Business Continuity Management - AIEA · relativamente alla gestione della Business ... metri...
Transcript of Business Continuity Management - AIEA · relativamente alla gestione della Business ... metri...
Alcune riflessioni alla luce della normativa, della metodologia ABI e
delle “best practice”
Business Continuity Management
Firenze, 20 maggio 2005
Ing. Anthony Cecil WrightPresidente ANSSAIF
Responsabile progetto diBusiness Continuity
Banca Nazionale del Lavoro
2
Premessa
Obiettivo di questa relazione è quello di proporre alcune considerazioni relativamente alla gestione della Business Continuity.
Infatti, mentre i progetti, richiesti dalla recente normativa di Banca d’Italia, stanno procedendo nella redazione dei piani operativi per la mitigazione dei rischi, bisogna realizzare la struttura di Business Continuity Management che deve anche aggiornare le analisi d’impatto; in caso contrario, si rischia che a fine progetto (2006) i piani redatti non tengano conto dei mutamenti nel frattempo intervenuti, sia in termini di scenari e rischi, sia di processi critici.
Assume quindi particolare attenzione il posizionamento organizzativo del Business Continuity Manager, soprattutto per le interrelazioni con la Sicurezza (ICT e fisica) ed il rischio operativo.
Nel fare ciò, ho ritenuto opportuno trarre anche degli spunti per accennare ad alcune tipiche problematiche che sorgono nel corso del progetto.
Prima, però, concedetemi due parole su ANSSAIF.
3
Premessa - ANSSAIF
Lo Statuto - Art. 1È costituita l’associazione senza fini di lucro “Associazione Nazionale Specialisti Sicurezza in Aziende di Intermediazione Finanziaria (ANSSAIF)”, (…) avente come scopo: la partecipazione alla maturazione, in tutte le sedi opportune, anche universitarie, della consapevolezza dei problemi connessi alla necessaria protezione dei beni informatici, dei dati e delle informazioni, per garantirne la riservatezza, l’integrità e la disponibilità;la promozione di studi e ricerche nel campo della sicurezza ICT,curando altresì di individuare processi e momenti di integrazione della sicurezza logica e di quella fisica;la conservazione del patrimonio di esperienze professionali degli specialisti di sicurezza del settore, anche al termine della loro attività lavorativa.
4
Premessa - ANSSAIF
Soci dell’Associazione sono esperti di sicurezza ICT operanti, o che hanno operato per un congruo periodo, in aziende di intermediazione finanziaria.– Attualmente i soci appartengono a 14 tra le maggiori banche o gruppi
bancari.Soci sponsor possono essere tutte le aziende o Enti che sono interessati ad avere informazioni e studi sui sistemi di sicurezza.– Alla data, fra i soci sostenitori annoveriamo l’ASSOCIAZIONE BANCARIA
ITALIANA, CLUSIT, ICAA, BMC, ET, EDS, KPMG, IBM, SYMANTEC, SIEMENS INFORMATICA, ERNST&YOUNG, ONESIS, CM Sistemi, …
5
Premessa
Nella mia relazione, faccio riferimento ai seguenti documenti:
– Normativa della Banca d’Italia (15 luglio 2004)
– Metodologia ABI (settembre 2004)
– British Banker’s Association – “A Guide to Business Continuity Management”
– Financial Services Authority – A Survey on best practices.
6
Premessa
Siccome non tutti i presenti potrebbero conoscere la normativa in vigore, faccio una breve ricapitolazione delle istruzioni di Vigilanza sulla continuità operativa.
8
La normativa
Banca d’Italia si è posta l’obiettivo di far sì che sianointraprese tutte le iniziative volte a ridurre a un livello ritenuto accettabile i danni conseguenti a
incidenti settoriali e catastrofi estese che colpiscono direttamente o indirettamente l’azienda oppure sue
controparti rilevanti.
Ha quindi chiesto agli operatori di sistema e agli intermediari di predisporre un piano di continuità operativa entro il 2006.
