Specifikation SIS-ISO/PAS 22399:2008

Transkript

1 Specifikation SIS-ISO/PAS 22399:2008 Publicerad/Published: Utgåva/Edition: 1 Språk/Language: svenska/swedish ICS: Samhällssäkerhet Riktlinjer för incidentberedskap och operationell kontinuitetsstyrning Societal security Guideline for incident preparedness and operational continuity management S W E D I S H S TA N DA R D S I N S T I T U T E

2 Hitta rätt produkt och ett leveranssätt som passar dig Standarder Genom att följa gällande standard både effektiviserar och säkrar du ditt arbete. Många standarder ingår dessutom ofta i paket. Tjänster Abonnemang är tjänsten där vi uppdaterar dig med aktuella standarder när förändringar sker på dem du valt att abonnera på. På så sätt är du säker på att du alltid arbetar efter rätt utgåva. e-nav är vår online-tjänst som ger dig och dina kollegor tillgång till standarder ni valt att abonnera på dygnet runt. Med e-nav kan samma standard användas av flera personer samtidigt. Leveranssätt Du väljer hur du vill ha dina standarder levererade. Vi kan erbjuda dig dem på papper och som pdf. Andra produkter Vi har böcker som underlättar arbetet att följa en standard. Med våra böcker får du ökad förståelse för hur standarder ska följas och vilka fördelar den ger dig i ditt arbete. Vi tar fram många egna publikationer och fungerar även som återförsäljare. Det gör att du hos oss kan hitta över 500 unika titlar. Vi har även tekniska rapporter, specifikationer och workshop agreement. Matriser är en översikt på standarder och handböcker som bör läsas tillsammans. De finns på sis.se och ger dig en bra bild över hur olika produkter hör ihop. Standardiseringsprojekt Du kan påverka innehållet i framtida standarder genom att delta i någon av SIS ca 400 Tekniska Kommittéer. Find the right product and the type of delivery that suits you Standards By complying with current standards, you can make your work more efficient and ensure reliability. Also, several of the standards are often supplied in packages. Services Subscription is the service that keeps you up to date with current standards when changes occur in the ones you have chosen to subscribe to. This ensures that you are always working with the right edition. e-nav is our online service that gives you and your colleagues access to the standards you subscribe to 24 hours a day. With e-nav, the same standards can be used by several people at once. Type of delivery You choose how you want your standards delivered. We can supply them both on paper and as PDF files. Other products We have books that facilitate standards compliance. They make it easier to understand how compliance works and how this benefits you in your operation. We produce many publications of our own, and also act as retailers. This means that we have more than 500 unique titles for you to choose from. We also have technical reports, specifications and workshop agreements. Matrices, listed at sis.se, provide an overview of which publications belong together. Standardisation project You can influence the content of future standards by taking part in one or other of SIS s 400 or so Technical Committees.

3 Copyright/Upphovsrätten till denna produkt tillhör SIS, Swedish Standards Institute, Stockholm, Sverige. Användningen av denna produkt regleras av slutanvändarlicensen som återfinns i denna produkt, se standardens sista sidor. Copyright SIS, Swedish Standards Institute, Stockholm, Sweden. All rights reserved. The use of this product is governed by!the end-user licence for this product. You will find the licence in the end of this document. Upplysningar om sakinnehållet i standarden lämnas av SIS, Swedish Standards Institute, telefon Standarder kan beställas hos SIS Förlag AB som även lämnar allmänna upplysningar om svensk och utländsk standard. Information about the content of the standard is available from the Swedish Standards Institute (SIS), tel Standards may be ordered from SIS Förlag AB, who can also provide general information about Swedish and foreign standards. SIS Förlag AB, SE Stockholm, Sweden. Tel: Fax: sis.sales@sis.se Internet:

