1. O que é a ISO 22301?
1.1. Específica requisitos para estabelecer e gerenciar um Sistemas de Gestão de Continuidade de Negócios (SGCN)
1.1.1. Passos SGCN:
1.1.1.1. - Entender as necessidades da organização;
1.1.1.2. - Estabelecer a política e objetivos;
1.1.1.3. - Implementar e operar controles e medidas;
1.1.1.4. - Monitorar e analisar criticamente o desempenho;
1.1.1.5. - Melhorar continuamente;
1.2. Protege, reduz a possibilidade de ocorrência, prepara-se, responde e recupera-se de incidentes de interrupção;
2. DO
2.1. Definição dos requisitos para aplicação do SGCN
2.1.1. Processos para atender o BIA e avaliação de riscos
2.1.1.1. BIA (Business Impact Analysis);
2.1.1.1.1. Identificar as atividades que suportam o fornecimento de produtos e serviços;
2.1.1.1.2. Avaliar impacto caso as atividades fiquem indisponíveis;
2.1.1.1.3. Determinar prazos para restabelecimento das atividades;
2.1.1.1.4. Identificar dependências e recursos de cada atividade;
2.1.1.1.5. ISO 22317
2.1.1.2. Avaliação dos Riscos;
2.1.1.2.1. Identificar os riscos de interrupção;
2.1.1.2.2. Analisar os riscos;
2.1.1.2.3. Avaliar os riscos;
2.1.1.2.4. Identificar o melhor tratamento;
2.1.1.2.5. ISO 31000
2.1.2. Processos para atender requisitos e ações determinadas
2.1.2.1. Planejar
2.1.2.1.1. Estabelecer critérios para os processos;
2.1.2.2. Implementar
2.1.2.2.1. Controle para os processos de acordo com os critérios definidos;
2.1.2.3. Controlar
2.1.2.3.1. Manter documentação;
2.1.3. Estratégia de continuidade de negócios
2.1.3.1. Definição da estratégia
2.1.3.1.1. Baseada nos resultados do BIA e avaliação de riscos;
2.1.3.1.2. Objetivos:
2.1.3.2. Definição de recursos necessários
2.1.3.3. Proteção e mitigação
2.1.3.3.1. Reduzir a probabilidade de interrupção;
2.1.3.3.2. Diminuir o período de interrupção;
2.1.3.3.3. Limitar o impacto da interrupção;
2.1.4. Estabelecimento e implementação de procedimentos para continuidade dos negócios
2.1.4.1. Gestão de resposta a incidentes
2.1.4.1.1. Identificar ponto inicial do impacto;
2.1.4.1.2. Avaliar a natureza do impacto;
2.1.4.1.3. Acionar a resposta ao incidente de continuidade dos negócios;
2.1.4.1.4. Estabelecimento de processos e procedimentos para responder ao incidente;
2.1.4.1.5. Estabelecimento de recursos para minimizar o impacto;
2.1.4.1.6. Comunicar as partes interessados sobre o incidente;
2.1.4.2. Aviso e comunicação
2.1.4.2.1. Detectar um incidente;
2.1.4.2.2. Monitorar a possibilidade de um incidente;
2.1.4.2.3. Garantir os meios de comunicação durante um incidente;
2.1.4.2.4. Facilitar a comunicação;
2.1.4.2.5. Armazenar informações sobre o incidente;
2.1.4.3. Procedimentos para recuperar as atividades
2.1.4.3.1. Responsáveis com autoridade de resposta durante e após um incidente;
2.1.4.3.2. Processo para ativar a gestão de incidentes;
2.1.4.3.3. Detalhes para gerenciamento dos impactos;
2.1.4.3.4. Detalhes de comunicação com os colaboradores;
2.1.4.3.5. Detalhes para recuperar atividades dentro do prazo estipulado;
2.1.4.3.6. Processo para retomar as atividades;
2.1.5. Testar os procedimentos de continuidade dos negócios
2.1.5.1. É consistente com o escopo e objetivos do SGCN?