Scadenza intermedia:Le banche appartenenti a gruppi bancari con un attivo
consolidato superiore a 5 mld.euro devono entro il 30.6.2005presentare il progetto per la realizzazione del piano
di continuità operativa.
9
La normativa
Quali scenari vanno presi in esame?Distruzione o inaccessibilità di strutture nelle quali sono
allocate unità operative o apparecchiature critiche;Indisponibilità di personale essenziale per il funzionamento
dell’azienda;Interruzione del funzionamento delle infrastrutture;Alterazione dei dati o indisponibilità dei sistemi a seguito di
attacchi perpetrati dall’esterno attraverso le reti telematiche;Danneggiamenti gravi provocati da dipendenti.
10
Il piano di continuità operativa
Il piano di continuità operativa, da realizzare entro il 2006… “è il documento che formalizza i principi,
fissa gli obiettivi e descrive le procedure per la gestione della continuità operativa dei processi aziendali critici”.
11
Il piano di continuità operativa
Il piano di continuità operativa:Documenta:
Le modalità per la dichiarazione di emergenza;L’organizzazione e le procedure da seguire in situazione di crisi;
L’iter per la ripresa della normale operatività.Stabilisce:
Il tempo massimo accettabile di ripartenza di sistemi eprocessi critici;
Le regole di conservazione dei documenti importanti;Modalità e frequenza di generazione delle copie degli archivi
di produzione;Le modalità per il ripristino presso i sistemi secondari;
Le modalità di comunicazione con la clientela, le contropartirilevanti ed i media.
12
Il piano di continuità operativa
Il piano di continuità operativa:
Individua:Il personale essenziale per assicurare la continuità;
Le località / siti da raggiungere;Le attività da porre in essere in caso di emergenza.
13
La normativa cosa richiede per giugno 2005
Per la nota scadenza di giugno si richiede di:
1. Analizzare tutti i processi aziendali;2. Individuare i processi critici mediante:
Identificazione del livello di rischio tenendo conto sia dei para-metri caratteristici della struttura organizzativa e della operativitàAziendale, sia dei rischi operativi, di mercato, liquidità,ecc.;
Valutazione delle conseguenze di una interruzione del processosotto i diversi profili (economico, reputazionale, ecc.);
14
La normativa cosa richiede per giugno 2005
E per ogni processo critico:
3. Individuare il responsabile,le procedure informatiche di supporto,il personale addetto, le strutture logistiche interessate,le infrastrutture tecnologiche, di comunicazione …4. Definire il tempo massimo accettabile di interruzione;5. Definire i presidi organizzativi e le misure di emergenza commisurate ai rischi;
15
La normativa
6. Individuare misure preventive, di emergenza e di ripristino,7. Valutare le soluzioni di continuità ipotizzate, sotto il profilo
dei costi, investimenti, tempi e risorse previsti per la realizzazione;
8. Documentare le soluzioni;9. Ottenere l’approvazione del Vertice Aziendale;10.Inviare le decisioni assunte alla Vigilanza.
16
Business Continuity Management process: metodologia ABI
4Maintenance,
Testing &Improvement
3Implementation
2Design
1Assessment
(BIA)
0Pre-ProjectPlanning
Pri
nci
pali a
ttiv
ità
Pri
nci
pali o
utp
ut
Individuazione e valutazione processi critici
Valutazione impatti scenari di crisi che minacciano la sopravvivenza del business
Processi e risorse critiche
Perimetro definitivo
Individuazione soluzioni alternative di continuità
Definizione strategia di BC di riferimento e impostazione piano di implementazione
Strategia di continuitàoperativa
Piano degli interventi
Identificazione e predisposizione infrastrutture e tecnologie
Sviluppo/redazione del Business Continuity Plan
Collaudo, accettazione del BCP e preparazione del personale
Business Continuity Plan
Processo di crisismanagement
Realizzazione interventi
Di seguito è schematizzata la metodologia KPMG-NNI per la definizione e realizzazione di una strategia di continuitàLe attività dalla 0 alla 3 sono attività progettuali necessarie allo sviluppo della strategia di continuità con scadenze diverse: 0-2 entro il 30/6/2005 e la 3 entro il 2006. L’attività 4 è una attività continuativa nel tempo a carico delle strutture della Banca che consiste nel mantenimento e aggiornamento della strategia e delle soluzioni di continuità adottate
Fasi progettuali da svolgere una tantum
Attività continuative a carico delle strutture della
Banca
Slide tratta da una presentazione KPMG – NNI.
