.
- Arvioi vaikutusta ajan kuluessa: kysy, mitä tapahtuu tunnin, päivän tai viikon kuluttua. Vaikutus on harvoin lineaarinen, ja käyrän muoto määrittää aikajänteen.
- Aseta aikavälitJohda MTPD siitä, mistä haitta tulee hyväksymättömäksi, ja aseta sen sisään RTO, RPO siedettävälle datahäviölle ja MBCO rajoitetulle suorituskyvylle.
- Hanki sille hyväksyntäPrioriteetit tarvitsevat virallisen omistajuuden. Ilman sitä analyysistä tulee dokumentti, josta kaikki voivat myöhemmin hiljaa olla eri mieltä.
Haastattele lomakkeen kierrättämisen sijaan. Lomakkeen avulla saat vastauksen, jonka vastaaja uskoo sinun haluavan, ja jokainen toimenpide on kriittinen. Keskustelussa voit kysyä, mitä asiakas todellisuudessa huomaisi ja milloin, mikä johtaa puolustettavaan sijoitukseen.
Tuotokset on sitten perittävä sen sijaan, että ne keksittäisiin uudelleen. Tässä asetetut palautumisaikataulut ovat ne, joihin varautumissuunnitelma sitoutuu tietyn nimetyn riskin varalta ja mihin katastrofien jälkeisen palautumissuunnitelman on pyrittävä palauttaessaan toiminnan taustalla olevat järjestelmät. Suunnitelma, joka asettaa omat aikataulunsa analyysistä riippumatta, suojaa jotakin nopeudella, josta kukaan ei ole sopinut.
Missä liiketoimintavaikutusten analyysit menevät pieleen?
Epäonnistumiset ovat johdonmukaisia ja ne liittyvät enimmäkseen analyysin keräämiseen pikemminkin kuin sen dokumentointiin.
- Kaikki palaa kriittisestiilman pakotettua sijoitusta jokainen omistaja arvioi oman toimintansa korkeimmalle, eikä tuotos voi priorisoida mitään.
- IT-osaamisen asettamat toipumistavoitteetaikajänteet perustuvat nykyisen infrastruktuurin mahdollisuuksiin eikä haittoihin, mikä johtaa aina saavutettaviin, mutta ei koskaan merkityksellisiin tavoitteisiin.
- Toimintoina käsitellyt osastotRahoituksen analysointi toimittajien maksamisen ja käteisen keräämisen sijaan peittää sen tosiasian, että näillä kahdella on hyvin erilaiset kiireellisyydet.
- Järjestelmän rajalla pysähtyvät riippuvuudet: sovelluksen nimeäminen, mutta ei sitä ylläpitävän toimittajan, sen tarvitseman tietosyötteen tai sen uudelleenkäynnistyksen tietävän henkilön nimeäminen.
- Vaikutus arvioitu yhdessä ajankohtana: kysytään, mitä tapahtuu, jos tämä loppuu, eikä sitä, mitä tapahtuu tunnin, päivän ja viikon kuluttua.
- Ei koskaan palannutKolmen vuoden takaisessa analyysissä kuvataan organisaatiota, joka on sittemmin muuttanut järjestelmiään, toimittajiaan ja rakennettaan.
Hyödyllinen testi analyysin aitouden arvioimiseksi: kysy, mikä sijoittui viimeiseksi. Jos kukaan ei osaa vastata, harjoituksessa ei ole priorisoitu, ja jokainen sen pohjalta rakennettu suunnitelma kilpailee samoista resursseista samaan aikaan.
Aloita helposti henkilökohtaisella tuote-esittelyllä
Yksi perehdytysasiantuntijoistamme opastaa sinua alustamme läpi ja auttaa sinua alkuun luottavaisin mielin.
Miten analyysi liittyy resilienssiin?
Liiketoimintavaikutusten analyysi kertoo, mitä suojataan ja kuinka nopeasti. Se ei kerro, miten suojataan, eikä se kerro mitään siitä, toimivatko alla olevat suojausmekanismit. Tämä on yhteys resilienssiin: samat toiminnot, joita analyysi priorisoi, riippuvat käyttöoikeuksien hallinnasta, varmuuskopioinnista, toimittajien varmistuksesta ja tietoturvaloukkauksiin reagoinnista, ja nämä suojausmekanismit tekevät palautumisaikataulusta saavutettavan eikä toivottavan.
Resilience Loop ylläpitää tietoturvaa ISO 27001 -standardin mukaisesti , tietosuojaa ISO 27701 -standardin mukaisesti ja tekoälyn hallintaa ISO 42001 -standardin mukaisesti yhtenä yhdistettynä järjestelmänä. Liiketoiminta-analyysiä varten tehty riippuvuuskartoitus on sama, jota kyseiset standardit edellyttävät, joten työ lasketaan useammin kuin kerran. Jatkuvuus itsessään on määritelty ja sertifioitavissa ISO 22301 -standardin mukaisesti , joka edellyttää liiketoimintavaikutusten analyysia ja määrittelee, mitä sen on luotava. Laajempi rakenne on esitetty liiketoiminnan resilienssin viitekehyksessä.
Miten pidät liiketoimintavaikutusanalyysin ajan tasalla?
Liiketoiminta-analyysi rapistuu nopeammin kuin useimmat jatkuvuusanalyysit, koska se on sidoksissa organisaation rakenteeseen ja se muuttuu jatkuvasti. Uusi toimittaja, migroitu järjestelmä, uudelleenjärjestely tai yritysosto voivat kaikki mitätöidä riippuvuuskartan huomaamatta, ja analyysi näyttää silti täydelliseltä.
