Organisaation on suoritettava kattava liiketoimintavaikutusten analyysi (BIA) liiketoimintaprosessien, niitä tukevien tieto- ja viestintäteknisten järjestelmien, palveluiden ja omaisuuden kriittisyyden ja keskinäisten riippuvuuksien tunnistamiseksi ja arvioimiseksi sekä tieto- ja viestintäteknisten vaste- ja toipumissuunnitelmien kehittämisen ja validoinnin tukemiseksi.

BIA:n on:

• Tunnistettava ja luokiteltava kriittiset ja tärkeät toiminnot
• Määriteltävä suurimmat sallitut käyttökatkokset (MTD) sekä toipumisaikatavoitteet (RTO) ja toipumispistetavoitteet (RPO)
• Arvioitava tieto- ja viestintäteknisten palveluiden häiriöiden toiminnalliset, taloudelliset, oikeudelliset ja maineeseen liittyvät vaikutukset
• Kartoitettava riippuvuudet tieto- ja viestintäteknisistä järjestelmistä, tiedoista, infrastruktuurista ja kolmansien osapuolten palveluista
• Tarkistettava ja päivitettävä säännöllisesti (esim. vuosittain tai merkittävien muutosten jälkeen)

Integrointi tieto- ja viestintätekniseen toipumissuunnitteluun:

BIA:n tulosten on suoraan johdettava tieto- ja viestintäteknisten vaste- ja toipumissuunnitelmien rakennetta ja painopisteitä.

Elvytyssuunnitelmissa on otettava huomioon:

• Mitkä järjestelmät/palvelut vaativat nopeimman toipumisen
• Palautusjärjestys
• Hyväksyttävät tietojen menetyksen ja käyttökatkosten raja-arvot
• Suunnitelmien testauksen on perustuttava uskottaviin häiriöskenaarioihin, jotka kohdistuvat BIA:ssa yksilöityihin vaikutuksiltaan suuriin järjestelmiin/toimintoihin
• Elvytyssuunnitelmia on arvioitava suhteessa BIA:n odotuksiin häiriötilanneharjoitusten aikana ja päivitettävä sen mukaisesti

Joskus yllättävä tapahtuma, kuten tulipalo, tulva tai laiterikko, voi aiheuttaa toiminnan keskeytyksen. Jotta toimintaa pystyttäisiin jatkamaan mahdollisimman pian ja sujuvasti, tehdään jatkuvuussuunnittelua, eli suunnitellaan etukäteen toiminta poikkeustilanteiden varalle.

Jokaiseen jatkuvuussuunnitelmaan sisältyvät vähintään seuraavat tiedot:

• Tapahtuma, jonka varalle suunnitelma on tehty
• Tavoiteaika palautumiselle
• Vastuuhenkilöt sekä liittyvät sidosryhmät ja yhteystiedot
• Suunnitellut välittömät toimet
• Suunnitellut toipumisen askeleet

Tietoluokittelun avulla voidaan antaa tietoja käsitteleville henkilöille nopea näkemys siitä, miten kriittistä tietoa on kyseessä ja kuinka tietoa pitää käsitellä sekä suojata.

Käytetyt tietoluokat ja niitä vastaavat suojaustasot on määritelty. Tietoluokka määritellään analysoimalla kyseessä olevan tiedon luottamuksellisuus, eheys ja saatavuus sekä mahdolliset muut vaatimukset. Kullekin tasolle annetaan selkeä ja kuvaava nimi.

Tietoluokat voivat olla esimerkiksi seuraavia:

• tietojen paljastaminen ei aiheuta harmia (JULKINEN)
• tietojen paljastaminen aiheuttaa lievää kiusaa tai vähäistä toiminnallista harmia (LUOTTAMUKSELLINEN)
• tietojen paljastamisella on huomattavia lyhyen aikavälin vaikutuksia toimintaan tai taktisiin tavoitteisiin (RAJOITETTU)
• tietojen paljastamisella on vakavia vaikutuksia pitkän aikavälin strategisiin tavoitteisiin tai se vaarantaa koko organisaation olemassaolon (KIELLETTY)

RAJOITETULTA paperitiedolta voidaan vaatia mm. seuraavia suojauksia:

• Lukittu kaappi
• Luotettu siirtokumppani
• Sinetöidyt kirjekuoret
• Turvallinen hävittäminen

RAJOITETULTA sähköiseltä tiedolta voidaan vaatia mm. seuraavia suojauksia:

• Valitun salaustason käyttö
• Salasanasuojaus
• Turvallinen hävittäminen
• Tarkemmin rajatut pääsyoikeudet

Kaikki ISMS:n piiriin kuuluvat loogiset tieto-omaisuudet mukaan lukien järjestelmän kehitystiedot, haavoittuvuusarvioinnit, verkkokaaviot ja toimintamenettelyt, on luokiteltava siten, että ne vastaavat suojaustasoa, jota vaaditaan luvattoman paljastamisen tai muuttamisen mahdollisten vaikutusten perusteella.

Luokittelussa on käytettävä tarkoin määriteltyjä kriteerejä, joissa otetaan huomioon esimerkiksi tietojen luottamuksellisuuden, eheyden ja saatavuuden taso. Luokittelu tehdään vähintään seuraavilla tasoilla: ei-julkinen, julkinen, luottamuksellinen ja ehdottoman luottamuksellinen.

Organisaation tulisi määritellä jokaisen tunnistetun kriittisen toiminnon suhteen, kuinka pitkä toimintakatkos siedetään ilman, että organisaation toiminta häiriintyy.

Määrittelyssä on otettava huomioon:

• Lainsäädännön vaatimukset liittyen organisaation järjestelmien, rekistereiden ja palveluiden saatavuuteen
• Oman toiminnan ja sidosryhmien vaatimukset

The organisation has identified and documented the dependencies between information assets.

In Cyberday, dependencies between elements are usually automatic, but the approach can be refined according to the organisation's own choices.

Organisaation tulisi säännöllisesti, vähintään vuosittain, testata ja tarkistaa tietoturvan jatkuvuussuunnitelmansa sen varmistamiseksi, että ne ovat päteviä ja tehokkaita epäsuotuisissa tilanteissa.

Jatkuvuussuunnitelmien testaukseen on tarvittaessa otettava mukaan kunkin suunnitelman kannalta kriittiset sidosryhmät. Organisaation tulisi määritttää ja dokumentoida tarvittavat yhteyshenkilöt toimittajien ja kumppaneiden kanssa.

Lisäksi jatkuvuussuunnitelmien ja niihin liittyvien hallintamekanismien riittävyys olisi arvioitava uudelleen, jos toiminnassa tapahtuu merkittäviä muutoksia.

Organisaation olisi laadittava varautumissuunnitelmat, jotka perustuvat järjestelmäluokituksiin. Suunnitelmissa on eriteltävä vaihtoehtoiset toiminnot kahta keskeistä skenaariota varten: toinen skenaario on ilman tietotekniikkatukea ja perustuu manuaalisiin prosesseihin ja toinen skenaario, jossa tietotekniikkajärjestelmä toimii vain osittain.