Námskeið um áhættustjórnun og stjórnun rekstrarsamfellu - Hverjum ætlað og hvers vegna

Í síðustu færslu kynnti ég námskeið um áhættustjórnun og stjórnun rekstrarsamfellu sem Betri ákvörðun, ráðgjafarþjónusta mín, mun halda 8. og 9. desember nk.   Þar sem ég hef fengið fyrirspurnir í tölvupósti um nánari skýringar á námskeiðinu, efni þess, hverjum það er ætlað og hvers vegna þessi tímasetning, þá vil ég freista þess að skýra þetta betur hér.

Efni námskeiðsins.  Efni námskeiðsins er miðað við þær kröfur sem gerðar eru um áhættustjórnun og stjórnun rekstrarsamfellu í reglum Persónuverndar nr. 299/2001 um öryggiskerfi persónuupplýsingar, í leiðbeinandi tilmælum Fjármálaeftirlitsins nr. 1/2005 um rekstur upplýsingakerfa hjá eftirlitsskyldum aðilum og í reglum Póst- og fjarskiptastofnunar nr. 1221/2007 um vernd upplýsinga í almennum fjarskiptanetum, nr. 1222/2007 um virkni almennra fjarskiptaneta og nr. 1223/2007 um vernd, virkni og gæði IP fjarskiptaþjónustu.   Jafnframt eru dekkaðar allar almennar kröfur til stjórnunar rekstraráhættu og stjórnunar á samfelldum rekstri fyrirtækja sem ekki þurfa að uppfylla framangreindar reglur.  Kröfur sem endurskoðendur setja gjarnan fram eða matsfyrirtæki á borð við Standard & Poors, Moody's eða Fritch.  Tekið skal skýrt fram að námskeiðið fjallar ekki um áhættustjórnun eða áhættuútreikning vegna útlánaáhættu eða fjárfestingaáhættu, þó svo að vissulega sé hægt að nýta sér þær aðferðir sem kynntar verða við slíka áhættustjórnun.

Námskeiðið styðst við staðla um stjórnun upplýsingaöryggis:  ISO 27001 og ISO 27002; um áhættumat og áhættustjórnun: ISO 27005, BS 31100, AS NZS 4360 og leiðbeiningar frá The Institute of Risk Management og The Association of Insurance and Risk Managers; um stjórnun rekstrarsamfellu: BS 25999, PAS 56 og leiðbeiningar frá Business Continuity Institute, Disaster Recovery Institute og Survive, The Business Continuity Group.  Síðan er byggt á CobiT (Control Objectives for Information and Related Technology) frá IT Governance Institute og The Standard of Good Practices for Information Security frá Information Security Forum.

Hverjum er námskeiðið ætlað.  Námskeiðið er ætlað hverjum þeim sem er að fást við áhættustjórnun í sínu starfi.  Það geta verið forstjórar, framkvæmdarstjórar, stjórnarmenn, millistjórnendur, öryggisstjórnendur eða sérhæfðir starfsmenn svo dæmi séu tekin.  Námskeiðið getur vissulega nýst mun fleiri aðilum, svo sem fulltrúum í borgar-/bæjar-/sveitarstjórnum eða öðrum fulltrúum almennings sem eru að fást við mikla óvissu- eða áhættuþætti í sínu starfi.  Hafa skal í huga, að stjórnun rekstrarsamfellu er ekki það sama og neyðarstjórnun, en hún innifelur hana.

Hvers vegna þessi tímasetning.  Þetta námskeið átti að fara fram fyrr í haust, en var frestað vegna þess áfalls sem þá reið yfir.  Áfallið hefur dregið fram ennþá meiri þörf fyrir þá fræðslu sem innifalin er í námskeiðinu.  Núna eru menn að fást við alls konar áfallastjórnun, sem mjög oft fellst í því að slökkva elda sem blossa upp fyrirvaralaust.  Námskeiðinu er ætlað að leggja mönnum til aðferðir sem hægt er að nota við skipulagningu "björgunarstarfa" og draga úr líkum á óvæntum uppákomum í framhaldi af "björgunarstarfinu".  Einnig er því ætlað að hjálpa mönnum að búa sig undir það óvænta.  Loks er því ætlað að aðstoða þá sem eru í atvinnuuppbyggingu, svo sem sprotafyrirtækjum og fyrirtækjum sem eru í góðum rekstri, að skipuleggja áhættustjórnun og stjórnun rekstrarsamfellu til að draga út líkunum á því að þessir aðilar sogist ofan í svelginn sem myndaðist við fall bankanna.

Betri ákvörðun ráðgjafarþjónusta Marinós G. Njálssonar hefur fengist við ráðgjöf sem tengist stjórnun upplýsingaöryggis í 5 ár.  Þar áður starfaði Marinó við sömu hluti hjá VKS hf. (núna hluti af Kögun) og var öryggisstjóri hjá Íslenskri erfðagreiningu.  Meðal viðfangsefna, sem Marinó hefur fengist við, eru innan íslensku stjórnsýslunnar, heilbrigðisgeirans, hjá lífeyrissjóðum og fjármálafyrirtækjum, auk þess að vera leiðbeinandi hjá Staðlaráði Íslands á námskeiðum þess um staðlana ISO 27001 og ISO 27002 sem fjalla um stjórnun upplýsingaöryggis.  Marinó flutti einnig erindi á ráðstefnunni InfoSec World 2006, þar sem hann fjallaði um áhrif ytri krafna á rekstrarumhverfi fyrirtækja og stofnana.

Athugasemdir

[Stefán Helgi Valsson, 15.11.2008 kl. 09:57]

Sæll Marínó,

Mér var hugsað til þín þegar ég hlustaði á þessa doktorsvörn um rafræna stjórnsýslu í gær. Lítið var fjallað um upplýsingaöryggi en meira spáð í áhrif upplýsingatækninnar á stjórnsýsluna og tækifæri almennings til að koma að stjórnsýslunni á ýmsum stigum sem og áhrif tækninnar á líf fólks í þátíð og framtíð.

Ein hugmynd sem að hluta hefur verið komið til framkvæmdar er samræmd gátt  fyrir alla stjórnsýslu í landinu þar sem starfsmenn í stjórnsýslu og almenningur getur aflað upplýsinga.

[Marinó G. Njálsson, 15.11.2008 kl. 12:18]

Takk fyrir þetta, Stefán.  Við Haukur höfum rætt þessi mál og hann hefur sannfært mig um að hann hugsi um upplýsingaöryggi.  Ég er sammála honum um að rafræn stjórnsýsla eigi mikla framtíð fyrir sér.  Ein mynd af henni er rafrænar kosningar og það er hópur að vinna að þeim málum á vegum samgönguráðuneytisins.  Hópurinn hefur meðal annars skoðað mínar hugmyndir um hvaða atriði þurfi m.a. að vera tryggð bæði í hefðbundnum kosningum og rafrænum (sjá þessa kynningu Geirs Ragnarssonar), en ég skoðaði það ál sérstaklega á sínum tíma fyrir Samfylkinguna áður en rafrænt kosningakerfi var notað fyrir prófkjör flokksins í Reykjavík vegna síðustu Alþingiskosninga.