4 Innehåll Förord... 3 Orientering Omfattning Normativa hänvisningar Termer och definitioner Allmänt Policy Etablering av programmet Definition av programmets omfattning Ledning och engagemang Utveckling av policy Granskning av policyn Organisatoriska strukturer för implementering Planering Allmänt Legala och andra krav Riskvärdering och konsekvensanalys Identifiering av fara, risk och hot Riskvärdering Konsekvensanalys Program för incidentberedskap och operationell kontinuitetsstyrning Implementering och hantering Resurser, roller, ansvar och befogenheter Bygga och integrera IPOCM i organisationskulturen Kompetens, träning och medvetenhet Kommunikation och varningar Kontroll av genomförande Finansiering och administration Prestationsvärdering Systemutvärdering Mätning och övervakning av prestanda Test och övningar Korrigerande och förebyggande åtgärder Underhåll Internrevision och egenkontroll Ledningens granskning Bilaga A (informativ) Metod för konsekvensanalys Bilaga B (informativ) Åtgärdsprogram för nödsituationer Bilaga C (informativ) Program för kontinuitetsstyrning Bilaga D (informativ) Uppbyggnad av en organisationskultur för incidentberedskap och operationell kontinuitet Litteraturförteckning Sida 2

5 Förord ISO (Internationella Standardiseringsorganisationen) är en världsomspännande sammanslutning av nationella standardiseringsorgan (ISO-medlemmar). Utarbetandet av internationella standarder sker normalt i ISOs tekniska kommittéer. Varje medlemsland som är intresserat av arbetet i en teknisk kommitté har rätt att bli medlem i den. Internationella organisationer, statliga såväl som icke-statliga, som samarbetar med ISO deltar också i arbetet. ISO har nära samarbete med International Electrotechnical Commission (IEC) i alla frågor rörande elektroteknisk standardisering. Internationella standarder utarbetas i enlighet med ISO/IEC Directives, Part 2. De tekniska kommittéernas huvudsakliga uppgift är att utarbeta internationella standarder. Utkast till internationella standarder som utarbetats av de tekniska kommittéerna skickas ut till resp. standardiseringsorgan för utlåtande. För att publicering i form av en internationell standard ska kunna ske, krävs att minst 75 % av de röstande organen godkänner utkastet. I andra fall och i synnerhet om behovet på marknaden är stort, kan tekniska kommittéer besluta att publicera andra typer av standardiserande dokument: En offentlig specifikation från ISO (ISO/PAS) är en form av överenskommelse mellan tekniska experter i en av ISO:s arbetsgrupper och är godkänd för publicering om mer än 50 % av medlemmarna i den överordnade kommittén röstar för detta. En teknisk specifikation från ISO (ISO/TS) är en form av överenskommelse mellan medlemmarna i en teknisk kommitté och godkänns för publicering om två tredjedelar av medlemmarna röstar för detta. Ett dokument av typen ISO/PAS eller ISO/TS granskas efter tre år för att avgöra om det kan godkännas för ytterligare tre år, omarbetas till internationell standard eller dras in. Om ett dokument av typen ISO/PAS eller ISO/TS godkänns, granskas det igen efter ytterligare tre år och då måste det antingen omarbetas till internationell standard eller dras in. Det bör uppmärksammas att vissa beståndsdelar i denna internationella standard möjligen kan vara föremål för patenträtter. ISO ska inte hållas ansvarig för att identifiera någon eller alla sådana patenträtter. ISO/PAS 22399:2007 har utarbetats av tekniska kommittén ISO/TC 223, Societal Security, arbetsgrupp 1. Gruppens arbete påbörjades vid det första mötet i ISO/TC 223 "Societal Security" (hölls i Stockholm, Sverige, den maj 2006) och uppgiften var att utarbeta ett dokument som utgår från de fem viktigaste bidragen vid ISO Workshop on Emergency Preparedness (hölls i Florens, Italien, april 2006). Detta dokument innehåller delar av NFPA 1600:2004, BS :2006, HB 221:2004 och arbeten från Japanese Industrial Standards Committee och INS 24001:2007, Standards Institution of Israel. Innehållet i detta dokument kan tillämpas av alla privata, offentliga och icke-vinstdrivande organisationer som stöd i arbetet med incidentberedskap och operationell kontinuitetsstyrning. 3

