Средства управления непрерывностью бизнеса

Жизненный цикл процесса управления непрерывностью бизнеса

Инициация проекта

Проект – это деятельность, направленная на создание уникального продукта, услуги или результата.

План управления проектом / Project Management Plan – документ, описывающий, как проект будет исполняться, как будет происходить его мониторинг и контроль.
Руководство PMBOK – Пятое издание

На данном этапе определяется содержание проекта обеспечения непрерывности бизнеса и разрабатывается его пошаговый план. В нем определяется, как будет исполняться проект, как будет проводиться его мониторинг, контроль и закрытие, а также определяются границы проекта, роли членов проектной команды и цели проекта.

Помимо вышеперечисленных действий, необходимо определить потребность в проекте. Для некоторых компаний непрерывность бизнеса – это обеспечение эффективности критически важных бизнес-функций, а также демонстрация устойчивости бизнеса клиентам. Но нельзя забывать, что существуют требования нормативно-правовых актов и регулирующих органов к непрерывности бизнеса. Далее в таблице перечислены и описаны стандарты / нормативно-правовые акты (НПА), широко использующиеся на территории Российской Федерации, а также ряд требований, которые предъявляют данные стандарты / НПА к системе непрерывности бизнеса.

Стандарт / НПА	Требование	Описание	Статус
ISO/IEC 27001:2013 «Information technology – Security techniques – Information security management systems – Requirements» (Информационная технология. Методы обеспечения безопасности. Системы менеджмента информационной безопасности)	A.17 Information security aspects of business continuity management (Аспекты информационной безопасности в управлении непрерывностью бизнеса)	Непрерывность информационной безопасности должна быть встроена в систему непрерывности бизнеса компании. Для этого необходимо: – спланировать непрерывность информационной безопасности; – внедрить непрерывность информационной безопасности; – проверить, оценить непрерывность информационной безопасности.	Непрерывность информационной безопасности является одним из требований в том случае, если компания стремится получить сертификат соответствия требованиям ISO/IEC 27001:2013 «Information technology – Security techniques – Information security management systems – Requirements».
ISO 22301:2012 «Societal security – Business continuity management systems – Requirements» (Социальная безопасность. Системы менеджмента непрерывности бизнеса)	Данный стандарт посвящен непрерывности бизнеса.	В стандарте прописаны: – требования, необходимые для установления системы менеджмента непрерывности бизнеса в компании; – требования к функциям высшего руководства в системе менеджмента непрерывности бизнеса; – требования к установлению стратегических целей и руководящих принципов системы менеджмента непрерывности бизнеса; – требования к обеспечению непрерывности бизнеса, порядок разработки процедур управления в условиях инцидента.	Наличие планов BCP/DRP (данные планы рассмотрены в разделе «Разработка и внедрение планов») является обязательным условием в том случае, если компания стремится получить сертификат соответствия требованиям ISO 22301:2012 «Societal security – Business continuity management systems – Requirements».
ГОСТ Р 53647 «Менеджмент непрерывности бизнеса»	Данный стандарт посвящен непрерывности бизнеса.	Настоящий стандарт устанавливает требования к планированию, созданию, функционированию, мониторингу, анализу, проведению учений, поддержке и улучшению документированной системы менеджмента непрерывности бизнеса.	Носит рекомендательный характер.
СТО БР ИББС-1.0-2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации»	8.11. Требования к организации обеспечения непрерывности бизнеса и его восстановления после прерываний	В организации банковской системы должен быть определен план обеспечения непрерывности бизнеса и его восстановления после возможного прерывания. План должен содержать инструкции и порядок действий работников организации банковской системы по восстановлению бизнеса. В частности, в состав плана должны быть включены: – условия активации плана; – действия, которые должны быть предприняты после инцидента ИБ; – процедуры восстановления; – ­процедуры тестирования и проверки плана; ­– план обучения и повышения осведомленности сотрудников; ­– обязанности сотрудников с указанием ответственных за выполнение каждого из положений плана. Также должны быть установлены требования по обеспечению ИБ, регламентирующие вопросы обеспечения непрерывности бизнеса и его восстановление после прерывания, в том числе требования к мероприятиям по восстановлению необходимой информации, программного обеспечения, технических средств, а также каналов связи.	Носит рекомендательный характер.
Приказ ФСТЭК России от 11.02.2013 г. № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»	X. Обеспечение доступности информации (ОДТ)	В соответствии с Приказом ФСТЭК России от 11.02.2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» необходимо: – использовать отказоустойчивые технические средства; – резервировать технические средства, программное обеспечение, каналы передачи информации, средства обеспечения функционирования информационной системы; – контролировать безотказное функционирование технических средств; – обеспечить обнаружение и локализацию отказов функционирования технических средств; – принимать меры по восстановлению отказавших средств; – тестировать технические средства; – осуществлять периодическое резервное копирование информации на резервные машинные носители; – обеспечить возможность восстановления информации с резервных машинных носителей информации (резервных копий) в течение установленного временного интервала; – контролировать состояние и качество предоставления уполномоченным лицом вычислительных ресурсов (мощностей), в том числе по передаче информации.	В случае если система классифицирована по 1 или 2 классу защищенности, описанные в приказе требования носят обязательный характер.
Приказ ФСТЭК России от 18.02.2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»	X. Обеспечение доступности персональных данных (ОДТ)	В соответствии с Приказом ФСТЭК России от 18.02.2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» необходимо обеспечить: – контроль безотказного функционирования технических средств; ­– обнаружение и локализацию отказов функционирования; – принятие мер по восстановлению отказавших средств и их тестирование; – резервное копирование персональных данных на резервные машинные носители персональных данных; – возможность восстановления персональных данных с резервных машинных носителей персональных данных (резервных копий) в течение установленного временного интервала.	В том случае, если для информационной системы персональных данных определен 1 или 2 уровень защищенности, описанные в приказе требования носят обязательный характер.

Основными отличиями вышеперечисленных решений являются стоимость и время восстановления деятельности компании.

Наименование плана	Описание плана	Стандарт / НПА
Business Continuity Plan (BCP) – План обеспечения непрерывности бизнеса	Набор задокументированных процедур, которые разработаны, обобщены и актуализированы с целью их использования в случае возникновения инцидента, и направлены на обеспечение возможности продолжения выполнения компанией критических важных видов деятельности на установленном приемлемом уровне.	ISO 22301 «Социальная безопасность. Системы менеджмента непрерывности бизнеса»: 8.4.4 Планы непрерывности бизнеса (Business continuity plans)
Continuity of Operations Plan (COOP) – План непрерывности операций	Фокусируется на восстановлении критически важных функций компании на альтернативной площадке и на их выполнении в течение 30 дней.	–
Crisis Communication Plan – План антикризисных коммуникаций	В данном плане задокументированы процедуры и правила внешних и внутренних коммуникаций в случае чрезвычайных ситуаций.	Федеральный закон от 21.12.1994 № 68 «О защите населения и территорий от чрезвычайных ситуаций природного и техногенного характера»: Статья 14. Обязанности организаций в области защиты населения и территорий от чрезвычайных ситуаций («Организации обязаны предоставлять в установленном порядке информацию в области защиты населения и территорий от чрезвычайных ситуаций, а также оповещать работников организаций об угрозе возникновения или о возникновении чрезвычайных ситуаций»).
Critical Infrastructure Protection Plan (CIP) – План защиты критических инфраструктур	План направлен на защиту ключевых ресурсов и компонентов национальной инфраструктуры.	Указ Президента Российской Федерации от 15 января 2013 г. N 31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации».
Cyber Incident Response Plan – План реагирования на киберинциденты	План, описывающий процедуры реакции на инциденты, связанные с атаками хакеров, вторжения в информационную систему и другие проблемы безопасности.	ГОСТ Р ИСО/МЭК ТО 18044-2007 «Информационная технология. Методы и средства обеспечения безопасности. Менеджмент инцидентов информационной безопасности»; NIST 800-61 «Computer Security. Incident Handling Guide».
Disaster Recovery Plan (DRP) – План восстановления после сбоя	План восстановления инфраструктуры компании после возникновения аварии.	ISO 22301 «Социальная безопасность. Системы менеджмента непрерывности бизнеса»: 8.4.5 Восстановление (Recovery).
Information System Contingency Plan (ISCP) – План на случай непредвиденных ситуаций в информационных системах	План восстановления системы, сетей и основных приложений после аварии. Данный план необходимо разработать для каждой критической системы и/или приложения.	–
Occupant Emergency Plan (OEP) – План действия персонала в случае чрезвычайной ситуации	В данном плане определяется порядок обеспечения безопасности персонала и процедуры эвакуации в случае чрезвычайных ситуаций.	Федеральный закон от 21.12.1994 г. № 68 «О защите населения и территории от чрезвычайных ситуаций природного и техногенного характера»; Федеральный закон от 21.12.1994 № 69 «О пожарной безопасности».

Об эксперте: Илья Пантелеев, генеральный директор «Сиссофт»

В условиях высокой неопределенности, разрушения деловых контактов и ограничения доступа к финансовым ресурсам BCP помогает буквально спасти бизнес компании — ведь этот подход подразумевает, что все возможные инциденты, кризисные ситуации и меры по аварийному восстановлению включаются в плановую работу.

Стая «черных лебедей»

Пандемию COVID-19 часто сравнивали с «черным лебедем» из теории Нассима Талеба. Новая реальность, в которой сегодня оказалась каждая российская компания, — это одновременное прибытие целой группы «черных лебедей». Перед бизнесом возникли вопросы, которые никто не мог представить себе еще полтора месяца назад, и все одновременно:

• нарушились логистические связи, сроки поставок стали непредсказуемыми;
• стало недоступно большое количество товаров, комплектующих, компонентов;
• разорвались сервисные цепочки;
• стоимость денег выросла почти вдвое, ограничился доступ к кредитным ресурсам,
• утвержденные финансовые планы моментально теряют актуальность.