17
Business Continuity Management process: metodologia ABI
4Maintenance,
Testing &Improvement
3Implementation
2Design
1Assessment
(BIA)
0Pre-ProjectPlanning
Pri
nci
pa
li a
ttiv
ità
Pri
nci
pa
li o
utp
ut
Individuazione e valutazione processi critici
Valutazione impatti scenari di crisi che minacciano la sopravvivenza del business
Processi e risorse critiche
Perimetro definitivo
Individuazione soluzioni alternative di continuità
Definizione strategia di BC di riferimento e impostazione piano di implementazione
Strategia di continuitàoperativa
Piano degli interventi
Identificazione e predisposizione infrastrutture e tecnologie
Sviluppo/redazione del Business Continuity Plan
Collaudo, accettazione del BCP e preparazione del personale
Business Continuity Plan
Processo di crisismanagement
Realizzazione interventi
Slide tratta da una presentazione KPMG – NNI.
Le attività attualmente in corso ’05-’06X-----------------------------------X--------------X
18
Il Business Continuity Manager (BCMgr)
L’Alta Direzione nomina il responsabile del piano di emergenza (…):“Il CdA stabilisce gli obiettivi e le strategie di continuità del servizio, assicura risorse umane, tecnologiche e finanziarie adeguate (…)”; domande:
– Il budget per il BCM è “annegato” nei budget delle diverse Funzioni Aziendali, o c’è uno specifico budget di cui risponde il BCMgr?
– Dalla normativa si evince che il CdA deve approvare la struttura ed il posizionamento organizzativo del BCM ed assegnare uno specifico budget.
La responsabilità dello sviluppo, della manutenzione e delle verifiche del piano di emergenza è affidata dall’Alta Direzione a un esponente aziendale con posizione gerarchico-funzionale adeguata (…):
– Questa frase conferma che il BCMgr è una figura di rilievo nell’ambito dell’AziendaLe unità operative coinvolte nei processi critici individuano i responsabili di settore del piano di emergenza. Essi coordinano, per gli aspetti di competenza, i lavori per la definizione del piano, per l’attuazione delle misure previste nello stesso e per la conduzione delle verifiche.
– Ogni U.O. ed ogni Società controllata ha un BCMgr.
La normativa:
19
Business Continuity Management: il BCMgr
Nulla si dice riguardo al posizionamento del BCMgr (struttura di“governance”? “line”? Staff al DG?), ovvero, se trattasi di unafunzione di indirizzo od operativa.Vediamo allora cosa affermano altri autorevoli Enti.
20
Business Continuity Management: la BBA
“a dedicated team and adequate resources to:– manage the project”– Challenge and guide the business– Report to the Steering Committee and other stakeholders” (…)
Si parla di una struttura aziendale a ciò dedicata.
“Appointed individuals in each business function to:– Provide data– Analyze requirements– Help develop the strategy for their function” (…)
Anche la BBA mette l’accento sulle responsabilità delle U.O. nel BCM
“appointed individuals from critical resource areas such as Facilities, HR and IT Operations, Telecommunications and Desktop support, aspart of the project team to develop, implement and test the recovery solutions”.
Appare limitativo. Si parla di “team di progetto”: e a regime?
21
Business Continuity Management: la FSA
“clear accountability”“senior management sponsorship”“day to day BCM responsibility of a dedicated function” “staff involved in BCM are set clear objectives and key performance indicators”“separate BCM budgets are allocated to the BCM function and the DR team within it”
Anche la FSA parla di una struttura aziendale dedicata alla BCM.Al personale addetto sono assegnati obiettivi e KPI. Ogni BCMgr ha il suo budgetIl budget di Disaster Recovery è incluso in quello di BCM.A differenza della normativa italiana, si introduce uno sponsor ad alto livello (forse proprio perché non è stata prevista la nomina del BCMgr da parte del Vertice Aziendale).