6 Orientering Dessa riktlinjer för incidentberedskap och operationell kontinuitetsstyrning lägger grunden till processerna, principerna och terminologin för incidentberedskap och operationell kontinuitetsstyrning (IPOCM) (Incident Preparedness and Operational (business) Continuity Management) ur ett samhällssäkerhetsperspektiv. Syftet med dessa riktlinjer är att skapa en utgångspunkt för förståelse för, utveckling och utförande av incidentberedskap och operationell kontinuitet inom en organisation och för att stärka förtroendet i situationer mellan organisationer och samhället, företag emellan (business-to-business) och mellan organisationer och kunder/klienter. Riktlinjerna utgör ett verktyg för offentliga och privata organisationer att använda i arbetet med att bedöma faktorer och nödvändiga steg för att skapa beredskap för oavsiktliga, avsiktliga och naturliga incidenter (kriser, avbrott, katastrofer eller nödsituationer). Målet är att kunna klara av och överleva incidenten och vidta rätt åtgärder för att garantera organisationens stabilitet. De ger även organisationerna möjlighet att mäta sin IPOCM-kapacitet med en konsistent och erkänd metod. Dessa riktlinjer ger ett allmänt ramverk som kan tillämpas på alla typer och storlekar av organisationer, med hänsyn tagen till olika geografiska, kulturella, ekonomiska, nationella, politiska och sociala omständigheter. Kunder och andra intressenter med intressen i en organisation kräver att den proaktivt skapar beredskap för potentiella incidenter och avbrott. Målet är att organisationens kritiska funktioner och tjänster inte sätts ur spel, och att om detta ändå händer se till att verksamheten återupptas så snabbt som det krävs av dem som förlitar sig på organisationen (figur 1). IPOCM är en heltäckande styrningsprocess som identifierar potentiella hot mot organisationen och ger ett ramverk för att minimera konsekvenserna av dessa. Återställning Kontinuitet Driftsnivå Beredskap/ Förebyggande Åtgärder i nödsituationer Minska avbrottstiden Reducering av händelsens konsekvens Tid Förklaring 1 Efter införandet/implementeringen av IPOCM 2 Före införandet/implementeringen av IPOCM Figur 1 Koncept för incidentberedskap och operationell kontinuitetsstyrning (IPOCM) Dessa riktlinjer ger en uppsättning styrmedel som grundar sig på erfarenheter från IPOCM och som täcker hela IPOCM från början till slut. Dessa riktlinjer vänder sig till alla personer med driftansvar inom offentliga eller privata organisationer, allt från direktörer och verkställande chefer på alla organisationens nivåer, till små, lokala och stora, globala enheter och allt från små och medelstora företag till organisationer med tusentals anställda. Därför kan riktlinjerna tillämpas av alla personer med någon form av driftsansvar, som därmed även ansvarar för att kontinuiteten i driften upprätthålls. I denna riktlinje används operationell kontinuitet som 4