В этих условиях горизонты планирования сузились до нескольких недель или даже дней.

Неопределенность влияет не только на бизнес, но и на настроения людей. Если многие привыкли жить как минимум среднесрочными планами, сейчас горизонты и личного, и делового планирования сократились. Стратегические планы (пять лет и более) остались, но, очевидно, будут существенно меняться в ближайшие месяцы. Большинство долгосрочных инвестиций заморожены.

Кто озаботился непрерывностью заранее

Сформулированные программы непрерывности бизнеса в России есть у небольшого количества компаний. Чаще всего они охватывают основные производственные процессы и поддерживающие функции, без которых компания останавливается.

Однако элементы поддержки непрерывности критических функций есть у большинства компаний. Например, в области информационных технологий никого не удивишь программами резервирования каналов связи или инфраструктуры, распределения вычислительных мощностей или защитой от кибератак. В зависимости от сферы деятельности, резервируются или отдельно защищаются основные процессы, критически влияющие на бизнес и безопасность.

Однако все подобные программы рассчитаны на случай негативных событий, вероятность которых невысока и по которым есть опыт «противодействия» подобным инцидентам в прошлом. В таких случаях все системы работают и эффективно защищают бизнес. Если мы сталкиваемся с оценочно маловероятными событиями, на которые не принято обращать много внимания, и которые неожиданно приходят массово, подобные меры защиты могут не сработать. Какие шаги можно предпринять, чтобы стать ближе к непрерывности?

Идентифицируем критические процессы

Любая компания представляет собой сложный организм со множеством взаимосвязанных подсистем. Чтобы поддерживать непрерывность бизнес-процессов, сначала нужно понять, какие из них являются критичными для бизнеса. Их можно условно разделить на два вида: общие и специфические для отрасли или конкретной компании.

В «стандартном списке» — поддержка инфраструктуры в широком смысле: от безопасности труда и окружающей среды до ИТ и кибербезопасности. Сюда относятся любые процессы, остановка которых приведет к остановке бизнеса, и все узкие места на пути следования основного бизнес-процесса, приносящего деньги. Например, недоступность сайта и приложения интернет-магазина полностью останавливает все заказы, а значит, лишает компанию выручки, но что еще важнее — репутации у клиентов.

Отдельно стоит обратить внимание на узкие места основного процесса производства, и здесь уже начинает играть роль отраслевая специфика. Компании нужно ответить на ряд вопросов, например:

• Остановка какого оборудования может остановить весь цикл производства?
• Как быстро можно вывести резервные ресурсы на производственную мощность?
• Сколько времени необходимо на осуществление ремонта?
• Есть ли необходимый склад запасных частей для «узкого места», насколько оперативно он может быть доступен?

Так, для капиталоемких отраслей основной задачей поддержки непрерывности может стать отказоустойчивость оборудования. Для отраслей потребительской экономики — например, ретейла или доставки — критичны доступность человеческого ресурса в условиях высокой текучки кадров и бесперебойная работа ИТ-приложений.

Далее нужно проанализировать, в каких именно элементах необходимо искать узкие места, которые могут привести к сбою. Если смотреть на функции в «крупную клетку», их можно найти:

• в инфраструктуре;
• в логистике, закупках, цепочках поставок;
• в ИТ-приложениях, поддерживающих основной бизнес;
• в информационной безопасности;
• в процессах найма и мотивации сотрудников (особенно для индустрий с высокой текучкой или с потребностями в «уникальных знаниях»);
• в финансах и финансовом планировании;
• в доступности ресурсов в широком смысле (основных средств, товарного запаса или запчастей для критического оборудования).

Несколько полезных советов по обеспечению непрерывности

• В момент прилета множества «черных лебедей» нужно комбинировать обычные и ранее не рассматриваемые стресс-сценарии. Безусловно, необходимо постоянно «освежать» анализ рисков по основному бизнес-процессу, продумывать новые риски, оценивать необходимость и стоимость бэкапов и «обходных путей».

Например, производственным компаниям имеет смысл пересмотреть процедуру управления неснижаемыми остатками, особенно если их уровень определялся автоматически с помощью ERP-систем. Проанализируйте сырье и материалы на предмет рисков непоставок, создайте дополнительные резервы. По наиболее рискованным позициям целесообразно расширить список возможных поставщиков и альтернатив, начать пересматривать технологический процесс под доступные замены, которые раньше не рассматривались.

• План по поддержке непрерывности бизнеса нужно «обогащать» сценариями, ранее практически невозможными.

Например, пересмотрите оценку рисков с поставщиками в зависимости от их географического происхождения. Риск может коснуться не только ИТ-инфраструктуры и действующего ПО, производитель которого ушел с рынка. Это касается всех поставщиков как поддерживающих функций, так и сырья, товаров для основного процесса.

• Отдельно переоцените риски, связанные с привлечением сотрудников.

Сейчас мобильность у специалистов многих специальностей (в первую очередь, связанных с ИТ) очень высока, и изменение экономической ситуации, изменение оценки уровня личной безопасности могут существенно влиять на возможность привлечения людей.

• Пересмотрите подход к финансовому планированию. В «обычные времена» для компании важно понимать, как она выполнит планы текущего года.

Под эти планы выстраивается текущая деятельность, мотивация менеджеров, планируются ресурсы. Однако сейчас суть и временная глубина задач финансового планирования кардинально меняются. Нужно задавать вопросы о том, как компания пройдет текущую неделю и месяц, и только после думать о прогнозах на квартал. Скорректированные годовые планы отходят на второй план и могут рассматриваться только как ориентир. В условиях высокой цены финансовых ресурсов, краткосрочно (неделя, месяц, квартал) стоит уделять внимание денежному потоку, а только потом прибылям и убыткам.

• Сейчас время для рассмотрения самых маловероятных рисков. Практика показывает, что именно они случаются с пугающей частотой.

Стоит оценивать все варианты, «верить в лучшее и готовиться к худшему». Например, многим компаниям я бы рекомендовал пересмотреть плановые сроки поставок в полтора–два раза и в дальнейшем корректировать их по фактическим данным. Тогда управление рисками и поддержка непрерывности срабатывают даже в самых сложных ситуациях.

Данный британский стандарт подготовлен специалистами-практиками в области обеспечения непрерывности бизнеса на основе их академического, технического и практического опыта управления непрерывностью бизнеса (УНБ). Стандарт создан с целью разработки системы, основанной на передовых методах управления непре­рывностью бизнеса. Стандарт предназначен для использования в качестве единого ориентира для большинства ситуаций, в которых управление непрерывностью бизнеса применяется на практике. Он может использоваться крупными, средними и малыми предприятиями в секторах производства, торговли, благотворительности, а также государственными организациями.

Данный документ составляет первую часть стандарта BS 25999. На момент опубликования этого документа осуществлялась подготовка второй части, в которой будут определены требования к управлению непрерывностью бизнеса.

Использование данного документа

Будучи практическим руководством, данный британский стандарт представлен в виде указаний и рекомендаций. Он не должен использоваться в качестве спецификации, и с особой тщательностью следует отнестись к тому, чтобы заявления о соответствии не вводили в заблуждение.

Пользователь, заявивший о соответствии данному британскому стандарту, должен быть способен обосновать любой образ действий, отклоняющийся от рекомендаций стандарта.

Соглашения о представлении

Положения данного стандарта представляют собой рекомендации, выраженные в виде предложений с основными вспомогательными глаголами «должен», «следует».

Раздел 3 не содержит рекомендаций; скорее, он дает полезную информацию общего характера по управлению непрерывностью бизнеса (хотя данный стандарт не предназначен для использования в качестве руководства по управлениюнепрерывностью бизнеса для начинающих).

Слово «может» применяется в тексте для обозначения допустимости, например,некоторой альтернативы основной рекомендации данного пункта. Слово «способен» обозначает возможность, например, какого-либо последствия некоторого действия или события.

Дополнительные комментарии, а также материалы пояснительного и общего информативного характера приводятся более мелким курсивным шрифтом и не относятся к нормативным элементам.

Контрактные и юридические замечания

Данная публикация не имеет цели охватить все необходимые условия контрактов. Ответственность за ее правильное применение несут пользователи.

Соответствие британскому стандарту не освобождает от правовых обязательств.

1. Область применения и применимость

Настоящий британский стандарт определяет процесс, принципы и терминологию управления непрерывностью бизнеса (УНБ). Цель данного документа – предоставить основу для понимания, разработки и внедрения системы обеспечения непрерывности бизнеса организации и обеспечить высокую степень доверия в деловых отношениях организации с заказчиками и другими организациями. Кроме того, он позволяет организации согласованным и общепризнанным образом оценивать свою способность управлять непрерывностью бизнеса.

Настоящий стандарт позволяет создать систему, основанную на правильных методах управления непрерывностью бизнеса.

Настоящий стандарт предназначен для использования всеми ответственными за бизнес-операции или за предоставление услуг: от высшего руководства до всех уровней организации; от организаций с единственным производственнымпомещением до транснациональных корпораций; от индивидуальных предпринимателей, малых и средних предприятий до организаций, в которых работают тысячи человек. Таким образом, стандарт может использоваться всеми, кто отвечает за функционирование чего-либо и, следовательно, за непрерывность этого функционирования.

В настоящем стандарте не рассматриваются вопросы планирования на случай кризисных чрезвычайных ситуаций, поскольку эти вопросы связаны с мероприятиями гражданской обороны.

ПРИМЕЧАНИЕ: в конечном счете, вне зависимости от того, сколько усилий или ресурсов вкладывается в управление непрерывностью бизнеса, организация все равно может столкнуться с инцидентом или комбинацией инцидентов, которые она не смогла предусмотреть.