22
Business Continuity Management: il BCMgr
Rimangono ancora aperte le domande che ci eravamo posti.
Proviamo allora a cercare una risposta andando ad esaminare le attività nelle quali è impegnato, a regime, il BCMgr, su quali fonti informative si basa per rispondere adeguatamente alla sua “mission” e, quindi, le corrispondenti funzioni aziendali.
Non ultimo, si devono analizzare le interrelazioni con il Crisis Manager.
A seguito di queste analisi probabilmente siamo in grado di rispondere alle domande che ci siamo posti.
23
Business Continuity Management: le attività
– Documentazione dei processi e procedure per i team per rispondere prontamente ad un incidente;
– Modifica alle procedure degli utenti per migliorare la qualità della risposta dell’azienda in caso di disastro;
– Modifiche all’ICT necessarie per supportare le strategie di recovery stabilite;
– Modifiche alle applicazioni IT per agevolare la migrazione in un’altra installazione e per assicurare un’operatività degradata;
– Scelta di nuovo hardware e software per supportare l'infrastruttura di recovery;
– Incremento delle protezioni fisiche e degli apparati di continuità (UPS, generatori, ecc.)
– Scelta di un sito alternativo, in house o in sourcing;– Test dei piani e delle infrastrutture di recovery,– Aggiornamento dei piani;– Formazione del personale coinvolto nel BCPlanning;– Comunicazione al Vertice sulle risultanze dei test dei piani di
emergenza e formulazione proposta di budget.
24
Business Continuity Management process
Analisi variazioni (organizzative,
Sistemi Informativi, logistiche) con
impatto sulla BC
Rilevazione dei rischi e degli
impatti ai fini delle esigenze di
continuità operativa
Disegno e realizzazione delle
soluzioni; aggiornamento
BCP
Test dei piani di continuità
operativa
Organizzazione
Sistemi Informativi-DR
Logistica
Sicurezza ICT
Principali funzioni Aziendalicoinvolte
BCM settoriale
Ipotesi per discussione
A= approva; P=propone; R= realizza; C= Fornisce consulenza nell’ambito delle proprie competenze; I= è informato;
Risk Management
Sicurezza Fisica626(?)
Proposta di budget per la
continuità operativa del
Gruppo
BCMgr Capogruppo
Risorse Umane
Comitato X
U.O./ Soc.
1 2 3 4 5
R
R P/R C/R C
PRA/RR
R
P
P/R
C C/R A C
P/R C CC
A
25
BCM process(2): alcune ipotesi
1. Il BCMgr deve poter avvertire, della rilevanza dell’impatto sul BCM, il proponente una variazione organizzativa, logistica, ICT, ecc.; se non risolta, la problematica viene portata in un Comitato.
2. Le Funzioni centrali collaborano alla revisione periodica dei rischi (scenari, perdite economiche, impatti sui processi, ecc.) ai fini dell’ eventuale necessità di revisione del piano di continuità;
3. Le possibili soluzioni di mitigazione dei rischi vengono esaminate con le Funzioni competenti, accettate dai BCM di U.O., approvatedal BCMgr, e realizzate sotto il coordinamento del BCMgr, dei BCM e delle Funzioni competenti. Include il D/R.
4. I test, se settoriali, sono sotto la responsabilità dei BCM locali. Il D/R è responsabilità del S.I., testato con le U.O. /Società , sotto il coordinamento del BCMgr.
5. Il budget è predisposto dal BCMgr sulla base delle risultanze delle fasi precedenti (nuove norme; nuovi rischi; variazioni proposte e relativo design delle soluzioni; risultanze dei test; ecc.).
