Toiminnallinen resilienssi on organisaation kykyä ehkäistä, sopeutua, reagoida, toipua ja oppia toiminnan häiriöistä, jotta asiakkaiden luottamat palvelut pysyvät toiminnassa. Yhdistyneen kuningaskunnan sääntelyviranomaiset pitävät sitä nyt hallituksen tason velvoitteena, eivätkä IT-järjestelmän ylläpitotehtävänä.
Käytännössä operatiivisesti joustava yritys voi tehdä neljä asiaa:
- Ennakoida häiriöt, jotka voisivat pysäyttää sen tärkeät palvelut
- Kestää pysymällä sovitun haittatason sisällä
- toipua palvelut yrityksen etukäteen asettaman toleranssin rajoissa
- sopeuttaa ja opi, jotta sama häiriö ei pure kahdesti
Sääntelyviranomaisten tekemä muutos on hienovarainen mutta tärkeä. Sen sijaan, että he kysyisivät "ovatko järjestelmänne turvallisia?", he kysyvät nyt "jos palvelu epäonnistuu, kuinka pahasti asiakkaat ja markkinat kärsivät, ja voitteko todistaa, että pysytte asettamienne rajojen sisällä?".
Mitä on toiminnallinen resilienssi?
Toiminnan sietokyky on lopputulos, ei kontrolli. Se on varmuus siitä, että organisaatio voi jatkaa tärkeimpien palveluidensa tarjoamista häiriöiden aikana, olipa kyseessä sitten kyberhyökkäys, kolmannen osapuolen katkos, epäonnistunut muutos tai luonnonkatastrofi. Se olettaa, että häiriöitä tapahtuu, ja keskittyy vahinkojen rajoittamiseen sen sijaan, että yrittäisi estää jokaisen tapahtuman.
Tämä tekee siitä laajemman kuin IT- katastrofien palautumisen ja täsmällisemmän kuin yleinen riskienhallinta. Se koskee asiakkaan saamaa kokonaisvaltaista palvelua sekä sen takana olevia ihmisiä, prosesseja, teknologiaa, tiloja ja toimittajia.
Aloita ilmainen kokeilu
Haluatko tutkia?
Rekisteröidy ilmaiseen kokeilujaksoon tänään ja pääset käyttämään kaikkia ISMS.onlinen tarjoamia yhteensopivuusominaisuuksia
Mitä ovat Yhdistyneen kuningaskunnan operatiivisen sietokyvyn määräykset?
Isossa-Britanniassa on yksi maailman kehittyneimmistä operatiivisen häiriönsietokyvyn järjestelmistä. Jos toimit finanssipalvelualalla, useita sääntöjä sovelletaan samanaikaisesti, ja niillä on sama taustalla oleva logiikka.
| Asetus | Ketä se koskee | Mitä se vaatii |
|---|---|---|
| FCA PS21/3 | FCA:n sääntelemät yritykset (pankit, vakuutusyhtiöt, sijoituspalveluyritykset, maksu- ja sähköisen rahan yritykset) | Tunnista tärkeät liiketoimintapalvelut, aseta vaikutustoleranssit, kartoita ja testaa, ja täysi vaatimustenmukaisuus odotetaan saavutettavan 31. maaliskuuta 2025 alkaen. |
| PRA SS1/21 | Pankit, rakennusyhdistykset ja PRA:n nimeämät sijoituspalveluyritykset | PRA:n vastaavat odotukset operatiivisesta selviytymiskyvystä, joita valvotaan yhdessä FCA:n kanssa |
| Bank of England | Rahoitusmarkkinoiden infrastruktuuri (maksujärjestelmät, keskusvastapuolet, arvopaperikeskukset) | Rahoitusjärjestelmän toimintaa ylläpitävien yritysten operatiivisen häiriönsietokyvyn odotukset |
| DORA | EU:n rahoituslaitokset ja niiden ICT-palveluntarjoajat, mukaan lukien EU:ta palvelevat Yhdistyneen kuningaskunnan yritykset | ICT-riskienhallinta, poikkeamaraportointi, sietokykytestaus ja kolmannen osapuolen riski, voimassa tammikuusta 2025 lähtien |
Kulkusuunta on johdonmukainen: useampia sektoreita, enemmän kolmansien osapuolten valvontaa ja vahvempi odotus siitä, että resilienssiä voidaan osoittaa sen sijaan, että sitä väitettäisiin . Englannin keskuspankin CBEST:n kautta käyttämä uhkalähtöinen testausmenetelmä levittää samaa näyttöön perustuvaa ajattelutapaa koko toimialalle.
