återställningspolicy

En återställningspolicy är ett styrdokument i en organisation som beskriver hur kritiska affärsfunktioner och data ska återställas efter ett avbrott, katastrof eller annan störning. Syftet är att minimera nedetid, bevara affärsverksamhetens kontinuitet och skydda liv-, informations- och ekonomiska värden. Policyn anger mål för återställning, roller och ansvar, samt vilka resurser och tidsramar som krävs för att återgå till normal drift. Policyn används ofta tillsammans med begrepp som återställningstid (RTO) och återställningspunkt (RPO).

Omfång och innehåll

Policyn omfattar vanligtvis kritiska system, data och kommunikationsinfrastruktur, personal, leverantörer och tjänsteleverantörer. Den beskriver återställningsstrategier som backup och återställning, redundans, geografisk spridning av drift, failover och alternativa verksamhetsplatser. Den fastställer vilka data som ska kopieras, hur ofta, hur länge säkrade kopior behålls och hur integriteten säkerställs under återställningen. Den beskriver även åtgärder vid olika hotnivåer och scenarier.

Roller och processer

Policyn anger ansvarsfördelning mellan styrelse eller ledning, CIO/CTO eller IT-chef, säkerhetsskydd, affärsenheter och IT-drift. Den specificerar godkännandeprocesser, eskalering, kommunikation med användare och kunder samt vilka tester som krävs före antagande. Den beskriver därför processer för incidentrespons, återställning, verifiering av funktion och övergång till normal drift samt dokumentation av åtgärder.

Underhåll och efterlevnad

En återställningspolicy skall revideras regelbundet och vid större förändringar i infrastruktur eller regulatoriska krav. Den kopplas till relevanta standarder och ramverk, till exempel ISO 22301, ISO 27001 eller NIST-ramverk. Regelbundna övningar och tester av återställningsförmågan genomförs för att verifiera att mål uppnås och för att identifiera förbättringsområden. Dialog med leverantörer och tredje parts tjänster är ofta en del av genomförandet.