2. Термины и определения

Для целей данной части стандарта BS 25999 применяются следующие определения.

2.1 производственный процесс –

процесс или совокупность процессов, выполняемых организацией (или от ее имени), в результате которых производится или поддерживается один или несколько продуктов или услуг.

ПРИМЕЧАНИЕ: примерами таких процессов являются бухгалтерский учет, деятельность центра обработки вызовов, ИТ, производство, реализация.

2.2 непрерывность бизнеса –

стратегические и тактические способности организации планировать и реагировать на инциденты и нештатные ситуации с целью обеспечить продолжение бизнес-операций на некотором приемлемом и заранее определенном уровне.

2.3 управление непрерывностью бизнеса (УНБ) –

целостный процесс управления, в ходе которого идентифицируются потенциальные угрозы, которым подвергается организация, оценивается возможное влияние на бизнес-операции в случае осуществления этих угроз, а также создается базис для обеспечения способности организации восстанавливать свою деятельность и эффективно реагировать на инциденты, что позволяет гарантировать соблюдение интересов основных сторон, участвующих в совместной деятельности, обеспечить защиту репутации, бренда и создающих стоимость производственных процессов.

ПРИМЕЧАНИЕ: управление непрерывностью бизнеса включает в себя управление возобновлением или продолжением бизнес-процессов в случае возникновения в организации какой-либо нештатной ситуации, а также управление комплексной программой посредством обучения, тестирования и анализа с целью обеспечить поддержание плана (планов) обеспечения непрерывности бизнеса в актуальном и отвечающем современным требованиям состоянии.

2.4 жизненный цикл управления непрерывностью бизнеса –

последовательность действий по обеспечению непрерывности бизнеса, которые в совокупности охватывают все аспекты и стадии программы управления непрерывностью бизнеса.

ПРИМЕЧАНИЕ: жизненный цикл управления непрерывностью бизнеса показан на Рис.1.

2.5 программа управления непрерывностью бизнеса –

непрерывный процесс управления и руководства, поддерживаемый высшим руководством организации и надлежащим образом обеспечиваемый ресурсами, который осуществляется с целью гарантировать выполнение необходимых шагов для определения влияния возможных потерь, поддержки жизнеспособных стратегий и планов восстановления и для обеспечения непрерывности предоставления продуктов и услуг с помощью обучения, тестирования, поддержки и анализа.

2.6 план обеспечения непрерывности бизнеса –

документированный набор процедур и информации, который разработан, собран и поддерживается в состоянии готовности для использования в случае инцидента, чтобы обеспечить организации возможность продолжить выполнение ее критических производственных процессов на некотором приемлемом, заранее определенном уровне.

2.7 стратегия обеспечения непрерывности бизнеса –

используемый организацией подход, который позволит обеспечить восстановление и непрерывность ее бизнеса в случае аварии или другого крупного инцидента, или в случае возникновения в организации нештатной ситуации.

2.8 анализ влияния на бизнес –

процесс анализа бизнес-функций и эффекта, который может оказать на эти функции возникшая в организации нештатная ситуация.

2.9 кризисная чрезвычайная ситуация –

событие или ситуация, которые угрожают нанести серьезный ущерб благополучию людей, окружающей среде или безопасности Великобритании или какой-либо части ее территории [UK Civil Contingencies Act 2004 (1),].

2.10 последствие –

результат инцидента, который оказывает влияние на выполнение организацией ее функций.

ПРИМЕЧАНИЕ 1: один инцидент способен повлечь за собой несколько последствий.

ПРИМЕЧАНИЕ 2: последствие способно оказывать положительное или отрицательное влияние на выполнение целевых задач и носить определенный или неопределенный характер.

2.11 технико-экономическое обоснование (ТЭО) –

финансовая методика, позволяющая измерять затраты на внедрение отдельного решения и сравнивать их с полезными результатами внедрения.

ПРИМЕЧАНИЕ: полезные результаты могут быть определены в показателях качества предоставляемых услуг, в финансовом, репутационном, нормативно-правовом или другом выражении, уместном для данной организации.

2.12 критичные для бизнеса производственные процессы –

производственные процессы, которые необходимы для предоставления основных продуктов и услуг, позволяющих организации выполнять свои важнейшие и чувствительные к скорости выполнения задачи.

2.13 нарушение (нормального хода деятельности) –

событие, ожидаемое (например, забастовка или ураган) или непредвиденное (например, отключение электропитания или землетрясение), которое приводит к незапланированному отрицательному отклонению от предполагаемого уровня предоставления продуктов или услуг, соответствующего целевым задачам организации.

2.14 планирование на случай кризисных чрезвычайных ситуаций –

разработка и поддержка согласованных процедур, позволяющих осуществлять предупреждение, управление, смягчение последствий, а также принимать другие меры в случае кризисной чрезвычайной ситуации.

2.15 тестирование –

действия, частично или полностью имитирующие реализацию плана (планов) обеспечения непрерывности бизнеса и позволяющие проверить, содержит ли этот план всю необходимую информацию и приводит ли его выполнение к желаемому результату.

ПРИМЕЧАНИЕ: одним из способов проведения тестирования является ввод в действие процедур обеспечения непрерывности бизнеса, но с большей вероятностью оно предусматривает моделирование нарушения (объявленного или необъявленного) обеспечения непрерывности бизнеса, в ходе которого участники выполняют свои роли, что позволяет определить возможные проблемы до активизации плана в реальной ситуации.

2.16 выгода –

положительное последствие.

2.17 влияние –

оцениваемое последствие отдельного результата.

2.18 инцидент –

ситуация, когда могут возникать нарушения нормального функционирования, убытки, а также чрезвычайная или кризисная ситуация.

2.19 план управления инцидентами –

четко определенный и документированный план действий в момент инцидента, обычно описывающий основной персонал, ресурсы, услуги и действия, необходимые для реализации процесса управления инцидентами.

2.20 активация –

заявление о том, что для продолжения предоставления основных продуктов или услуг организация должна ввести в действие план обеспечения непрерывности бизнеса.

2.21 вероятность –

правдоподобность наступления какого-либо происшествия, определяемая, измеряемая либо оцениваемая объективно или субъективно, или с помощью описательных слов (таких как «редко», «маловероятно», «вероятно», «почти наверняка»), частотности или математической вероятности.

ПРИМЕЧАНИЕ 1: вероятность может выражаться количественно или качественно.

ПРИМЕЧАНИЕ 2: в некоторых языках слово «вероятность» может использоваться вместо слова «правдоподобие», которое не имеет непосредственного эквивалента. Поскольку в английском языке слово «вероятность» часто интерпретируется более формально как математический термин, слово «правдоподобие» используется в данном стандарте в том смысле, что дается такое же расширительное толкование, как у слова «вероятность».

2.22 убыток –

отрицательное последствие.

2.23 максимально допустимая продолжительность нештатной ситуации –

период времени, по прошествии которого жизнеспособность организации неизбежно пострадает, если не будет восстановлено предоставление продуктов или услуг.

2.24 организация –

группа людей и средства производства, объединенные структурой функциональных обязанностей, полномочий и взаимосвязей.

ПРИМЕРЫ:  компания, корпорация, фирма, предприятие, учреждение, благотворительное общест­во, индивидуальный предприниматель или ассоциация либо их части или комбинации.

ПРИМЕЧАНИЕ 1: как правило, данная структура является упорядоченной.

ПРИМЕЧАНИЕ 2: организация может быть государственной или частной. [BS EN ISO 9000:2005]

2.25 продукты и услуги –

полезные результаты, предоставляемые организацией своим заказчикам, получателям и заинтересованным сторонам, например промышленные изделия, автомобильная страховка, соответствие нормативным требованиям, услуги медицинской сестры.

2.26 целевое время восстановления –

нормативное время, устанавливаемое для:

• возобновления предоставления продукта или услуги после инцидента;
• возобновления какого-либо производственного процесса после инцидента;
• восстановления ИТ-системы или приложения после инцидента.

ПРИМЕЧАНИЕ: директивное время восстановления должно быть меньше, чем максимально допустимая продолжительность нештатной ситуации.

2.27 устойчивость –

способность организации восстанавливать свою деятельность после инцидента.

2.28 риск –

нечто, что может произойти, и результат(ы) вызываемых этим последствий для выполнения задач организации.

ПРИМЕЧАНИЕ 1: слова с корнем «риск» используются в разговорной речи различным образом: как существительное («риск» или, во множественном числе, «риски»), глагол («рисковать [чем либо]» или «подвергать риску») или прилагательное («рискованный»). Существительное «риск» может относиться либо к некоторому потенциальному событию, его причинам, возможности (степени правдоподобности) какого-либо события, или к последствиям подобных событий. В управлении рисками (см. п. 6.5) важно четко различать смысл слова «риск» в каждом конкретном случае.

ПРИМЕЧАНИЕ 2: риск определяется по отношению к отдельной задаче организации, поэтому рассмотрение нескольких задач влечет за собой использование нескольких критериев риска применительно к любому источнику риска.

ПРИМЕЧАНИЕ 3: для выражения риска в количественной форме часто используется средний результат, который рассчитывается как сумма результатов всех возможных последствий, вес каждого из которых соответствует степени правдоподобия каждого последствия, и таким образом получается «математическое ожидание». Однако для количественной оценки представлений о диапазоне возможных последствий требуются распределения вероятностей. Как вариант, в дополнение к математическому ожиданию, можно использовать сводную статистику, такую как стандартное отклонение.

2.29 уровень приемлемого риска –

общая величина риска, который организация готова принять, допустить или которому готова подвергнуться в любой момент времени.

2.30 оценка риска –

полный процесс, включающий в себя идентификацию и анализ рисков, а также определение уровня рисков.