Vuosittainen tarkastelu havaitsee osan siitä. Arvioinnin sitominen muutoksiin havaitsee sen sijaan enemmän: kun järjestelmä vaihdetaan, kun toimittaja perehdytetään, kun toiminto siirtyy tiimistä toiseen. Ajankohtainen versio pysyy sillä, joka on liitetty omaisuus- ja toimittajatietoihin, eikä sillä, joka sijaitse erillisessä laskentataulukossa. Tämä lähestymistapa on esitetty osiossa " Kuinka osoittaa joustavuus" , ja joustavuuspisteytys antaa lähtökohdan.
Miksi valita ISMS.online liiketoimintavaikutusten analysointiin?
Liiketoiminta-analyysin arvo piilee siinä, vastaavatko sen pohjalta tehdyt suunnitelmat edelleen organisaatiota. ISMS.online pitää nämä kaksi yhteydessä toisiinsa.
- Toiminnot, jotka liittyvät siihen, mistä ne ovat riippuvaisiaYhdistä jokainen toiminto sen taustalla oleviin omaisuuseriin, toimittajiin ja kontrolleihin, jotta yhden muutos näkyy toisessa.
- Suunnitelmissa pidetyt toipumistavoitteetMTPD, RTO, RPO ja MBCO kirjataan toimintoa vastaan ja periytyvät suunnitelmille, joiden on täytettävä ne.
- Yksi ohjausjoukko, jokainen kehys: riippuvuustyö kartoitetaan kerran ja sitä käytetään uudelleen standardien ISO 22301, ISO 27001, ISO 27701 ja ISO 42001 välillä.
- Arvostelu, joka todella tapahtuuomistajat, tarkistuspäivät ja muistutukset, joten analyysia tarkastellaan uudelleen asioiden muuttuessa eikä parhaimmillaankaan vuosittain.
- Todisteet pyynnöstä: näytä tilintarkastajalle nykyinen analyysi hyväksymispolkuineen sellaisen rekonstruoinnin sijaan.
- Syvän asiantuntemuksen pohjalta: ohjattua toteutusta asiantuntijoilta, jotka ovat suorittaneet näitä harjoituksia säännellyissä organisaatioissa.
- Rakennettu Iso-Britannian ja säännellyille markkinoilleSuunniteltu organisaatioille, joiden on osoitettava joustavuutta sopimusten voittamiseksi ja pitämiseksi.
Katso, miten se sopii yhteen liiketoiminnan resilienssialustalla , tai varaa demo.
UKK
Mitä eroa on liiketoimintavaikutusten analyysillä ja riskienarvioinnilla?
Riskinarvioinnissa kysytään, mikä voisi mennä pieleen ja kuinka todennäköisesti se on. Liiketoimintavaikutusten analyysissä oletetaan, että jokin on jo mennyt pieleen, ja kysytään, kuinka pahasti se sattuu ja kuinka nopeasti toiminnan on palattava. Molempia tarvitaan, koska pelkkä riskinarviointi ei kerro mitään toipumisprioriteeteista, eikä pelkkä liiketoimintavaikutusten analyysi kerro mitään siitä, miltä syiltä kannattaa suojautua.
Mitä eroa on MTPD:llä ja RTO:lla?
Pisin siedettävä häiriöaika on se piste, jossa haitta muuttuu liiketoiminnan kannalta sietämättömäksi. Toipumisaikatavoite on tavoite, jonka asetat toiminnan jatkumiselle, ja sen tulisi olla keskimääräisen odotetun palautumisajan sisällä eikä yhtä suuri kuin se. Jos nämä kaksi lukua ovat samat, pienikin poikkeama tarkoittaa, että siedettävä raja on ylitetty, joten niiden välinen ero on turvamarginaali.
Kenen tulisi olla mukana liiketoimintavaikutusten analysoinnissa?
Aktiviteetteja suorittavat ihmiset, koska he tuntevat riippuvuudet, ja seurauksista vastuussa olevat ihmiset, koska heillä on päätösvalta siitä, mikä on siedettävää. Tekniset tiimit osallistuvat saavutettavissa oleviin asioihin, mutta heidän ei tule asettaa aikatauluja. Jonkun riippumattoman tulisi fasilitoijan roolissa toimia, koska aktiviteettien omistajat luonnollisesti arvioivat oman työnsä kriittiseksi ja pakotettu järjestys vaatii puolueettoman lähestymistavan.
Kuinka kauan liiketoimintavaikutusten analyysi kestää?
Keskikokoiselle organisaatiolle, jolla on selkeä laajuus, kului muutama viikko aikaa, josta suurin osa käytettiin toimintojen omistajien haastattelemiseen kirjoittamisen sijaan. Muuttuja on laajuuden kurinalaisuus. Analyysit, jotka laajenevat kattamaan kaikki toiminnot jokaisessa toimipisteessä, kestävät kuukausia ja ovat yleensä vanhentuneita ennen hyväksymistä, minkä vuoksi suppeampi ensimmäinen läpikäynti aidosti kriittisten toimintojen yli on hyödyllisempi kuin kattava.
Edellyttääkö ISO 22301 -standardi liiketoimintavaikutusten analyysiä?
Kyllä. ISO 22301 -standardi edellyttää organisaatiolta liiketoimintavaikutusten analyysin suorittamista ja määrittelee, mitä sen on selvitettävä, mukaan lukien tuotteita ja palveluita tukevat toiminnot, häiriöiden vaikutukset ajan kuluessa ja niiden uudelleenkäynnistämisen priorisoidut aikataulut. Standardin mukaisesti työskentely tarkoittaa myös sitä, että analyysi on tarkistettava eikä sitä suoriteta kerran.