7 en generell beteckning på verksamhetens kontinuitet och för att tydliggöra att det gäller alla typer av offentliga och privata organisationer. Denna riktlinje beskriver den integrerade planerings- och styrningsprocess som proaktivt hjälper organisationer att: förstå den omgivning som organisationen verkar i, vilka begränsningar som finns, samt vilka hot mot organisationen som skulle kunna leda till betydande avbrott, kvantifiera vilken konsekvens ett avbrott har på verksamhetskritiska (affärskritiska) funktioner och processer, definiera de delar av verksamheten som är avgörande för framgång, både på kortare och längre sikt, identifiera den infrastruktur och de resurser som är nödvändiga för att organisationen ska kunna fungera på lägsta tolerabla nivå, dokumentera nyckelresurser, infrastruktur, aktiviteter och ansvarsfördelning som krävs för att klara dessa viktiga funktioner i händelse av avbrott, ta fram processer som garanterar att informationen om förändringar av riskerna och verksamhetens omgivning är aktuell och relevant, se till att relevanta medarbetare, kunder, leverantörer och andra viktiga funktioner är medvetna om beredskaps- och kontinuitetsstyrningen och i tillämpliga fall kan förlita sig på att denna fungerar, genomföra lösningar i enlighet med detta och se till att dessa ständigt förbättras. Det är viktigt att inse att effektiv IPOCM kräver en grundläggande förändring av organisationens kultur, där det även ingår att acceptera tanken på osäkerhet och ofullständighet. Alla organisationens nivåer bör inse att varje beslut och handling innebär en risk och att det proportionellt sett alltid finns en risk att någon typ av avbrott uppstår. Medarbetare på alla nivåer i organisationen bör därför tänka igenom hur de kan hantera sådana typer av avbrott i arbetet. Dessa IPOCM-riktlinjer ger offentliga och privata organisationer möjlighet att bedöma och hantera risker med målet att säkerställa att organisationen har hög motståndskraft och fungera effektivt på lång sikt. Den föreskriver inga speciella metoder för tillämpning. Det finns flera olika erkända modeller och metoder som införlivar incidentberedskap och beslutsfattning om operationell kontinuitet i hela organisationens operativa verksamhet och praktiska arbete och på så sätt ökar effektiviteten, konkurrenskraften och förmågan att hantera viktiga utmaningar. Denna riktlinje bidrar med verktyg för att bättre identifiera och lösa problem och dessa verktyg kan tillämpas i alla typer av organisationer på ett flertal olika sätt, beroende på verksamhet och behov. Om man införlivar en dynamisk, systematisk, riskbaserad process i risk- och kontinuitetsstyrningen kan organisationerna fatta välgrundade beslut anpassade till de resurser som finns. Den modell man väljer bör främja en organisationskultur som driver kontinuerliga förbättringar. Dessa styrningsmodeller brukar innehålla ett antal vanliga komponenter: policy, planering, implementering och verkställande, bedömning av utförandet, förbättringar och granskning av styrningen. Detta dokument ger vägledning till dessa vanligt förekommande aspekter under utveckling och implementering av en styrningsmodell, som tar hänsyn till organisationens speciella behov och roll i samhället. Oavsett vilken styrningsmodell eller -metod man väljer bör alla IPOCM-åtgärder vidtas. IPOCM är direkt kopplad till organisationens ledning och skapar goda styrningsvanor. IPOCM lägger grunden för ett strategiskt och operativt ramverk för proaktiva åtgärder för en organisationens motståndskraft mot leveransavbrott eller oförmåga att leverera varor och tjänster. Åtgärder bör inte enbart bestå av reaktioner på en inträffad incident. IPOCM kräver planering utifrån många aspekter inom organisationen. Därför är motståndskraften till lika delar beroende av bra ledning och operativ personal som av själva tekniken, och det krävs ett helhetstänkande för att kunna skapa en IPOCM-modell eller -metod. Anpassningen och implementeringen av de olika IPOCM-metoderna på ett systematiskt sätt, kan det bidra till att alla intressenter och berörda parter får ut bästa möjliga resultat. Enbart anpassningen av denna riktlinje garanterar dock inte att någon optimal beredskap och kontinuitet uppnås. För att kunna uppnå målen för 5

8 beredskap och kontinuitet bör programmet för incidentberedskap och operationell kontinuitet uppmuntra organisationerna att överväga implementeringen av bästa möjliga praxiserfarenheter, metoder och tekniker, och se var och i vilken ekonomisk utsträckning dessa kan tillämpas. Dessa metoder och tekniker bör granskas noggrant ur ett kostnadseffektivitetsperspektiv. IPOCM ställer krav på samverkan och samarbete mellan många olika enheter inom den offentliga och privata sektorn (till exempel regeringar och myndigheter på olika nivåer, företag och industri, ideella organisationer och enskilda medborgare). Var och en av dessa parter har sitt eget fokus, unika uppgifter och ansvarsområden, olika resurser och kapaciteter och olika principer samt sätt att arbeta. IPOCM-programmets viktigaste komponenter bör hänga samman och samverka med de funktioner och intressen som är relevanta för de enheter som kan vara inblandade i krisen. Därför bör de centrala punkterna övervägas med hänsyn till konsekvenser för alla berörda enheter och deras roll i IPOCM-programmet. En organisations gensvar på risker, med målet att minimera deras konsekvenser och minska den sociala förlusten, bör främjas och betraktas som socialt ansvarstagande. Om ett avbrott inträffar bör en organisation inse nödvändigheten i att samarbeta med andra organisationer för att fördela de personella och materiella resurser som krävs för att upprätthålla verksamheten, eftersom de resurser som behövs för åtgärder i nödsituationer kan vara knappt tilltagna eller ogynnsamt fördelade. En organisation bör ta aktiv del i samhället genom att samarbeta med medborgare och kommunala organ etcetera genom att delta i stödåtgärder för att rädda människoliv och bistå med förnödenheter. Det är också nödvändigt att en organisation samverkar och samarbetar med räddningstjänsten och dess intressenter och partners i mänskliga och materiella frågor. En organisation kan välja att begränsa omfattningen av utförandet av riktlinjernas komponenter genom att begränsa tillämpningen till vissa produkter, tjänster eller en eller flera geografiska platser. Alla sådana begränsningar av omfattningen bör dokumenteras. Det bör påpekas att dessa riktlinjer inte ställer några absoluta krav på incidentberedskap och operationell kontinuitetsförmåga, förutom åtagandena i policyförklaringen, att rätta sig efter gällande lagar och andra krav som åligger organisationen, att aktivt förebygga kriser och händelser/avbrott och att kontinuerligt arbeta med förbättringar. Denna vägledning har antagit ett system för kontinuerlig förbättring, men syftar inte till att användas av tredje part som kriterier för certifiering/registrering. 6