2.31 управление рисками –

структурированный процесс разработки и применения управленческой культуры, политики, процедур и правил к задачам идентификации, анализа, оценки и контроля реагирования на риски.

2.32 заинтересованные стороны –

те, кто имеет финансовую или иную заинтересованность в деятельности организации.

ПРИМЕЧАНИЕ: этот широкий термин включает, но не ограничивается, штатных и привлеченных сотрудников, заказчиков, поставщиков, партнеров, дистрибьюторов, инвесторов, страховщиков, акционеров, владельцев, государственные и регулирующие органы.

2.33 высшее руководство –

лицо или группа лиц, руководящих и управляющих организацией на самом высоком уровне [BS EN ISO 9000:2005].

ПРИМЕЧАНИЕ: высшее руководство, особенно в крупной международной организации, может не быть непосредственно вовлеченным; однако ответственность высшего руководства через цепочку управления очевидна. В небольшой организации высшим руководством может быть владелец или единственный собственник.

3. Обзор процесса управления непрерывностью бизнеса

3.1 Что такое процесс управления непрерывностью бизнеса?

Управление непрерывностью бизнеса (УНБ) – это входящий в зону ответственности организации и управляемый ею процесс, позволяющий создать отвечающие целевому назначению стратегическую и оперативную концепции, которые будут обеспечивать:

• проактивное повышение устойчивости организации к нарушению способности выполнять основные задачи;
• протестированный способ восстановления способности организации предоставлять свои основные продукты и услуги на некотором установленном уровне в течение некоторого установленного периода времени после возникновения нештатной ситуации;
• подтвержденную способность справляться с нештатными ситуациями и защищать репутацию и бренд организации.

Хотя отдельные процессы обеспечения непрерывности бизнеса способны меняться в зависимости от размера, структуры и обязательств организации, основные принципы остаются совершенно одинаковыми для общественных организаций, частных или государственных, независимо от их масштаба, сферы деятельности или уровня сложности.

3.2 Управление непрерывностью бизнеса и стратегия организации

Все организации, независимо от их размера, имеют цели и задачи, такие как расширение, предоставление услуг и приобретение других предприятий. Выполнение этих задач и достижение целей обычно реализуется с помощью стратегических планов – краткосрочных, среднесрочных и долгосрочных. Понимание важности программы УНБ на уровне руководства гарантирует, что эти цели и задачи не будут подвергаться риску в результате неожиданных нарушений нормальной деятельности организации.

Последствия инцидента варьируются и бывают очень серьезными. Эти последствия могут включать гибель людей, потерю активов или доходов, или невозможность предоставления продуктов и услуг, от которых зависит стратегия организации, ее репутация или даже дальнейшее ее существование.

Для управления непрерывностью бизнеса необходимо учитывать стратегическое значение известных заинтересованных сторон. Кроме того, по мере развития последствий нештатной ситуации будут появляться новые заинтересованные стороны, которые окажут непосредственное влияние на окончательный размер ущерба. Например, во время нештатной ситуации на организацию могут попытаться оказать влияние различные группы давления.
Все эти проблемы имеют стратегическое значение для организации.

3.3 УНБ – связь с управлением рисками

Управление непрерывностью бизнеса – это процесс, дополняющий концепцию управления рисками, направленную на выявление рисков, которым подвергаются производственные процессы и деятельность организации, а также на определение возможных последствий этих рисков.

Процесс управления рисками ориентирован на те риски, которым подвергаются основные продукты и услуги, предоставляемые организацией. Разнообразные инциденты способны прервать предоставление продуктов и услуг, эти инциденты трудно предсказать и их причины трудно анализировать.

С учетом влияния, которое оказывает нештатная ситуация, процесс управления непрерывностью бизнеса позволяет идентифицировать те продукты и услуги, от которых зависит продолжение существования организации, и помогает определить, что требуется организации для того, чтобы продолжить выполнение своих обязательств. С помощью процесса УНБ организация способна узнать, что нужно сделать до того, как произойдет инцидент, чтобы защитить своих сотрудников, помещения, технологии, информацию, цепочку поставки, заинтересованные стороны и свою репутацию.

Эти знания позволят организации реально оценить ответные действия, которые могут потребоваться в случае нештатной ситуации, поэтому она приобретает уверенность в том, что справится со всеми последствиями без недопустимой задержки в предоставлении продуктов или услуг.

Реализация необходимых мер по управлению непрерывностью бизнеса позволяет организации воспользоваться более рискованными бизнес-возможностями.

3.4 Почему организации следует реализовать процесс УНБ

Процесс УНБ представляет собой важный элемент надлежащего управления деятельностью организации, предоставления услуг и предпринимательской расчетливости.

Менеджеры и владельцы несут ответственность за поддержание способности организации к бесперебойному функционированию. Организации постоянно принимают на себя определенные обязательства, т.е. они заключают контракты и иным способом повышают ожидания заказчиков. Все организации имеют моральные и социальные обязательства, особенно если они обеспечивают помощь в чрезвычайных ситуациях или занимаются предоставлением общественных или добровольных услуг. В некоторых случаях обязанность организации реализовать процесс УНБ устанавливается в законодательном или нормативном порядке.

Все производственные процессы в организации подвержены угрозе возникновения нештатных ситуаций, например в случае технологической аварии, наводнения, терроризма или отключения электропитания. Наряду с обеспечением благополучия и безопасности процесс УНБ позволяет адекватно реагировать на подобные нештатные ситуации.

В настоящее время управление непрерывностью бизнеса необходимо рассматривать не как дорогостоящий процесс планирования, а как процесс, который повышает стоимость организации.

Рис. 1. Жизненный цикл процесса управления непрерывностью деятельности

3.5 Преимущества эффективной программы УНБ

Преимущества эффективной программы УНБ состоят в том, что организация:

• имеет возможность проактивно идентифицировать возможное влияние нештатной ситуации;
• имеет разработанную процедуру эффективного реагирования на нештатные ситуации, позволяющую минимизировать влияние таких ситуаций на деятельность организации;
• имеет возможность управлять рисками, не подлежащими страхованию;
• способствует совместной работе различных групп;
• способна продемонстрировать эффективность процедур реагирования посредством их тестирования;
• может улучшить свою репутацию;
• может получить конкурентное преимущество, которое дает продемонстрированная способность обеспечивать непрерывность поставок.

3.6 Результаты реализации эффективной программы УНБ

Реализация эффективной программы управления непрерывностью бизнеса позволяет добиться следующих результатов:

• идентифицированы и защищены основные продукты и услуги, что гарантирует непрерывность их поставки;
• используются средства управления инцидентами, что позволяет обеспечить эффективное реагирование;
• надлежащим образом собраны, документированы и проанализированы основные сведения о самой организации и ее отношениях с другими организациями, необходимыми регулирующими органами или правительственными учреждениями, местными органами власти и аварийными службами;
• персонал обучен эффективно реагировать на инциденты или нештатные ситуации с помощью надлежащего тестирования;
• требования заинтересованных сторон проанализированы и могут быть выполнены;
• в случае нештатной ситуации персонал получает надлежащую поддержку и необходимые контакты;
• обеспечивается надежность цепочки поставок организации;
• обеспечивается защита репутации организации;
• обеспечивается выполнение организацией правовых и нормативных обязательств.

3.7 Элементы жизненного цикла программы управления непрерывностью бизнеса

Как показано на Рис. 1, жизненный цикл программы УНБ состоит из шести элементов. Организации любого масштаба, во всех секторах экономики: государственном, частном, некоммерческом, образовательном, производственном и т.д. – способны реализовать эти элементы. Хотя область применения и структура программы УНБ бывает различной, и хотя затраченные усилия будут зависеть от потребностей конкретной организации, указанные шесть элементов должны быть выполнены в любом случае.

a) Управление программой обеспечения непрерывности бизнеса (см. п. 5)

Управление программой позволяет как разрабатывать (при необходимости), так и поддерживать средства обеспечения непрерывности бизнеса в соответствии с размерами и сложностью организации.

b) Анализ организации (см. п. 6)

Действия, связанные с элементом «Анализ организации», обеспечивают получение информации, которая позволяет произвести приоритезацию продуктов и услуг, поставляемых организацией, а также определить первоочередные действия, необходимые для предоставления этих продуктов и услуг. От этой информации зависят требования, которые будут определять выбор необходимой стратегии УНБ.

c) Определение стратегии обеспечения непрерывности (см. п. 7)

Формулирование стратегии обеспечения непрерывности бизнеса позволяет оценить несколько ее вариантов. Это дает возможность выбрать адекватные меры реагирования для каждого продукта или услуги, необходимые для того, чтобы организация была способна продолжать предоставление этих продуктов и услуг:

• на некотором приемлемом уровне функционирования;
• в течение некоторого приемлемого промежутка времени в период нештатной ситуации и после нее.

При выборе нужной стратегии будут учитываться средства обеспечения устойчивости и меры противодействия, уже реализованные в данной организации.

d) Разработка и внедрение процедур реагирования (см. п.

Результатом разработки и внедрения процедур реагирования программы управления непрерывностью бизнеса является создание концепции управления и структуры управления инцидентами, планов обеспечения непрерывности бизнеса и планов восстановления бизнеса, подробно определяющих действия, которые необходимо предпринять во время или после инцидента для под­держки или восстановления функционирования.

