Checklist calamiteiten

Transcriptie

1 Checklist calamiteiten Op grond van de Voorbeeld Samenwerkingsovereenkomst Volmacht dienen gevolmachtigde assurantiebedrijven te beschikken over een calamiteitenplan. Het calamiteitenplan moet erin voorzien dat in geval van een calamiteit zodanige maatregelen worden getroffen dat de essentiële bedrijfsprocessen van de gevolmachtigde kunnen worden voortgezet. De Werkgroep Calamiteitenplan NVGA - Verbond van verzekeraars heeft een checklist ontwikkeld die gevolmachtigden als hulpmiddel kunnen hanteren bij het maken van een calamiteitenplan of ter toetsing van het bestaande calamiteitenplan. Aan de hand van de checklist kan worden geïnventariseerd of voldoende maatregelen zijn getroffen. Deze maatregelen kunnen uiteraard per kantoor verschillend zijn. Het betreft hier een eerste versie van de checklist calamiteiten. Heeft u vragen of opmerkingen dan kunt u deze mailen naar j.jonker@nvga.org. Toekomstige wijzigingen worden in een update ter beschikking gesteld. De checklist is ook te vinden op en 1

2 Checklist calamiteiten Ga binnen uw organisatie na of de volgende zaken zijn geregeld, voor het geval zich een calamiteit voordoet: 1. Organisatorische maatregelen 1.1. Is er een verantwoordelijke benoemd voor het opstellen en het beheren van een calamiteitenplan? 1.2. Is er een crisisteam benoemd? 1.3. Is het calamiteitenplan opgenomen in het handboek? 1.4. Worden periodiek (jaarlijks) de risico s geïnventariseerd? 1.5. Zijn er controles beschreven? 1.6. Maken de controles en de risico-inventarisatie deel uit van de zelftoets? 1.7. Zijn er testers benoemd? 1.8. Word de meest recente versie van het calamiteitenplan extern bewaard? 1.9. Is er een escalatieprocedure (functioneel en hiërarchisch)? Zijn de systeembeheerder en/of de soft/hardwareondersteuners op de hoogte van het calamiteitenplan? Is in kaart gebracht welke calamiteiten bij derden (denk aan leveranciers of in de omgeving) gevolgen kunnen hebben voor de continuïteit van uw bedrijf? Kan gegarandeerd worden dat in geval van een calamiteit: De organisatie maximaal dataverlies heeft van 24 uur; De organisatie binnen 24 uur bereikbaar is (communicatiemiddelen); De organisatie binnen 48 uur operationeel is (betreffende het gebruik van de computer en de verzekeringstechnische bestanden); De organisatie binnen 1 week weer geheel werkend is. 2

3 Checklist calamiteiten 2. Inhoud calamiteitenplan 2.1. Is er een definitie calamiteit? 2.2. Zijn de gegevens van het crisisteam vastgelegd? 2.3. Zijn specifieke gebeurtenissen, die als calamiteit worden gezien, benoemd? 2.4. Zijn per gebeurtenis de specifieke risico s uitgewerkt? 2.5. Zijn per gebeurtenis de te treffen maatregelen gedefinieerd? 2.6. Is er een communicatieplan? 2.7 Is voorzien in het herstel van communicatiemiddelen? 3. Automatiseringsmaatregelen 3.1. Is er een overzicht met aanwezige/beschikbare apparatuur? 3.2. Is de wijze van inregeling (servers & database) vastgelegd? 3.3. Zijn er onderhoudscontracten voor hard- en software (incl. afspraken over responstijden en opvolging)? 3.4. Is uitwijk (fysiek & logistiek) geregeld? 3.5. Zijn er procedures voor: Uitwijk Back-up Recovery Beveiliging (incl. wachtwoorden) Calamiteiten bij derden (zoals automatiseerders en systeemhuizen) Checklist calamiteiten 3

4 4. Documenten & Archief 4.1. Is er een procedure voor het verwerken en bewaren van gegevens? 4.2. Is er een procedure voor het reconstrueren van nog niet veiliggesteld werk (werkvoorraad) 4.3. Is scanbeleid vastgesteld? 4.4. Is het archief gedigitaliseerd? 4.5. Zijn alle relevante contracten en overeenkomsten gescand en extern opgeslagen? 4