2.1.5.1.1. Deve ser claramente definido;
2.1.5.2. Minimiza os riscos?
2.1.5.3. Envolver partes interessadas;
2.1.5.4. Produzir documentos com resultados, recomendações e ações sobre melhoria contínua;
2.1.5.5. Executar em intervalos ou quando há mudanças;
3. CHECK
3.1. Medição do desempenho do SGCN
3.1.1. Organização deve determinar:
3.1.1.1. O que e quando deve ser monitorado?
3.1.1.2. O que deve e quando ser medido?
3.1.1.3. Quais métodos de medição, análise e avaliação?
3.1.1.4. Resultados
3.1.1.4.1. Documentados!!
3.1.1.4.2. Quando analisados e avaliados?
3.1.1.5. Conduzir avaliações dos procedimentos de continuidade do negócio;
3.1.1.5.1. Análise crítica;
3.1.1.5.2. Exercícios;
3.1.1.5.3. Avaliações de desempenho;
3.1.1.6. Conduzir auditoria interna;
3.1.1.6.1. Conformidade;
3.1.1.6.2. Implementar e manter;
3.1.1.6.3. Selecionar auditores;
3.1.1.7. Analisar criticamente o SGCN
3.1.1.7.1. Qual a análise crítica anterior?
3.1.1.7.2. Mudanças internas e externa;
3.1.1.7.3. Desempenho da continuidade dos negócios;
3.1.1.7.4. Oportunidade de melhoria contínua;
3.1.1.7.5. Resultado das auditorias internas e exercícios;
3.1.1.7.6. Resultado das ações corretivas;
3.1.1.7.7. Resultado da análise crítica:
3.1.1.7.8. Documentação da análise crítica;
4. ACT
4.1. Não conformidades do SGCN
4.1.1. Identificar;
4.1.2. Reagir;
4.1.2.1. Contenção;
4.1.2.2. Correção;
4.1.2.3. Consequências;
4.1.3. Eliminar a causa;
4.1.3.1. Análise crítica da não conformidade;
4.1.3.2. Determinar a causa da não conformidade;
4.1.3.3. Verificar não conformidade similar;
4.1.3.4. Determinar ação corretiva;
4.1.4. Implantação de ação corretiva;
4.1.5. Análise crítica da ação corretiva;
4.1.6. Alterar SGCN (se necessário);
4.1.7. Melhoria contínua;
5. - Garantir que o SGCN atinja os seus objetivos; - Prevenir/Reduzir consequências indesejadas; - Garantir melhoria contínua no SGCN;
6. PLAN
6.1. Definição do contexto da organização
6.1.1. Entendendo a organização e seu contexto
6.1.1.1. Determinar objetivos da organização;
6.1.1.2. Determinar fatores internos e externos;
6.1.1.3. Estabelecer critérios de risco;
6.1.1.4. Definir o objetivo do SGCN;
6.1.2. Entendendo as necessidades e expectativas das partes interessadas
6.1.2.1. Determinar partes interessadas e relevantes;
6.1.2.2. Estabelecer, implementar e manter procedimentos para identificar e avaliar os requisitos legais e regulamentações do seu mercado;
6.1.3. Determinando o escopo
6.1.3.1. Estabelecer requisitos do SGCN;
6.1.3.2. Identificar produtos, serviços e atividades;
6.1.3.3. Delimitar os interesses e necessidades das partes interessadas;
6.1.3.4. Definir o escopo quanto ao tamanho, natureza e complexidade;
7. PLAN
7.1. Definição do papel da direção e lideranças do SGCN
7.1.1. Comprometimento da direção
7.1.1.1. Garantir o estabelecimento de políticas e objetivos de acordo com as diretrizes da organização;
7.1.1.2. Garantir a integração entre os processos de negócio e o SGCN;
7.1.1.3. Fornecer uma estrutura para garantir recursos necessários para o SGCN;
7.1.1.4. Definir papéis, responsabilidades e competências;
7.1.2. Política SGCN deve ser
7.1.2.1. Documentada;
7.1.2.2. Disponível;
7.1.2.3. Comunicada para colaboradores;
7.1.2.4. Analisada criticamente;
7.1.3. A Liderança (Gestores) devem:
8. PLAN
8.1. Descrição dos requisitos para aplicação do SGCN
8.1.1. Ações para direcionar os riscos e as oportunidades
8.1.2. Objetivos da continuidade de negócios
8.1.2.1. Alinhado com a política;
8.1.2.2. Mensurável;
8.1.2.3. Monitorado;
8.1.2.4. Atualizado;
8.1.3. Planos para alcançar os objetivos:
8.1.3.1. Responsáveis?
8.1.3.2. O que e quando será executado?
8.1.3.3. Recursos?
8.1.3.4. Como os resultados serão avaliados?
9. PLAN
9.1. Definição do suporte para o SGCN
9.1.1. Competências da organização
9.1.1.1. Definir papéis, responsabilidades e competências;
9.1.2. Recursos
9.1.2.1. A organização deve fornecer uma estrutura para garantir recursos necessários para o SGCN;
9.1.3. Conscientizar os colaboradores sobre...
9.1.3.1. a política do SGCN;
9.1.3.2. o papel e contribuição de cada um;
9.1.3.3. as penalidades para as não conformidades;
9.1.4. Comunicação
9.1.4.1. O que, quando e para quem comunicar?
9.1.4.2. Procedimentos para partes internas e externas;
9.1.5. Documentação
9.1.5.1. Criação e atualização
9.1.5.1.1. Identificação + descrição;
9.1.5.1.2. Formato + mídia;
9.1.5.1.3. Análise critica + aprovação;
9.1.5.2. Controle
9.1.5.2.1. Disponibilidade (distribuição e acesso);
9.1.5.2.2. Proteção (Retenção e controle de versão);