Comme pour de nombreuses normes, une transition (de BS 7799-2 à ISO 27001) est inévitable et l'Organisation internationale de normalisation (ISO) a commencé à préparer ISO 25999 pour remplacer BS 22301. Au cours de l'année 2011, la version préliminaire a été partagée avec le public et au milieu de l'année, 2012 a été publié sous le nom de système de gestion de la continuité de l'activité ISO 22301 Social.

ISO 22301 spécifie les exigences relatives à un système de gestion documenté afin de garantir que l'organisation est préparée, répond et renvoie des incidents en cas d'interruption de l'organisation.

 

Caractéristiques générales de la norme ISO 22301

• S'applique à tout type ou taille d'industrie ou de secteur
• Fournit un cadre éprouvé pour une approche systématique
• Fournit un cadre qui répond aux besoins des clients, aux besoins internes, à la législation, à la réglementation et aux exigences réglementaires
• Détermine les exigences standard pour la continuité des activités
• Fournit un modèle pour répondre continuellement aux besoins de l'entreprise malgré les interruptions
• Fournit la base pour la certification que les exigences définies sont remplies

Présentation de la norme du système de gestion de la continuité d'activité ISO 22301

Les principales sections de la norme relatives au système de gestion de la continuité des opérations (SMSI) sont regroupées sous les numéros d'article suivants.

         Article 4: Contenu de l'organisation

         Article 5: Leadership

         Article 6: Planification

         Article 7: Support

         Article 8: Opération

         Article 9: Évaluation de la performance

         Article 10: Amélioration

Une description de chacune de ces activités clés est donnée ci-dessous.

ISO 22301 Article 4: Contenu de l'organisation

Le premier article de la norme, qui concerne le système de gestion de l’information, contient des instructions permettant de déterminer la structure de l’organisation, le champ d’application du système de gestion de la sécurité et des critères de risque.

Ces déclarations peuvent être résumées comme suit:

• Activités de l'organisation, produits et services, relations avec les parties liées et liées,
• Critères de risque, identification des éléments internes et externes pouvant entraîner un risque,
• L'impact potentiel d'un événement dévastateur sur les parties concernées par une disposition à prendre des risques (appétit pour le risque),
• Les besoins et les attentes des parties intéressées par le SGSI et les exigences réglementaires
• Portée adaptée à la nature et à la complexité des éléments de l'organisation à inclure dans ISYS et à la nécessité d'ISYS,

Cela inclut le besoin de définitions et d'explications pour ces sujets.

Article ISO 22301 5: Leadership

L'installation et la maintenance du système de gestion nécessitent un responsable du système de gestion de la continuité d'activité agréé par la direction. Ce responsable doit faire preuve d'un engagement constant à l'égard du système de gestion, notamment pour déterminer les objectifs organisationnels de la gestion, fournir les ressources et l'autorisation nécessaires et créer un environnement viable et efficace.

Responsable de la norme de continuité des activités;

• Établir des politiques et des stratégies conformes aux objectifs de continuité des activités,
• S'assurer que les ressources sont disponibles,
• Utiliser le leadership et l'engagement pour motiver et responsabiliser,
• Une politique de continuité des activités conforme à l'objectif de l'organisation, y compris un engagement d'amélioration continue et annoncée aux parties concernées au sein de l'organisation,
• Effectuer une mesure de la performance à présenter à la direction avec les autorisations nécessaires,

responsabilités.

ISO 22301 Article 6: Planification

Pendant le fonctionnement du système de gestion de la continuité des activités, un plan comprenant les méthodes de configuration du système de gestion est préparé et des actions sont entreprises conformément à ce plan. L'objectif principal est d'atteindre les objectifs de continuité d'activité. Lors de la planification des objectifs de continuité des activités, l’organisation doit déterminer les éléments suivants:

• Qui sera responsable,
• Que fera-t-il,
• De quelles ressources aurez-vous besoin,
• Quand sera-t-il terminé?
• Comment les résultats seront évalués.

ISO 22301 Article 7: Support

Cette section explique toutes les ressources, les compétences, la notoriété, le contenu de communication et de documentation nécessaires à l'installation, à l'exécution, à la maintenance et au développement du système de gestion de la continuité des activités, ainsi que ses méthodes.

ISO 22301 Article 8: Fonctionnement

Dans la section Exploitation, les étapes de la mise en place d'un système de gestion de la continuité des opérations avec les éléments d'organisation inclus sous la responsabilité de personnes autorisées conformément au domaine d'application et aux règles définies sont expliquées.

Les étapes sont les suivantes:

• Déterminer les critères et décider des documents et de la planification.
• Les études d’analyse d’impact sur les entreprises et d’évaluation des risques doivent inclure,
• Etablir une stratégie de continuité d'activité après analyse et évaluation,
• Préparer les procédures et les instructions de continuité des opérations, en fonction de la politique de continuité des opérations,
• Mettre en place une structure pour informer et communiquer avec la structure de réponse aux incidents,
• Création de plans de continuité d'activité sur les mesures à prendre en cas d'interruption urgente des activités,
• Établir des plans pour assurer la continuité des activités à restituer à l'état avant l'événement,
• Contrôle de la conformité de ces procédures de continuité établies avec les objectifs de continuité d'activité par le biais d'exercices et de tests.

ISO 22301 Article 9: Évaluation de la performance

Cette section, qui comprend les étapes de surveillance, de mesure, d’analyse et d’évaluation, contient des explications sur la validité du système de gestion établi conformément aux plans de détermination des critères et d’évaluation des mesures définis à l’article 6.

Vérifier le fonctionnement et la validité de l'ensemble du système de gestion plutôt que des phases opérationnelles; procédures, audit interne et revue de direction, ainsi que méthodes d’évaluation des performances.

ISO 22301 Article 10: Amélioration

Lorsque des non-conformités apparaissent dans un système de gestion de la continuité des opérations établi et exploité, les actions correctives et les non-conformités doivent être corrigées et contrôlées. Cette section décrit les actions correctives et les exigences d'amélioration continue pour améliorer l'efficacité du système de gestion. En conséquence, les objectifs atteints et l'efficacité du système de gestion sont continuellement testés et des améliorations sont apportées.