5 Tips en trucs inzake calamiteiten Toelichting checklist Calamiteiten (nummers verwijzen naar checklist) 1. Organisatorische maatregelen 2. Inhoud calamiteitenplan 2.3. Voorstel m.b.t. indeling van gebeurtenissen: Brand / Explosie / Gaswolk / Bommelding Storm / waterschade Uitvallen stroom Uitvallen communicatiemiddelen (Tijdelijk) wegvallen (sleutel)medewerkers 2.4. Verdeel de te onderkennen risico s als volgt: Bij de gebeurtenis Brand / Explosie / Gaswolk / Bommelding zijn de te onderkennen risico s bijvoorbeeld: - Pand/gegevens/codes niet beschikbaar; - Verstoring werkproces; - Niet bereikbaar zijn voor verzekerden. Bij de gebeurtenis Storm / waterschade zijn de te onderkennen risico s bijvoorbeeld: - Pand/gegevens/codes niet beschikbaar; - Verstoring werkproces; - Niet bereikbaar zijn voor verzekerden. Bij de gebeurtenis Uitvallen stroom zijn de te onderkennen risico s bijvoorbeeld: - Pand/gegevens/codes niet beschikbaar; - Verstoring werkproces; - Niet bereikbaar zijn voor verzekerden. Bij de gebeurtenis Uitvallen communicatiemiddelen zijn de te onderkennen risico s bijvoorbeeld: - Pand/gegevens/codes niet beschikbaar; - Verstoring werkproces; - Niet bereikbaar zijn voor verzekerden. Bij de gebeurtenis (Tijdelijk) wegvallen (sleutel)medewerkers zijn de te onderkennen risico s bijvoorbeeld: - Verstoring werkproces; - Kennis niet aanwezig; - Geen toegang tot codes; - Geen back-up taken & bevoegdheden (denk aan feitelijk leider, schadebehandelaar, automatiseerder); - Niet voldoen aan deskundigheidseisen. 5

6 2.5. Besteed aandacht aan de volgende maatregelen: Indien de gebeurtenis zich onder werktijd voordoet, dient aandacht te worden besteed aan: - Inlichten familieleden; - Preventie; - Blusmiddelen; - Ontruimingsplan; - Hulpdiensten; - Noodmaatregelen; - Communicatie (Toeters/alarmbellen). Maatregelen om de gebeurtenis (Tijdelijk) wegvallen (sleutel)medewerkers op te vangen, zijn o.a.: - Organisatorische aandacht voor opleiding en back-up per functie; - In bevoegdhedenmatrix moeten voor de volmachtmedewerkers (directeur, feitelijk leider, systeembeheerder, crisisteam, acceptant, schademedewerker en de financieel medewerker) bevoegdheden worden beschreven met back-up voor de kritische processen. In de matrix kan eventueel onderscheid worden gemaakt tussen bevoegdheden die gelden onder normale omstandigheden en bevoegdheden die gelden in geval van een calamiteit. 3. Automatiseringsmaatregelen 3.5. Neem de controle van de beschrijving en het actieplan mee in de zelftoets De uitwijkmogelijkheid moet 7 dagen per week, 24 uur per dag toegankelijk zijn. En vanaf de uitwijklocatie kan kritische datacommunicatie hersteld worden Voor het herstellen van de geautomatiseerde informatie dienen back-ups 7 dagen per week, 24 uur per dag toegankelijk zijn Beschrijf in het calamiteitenplan de status van de inrichting van het systeem incl. de beveiliging Denk ook in geval van afhankelijkheid van derden aan de noodzaak om te voldoen aan de onder gestelde eisen. Leg deze vast in overeenkomsten Zorg voor een opgesteld actieplan in geval van het wegvallen van de systeembeheerder Zorg voor een procedure, waarin is vastgelegd welke maatregelen genomen moeten worden om bevoegdheden van de weggevallen medewerker (tijdelijk) aan een vervanger toe te wijzen en wie hiertoe bevoegd is. 6

