Woordenlijst
De terminologie, zonder vaagheid
Een uur lezen dat zes maanden misverstanden voorkomt. Elke term is in onze eigen woorden geherformuleerd en verwijst naar de normatieve bron.
A
B
Kopie van gegevens die afzonderlijk wordt bewaard om herstel mogelijk te maken. De 3-2-1-1-0-regel vat de goede praktijk samen: drie kopieën, twee media, één op een externe locatie, één onveranderlijk, nul fouten bij geverifieerd terugzetten.
DORA art. 12 / CIS Controls v8.1, contrôle 11
Het vermogen van een organisatie om haar producten en diensten ondanks een verstoring te blijven leveren op een vooraf bepaald aanvaardbaar niveau. Het is een vermogen, geen document.
ISO 22300:2021
Proces waarin de gevolgen van een onderbreking voor de activiteiten in de tijd worden geanalyseerd, om die activiteiten te prioriteren en er gekwantificeerde hersteleisen uit af te leiden.
ISO 22301:2019, 8.2.2 / ISO/TS 22317:2021
Persoon of organisatie die een besluit of activiteit kan beïnvloeden, erdoor kan worden beïnvloed of zich erdoor beïnvloed kan voelen.
ISO 22300:2021
Dienst die aan een externe klant of aan de markt wordt geleverd en waarvan de onderbreking ontoelaatbare schade zou veroorzaken. De dienst wordt geformuleerd vanuit het perspectief van de gebruiker, nooit vanuit het organigram.
PRA SS1/21 / FCA PS21/3
Analysetechniek die de oorzaken van een ongewenste gebeurtenis koppelt aan de gevolgen ervan, met links de preventieve barrières en rechts de beschermende barrières.
IEC 31010:2019
C
Bevestiging door een derde partij dat een systeem, product of persoon voldoet aan gespecificeerde eisen. Bij een managementsysteem gaat het om conformiteit, niet om prestaties.
ISO/IEC 17021-1:2015
Fysieke of virtuele locatie van waaruit de respons wordt geleid en gecoördineerd. De commandopost moet beschikken over communicatiemiddelen die onafhankelijk zijn van het gewone informatiesysteem.
ISO 22320:2018
Blootstelling die voortvloeit uit afhankelijkheid van een moeilijk vervangbare dienstverlener, of van meerdere onderling verbonden dienstverleners, voor een kritieke functie.
Règlement (UE) 2022/2554, art. 29
Maatregel om de oorzaak van een afwijking weg te nemen, zodat die zich niet herhaalt. Te onderscheiden van een correctie, die alleen het vastgestelde gevolg aanpakt.
ISO 22301:2019, 10.1
Ongebruikelijke, instabiele en complexe situatie die de strategische doelstellingen, de reputatie of de levensvatbaarheid van een organisatie bedreigt. Wat een crisis kenmerkt, is de onzekerheid, niet de ernst.
ISO 22361:2022
Groep personen met het mandaat om een crisis te beheersen: de situatie beoordelen, beslissen, middelen toewijzen en communiceren. Het crisisteam maakt afwegingen; het voert niet uit.
ISO 22361:2022
D
Periodieke beoordeling van het managementsysteem door het topmanagement, op basis van vastgestelde input, die leidt tot besluiten over verbetering en over de toewijzing van middelen.
ISO 22301:2019, 9.3
Test die de tactieken, technieken en procedures van werkelijke tegenstanders nabootst tegen systemen in productie, uitgevoerd binnen een kader waarop de autoriteit toezicht houdt.
TIBER-EU / DORA art. 26
Governancemodel voor risico’s: de eerste lijn neemt en beheert het risico, de tweede houdt er toezicht op en toetst het kritisch, de derde biedt onafhankelijke zekerheid. Drie rollen, geen drie hiërarchische niveaus.
BCBS PSMOR / IIA
E
Korte mededeling die heel vroeg in een crisis wordt verspreid, waarin de vastgestelde feiten worden erkend en de volgende stappen worden aangekondigd, zonder te speculeren over oorzaken of verantwoordelijkheden.
ISO 22361:2022
ICT-incident met een grote nadelige impact op de netwerken en systemen die kritieke of belangrijke functies ondersteunen, beoordeeld aan de hand van geharmoniseerde criteria: getroffen klanten, duur, geografische spreiding, gegevensverlies, kriticiteit en economische impact.
Règlement (UE) 2022/2554, art. 3 et 18
Kalibratiecriterium voor een testscenario: ernstig genoeg om de opzet onder druk te zetten, geloofwaardig genoeg om het topmanagement bereid te vinden er conclusies uit te trekken.
