2 replies to this topic

[Sa-Pao]

สวัสดีค่ะพี่ๆน้อง ISO Thai ทุกท่าน

อยากขอความช่วยเหลือพี่ๆน้องที่พอจะทราบรายละเอียดความแตกต่างของข้อกำหนด ISO 22301 (Business Continuity Management

พอดีว่าเราอ่านรายละเอียดข้อกำหนด ไปแล้วพบว่า มี 2 ส่วนที่ไม่เข้าใจ คือ ข้อกำหนดข้อ ที่ 6.1 Risk and opportunity และ ข้อกำหนด ข้อ 8.2 Business impact analysis and risk assessment แตกต่างกันอย่างไรหรอคะ รบกวนอธิบายเพิ่มเติมหน่อยค่า

ขอบคุณล่วงหน้ามากๆค่ะ

[nut3010]

ขออนุญาตแลกเปลี่ยน พอดีเห็นไม่มีใครแสดงความคิดเห็น

6.1 การระบุความเสี่ยง โอกาส โดยนำ 4.1,4.2 มาพิจารณาร่วม ทำให้เราได้ประเด็นความเสี่ยง และโอกาสมีอะไรบ้าง และจะมีมาตรการอะไรบ้างที่จะลดความเสี่ยง หรือนำโอกาสมาใช้ เพื่อให้ธุรกิจไม่หยุดชะงัก
8.2 จะนำไปสู่การปฏิบัติ โดยเอา 6.1 ที่ระบุมาแล้ว มาลงเป็นแผนปฏิขัติ ว่าจะทำโดยใคร เมื่อไร อย่างไร วัดผลอย่างไร และบันทึกผลการการปฏิบัติ หากไม่เป็นไปตามแผน จะแก้ไข แจ้งใคร อย่างไรต่อไป การแก้ไขเบื้องต้น จะมีแผนอย่างไร โดยปกติ 6.1 จะสอดคล้องกับ 8.2

ระบุความเสี่ยง โอกาส 6.1 นำไป ปฏิบัติจริง 8.2

คหสต.นะครับ หากผิดพลาดสามารถเพิ่มเติมได้ครับ

[Komsun Dasri]

ขอแลกเปลี่ยน ด้วยครับ

 

การจัดทำ BCP มีขั้นตอนหลักทั้งหมด 5 ขั้นตอนโดยสังเขป ประกอบด้วย

ขั้นตอนที่ 1  Analysis Phase เป็นขั้นตอนการวิเคราะห์ปัจจัยเสี่ยงและผลกระทบที่เรียกว่าการทำ “Business Impact Analysis” (BIA) โดยองค์กรต้องรวบรวมกระบวนการ (Function) ทางธุรกิจทั้งหมด จากนั้นทำการกำหนดค่า RTO และ RPO รวมไปถึงทรัพยากร (Resource) ที่ต้องใช้งาน และลำดับก่อนหลัง ของ Other Function ที่เกี่ยวข้อง (Interdependence) ของ Function แล้วนำไปทำการวิเคราะห์ความแตกต่างของ Critical Function และ Non – Critical Function ขององค์กรโดยดูจาก ค่า RTO และ RPO เป็นหลัก

ขั้นตอนที่ 2  Solution Design Phase เป็นขั้นตอนในออกแบบยุทธศาสตร์ในการกู้ข้อมูล บริการหรือกู้ระบบ หรือกู้สายการผลิต หรือกู้สายการ (Disaster Recovery) ที่เหมาะสมกับความต้องการขององค์กร

ขั้นตอนที่ 3  Implementation Phase เป็นขั้นตอนในการนำยุทธศาสตร์ที่ออกแบบไว้ในขั้นตอนที่ 2 มาทำเป็นแผนปฏิบัติการ โดยการเขียนแผน Business Continuity (BC) ที่สามารถนำไปใช้ปฏิบัติจริงได้

ขั้นตอนที่ 4  Testing and Organization Acceptance Phase เป็นขั้นตอนในการทดสอบแผน Business Continuity ที่ได้เขียนไว้ในขั้นตอนที่ 3 ว่าสามารถนำมาใช้งานได้จริงเมื่อเกิดปัญหาหรือไม่ ส่วนใหญ่นิยมเรียกขั้นตอนนี้ว่า ขั้นตอน “การซ้อมแผน BCP” ซึ่งปกติจะทดสอบปีละหนึ่งครั้งเป็นอย่างน้อย

ขั้นตอนที่ 5  Maintenance Phase เป็นขั้นตอนในการปรับปรุงแผน BCP ในคู่มือ BCP ให้เป็นปัจจุบัน และรองรับขั้นตอนการกู้คือข้อมูลตามค่า RTO, RPO ที่ได้กำหนดไว้ในการทำ BIA ตลอดจนการฝึกอบรมพนักงาน (staff awareness) ให้มีความรู้ความเข้าใจในการนำแผน Business Continuity (BC) มาใช้ในยามฉุกเฉิน ปกติจะจัดทำและฝึกอบรมอย่างน้อยปีละหนึ่งครั้งเช่นกัน

นิยามศัพท์

RTO: Recovery Time Objective หมายถึง ระยะเวลาที่องค์กรยอมรับได้ในการกู้คืนระบบในกรณีที่เกิดเหตุฉุกเฉินขึ้น ซึ่งเป็นค่าที่ถูกกำหนดโดยเจ้าของระบบ ต้องให้ผู้บริหารระดับสูงรับรู้ และยอมรับในค่า RTO ที่ถูกกำหนดขึ้น เช่น RTO = 1 ชั่วโมง หมายถึง ต้องกู้ระบบคืนภายในหนึ่งชั่วโมง เป็นต้น

RPO: Recovery Point Objective หมายถึงด้าน IT: หมายถึง ปริมาณข้อมูลสูญหายที่องค์กรยอมรับได้ในช่วงเวลาหนึ่ง (Acceptable Loss) เช่น ถ้าค่า RPO = 2 ชั่วโมง หากเรา Backup ระบบไว้เวลา 13.00 น. และ ระบบล่มเวลา 14.50 น. เราสามารถกู้คืนข้อมูลได้ถึงเวลา 13.00 น. ก็ยังถือว่าอยู่ในเวลาที่กำหนดไว้ตาม RPO คือ ข้อมูลสูญหายไม่เกิน 2 ชั่วโมง เป็นต้น

ด้านการเงิน หมายถึง ความเสียหายทางเศษฐศาสตร์ หรือความเสียหายด้านการเงินที่องค์กรยอมรับได้ เช่น RPO = 1 ล้านบาท เราอาจจะยอมให้ต้องสูญเสียรายได้ไม่เกินกว่า 1 ล้านบาท หากการสูญเสียมากกว่า 1 ล้านบาท องค์กรเราจะได้ผลกระทบด้านการเงิน ดังนั้นต้องดำเนินการในส่วนที่เกี่ยวข้องไม่ให้เกิดความเสียหายด้านการเงินมากกว่า 1 ล้านบาท โดยอาจจะเป็นด้านระยะเวลาที่สูญเสียไป จำนวนของเสียที่เกิดขึ้นจากการผลิต หรือการจำหน่าย หรือจำนวนลูกค้าที่หาย หรือน้อยลงไป เป็นต้น ทั้งนี้การพิจารณาปัจจัยด้านการเงินอาจจะต้องมีปัจจัยอื่นมาเกี่ยวข้องด้วย

 

ปรับปรุงจาก www.bcpthaiguru.com/Article/Detail/128736/การจัดทำ-BCP-ประกอบไปด้วยอะไรบ้าง