7 4. Documenten & Archief 4.3. Eisen aan scans i.v.m. bedrijfsvoering/bewijsvoering: - Documenten moeten volledig gescand zijn - De leesbaarheid moet goed zijn - Documenten moeten reproduceerbaar (goed te printen) zijn - De fraudekans moet nihil zijn. Deze waarborgen komen voor het merendeel (uit de garantiebepalingen) van de leverancier. Maar ook de gevolmachtigde dient te controleren of de documenten na het scannen goed leesbaar zijn. Steekproefcontrole is niet voldoende. Daarom kunnen we als advies meegeven om de gegevens voorafgaand aan de behandeling te scannen, zodat de behandeling met gescande gegevens plaatsvindt. Dit heeft tot gevolg dat in alle gevallen wordt vastgesteld of deze gescande documenten volledig en goed leesbaar zijn. Daarnaast is het advies om fysieke documenten die gescand zijn nog vier weken te bewaren, alvorens ze te vernietigen. Bij eventuele discussie met verzekerden of tegenpartijen kan dan alsnog een beroep worden gedaan op het betreffende fysieke stuk. 7

8 Bijlage:Voorbeeldprocedure voor back-up, recovery en beveiliging 8

9 Voorbeeldprocedure voor back-up, recovery en beveiliging 1. Back-ups 1.1. Dagelijks wordt een (totale) back-up gemaakt van de netwerk server. De werkwijze van de dagelijkse back-up is als volgt: - Dagelijks wordt om uur automatisch de back-up gestart; - Elke werkdag wordt s ochtends de tape van de vorige dag / afgelopen nacht gecontroleerd; - De tape van de komende dag/nacht wordt aan het einde van de dag geplaatst; De tape van de vorige dag / afgelopen nacht worden minimaal 48 uur buiten het kantoor bewaard; de tapes worden op een veilige plaats bewaard; - De tape wordt meegenomen naar kantoor op het moment dat deze weer wordt gebruikt; - Er zijn twee sets back-uptapes voor alle werkdagen; - Gedurende het weekend wordt een online back-up geproduceerd Periodieke back-ups: - De eerste werkdag van de maand wordt een maandback-up gemaakt; Er vindt een controle plaats of de back-up goed is verlopen; - De maandelijkse back-up tape wordt in plaats van een normale back-up tape gebruikt; - De medewerker financiële administratie bewaart deze back-up thuis. De tapes worden op een veilige plaats bewaard De applicatiebeheerder controleert elk kwartaal of de back-ups daadwerkelijk terug te zetten zijn. 2. Beveiliging Naast het toegangsbeheer tot het netwerk en de assurantieapplicatie zijn er diverse beveiligingmaatregelen genomen: - Het bedrijfspand is voorzien van een elektronisch beveiligingssysteem met doormelding; - Het bedrijfspand is voorzien van een automatisch brandmeldingsysteem met doormelding; - Het netwerk is beveiligd met een virusscanner waarvoor een onderhoudscontract met updates is afgesloten (automatische update en distributie); - Er is zowel een softwarematige als een hardwarematige (Watch Guard) firewall geïnstalleerd; - Er wordt gewerkt met een raid-1 schijven systeem. Hierdoor wordt de data op twee schijven opgeslagen; - De server is uitgevoerd met een dubbele voeding; - Noodstroom- en overspanningsvoorziening (UPS) met automatische afsluiting van de server na een bepaalde periode; - De netwerk server is geplaatst in een afgesloten computerkast in een aparte serverruimte met klimaatbeheersing. 9

10 3. Recovery Indien, om welke reden dan ook, in de operationele werkomgeving de back-up teruggezet dient te worden op het systeem, dan is dit uitsluitend toegestaan na toestemming van de applicatiebeheerder. De applicatiebeheerder, die verantwoordelijk is voor de uitvoer van de recovery: - Informeert de directie en de medewerkers. Indien mogelijk gaan de medewerkers na welke mutaties die dag zijn uitgevoerd (bijvoorbeeld door het printen van overzichten, polisbladen e.d.); - Zet de back-up van de afgelopen nacht terug of laat deze terugzetten; - Controleert of de teruggezette back-up voldoende bedrijfszeker is (indien dit niet het geval is wordt in overleg met de directie gekozen voor het terugzetten van een oudere back-up); - Geeft, na akkoordbevinding, het systeem formeel vrij voor gebruik en informeert de medewerkers. 10