КОММЕНТАРИИ К ПУНКТУ 3.7d).   Термин «инцидент» используется в настоящем стандарте, чтобы отразить различный масштаб событий – от незначительных до крупных, – которые способны оказать влияние на деятельность организации. Один инцидент или серия инцидентов способны привести к серьезным нарушениям способности организации выполнять свои обязательства. Если инцидент надлежащим образом контролировать, то кризисную ситуацию можно предотвратить. Однако некоторые события будут приводить к настолько серьезному нарушению способности организации выполнять свои задачи, что их сразу же  следует рассматривать как кризисные. Инцидент может быть настолько серьезным, что для его устранения степень подготовленности организации окажется недостаточной, даже если были предусмотрены тщательно проверенные меры реагирования для ожидаемого уровня ущерба. Поэтому крайне важно, чтобы руководство организации и ее поддерживающие структуры не следовали бездумно существующему плану, а принимали решения в зависимости от обстоятельств. План обеспечения непрерывности бизнеса никогда не заменит решений квалифицированных и компетентных специалистов.

e) Тестирование, поддержка и пересмотр (см. п. 9)

Тестирование, поддержка, пересмотр и аудит программы УНБ позволяют организации:

• продемонстрировать, насколько полными, актуальными и точными являются ее стратегии и планы;
• выявить возможности для дальнейшего усовершенствования.

f) Встраивание процесса управления непрерывностью бизнеса в корпоративную культуру (см. п. 10)

Встраивание процесса управления непрерывностью бизнеса в корпоративную культуру позволяет ей стать одной из основных ценностей организации и внушает всем заинтересованным сторонам уверенность в способности организации справиться с нештатными ситуациями.

4. Политика управления непрерывностью бизнеса

4.1 Обзор

КОММЕНТАРИЙ К П. 4.1. Цели разработки политики управления непрерывностью бизнеса заключаются в следующем:

• обеспечить согласованное и управляемое выполнение и внедрение всех действий по управлению непрерывностью бизнеса;
• создать средства обеспечения непрерывности бизнеса, удовлетворяющие меняющимся деловым потребностям организации и соответствующие размерам, уровню сложности и типу организации;
• ввести в действие четко определенную концепцию для постоянно действующих средств управления непрерывностью бизнеса.

4.1.1 В политике УНБ определяются следующие процессы:

• подготовительные действия по созданию средств обеспечения непрерывности бизнеса;
• текущее управление и поддержка системы обеспечения непрерывности бизнеса.

4.1.2 Подготовительные действия включают спецификацию, комплексный проект, создание, внедрение и первоначальное тестирование средств обеспечения непрерывности бизнеса.

4.1.3 Действия по текущему управлению иподдержке включают реазизацию процессов обеспечения непрерывности бизнеса в организации, регулярное тестирование планов, их обновление и доведение до сотрудников, особенно в случае значительный изменений в структуре помещений, персонала, процессов рынка, технологической или организационной структуре.

4.2 Контекст

Организация должна обеспечить соответствие политики УНБ типу организации, размеру, уровню сложности, территориальному расположению и уровню критичности ее бизнес-процессов. Кроме того, политика УНБ должна отражать корпоративную культуру, взаимосвязи и среду функционирования организации. Политика УНБ определяет требования к процессам, позволяющие следить за тем, чтобы мероприятия по обеспечению непрерывности бизнеса продолжали соответствовать потребностям организации в случае инцидента. Эта политика должна способствовать внедрению средств обеспечения непрерывности бизнеса в корпоративную культуру. Средства управления непрерывностью бизнеса должны быть интегрированы в процессы управления изменениями, так как непрерывность бизнеса, можно сказать, «интегрирована» в развитие организации и разработку продуктов и услуг, предоставляемых организацией.

4.3 Разработка политики обеспечения непрерывности бизнеса

Организация должна разработать свою политику обеспечения непрерывности бизнеса, в которой должны быть сформулированы цели реализации программы УНБ в организации. На начальном этапе это может быть заявление о намерениях, которое будет уточняться и расширяться по мере разработки системы.
Политика обеспечения непрерывности бизнеса должна документировать принципы, к которым будет стремиться организация и относительно которых должны оцениваться средства обеспечения непрерывности бизнеса. Политика УНБ должна быть утверждена на высоком уровне, например членом совета директоров или выбранным представителем.

При разработке политики УНБ рассматриваются следующие вопросы:

• определение области применения программы УНБ в организации;
• выделение ресурсов для программы УНБ;
• определение принципов, рекомендаций и минимальных стандартов УНБ для данной организации;
• определение всех необходимых стандартов, нормативных документов или политик, которые должны быть включены в политику УНБ или допускают использование в качестве ориентира.

Организация должна осуществлять ведение и анализировать свою политику, стратегию, планы и решения УНБ на регулярной основе в соответствии с потребностями организации.

Область применения политики УНБ должна четко определять все ограничения или исключения, например территориальные ограничения или исключения для некоторых продуктов.

4.4 Область применения программы УНБ

Высшее руководство может определить область применения программы УНБ, идентифицировав основные продукты и услуги, которые поддерживают выполнение целевых задач организации, ее обязательств и установленных законом обязанностей. Определение продуктов и услуг, относящихся к основным, должно соответствовать результатам анализа влияния на бизнес, который описывается в п. 6.2, хотя и на более высоком уровне.

4.5 Производственные процессы, передаваемые на аутсорсинг

Если какой-либо продукт, услуга или производственный процесс передаются на аутсорсинг, ответственность по рискам за этот продукт, услугу или производственный процесс по-прежнему несет организация. Следовательно, организация должна убедиться, что ее основные поставщики или партнеры по аутсорсингу имеют эффективные планы управления непрерывностью бизнеса. Один из способов сделать это заключается в получении удостоверенного доказательства действенности планов обеспечения непрерывности, используемых основными поставщиками, и их программ тестирования и поддержки.

5. Управление программой обеспечения непрерывности бизнеса

Управление программой является основой процесса управления непрерывностью бизнеса. Эффективное управление программой определяет подход организации к обеспечению непрерывности бизнеса.

Участие высшего руководства – это ключевой аспект, обеспечивающий корректное внедрение процесса УНБ, его адекватную поддержку и утверждение в качестве необходимого элемента корпоративной культуры.

5.1 Обзор

Ввод в действие программы УНБ направлен на достижение целей, определенных в политике обеспечения непрерывности бизнеса (см. п. 4.3). Управление программой УНБ включает три этапа:

• распределение обязанностей (см. п. 5.2);
• внедрение программы обеспечения непрерывности бизнеса в организации (см. п. 5.3);
• текущее управление непрерывностью бизнеса (см. п. 5.4).

5.2 Распределение обязанностей (руководство)

5.2.1 Руководство организации должно:

• назначить или утвердить лицо с надлежащим должностным положением и полномочиями, которое будет отвечать за политику и внедрение УНБ;
• назначить или утвердить одного или нескольких сотрудников, которые будут заниматься внедрением и поддержкой программы УНБ.

КОММЕНТАРИЙ К П. 5.2.1 Сотрудники, в задачу которых входит внедрение и поддержка программы обеспечения непрерывности бизнеса, могут работать в различных подразделениях организации, в зависимости от ее масштаба и уровня сложности. Важно, однако, чтобы лицо, наделенное надлежащими полномочиями (например, владелец, член совета директоров или выбранный представитель) несло полную ответственность за средства управления непрерывностью бизнеса и непосредственно отвечало за успешную реализацию этих средств.

5.2.2 Если этого требует структура организации, высшее руководство может назначить уполномоченных по всей организации, различающихся по функциональным обязанностям или местонахождению, которые будут помогать осуществлять внедрение программы УНБ.
Роли, ответственность, обязанности и полномочия должны быть включены в должностные инструкции и квалификационные группы.

Эти обязанности должны пересматриваться при выполнении организацией процесса аудита.

Эти обязанности могут быть подкреплены включением их в политику организации в области аттестации, материального и морального по­ощрения.

КОММЕНТАРИЙ К П. 5.2.2 В крупных организациях может возникнуть необходимость назначить группу уполномоченных по обеспечению непрерывности бизнеса с различными ролями и обязанностями. В небольших организациях ответственность за обеспечение непрерывности бизнеса может нести один или несколько человек.

5.3 Внедрение программы обеспечения непрерывности бизнеса в организации

5.3.1 Действия по внедрению программы обеспечения непрерывности бизнеса должны включать проектирование и реализацию программы.

Организация должна:

• представить программу заинтересованным сторонам;
• организовать или обеспечить необходимое обучение персонала;
• провести тестирование средств обеспечения непрерывности бизнеса (см. п. 9).

5.3.2 Организация может выбрать один из признанных методов управления проектами, позволяющих обеспечить эффективное управление внедрением.

5.4    Текущее управление

5.4.1 Обзор

Действия по текущему управлению должны быть направлены на реализацию процессов обеспечения непрерывности бизнеса в организации. Каждый компонент средств обеспечения непрерывности бизнеса должен регулярно анализироваться, тестироваться и корректироваться. Кроме того, планы обеспечения непрерывности бизнеса также должны регулярно анализироваться и корректироваться при любом существенном изменении в среде функционирования организации, кадровом составе, процессах или технологии, а также в случае выявления недостатков в ходе тестирования или инцидента.

5.4.2 Текущая поддержка

Какие бы ресурсы ни выделялись для программы УНБ, существуют действия, которые должны выполняться как первоначально, так и на постоянной основе. К таким действиям могут относиться:

• определение области применения, ролей и обязанностей для программы УНБ;
• назначение компетентного лица или группы для текущего управления средствами управления непрерывностью бизнеса;
• поддержание программы обеспечения непрерывности бизнеса в актуальном состоянии с помощью надлежащей практики;
• продвижение системы обеспечения непрерывности бизнеса по всей организации и более широко, когда это целесообразно;
• администрирование программы тестирования;
• координирование регулярного анализа и корректировки средств обеспечения непрерывности бизнеса, включая анализ и повторное проведение оценок рисков и анализа влияния на бизнес;
• ведение документации в соответствии с масштабом и уровнем сложности организации (см. п. 5.5);
• мониторинг эффективности средств обеспечения непрерывности бизнеса;
• управление затратами, связанными со средствами обеспечения непрерывности бизнеса;
• создание и мониторинг систем управления изменениями и управления преемственностью.