Miten rakennat operatiivista resilienssiä?
Yhdistyneen kuningaskunnan sääntelyviranomaiset ovat laatineet selkeän menetelmän, ja se toimii yhtä hyvin myös rahoituspalvelujen ulkopuolella. Menetelmässä on viisi vaihetta:
- Tunnista tärkeät yrityksesi palvelut: palvelut, jotka häiriintyessään aiheuttaisivat todellista haittaa asiakkaille tai markkinoille.
- Aseta iskutoleranssit: kunkin palvelun kestämän häiriön enimmäistaso, ennen kuin haitta muuttuu sietämättömäksi, yleensä aikarajana ilmaistuna.
- karttadokumentoi ihmiset, prosessit, teknologia, tilat ja toimittajat, joista kukin palvelu on riippuvainen.
- Testi: suorita vakavia mutta uskottavia skenaarioita nähdäksesi, pysytkö toleranssirajoissa.
- Itsearviointi ja todisteetKirjaa ylös löydökset, korjaa aukot ja pidä ajan tasalla olevaa, perusteltavissa olevaa itsearviointia.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Jokaisella näistä vaiheista on yksityiskohtainen tausta. Operatiivinen resilienssikehys esittää kuusi komponenttia kokonaisuudessaan, kunkin tuottaman näytön ja järjestyksen niiden sisällyttämiseksi.
Toiminnan kestävyys vs. liiketoiminnan jatkuvuus
Nämä kaksi liittyvät toisiinsa, mutta eivät ole sama asia. Liiketoiminnan jatkuvuus on yksi ominaisuuksista, jotka takaavat operatiivisen resilienssin: se keskittyy kriittisten prosessien toiminnan ylläpitämiseen ja niiden palauttamiseen tapahtuman jälkeen, ja se on ankkuroitu ISO 22301 -standardiin . Operatiivinen resilienssi on laajempi, tuloskeskeinen tieteenala, joka asettaa vaikutustoleranssit, jotka jatkuvuuden on täytettävä. Katso täydellinen vertailu kohdasta liiketoiminnan resilienssi vs. liiketoiminnan jatkuvuus .
Miten operatiivinen resilienssi sopii yhteen liiketoiminnan resilienssin kanssa
Toiminnallinen resilienssi vastaa tiettyyn kysymykseen: voivatko palvelusi jatkua? Liiketoiminnan resilienssi on laajempi kuva, ja useimmat häiriöt saavat nyt alkunsa tietoturvasta, yksityisyydestä ja tekoälyriskeistä. Hallitse näitä kolmea yhtenä järjestelmänä, resilienssisilmukana , ja toiminnallinen resilienssi on paljon helpompi saavuttaa, koska puutut häiriöiden syihin etkä vain harjoittele reagointia.
Siksi toiminnallinen häiriönsietokyky on portti liiketoiminnan häiriönsietokykyyn , ja siksi PS21/3-tasolla pisimmällä olevat finanssialan yritykset investoivat myös verkottuneeseen ja sertifioitavaan hallintoon. Finanssipalveluiden häiriönsietokykyä käsittelevä oppaamme käsittelee alaa syvällisemmin.
Toiminnan kestävyys sektoreittain
Toiminnan sietokykyä valvotaan eri tavoin sektorikohtaisesti. Näissä oppaissa perehdytään tarkemmin siihen, kuka kysyy ja mitä he odottavat näkevänsä.
- Rahoituspalvelut ja maksutDORAn, FCA:n ja Englannin keskuspankin odotukset.
