ICT-continuïteit voor bedrijfscontinuïteit

De ICT-continuïteit dient te worden gepland, geïmplementeerd, onderhouden en getest op basis van bedrijfscontinuïteitsdoelstellingen die zich moeten vertalen in ICT-continuïteitseisen. De ICT-continuïteit voor bedrijfscontinuïteit is een fundamenteel onderdeel van bedrijfscontinuïteitsbeheer en informatiebeveiligingsbeheer om te bewerkstelligen dat ook tijdens een verstoring aan de doelstellingen van de organisatie kan blijven worden voldaan.

Business Impact Assessment (BIA)

Een business impact assessment (BIA) van een ICT-dienst is een proces waarbij de potentiële effecten van een verstoring van de ICT-dienst op de bedrijfsactiviteiten worden geïdentificeerd en geëvalueerd. Het richt zich op het bepalen van de impact van een gebeurtenis op de bedrijfsvoering, financiën en reputatie. Een BIA geeft organisaties objectieve parameters om prioriteit aan herstelmaatregelen en middelen toe te wijzen op basis van de ernst van de impact.

Een BIA heeft als als uitkomst een Recovery Time Objective (RTO) en een Recovery Point Objective (RPO).

Deze en andere termen worden gedefinieerd in het algemene Strategiedocument “Business Continuity Management” van Digitaal Vlaanderen, editie 2024. Hieronder worden ze specifiek verwoord voor de ICT-diensten.

Recovery Time Objective (RTO)

RTO staat voor Recovery Time Objective en is de maximale toegestane tijd die kan verstrijken na een onderbreking voordat de continuïteit van de bedrijfsvoering en de ICT-diensten hersteld moeten zijn om onaanvaardbare gevolgen te voorkomen. Het bepaalt de tijdslimieten voor herstelwerkzaamheden, inclusief het herstellen van systemen, netwerken en applicaties na een incident. Het vaststellen van een RTO helpt organisaties bij het prioriteren van herstelinspanningen en het toewijzen van de benodigde middelen om de bedrijfscontinuïteit te waarborgen.

Implementatiemaatregel

Recovery Point Objective (RPO)

RPO staat voor Recovery Point Objective en verwijst naar het maximale toegestane verlies van informatie ten gevolge van een incident. Het vertegenwoordigt de hoeveelheid gegevens die een organisatie zich kan veroorloven te verliezen zonder significante negatieve gevolgen. Het definiëren van een RPO is cruciaal voor het plannen van gegevensherstelstrategieën en het implementeren van een passend back-up schema en replicatiemethoden.

Implementatiemaatregel

Business Continuity Management (BCM) en Business Continuity Plan (BCP)

Op het BCM-portaal wordt verder toegelicht hoe bedrijfscontinuïteit wordt beheerd voor Digitaal Vlaanderen. Hier vindt men onder meer een Business Continuity Plan (BCP) voor meerdere verschillende scenario’s dat telkens beschrijft hoe Digitaal Vlaanderen omgaat met een verstoring van bedrijfsactiviteiten. Een BCP is bijgevolg algemener dan een ICT-continuïteitsplan dat specifiek beschrijft hoe een specifieke ICT-dienst of kritisch systeem wordt behandeld in geval van een verstoring. Alsdusdanig zijn ICT-continuïteitsplannen een onderdeel van BCM en één of meerdere BCPs.

Implementatiemaatregel

Implementatiemaatregel

Een Business Continuity Plan MOET als onderdeel een ICT-continuïteitsplan bevatten voor de ICT-diensten in het domein van het plan.

ICT-continuïteitsplan

Het beheer van de ICT-continuïteit vormt een essentieel onderdeel van de bedrijfscontinuïteitseisen met betrekking tot beschikbaarheid om in staat te zijn:

1. Te reageren op en te herstellen van verstoringen van ICT-diensten ongeacht de oorzaak;

2. Te bewerkstelligen dat de continuïteit van geprioriteerde activiteiten door de vereiste ICT-diensten wordt ondersteund;

3. Te reageren voordat er zich een verstoring van de ICT-diensten voordoet en zodra er ten minste één incident is waargenomen dat kan leiden tot een verstoring van de ICT-diensten.

Implementatiemaatregel

Op basis van de output van een Business Impact Assessment waarbij ICT-diensten worden betrokken, MOET de organisatie strategieën voor ICT-continuïteit identificeren en selecteren waarin mogelijke scenario’s voorafgaand aan, tijdens en na een verstoring in overweging worden genomen. De strategie voor ICT-continuïteit MOET de volgorde waarin systemen en middelen hersteld moeten worden, bepalen in functie van de kriticiteit van de bedrijfsprocessen (zie ook Disaster Recovery Plan).