5.5  Документация программы УНБ

Сотрудники, которым поручена поддержка системы обеспечения непрерывности бизнеса, должны создать и вести документацию по обеспечению непрерывности бизнеса. Эта документация может включать:

• политику УНБ:
  • положение об области применения УНБ,
  • условия применения УНБ;
• анализ влияния на бизнес;
• оценку рисков и угроз;
• стратегию/стратегии УНБ;
• ознакомительные программы;
• программы обучения;
• планы управления инцидентами;
• планы обеспечения непрерывности бизнеса;
• планы восстановления бизнеса;
• графики тестирования и отчеты о тестировании;
• соглашения и договоры об уровне обслуживания.

6. Анализ деятельности организации

Цель данного элемента жизненного цикла УНБ – помочь проанализировать деятельность организации посредством идентификации ее основных продуктов и услуг, а также критичных для бизнеса производственных процессов и ресурсов, поддерживающих эти продукты и услуги. Этот элемент позволяет обеспечить соответствие программы УНБ целевым задачам организации, ее обязательствам и установленным законом обязанностям.

6.1 Введение

6.1.1 В контексте обеспечения непрерывности бизнеса анализ деятельности организации состоит в следующем:

• идентификация целей организации, обязательств заинтересованных сторон, установленных законом обязанностей и среды, в которой функционирует организация;
• идентификация производственных процессов, активов и ресурсов (включая и те, что находятся вне организации), обеспечивающих предоставление основных продуктов и услуг;
• оценка влияния и последствий с течением времени, к которым может привести недоступность этих производственных процессов, активов и ресурсов (см. п. 6.2);
• идентификация и оценка предполагаемых угроз, которые могут вызвать прерывание предоставления основных продуктов и услуг, а также привести к невозможности обеспечить критичные для бизнеса производственные процессы, активы и ресурсы, поддерживающие эти продукты и услуги (см. п. 6.5).

6.1.2 Важно, чтобы организация проанализировала:

• взаимозависимости между своими производственными процессами,
• все свои зависимости от внешних организаций, а также все зависимости других организаций от самой организации.

6.2 Анализ влияния на бизнес

6.2.1 Организация должна определить и задокументировать влияние нештатной ситуации на производственные процессы, поддерживающие ее основные продукты и услуги. Этот процесс часто называется анализом влияния на бизнес.

КОММЕНТАРИЙ К П. 6.2.2b). В случае нештатной ситуации ее влияние обычно усиливается со временем и по-разному затрагивает разные производственные процессы. Кроме того, влияние может изменяться в зависимости от того, в какой день, месяц или в какой точке бизнес-цикла оно произошло.

6.2.2 Для каждого производственного процесса, поддерживающего предоставление основных продуктов и услуг в рамках области применения программы УНБ, организация должна:

• оценить динамику изменения во времени влияния, которое может оказать прерывание этого производственного процесса;
• определить максимально допустимую продолжительность нештатной ситуации для каждого производственного процесса, идентифицировав:
  • максимально допустимый период времени после возникновения нештатной ситуации, за который этот производственный процесс должен быть возобновлен,
  • минимальный уровень, на котором необходимо выполнять этот производственный процесс при его возобновлении,
  • промежуток времени, за который необходимо возобновить данную операцию на нормальном уровне;
• идентифицировать все взаимные зависимости между производственными процессами, активами, поддерживающей инфраструктурой или ресурсами, которые также должны поддерживаться непрерывно или восстанавливаться спустя какое-то время.

6.2.3 Выполняя оценку влияния, организация должна рассмотреть те последствия, которые связаны с целями и задачами ее деятельности, а также с заинтересованными сторонами.

К таким последствиям можно отнести:

• влияние на благополучие персонала или общественное благополучие;
• влияние в случае повреждения или потери помещений, технологий или информации;
• влияние в случае нарушения законодательных норм или нормативных требований;
• ущерб репутации;
• ущерб финансовой жизнеспособности;
• ухудшение качества продуктов или услуг;
• ущерб окружающей среде.

Организация должна документировать свой подход к оценке влияния в случае нештатной ситуации, а также свои выводы и заключения.

6.3   Идентификация критичных для бизнеса производственных процессов

КОММЕНТАРИЙ К П. 6.3. Максимальный период времени для возобновления производственных процессов способен занимать от нескольких секунд до нескольких месяцев, в зависимости от характера производственного процесса. Для производственных процессов, важных с точки зрения фактора времени, этот период, возможно, потребуется указать с очень большой точностью, например с точностью до минуты или до часа. Для менее чувствительных к скорости восстановления производственных процессов этот период может указываться с меньшей точностью. При определении стратегий УНБ (см. п.7) максимально допустимая продолжительность внештатной ситуации будет влиять на целевое время восстановления каждого производственного процесса.

Организация может классифицировать свои производственные процессы в соответствии с их приоритетом восстановления. Те производственные процессы, прерывание которых, как установлено при выполнении анализа влияния на бизнес, будет иметь наибольшее влияние в самые кратчайшие сроки и которые необходимо восстановить максимально быстро, могут быть названы «критичными для бизнеса производственными процессами». Каждый критичный для бизнеса производственный процесс поддерживает один или несколько основных продуктов или услуг.

Может возникнуть желание сосредоточить действия по планированию на критичных для бизнеса производственных процессах, но следует осознавать, что другие производственные процессы также должны восстанавливаться в течение их максимально допустимой продолжительности нештатной ситуации и также могут потребовать принятия предварительных мер.

6.4  Определение требований к непрерывности

КОММЕНТАРИЙ К П. 6.4. Технология подразумевает самое широкое использование оборудования и наиболее удобным для организации образом. Технологии могут включать, но не ограничиваются этим, следующее: программное обеспечение и оборудование информационных технологий, телекоммуникационное оборудование, токарные станки, аппараты для приготовления пищи, машины для вакуумной герметизации и любое другое оборудование, являющееся элементом производственных и технологических средств.

Если записи или инофрмация о выполняемых работах недоступны, неточны или недостаточно актульаны, это может помешать возобновлению производственных процессов или критическим образом его задержать. При определении стратегий УНБ (см. п.7) требования по предоставлению такой информации используются для формирования необходимых стратегий резервного копирования и управления записями.

Организация должна оценить ресурсы, которые потребуются для возобновления каждого производственного процесса. Сюда может входить следующее:

• кадровые ресурсы, включая количество, квалификацию и знания (человеческие ресурсы);
• необходимые рабочие места и инфраструктура (помещения);
• поддерживающие технологии, техника и оборудование (технологии);
• предоставление информации (в электронном или бумажном виде) о предыдущей работе или текущей незавершенной работе, причем вся информация должна быть достаточно актуальной и точной, чтобы обеспечить эффективное продолжение производственного процесса на согласованном уровне (информация);
• внешние услуги и поставщики (запасы).

При определении уровней ресурсов организация должна учесть потребности заинтересованных сторон.

6.5 Оценка угроз, которым подвергаются критичные для бизнеса производственные процессы (выполнение оценки рисков)

КОММЕНТАРИЙ К П. 6.5. Может быть полезно принять во внимание реестры рисков, которые уже были созданы каким-либо другим подразделением внутри организации или внешними организациями.

6.5.1 В контексте УНБ уровень риска следует понимать конкретно по отношению к критичным для бизнеса производственным процессам организации и риску возникновения нештатной ситуации при их выполнении. Критичные для бизнеса производственные процессы подкрепляются ресурсами, такими как человеческие ресурсы, помещения, технология, информация, запасы, а также наличием заинтересованных сторон. Организация должна проанализировать угрозы, которым подвергаются эти ресурсы, уязвимости каждого ресурса и влияние, которое будет оказано на эти ресурсы в случае, если угроза превратится в инцидент и приведет к нештатной ситуации.

6.5.2 Выбор метода оценки рисков полностью зависит только от организации, однако важно, чтобы при использовании этого метода учитывались все требования организации.

6.5.3 Стандарт BS ISO/IEC 27001 задает базис для выбираемого метода оценки рисков, описывая обязательные элементы, которые должны входить в процесс оценки рисков. Обычно этот процесс содержит следующие элементы:

• Определение критериев для принятия рисков. Эти критерии описывают условия, при которых организация согласна принять риски.
• Идентификация приемлемых уровней рисков. Независимо от того, какой метод оценки рисков выбран, организации необходимо идентифицировать уровни риска, которые она считает приемлемыми.
• Анализ рисков. Необходимо, чтобы используемый метод оценки рисков учитывал все вопросы, которые обсуждаются в пунктах 6.5.4, 6.5.5 и 6.5.6.

6.5.4 Конкретные угрозы можно описать как события или действия, которые способны в некоторый момент оказать влияние на ресурсы. Например, такие угрозы, как пожар, наводнение, отключение электропитания, увольнение персонала, невыход сотрудников на работу, компьютерные вирусы и отказ аппаратных средств.

6.5.5 Уязвимости могут представлять собой слабые места в ресурсах и в некоторый момент времени способны служить местом реализации угроз. Например: единые точки отказа, несоблюдение требований к противопожарной безопасности, недостаточность электропитания, недоукомп­лектованность штата, нарушения в ИТ-безопасности и в обеспечении устойчивости ИТ-систем.

6.5.6 Влияние (см. п. 6.2.3) может быть оказано в том случае, когда уязвимости были использованы угрозами.

6.6   Определение вариантов обработки рисков

6.6.1  Обзор

В результате выполнения анализа влияния на бизнес и оценки рисков организация должна идентифицировать меры, которые:

• уменьшают вероятность возникновения нештат­ной ситуации;
• уменьшают продолжительность нештатной ситуации;
• ограничивают влияние нештатной ситуации на основные продукты и услуги, предоставляемые организацией.

Эти меры называются минимизацией ущерба и обработкой рисков.