9 Samhällssäkerhet Riktlinjer för incidentberedskap och operationell kontinuitetsstyrning 1 Omfattning Dessa riktlinjer ger allmän vägledning för organisationer (privata, statliga och ideella organisationer) vid utarbetandet av egna kriterier för incidentberedskap och operationell kontinuitet, samt vid utformningen av lämpliga styrningssystem. Den ger en grund för förståelse, utveckling och implementering av kontinuerlig verksamhet och tjänster inom organisationen och den ger företaget självförtroende vid interaktioner inom företaget och med andra företag, samhället, kunder och blåljusmyndigheter. Den ger även organisationerna möjlighet att mäta sin motståndskraft på ett konsistent och erkänt sätt. Denna riktlinje kan tillämpas på alla offentliga och privata organisationer, oavsett storlek, som producerar varor, processer eller tjänster och som vill: förstå hela det sammanhang som organisationen verkar inom, identifiera kritiska mål, förstå de hinder, risker och avbrott som kan stå i vägen för de kritiska målen, utvärdera kvarvarande risker och risktolerans för att förstå resultaten av styrstrategier och strategier för begränsande av konsekvenser planera hur en organisation kan fortsätta att uppnå sina mål trots att en incident inträffar, utveckla kris- och nödsituationsåtgärder samt åtgärder för återhämtningsprocesserna, definiera roller och ansvarsfördelning, samt resurser för att vidta åtgärder vid en kris, tillmötesgå gällande lagar, bestämmelser och andra krav, främja ömsesidigt stöd mellan organisation och samhälle, interagera med räddningstjänst och massmedia, förorda attitydförändringar inom organisationen för att skapa medvetenhet om att det finns en inneboende risk i alla beslut och handlingar som kräver effektiv styrning. Denna riktlinje beskriver de allmänna principerna och komponenterna för incidentberedskap och operationell kontinuitet i en organisation. I vilken utsträckning den kan tillämpas beror på olika faktorer, såsom organisationens riktlinjer, typ av verksamhet, produkter och tjänster och var och under vilka omständigheter den verkar. Riktlinjens omfattning tar däremot inte hänsyn till speciella åtgärder i nödsituationer på grund av en kris, som till exempel katastrofhjälp och återskapande av social infrastruktur, som i första hand är myndigheternas ansvar i enlighet med tillämpliga lagar. Det är ändå viktigt att samordningen med denna typ av åtgärder upprätthålls och dokumenteras. 2 Normativa hänvisningar Detta dokument hänvisar till följande dokument som är absolut nödvändiga när detta dokument ska tillämpas. För daterade hänvisningar gäller endast den utgåva som anges. För odaterade hänvisningar gäller senaste utgåvan av dokumentet (inklusive alla tillägg). ISO guide 73:2002, Riskhantering Terminologi Riktlinjer för standarder 7