Disaster Recovery Plan (DRP)

Een DRP, oftewel Disaster Recovery Plan, is een uitgebreid plan dat de ICT-organisatie implementeert om de ICT-diensten en kritische systemen te herstellen na een grote calamiteit, zoals een natuurramp, brand, terroristische aanval, of pandemie.

Belangrijke onderdelen:

Implementatiemaatregel

De organisatie MOET een Disaster Recovery Plan (DRP) opstellen met de volgende onderdelen:

Informatiebeveiliging tijdens een verstoring

De organisatie behoort plannen te maken om tijdens een verstoring het van toepassing zijnde niveau van de informatiebeveiliging te waarborgen. In de context van de bedrijfscontinuïteits- en ICT-continuïteitsplanning kan het nodig zijn de informatiebeveiligingseisen aan te passen, afhankelijk van de soort verstoring, in vergelijking met de normale operationele omstandigheden. Als onderdeel van de bedrijfsimpactanalyse en de risicobeoordeling die worden uitgevoerd binnen continuïteitsbeheer, behoren de gevolgen van het wegvallen van de geheimhouding en de integriteit van informatie, naast de noodzaak om de beschikbaarheid in stand te houden, te worden overwogen en geprioriteerd.

Implementatiemaatregel

De organisatie MOET in het bijzonder ICT-continuïteitseisen vaststellen om:

1. Informatieveiligheid te waarborgen;

2. De continuïteit van de door verantwoordelijken gebruikte middelen voor het beheren van informatieveiligheid te waarborgen.

Voorkomen van verstoringen van ICT-diensten

De organisatie moet rekening houden met ICT-continuïteitsvereisten bij het ontwerpen en implementeren van ICT-diensten met het oog op het voorkomen van verstoringen van geleverde ICT-diensten.

Naast onderstaande maatregelen dienen de volgende onderwerpen in acht genomen te worden:

• Regelmatige updates en upgrades: Infrastructuurbeveiliging.

• Monitoring en waarschuwingssystemen: IT service management en Malwarebeveiliging

• Training en bewustzijn: Personeelsbeveiliging (Vincent work in progress)

• Leveranciersbeheer: Leveranciersrelaties

Vereisten voor de back-up van informatie

Na het identificeren en classificeren van informatie dient bepaalt te worden welke vereisten van toepassing zijn voor de beschikbaarheid van de informatie.

Deze vereisten dienen te zijn gebaseerd op:

• Informatieclassificatie,

• Beschikbaarheidseisen,

• Dreigingen en risico’s,

• Back-up behoeften,

• Beschikbare back-up technologieën,

• Beschikbare en te ontwikkelen back-up procedures.

Voor specifieke vereisten dient er rekening gehouden te worden met:

• Bevestigen dat de back-up en herstelstrategie voldoet aan:

  • Bedrijfscontinuïteitsplannen

  • Beleid, wet- en regelgeving en andere wettelijke verplichtingen.

• Het documenteren van de back-up- en herstelprocessen, inclusief:

  • Soorten informatie waarvan een back-up moet worden gemaakt.

  • Schema's voor de back-up van informatie en informatiesystemen.

  • Beheer van back-up media (bijv. bewaartermijn, patroon van back-up cycli).

  • Methoden voor het uitvoeren, valideren en labelen van back-ups.

  • Methoden voor het valideren van het herstel van de informatie en het informatiesysteem.

Implementatiemaatregel

Redundantie van informatie-verwerkende faciliteiten

Redundantie duidt op het ontdubbelen van ICT-infrastructuur componenten. Op die manier blijft bij het uitvallen van één component het geheel wel goed functioneren omdat een ander component de taken overneemt. Technisch zijn er vele oplossingen mogelijk en de gekozen oplossing is afhankelijk van de informatieasset en de onderliggende ICT-architectuur.

Implementatiemaatregel

Implementatiemaatregel

De organisatie MOET de infrastructuur zo structureren dat kritieke ICT-diensten en/of systemen beschikbaar blijven conform de waardebepaling van de informatie die wordt verwerkt. Zogenaamde “single point of failures” dienen gereduceerd te worden:

1. Infrastructuur die informatie vanaf informatieklasse 4 verwerkt MOET redundant zijn;

2. Bij een lagere informatieklasse MOETEN reserveonderdelen beschikbaar zijn of een onderhoudscontract.

Regelgeving en standaarden (L1)

ISO 27001:2022 (Annex A)