Стратегии минимизации рисков используются вместе с другими возможными действиями, поскольку нельзя предотвратить или уменьшить до приемлемого уровня все риски. Для каждого критичного для бизнеса производственного процесса организация может использовать одну или несколько, или все стратегии, описанные в пунктах 6.6.2 — 6.6.5.

6.6.2 Непрерывность бизнеса

Если для некоторого основного продукта или услуги в качестве стратегии выбрано обеспечение непрерывности бизнеса, то следует установить директивное время восстановления (RTO) и оценить стратегии обеспечения непрерывности бизнеса, описанные в п. 7, относительно этого целевого параметра.

Стратегии обеспечения непрерывности направлены на повышение устойчивости организации к нештатным ситуациям, что позволяет обеспечить продолжение критичных для бизнеса производственных процессов или их возобновление на некотором приемлемом минимальном уровне в течение периода времени, предусмотренного в ходе анализа влияния на бизнес.

6.6.3 Принятие риска

Риск может быть принят без выполнения каких-либо дальнейших действий. Даже если риск не является приемлемым, возможность сделать что-либо с некоторыми рисками может быть ограничена, или же затраты на принятие каких-либо мер могут быть несоразмерны возможной полученной выгоде. В таких случаях реагирование может заключаться в принятии существующего уровня риска, если высшее руководство готово признать этот риск допустимым и не превышающим уровень приемлемого для организации риска. В некоторых случаях влияние риска может превышать обычный уровень приемлемого риска организации, однако из-за низкой степени правдоподобности осуществления риска и/или неэкономичности затрат на управление риском, высшее руководство может допустить этот риск.

Принятие риска может быть дополнено планом минимизации ущерба, возникшего в случае реализации риска.

6.6.4  Передача риска

Для некоторых рисков наилучшим вариантом реагирования может быть их передача. Это может быть сделано с помощью договорного страхования или договорных соглашений, или с помощью оплаты принятия риска третьей стороной каким-либо иным способом. Этот вариант особенно подходит для уменьшения финансовых рисков или рисков, которым подвергаются активы. Риски могут быть переданы, чтобы уменьшить подверженность организации риску или потому, что другая организация имеет бo‘ льшие возможности по управлению этим риском. Важно отметить, что некоторые риски не могут быть (полностью) переданы; в частности, обычно невозможно передать репутационный риск, даже если предоставление услуги передано на субподряд.

Приобретение страховки может составлять часть стратегии обработки рисков и будет обеспечивать некоторое финансовое возмещение за некоторые убытки. Однако не все убытки могут быть полностью застрахованы (например, нестрахуемые инциденты, ущерб бренду или репутации, ущерб заинтересованной стороны, уменьшение доли рынка и социальные последствия). Одни лишь финансовые расчеты вряд ли полностью защитят организацию таким образом, чтобы удовлетворить ожидания заинтересованных сторон. Страховую ответственность предпочтительнее использовать вместе с одной или несколькими другими стратегиями.

6.6.5 Изменение, приостановка или прекращение

При некоторых обстоятельствах может быть целесообразно изменить, приостановить или прекратить предоставление услуги, выпуск продукта, выполнение производственного процесса, операции или функции. Этот вариант следует рассматривать только в том случае, если он не приводит к конфликту с целевыми задачами организации, соблюдением требований закона и ожиданиями заинтересованных сторон. С наибольшей вероятностью этот метод может быть использован в случае, если услуга, продукт, производственный процесс, операция или функция имеют ограниченный срок действия.

ПРИМЕЧАНИЕ: перечисленные выше четыре пункта иногда называются моделью  «4 П»: «Принять меры», «Принять риск», «Передать риск» и «Прекратить»1.

6.7 Утверждение

Высшее руководство должно подписать документированный список основных продуктов и услуг, результаты анализа влияния на бизнес и оценки рисков, чтобы подтвердить адекватность этой информации и точное отражение деятельности организации.

7. Определение стратегии обеспечения непрерывности бизнеса

Данный элемент жизненного цикла УНБ логически вытекает из анализа деятельности организации. На основе проведенного ранее анализа организация получает возможность выбрать необходимые стратегии обеспечения непрерывности, которые позволят ей выполнять свои задачи.

7.1 Введение

КОММЕНТАРИЙ К П. 7.1. Пункт 7 и все последующие пункты связаны с теми основными продуктами и услугами, для которых был выбран вариант обеспечения непрерывности бизнеса. Во всех других случаях (например, приостановка, прекращение, принятие риска), продукт или услуга не охватываются подходом УНБ и их нельзя считать соответствующими данному стандарту.

Подход организации к определению стратегий УНБ должен:

• реализовывать необходимые меры по уменьшению степени правдоподобности возникновения инцидентов и/или уменьшению возможных последствий этих инцидентов;
• надлежащим образом учитывать меры по повышению устойчивости и смягчению последствий;
• обеспечивать непрерывность критичных для бизнеса производственных процессов во время и после инцидента;
• учитывать те производственные процессы, которые не были идентифицированы как критичные.

7.2 Варианты стратегий

7.2.1 Организация должна рассмотреть варианты стратегий для своих критичных для бизнеса производственных процессов, а также для ресурсов, которые потребуются при возобновлении каждого производственного процесса. Выбор наиболее подходящей стратегии или стратегий будет зависеть от нескольких факторов, таких как:

• максимально допустимая продолжительность нештатной ситуации для данного критичного для бизнеса производственного процесса;
• стоимость реализации стратегии или стратегий;
• последствия бездействия.

7.2.2 Стратегии могут потребоваться для следующих ресурсов организации:

• человеческие ресурсы (см. п. 7.3);
• помещения (см. п. 7.4);
• технологии (см. п. 7.5);
• информация (см. п. 7.6);
• запасы (см. п. 7.7);
• заинтересованные стороны (см. п. 7.8).

В каждом случае организация должна минимизировать возможность внедрения такого решения по обеспечению непрерывности бизнеса, на которое может воздействовать тот же самый инцидент, который и приводит к возникновению нештатной ситуации.

7.3    Человеческие ресурсы

Организация должна идентифицировать необходимые стратегии для поддержания профессиональных навыков и знаний. Подобный анализ не следует ограничивать только сотрудниками, но он должен охватывать подрядчиков и другие заинтересованные стороны, которые обладают обширными профессиональными навыками и знаниями. Стратегии, позволяющие защитить или обеспечить такие навыки, могут включать:

• документирование способа выполнения критичных для бизнеса производственных процессов;
• обучение персонала и подрядчиков профессиональным навыкам в нескольких областях;
• разделение ключевых навыков с целью уменьшить концентрацию риска (это может выражаться в территориальном распределении персонала, обладающего ключевыми навыками, или в наличии нескольких лиц, владеющих необходимыми ключевыми навыками);
• использование сторонних организаций;
• планирование преемственности;
• сохранение знаний и управление знаниями.

7.4    Помещения

КОММЕНТАРИЙ К П. 7.4. Стратегии обеспечения рабочих мест способны сильно варьироваться, и в распоряжении организации имеется ряд возможных вариантов. Различные типы инцидентов или угроз могут потребовать реализации различных или нескольких вариантов обеспечения рабочих мест. Выбор правильных стратегий будет частично определяться размером организации, видом и объемом производственных процессов, заинтересованными сторонами или территориальной базой. Например, органам местной власти потребуется поддерживать предоставление основных услуг на территории их муниципального образования.

Организация должна продумать стратегию по уменьшению влияния, которое может оказать недоступность их обычного рабочего места (рабочих мест). Среди таких стратегий может быть один или несколько из следующих вариантов:

• альтернативные помещения (местонахождения) в пределах организации, включая перемещение других производственных процессов;
• альтернативные помещения, предоставляемые другими организациями (на основе двусторонних соглашений или без них);
• альтернативные помещения, предоставляемые специалистами третьей стороны;
• работа на дому или удаленно;
• прочие согласованные подходящие помещения;
• использование альтернативной рабочей силы на специально обустроенном месте.

ПРИМЕЧАНИЕ 1: если требуется перевести персонал в альтернативные помещения, необходимо, чтобы эти помещения находились достаточно близко, чтобы персонал знал о них и имел возможность туда переехать, с учетом всех возможных затруднений, вызванных инцидентом. Однако альтернативные помещения не должны находиться слишком близко, чтобы исключить возможность отрицательного влияния на них того же самого инцидента.

ПРИМЕЧАНИЕ 2: при использовании альтернативных помещений в целях обеспечения непрерывности бизнеса должно быть четко сформулировано, предназначены ли эти помещения для использования только данной организацией. Если альтернативные помещения используются совместно с другими организациями, должен быть разработан и документирован план действий в случае недоступности этих помещений.

ПРИМЕЧАНИЕ 3: может быть целесообразно перевести не персонал, а рабочие процессы, например, производственную линию или рабочие процессы центра обработки вызовов.

7.5    Технологии

КОММЕНТАРИЙ К П. 7.5.1. Стратегии обеспечения непрерывности технологий в разных организациях существенно различаются в зависимости от их масштаба, типа и уровня сложности. Особые стратегии должны быть разработаны для защиты, замены или восстановления специализированных или заказных технологий с длительным сроком использования.

Организации может потребоваться принятие мер по обеспению ручных операций, пока не будут полностью восстановлены технологические сервисы.

7.5.1 Стратегии обеспечения непрерывности технологий будут зависеть от характера используемой технологии и ее связи с критичными для бизнеса производственными процессами, но обычно они сводятся к одной из следующих стратегий или их комбинации:

• меры, принятые в организации;
• услуги, предоставляемые в организацию;
• внешние услуги, предоставляемые третьей стороной.