26
Fonti Informative
La normativa prevede:– “…le banche aggiornino la valutazione dei rischi operativi, adeguino
le strategie in tema di sicurezza e rafforzino i presidi di emergenza in modo da garantire adeguati livelli di continuità operativa.”
La continuità operativa:– “… la gestione della continuità operativa comprende tutte le
iniziative volte a ridurre ad un livello ritenuto accettabile i danni conseguenti a incidenti e catastrofi che colpiscono direttamente o indirettamente un’azienda.”
Danni:– Probabilità x vulnerabilità x impatto economico
27
Fonti informative
Probabilità:– Eventi rari / rarissimi: chi fornisce il dato? – Il Risk management? Ha le perdite attese (loss collection; archivio
ABI; ecc.). E quelle inattese? L’ORM deve dare l’informazione.– L’information sharing fra banche può essere una fonte da non
trascurare.– ANSSAIF ha un team dedicato ed un’apposita sezione sul sito.
Vulnerabilità:– L’unico modo è eseguire periodicamente l’analisi del rischio.– Il rapporto CIPA sul rischio informatico costituisce una base di
riferimento.Impatto economico:– Questo dato è fornito dalla Business Impact Analysis.
28
Business Continuity Management: il BCMgr
Il BCMgr garantisce “adeguati livelli di continuità operativa”.Lo sforzo che deve fare l’azienda è più sulla prevenzione che sulla
gestione dell’emergenza (ridurre le probabilità di accadimento),specialmente quando si tratta di attacchi dall’interno o dall’esterno, anche attraverso reti telematiche (cfr.normativa).
IL BCMgr necessita di informazioni e competenze fondamentalmente presenti in strutture di linea (Operations), fatta eccezione per le risorse umane e i rischi.
Riflessione: il BCMgr non può essere responsabile di tutto, ma neanche limitarsi a verificare che tutto venga espletato al meglio!
Allora, forse è legittima la domanda: è da escludere la sua collocazione in una struttura di linea, nella quale si presidiano i processi e le risorse?
29
Business Continuity Management: il BCMgr
BCMgr e Crisis Manager.Innanzitutto dobbiamo chiarire: con Crisis Manager, chi si vuole indicare? Un alto dirigente della banca, in grado di prendere decisioni in modo autonomo, avendo anche dei poteri di spesa per il ruolo ricoperto? Oppure, è una figura prettamente operativa, che è sul luogo del disastro finché non è tutto risolto, e che riporta ad un Comitato ristretto di elevato livello? il BCM predispone e prova il piano di emergenza. Il Crisis Manager interviene solo quando c’è la crisi? Ed attua il piano predisposto da un’altra funzione?BCMgr e CM sono due figure operative, decisionisti, esperti conoscitori delle problematiche in gioco (umane innanzitutto, maanche organizzative e tecnologiche).Quindi? Non si tratta della stessa persona?
30
Il BCMgr – conclusioni
Il BCMgr è nominato dall’Alta Direzione, ha un budget ed una struttura, approvati dal CdA, che devono consentirgli di far fronte a quanto necessario per assicurare all’Azienda di ridurre le conseguenze derivanti dal verificarsi di incidenti o catastrofi anche estese.
Coordina le attività dei BCM delle Unità Organizzative e delle Società del Gruppo.
Può avere la responsabilità del Disaster Recovery; il piano di D/R rientra nel Piano di Emergenza, di cui è responsabile.
Per la sua attività necessita di informazioni relative a: scenari di rischio, probabilità di accadimento di incidenti e catastrofi, vulnerabilità degli assets. Esegue periodicamente una B.I.A.
E’ allocato in una struttura di linea, qualora abbia un ruolo di effettiva responsabilità nel garantire adeguati livelli di continuità o sia anche Crisis Manager. Ciò anche se sarebbe preferibile fosse in staff a DG / AD, possibilmente con responsabilità di Security ICT e fisica (cfr. ABILab– Sicurezza Trasversale). Altrimenti, è allocato in una struttura di Governance (Risorse Umane; Risk management), se è cioè responsabile di “indirizzare” e coordinare gli interventi di BCM.