BCBS 516 / PRA SS1/21
Gestructureerde analyse van een gebeurtenis of een oefening om vast te stellen wat werkte en wat ontbrak, en om gedateerde acties met een eigenaar op te leveren.
ISO 22398:2013 / NIST SP 800-61
Gedocumenteerd plan om een uitbestedingsregeling te beëindigen zonder de dienstverlening te onderbreken of de toezichtrechtelijke eisen te schenden. De exitstrategie moet vóór de ondertekening worden opgesteld.
EBA/GL/2019/02 / DORA art. 28
F
G
Gemeenschappelijke structuur van tien clausules die aan alle ISO-normen voor managementsystemen wordt opgelegd en die de integratie ervan mogelijk maakt: context, leiderschap, planning, ondersteuning, uitvoering, evaluatie, verbetering.
Directives ISO/IEC, partie 1
Gedeelde, continu bijgewerkte weergave van de situatie, waardoor alle betrokkenen op dezelfde feitelijke basis kunnen beslissen.
ISO 22320:2018
Activiteit waaraan urgentie wordt toegekend om onaanvaardbare gevolgen tijdens een onderbreking te voorkomen. De prioritering volgt uit de BIA en niet uit een verklaring van de betrokken business.
ISO 22300:2021
Commandomodel op drie niveaus — strategisch, tactisch, operationeel — dat afkomstig is van de Britse hulpdiensten en is overgenomen door ISO 22320 en ISO 22361.
ISO 22320:2018 / ISO 22361:2022
H
I
Het vermogen van de informatiesystemen om de bedrijfscontinuïteit te ondersteunen, met inbegrip van detectie, respons en herstel — niet alleen het technisch terugzetten van systemen en gegevens.
ISO/IEC 27031:2011
Het maximale niveau van verstoring van een belangrijke dienst dat een organisatie kan verdragen, doorgaans uitgedrukt in tijd. Het is een toezichtrechtelijk plafond voor de schade, geen interne hersteldoelstelling.
PRA SS1/21 / BCBS 516
Situatie die kan leiden tot een verstoring, een verlies, een noodsituatie of een crisis. Een incident wordt afgehandeld met een bekende procedure.
ISO 22300:2021
Gestructureerde inventaris, die jaarlijks aan de bevoegde autoriteit wordt toegezonden, van alle contractuele regelingen voor het gebruik van door derden geleverde ICT-diensten.
Règlement (UE) 2022/2554, art. 28
Informatie die tijdens een oefening wordt ingebracht om de situatie te laten evolueren en een beslissing uit te lokken. De kwaliteit van een oefening staat of valt met de kwaliteit van de injects.
ISO 22398:2013
Systematisch, onafhankelijk en gedocumenteerd proces om bewijs te verkrijgen en dat objectief te beoordelen aan de hand van vastgestelde criteria.
ISO 19011:2018 / ISO 22301:2019, 9.2
Plan dat het herstel van de informatiesystemen op een uitwijklocatie of een uitwijkinfrastructuur beschrijft. Het is een onderdeel van de continuïteitsopzet, niet het equivalent ervan.
NIST SP 800-34 Rev. 1
K
Maatstaf die een verandering in de blootstelling aan een risico signaleert, idealiter voordat het verlies zich voordoet.
BCBS PSMOR, principe 6
Functie waarvan de onderbreking de financiële prestaties, de soliditeit of de continuïteit van de diensten van een financiële entiteit, of de naleving van de voorwaarden van haar vergunning, wezenlijk zou aantasten.
Règlement (UE) 2022/2554, art. 3
Activiteit waarvan het uitvallen de levensvatbaarheid van de instelling of de stabiliteit van het financiële stelsel wezenlijk zou aantasten.
BCBS 516
L
M
Deel van het overkoepelende managementsysteem dat de bedrijfscontinuïteit vaststelt, implementeert, uitvoert, bewaakt, beoordeelt, onderhoudt en verbetert.
ISO 22301:2019
Weergave van de middelen — mensen, processen, technologie, faciliteiten, informatie, derden — die nodig zijn om een dienst te leveren, en van hun onderlinge relaties.
BCBS 516, principe 4
De hoeveelheid gegevens, uitgedrukt in tijd, die de organisatie bij een verstoring bereid is te verliezen. Een RPO van vier uur betekent dat de invoer van de laatste vier uur verloren mag gaan.
ISO 22300:2021
De tijdsduur waarna de gevolgen van een onderbreking onaanvaardbaar worden voor de organisatie. Het is een plafond, geen doelstelling.