- Hallittu IT ja ohjelmistotOsoitamme kestävyyttä yritysasiakkaille, jotka tarkastavat yrityksesi.
- Televiestintä ja verkotTeleviestinnän turvallisuuslain mukaiset tehtävät ja verkon saatavuus.
- Terveydenhuolto ja terveysteknologiaNHS DSPT, potilasturvallisuus ja kliininen jatkuvuus.
Miksi valita ISMS.online operatiivisen joustavuuden takaamiseksi?
Useimmat työkalut auttavat sinua valitsemaan oikeat tehtävät. ISMS.online auttaa sinua rakentamaan resilienssiä, jota voit todistaa.
- Yksi yhdistetty järjestelmä: hallitse tietoturvaa, tietosuojaa ja tekoälyn hallintaa yhdessä alustassa, ei kolmessa erillisessä työkalussa.
- Sertifioitavissa suunnittelun perusteellaJokainen toimenpide vastaa ISO 27001-, ISO 27701-, ISO 42001- ja ISO 22301 -standardeja, joten selviytymiskykysi on todistettavissa.
- Todisteet pyynnöstä: näytä sääntelyviranomaisille, tilintarkastajille ja asiakkaille todisteita kestävyydestä, älä lupauksia.
- Syvän asiantuntemuksen pohjaltaoikeiden asiantuntijoiden ohjaama käyttöönotto, ei riskiä piilottavaa automaatiota ilman kosketusta.
- Jatkuva, ei periodinenreaaliaikainen näkymä riskeihin ja valvontaan vuosittaisen tarkastuksen edeltävän kiireen sijaan.
- Rakennettu säännellyille markkinoilleSuunniteltu organisaatioille, joissa turvallisuus, yksityisyys ja luottamus ohjaavat ostopäätöstä.
Tutustu ISMS.online-liiketoiminnan selviytymisalustaan ja katso, miten se toimii käytännössä.
UKK
Mitä on operatiivinen resilienssi yksinkertaisesti sanottuna?
Toiminnallinen resilienssi on kykyäsi jatkaa palveluiden tarjoamista, joista ihmiset ovat riippuvaisia, vaikka jokin menisi pieleen. Se olettaa, että häiriöitä tapahtuu, ja keskittyy vahinkojen rajoittamiseen ja nopeaan toipumiseen sen sijaan, että yrittäisi estää jokaisen yksittäisen tapahtuman.
Mikä on iskunkestävyys?
Vaikutuksensietokyky on suurin mahdollinen häiriömäärä, jonka tärkeä liiketoimintapalvelu voi kestää ennen kuin se aiheuttaa sietämätöntä haittaa asiakkaille tai markkinoille. Se asetetaan yleensä aikarajaksi, esimerkiksi pisimmaksi ajaksi, jonka maksupalvelu voi olla poissa käytöstä, ja se antaa yritykselle selkeän tavoitteen, jota vasten se voi testata toimintaansa.
Koskeeko DORA Yhdistyneen kuningaskunnan yrityksiä?
Se voi olla mahdollista. DORAa sovelletaan EU:n rahoituslaitoksiin ja niitä palveleviin ICT-palveluntarjoajiin, joten Yhdistyneen kuningaskunnan yritykset, joilla on toimintaa EU:ssa tai EU:ssa toimivia asiakkaita, kuuluvat usein sen piiriin. Yhdistyneen kuningaskunnan yrityksillä on myös oma järjestelmänsä FCA:n ja PRA:n kautta, joten useimmat hallinnoivat molempia samanaikaisesti.
Mitä eroa on operatiivisella resilienssillä ja kyberresilienssillä?
Kyberresilienssi tarkoittaa erityisesti kyberhyökkäyksistä selviytymistä ja niistä toipumista. Operatiivinen resilienssi on laajempi käsite: se kattaa kaikki tärkeiden palvelujen häiriöt, olipa syynä sitten kyberhyökkäys, toimittajan vika, järjestelmän käyttökatko tai fyysinen tapahtuma. Kyberresilienssi on yksi operatiivisen resilienssin osatekijä.
