ISO 22301:2019 · art. 51 CAD
Continuità operativa nella Pubblica Amministrazione: BIA, piani e ISO 22301
Per un'amministrazione la continuità non è facoltativa: la chiedono l'art. 51 del CAD, le misure NIS 2 e la ISO/IEC 27001. Si parte dall'analisi di impatto sui servizi, si sceglie una strategia, si scrive il piano e — soprattutto — lo si prova.
- RTO < MTPD
- il vincolo che il motore verifica
- 47
- requisiti della norma
- 8
- categorie di risorse per ogni strategia
- €0
- per le Pubbliche Amministrazioni
Le quattro grandezze
- MTPD — il tempo oltre il quale l'interruzione diventa inaccettabile;
- RTO — il tempo entro cui ci si impegna a riprendere il servizio;
- RPO — quanti dati si possono perdere (è una quantità di dato, non un tempo di ripresa);
- MBCO — il livello minimo di servizio accettabile durante l'emergenza.
Se l'RTO è uguale o superiore all'MTPD, si pianifica di riprendere quando il danno è già fatto: l'applicazione lo segnala come violazione.
Continuità non è disaster recovery
Il ripristino dei sistemi informatici è una delle otto categorie di risorse: servono anche persone, sedi, fornitori, informazioni, comunicazione. Un piano conservato solo sul sistema che si è guastato non esiste.
Un piano non provato non è un piano
La norma chiede un programma di esercitazioni, dalla discussione al tavolo al ripristino completo, con l'esito misurato. AuditManagement mostra per ogni servizio, su una riga, l'RTO, la strategia approvata, il piano e l'ultima prova.
Come lo gestisce AuditManagement
Nel menu dell'applicazione le sezioni dedicate hanno 8 funzioni. Ecco che cosa fa ciascuna, con le stesse voci che si trovano nell'app.
ISO 22301:2019Norma e conformità
- Cruscotto ContinuitàcruscottoProntezza dell'ente a gradini, attività scoperte e incoerenze fra ciò che si dichiara e ciò che i registri mostrano
- Gap Analysis RequisitiI 47 requisiti verificabili delle clausole 4-10, con l'evidenza ricavata dai registri che l'ente ha già
- Struttura della NormaLe quattro grandezze (MTPD, RTO, RPO, MBCO), le otto categorie di risorse e le 18 insidie della materia
- CorrispondenzeChe cosa la continuità soddisfa altrove: A.5.29-30 della 27001, art. 24 NIS 2, CP dell'800-53, art. 51 CAD
ISO 22301:2019Continuità operativa
- Attività PrioritarieChe cosa riprendere per primo, entro quando, con quale strategia e con quale piano — e se la prova lo ha dimostrato
- Strategie di ContinuitàLe opzioni considerate, la scelta motivata e il fabbisogno sulle otto categorie di risorse (cl. 8.3)
- Programma di EsercitazioneL'equilibrio fra esercizi da tavolo e prove operative: un esercizio che riesce sempre non sta più esercitando (cl. 8.5)
- Programma di ContinuitàPerimetro, politica, struttura di risposta e — il campo che manca più spesso — CHI dichiara l'attivazione
Tutte le funzioni sono incluse e gratuite per le Pubbliche Amministrazioni. Vedi l'elenco completo delle funzionalità.
Domande frequenti
Serve la certificazione ISO 22301?
No. La norma è certificabile, ma per un ente pubblico serve soprattutto come metodo per soddisfare gli obblighi di CAD, NIS 2 e ISO/IEC 27001.
Chi decide l'MTPD di un servizio?
Chi eroga il servizio, non l'ufficio informatico: è una decisione sull'impatto per i cittadini.