ISO 22300:2021
Het minimale aanvaardbare dienstverleningsniveau om de doelstellingen van de organisatie tijdens een verstoring te halen. Het beantwoordt de vraag: wat moeten we absoluut blijven doen?
ISO 22300:2021
O
Back-up die gedurende een bepaalde periode niet kan worden gewijzigd of verwijderd, ook niet door een beheerder. Het is de enige werkelijk doeltreffende bescherming tegen ransomware die de directory compromitteert.
DORA art. 12 / CIS Controls v8.1
Cyclus van observeren — oriënteren — beslissen — handelen, die het sturen van een respons onder onzekerheid structureert. Wie de lus het snelst doorloopt, houdt het initiatief.
Pratique — ISO 22320:2018
Proces om de prestaties van een organisatie te trainen, te evalueren, op de proef te stellen of te verbeteren. Een oefening zonder meetbare doelstelling is een vergadering.
ISO 22398:2013
Het vermogen van een organisatie om haar kritieke diensten ondanks een verstoring te blijven leveren, binnen vooraf vastgestelde impacttoleranties. De redenering vertrekt vanuit de dienst die aan de klant wordt geleverd, niet vanuit het interne proces.
BCBS 516 / PRA SS1/21
P
Het op peil houden en verder ontwikkelen van de beroepscompetenties in de loop van de tijd, doorgaans gemeten in punten of uren en vereist om een persoonlijke certificering te behouden.
BCI / DRI International
Cyclus van continue verbetering die alle ISO-managementsystemen structureert. Zonder de stap “Check” verstart het systeem.
Annexe SL — Structure harmonisée
R
Kwaadaardige software die gegevens versleutelt of exfiltreert met het oog op afpersing. Ransomware is vandaag het referentiescenario van de meeste continuïteitsoefeningen.
ENISA / NIST SP 800-61
Team dat tijdens een weerbaarheidstest de tegenstander nabootst en daarbij diens werkelijke methoden toepast, zonder dat de verdedigers daarvan op de hoogte zijn.
TIBER-EU
Risico dat na de risicobehandeling overblijft. Het moet uitdrukkelijk worden geaccepteerd door een orgaan dat daartoe bevoegd is.
ISO 31000:2018
Proces waarin de operationele medewerkers hun risico’s identificeren, de doeltreffendheid van hun beheersmaatregelen beoordelen en het restrisico bepalen.
BCBS PSMOR, principe 6
Niveau en aard van het risico dat de organisatie bereid is te nemen om haar doelstellingen te bereiken. Om bruikbaar te zijn, wordt de risicobereidheid uitgedrukt in drempels, niet in bijvoeglijke naamwoorden.
ISO 31000:2018 / COSO ERM 2017
S
Beschrijving van een hypothetische situatie die als basis dient voor een oefening of een risicoanalyse. Een scenario moet ernstig maar plausibel zijn om bruikbare lessen op te leveren.
IEC 31010:2019 / BCBS 516
Element waarvan het uitvallen op zichzelf volstaat om een volledige dienst te onderbreken. Mappings van afhankelijkheden zijn er in de eerste plaats om zulke elementen op te sporen.
DORA art. 10 / BCBS 516
T
Oefening in de vorm van een discussie aan de hand van een scenario, zonder dat er werkelijke middelen worden ingezet. Het is de meest doeltreffende vorm om besluitvorming en raakvlakken te testen.
ISO 22398:2013
Gestructureerde indeling van de soorten gebeurtenissen op het gebied van operationeel risico, waarmee verliezen kunnen worden geaggregeerd en vergeleken tussen bedrijfsonderdelen of tussen instellingen.
Cadre de Bâle, OPE
U
V
Systematische registratie van de incidenten die tot een operationeel verlies hebben geleid, met bedrag, oorzaak, bedrijfsonderdeel en type gebeurtenis. Zonder oorzaakanalyse levert de registratie niets op.
BCBS PSMOR, principe 6
Gebeurtenis, al dan niet voorzien, die een negatieve afwijking veroorzaakt ten opzichte van de verwachte levering van producten en diensten.
ISO 22300:2021
W
Het vermogen om een schok op te vangen en zich aan te passen aan een veranderende omgeving. Weerbaarheid omvat continuïteit, maar voegt daar aanpassing en leren aan toe.
ISO 22300:2021 / ISO 22316:2017
Kleine, besloten groep binnen de geteste entiteit die op de hoogte is van de test, erop toeziet en waarborgt dat de test de diensten niet werkelijk aantast.
TIBER-EU