10 3 Termer och definitioner I detta dokument används de termer och definitioner som anges i ISO/IEC Guide 73, samt definitionerna nedan. 3.1 kritisk aktivitet funktioner och processer som är nödvändiga för en organisation för att kunna leverera sina produkter och/eller tjänster 3.2 konsekvens resultat av en händelse ANM. 1 En händelse kan få flera konsekvenser. ANM. 2 Konsekvenser kan vara såväl positiva som negativa. ANM. 3 Konsekvenser kan uttryckas både kvalitativt och kvantitativt. [ISO/IEC Guide 73] 3.3 kris incident-/er, orsakade av människor eller naturen, som kräver omedelbar uppmärksamhet och agerande för att skydda liv, egendom eller miljön 3.4 a katastrof händelse som orsakar stor skada eller förluster 3.4 b avbrott incident, oavsett om den är väntad (till exempel orkan) eller oväntad (till exempel strömavbrott eller jordbävning) som orsakar avbrott i den normala verksamheten på en organisations ort ANM. Ett avbrott kan orsakas av såväl positiv som negativ faktorer som avbryter den normala verksamheten. 3.5 nödsituation plötslig, akut, oftast oväntad tilldragelse eller händelse som kräver omedelbar handling ANM. En nödsituation är oftast en störande händelse eller ett tillstånd som man ofta kan förvänta sig eller förbereda sig på, men som sällan går att förutsäga exakt. 3.6 öva att utvärdera IPOCM-program, repetera lagmedlemmars och personalens roller och testa återhämtning eller kontinuitet hos en organisations system (till exempel teknisk utrustning, telefoni, administration) för att påvisa vilken förmåga och kapacitet IPOCM har ANM. 1 Övningar innebär att aktiviteter utförs i syfte att utbilda och träna lagmedlemmar och personal att agera på rätt sätt för att uppnå bästa möjliga resultat. ANM. 2 En övning kan innehålla operativa kontinuitetsrutiner, men det är troligare att man simulerar en operationell kontinuitetshändelse, med eller utan förvarning, där personalen deltar i ett rollspel för att kunna bedöma vilka frågor som uppkommer innan en verklig situation är aktuell. 8

11 3.7 händelse förekomsten av en specifik uppsättning av omständigheter ANM. 1 Händelsen kan vara bestämd eller obestämd. ANM. 2 Händelsen kan vara en isolerad tilldragelse eller en serie av händelser. ANM. 3 Sannolikheten för händelsen kan uppskattas för en viss period. [ISO/IEC Guide 73] 3.8 fara möjlig riskkälla, eller fysiska eller operativa omständigheter, som har kapaciteten att producera en viss typ av skadlig konsekvens 3.9 konsekvens utvärderade inverkan av ett visst resultat 3.10 konsekvensanalys process för analys av alla operativa funktioner och den konsekvens ett operativt avbrott kan ge på dessa 3.11 incident händelse som kan eller skulle kunna leda till avbrott i verksamheten, störning, förlust, nödsituation eller kris 3.12 incidentstyrningsplan klart definierad och dokumenterad handlingsplan för användning vid en incident eller ett avbrott, omfattar oftast nyckelbefattningar, resurser, tjänster och handlingar som krävs för att kunna genomföra incidentstyrningsprocessen 3.13 incidentberedskap åtgärder, program och system som utvecklats och implementerats innan en händelse inträffar och som kan användas för att stödja och förstärka begränsandet av, reaktionen på och återhämtandet från avbrott, katastrofer eller nödsituationer 3.14 incidentberedskap och operationell kontinuitetsstyrning IPOCM (incident preparedness and operational continuity management) systematiska och samordnade handlingar och övningar med vilka en organisation på bästa möjliga sätt hanterar risker och därmed tillhörande potentiella hot och konsekvenser 3.15 IPOCM-policy övergripande syften och riktning för en organisation när det gäller incidentberedskap och operationell kontinuitet, som formellt uttalande av högsta ledningen 3.16 begränsa konsekvenserna begränsning av de negativa inverkningarna av en viss händelse 3.17 avtal om ömsesidig hjälp arrangerad överenskommelse mellan två eller flera enheter för att ge stöd till avtalets parter 9