7.5.2 Стратегии обеспечения непрерывности технологий могут включать:

• территориальное распространение технологий, т.е. использование одной и той же технологии в разных местах, которые не будут затронуты одной и той же угрозой, приведшей к нештатной ситуации;
• сохранение старого оборудования на случай аварийной замены или для использования в качестве запасных частей;
• дополнительное уменьшение риска для уникального оборудования или оборудования с длительным сроком использования.

7.5.3 Сервисы информационных технологий часто нуждаются в комплексных стратегиях обеспечения непрерывности. В случае применения таких стратегий следует учесть следующее:

• целевое время восстановления (RTO) для систем и приложений, которые поддерживают ключевые производственные процессы, идентифицированные при выполнении BIA;
• местонахождение вычислительных центров и расстояние между ними;
• количество вычислительных центров;
• удаленный доступ;
• использование помещений без персонала (пустых) в противоположность помещениям с персоналом;
• возможность подключения телекоммуникаций и резервную маршрутизацию;
• тип «переключения при отказе» («failover») (требуется ли для активизации альтернативного предоставления информационных технологий ручное вмешательство или это должно осуществляться автоматически);
• возможность подключения сторонних организаций и внешние линии связи.

ПРИМЕЧАНИЕ 1:  если выбрана стратегия «переключения при отказе» с одного объекта на другой, то следует тщательно учесть протяженность сетевых каналов между этими двумя объектами, поскольку расстояние между объектами может оказать отрицательное влияние на функционирование ИТ-систем.

ПРИМЕЧАНИЕ 2:  если ИТ-инфраструктура организации располагается более чем на одном объекте, может быть использована стратегия взаимного восстановления ИТ-инфраструктуры, для чего емкость вычислительных комплексов, сетей и систем хранения данных на каждом объекте определяется, исходя из возможности обрабатывать объединенный трафик и выполнять не только свои функции, но и функции, выполнявшиеся на других объектах.

ПРИМЕЧАНИЕ 3: еще одно решение по перемещению сотрудников в альтернативные помещения заключается в предоставлении им удаленного доступа к ИТ-инфраструктуре по коммутируемым линиям или через Интернет с помощью виртуальных частных сетей (VPN) или подобных технологий.

ПРИМЕЧАНИЕ 4: дополнительные инструкции по обеспечению непрерывности для оборудования информационных технологий и телекоммуникационного оборудования можно найти в таких документах, как PAS 77, BS ISO/IEC 27001 и BS ISO/IEC 20000 (обе части).

7.6    Информация

Стратегии по обеспечению непрерывности информации должны обеспечивать защиту и восстановление информации, жизненно важной для функционирования организации, в соответствии с временны‘ ми рамками, заданными в процессе выполнения анализа влияния на бизнес.

ПРИМЕЧАНИЕ 1:   дополнительные инструкции приводятся в документе BS ISO/IEC 27001. Хранение и восстановление такой информации должно удовлетворять соответствующим законодательным актам.

Вся информация, необходимая для обеспечения выполнения критичных для бизнеса производственных процессов организации должна иметь необходимый уровень:

• конфиденциальности;
• целостности;
• доступности;
• актуальности.

Стратегии по обеспечению непрерывности информации должны быть документированы с целью восстановления информации, для которой еще не было выполнено копирование или резервное дублирование в безопасном месте.

Стратегии по обеспечению непрерывности информации должны распространяться на:

• физические (печатные) форматы;
• виртуальные (электронные) форматы и т.д.

ПРИМЕЧАНИЕ 2:   во всех случаях информация должна быть восстановлена к моменту времени, который известен высшему руководству и согласован с ним. Могут использоваться различные методы копирования, такие как резервное копирование на электронных носителях или магнитных лентах, микрофиши2, фотокопии, создание копии в момент создания и т.п. Этот известный момент восстановления часто называется «директивным моментом восстановления».

7.7    Запасы

КОММЕНТАРИЙ К П. 7.7. В обстановке офиса к запасам могут относиться бланки банковских чеков и т. п. В других отраслях могут потребоваться запасы для розничной торговли, запасы ресурсов для снабжения производства «точно в срок» или запасы топлива.

7.7.1 Организация должна идентифицировать и поддерживать уровень основных запасов, поддерживающих ее критичные для бизнеса производственные процессы. Стратегии, позволяющие это обеспечить, могут включать:

• хранение дополнительных запасов в другом месте;
• соглашения с третьими сторонами по немедленной доставке товаров;
• перевод поставок «точно в срок» на другие местонахождения;
• хранение материалов на складах или на погрузочных площадках;
• перевод сборочных работ на альтернативное местонахождение, где имеются запасы;
• идентификацию альтернативных/заменяющих запасов.

7.7.2 В случае, если критичные для бизнеса производственные процессы зависят от специальных запасов, организация должна определить основных поставщиков и безальтернативные источники поставок. Стратегии по управлению непрерывностью запасов могут включать:

• увеличение количества поставщиков;
• стимулирование поставщиков или требование к ним относительно реализации проверенных средств обеспечения непрерывности бизнеса;
• договорные соглашения и/или соглашения об уровне обслуживания с основными поставщиками;
• идентификация альтернативных надежных поставщиков.

7.8 Заинтересованные стороны

7.8.1 При определении необходимых стратегий УНБ организация должна учитывать и защищать интересы ключевых заинтересованных сторон.

В этих стратегиях следует учесть соответствующие социальные и культурные соображения.

7.8.2 Организация должна определить стратегии, необходимые для управления взаимоотношениями с основными заинтересованными сторонами, бизнес-партнерами и подрядными организациями. Для каждой группы могут потребоваться отдельные соображения. Стратегии, обеспечивающие защиту интересов главных заинтересованных сторон, могут включать специальные меры по обеспечению благополучия заинтересованных лиц с особыми потребностями, например в случае инвалидности, болезни или беременности.

7.8.3 Организация должна идентифицировать лицо или лиц, которые будут отвечать за вопросы, связанные с проблемами обеспечения благополучия после инцидента.

7.9 Кризисные чрезвычайные ситуации

7.9.1 Организации, стремящиеся к определению, реализации или проверке стратегий по управлению инцидентами и управлению непрерывностью бизнеса, должны на первой стадии начать взаимодействие с официальными местными аварийными службами. В задачу этих муниципальных служб входит прогнозирование, оценка, предупреждение кризисных чрезвычайных ситуаций на территории их административно-территориальной единицы, подготовка к ликвидации чрезвычайных ситуаций, реагирование и восстановительные мероприятия в случае чрезвычайной ситуации.

ПРИМЕЧАНИЕ:    в Великобритании такие аварийные службы могут называться местными форумами устойчивости.

7.9.2 Ведущие аварийные службы будут полезны в случае официального объявления о возникновении кризисной чрезвычайной ситуации и обеспечению:

• рекомендаций по мероприятиям, предпринимаемым до или после инцидента (например, по оценке рисков);
• процедур предупреждения и информирования населения;
• восстановительных мероприятий после кризисной чрезвычайной ситуации.

ПРИМЕЧАНИЕ 1:   кризисные чрезвычайные ситуации способны привести к гибели и нанесению вреда здоровью людей; они способны оказывать глубокое и долговременное влияние на психологическое, социальное и экономическое благополучие отдельных людей и групп. Чрезвычайные ситуации способны быстро привести к нарушению функционирования служб общественного транспорта, сетей связи, критической инфраструктуры и вызвать перебои в поставках товаров, услуг и запасов. Поскольку существует возможность нарушения нормального хода деятельности, в организации может возникнуть необходимость ознакомиться с планируемыми мерами соответствующих муниципальных аварийных служб.

ПРИМЕЧАНИЕ 2:   согласно документу UK Civil Contingencies Act (200-b) [1], местные органы власти в соответствии с законом обязаны предоставить рекомендации и инструкции по обеспечению непрерывности бизнеса как коммерческим, так и добровольным организациям, функционирующим на подведомственной им территории.

7.10  Утверждение

Высшее руководство должно подписать документированные стратегии, чтобы подтвердить, что определение стратегий обеспечения непрерывности бизнеса было выполнено надлежащим образом и отвечает возможным причинам и последствиям нештатной ситуации, и что выбранные стратегии позволяют решать целевые задачи организации при условии, что существующий уровень риска не превышает уровень приемлемого риска организации.

8. Разработка и внедрение процедур реагирования

Данный элемент жизненного цикла процесса управления непрерывностью бизнеса относится к разработке и внедрению необходимых планов и мер по обеспечению непрерывности критичных для бизнеса производственных процессов и управлению инцидентами.

8.1    Введение

В разделах 6 и 7 излагается, каким образом организация должна:

• идентифицировать свои критичные для бизнеса производственные процессы;
• оценить угрозы, которым подвергаются эти критичные для бизнеса производственные процессы;
• выбрать необходимые стратегии для уменьшения вероятности возникновения и влияния инцидентов;
• выбрать необходимые стратегии, обеспечивающие непрерывность или восстановление своих критичных для бизнеса производственных процессов.

Диапазон угроз, для которых будут составлять планы, должен определяться уровнем приемлемого риска организации.

8.2    Структура системы реагирования на инциденты

КОММЕНТАРИЙ К П. 8.2. В небольших организациях ответственность за управление инцидентами и непрерывностью бизнеса может быть возложена на одного сотрудника. Более крупные организации могут использовать многоуровневый подход и могут создавать различные группы для решения вопросов по управлению инцидентами, обеспечению непрерывности и восстановлению функционирования. В некоторых случаях таким группам могут оказывать поддержку другие группы, отвечающие за такие вопросы, как взаимодействие со средствами массовой информации и кадровые проблемы.

8.2.1 Организация должна определить струк­туру системы реагирования на инциденты, которая обеспечит эффективное реагирование и восстановление в случае нештатных ситуаций.

8.2.2 В каждой ситуации инцидента должна существовать простая и быстро создаваемая структура системы реагирования, которая позволит организации:

• подтвердить тип и масштаб инцидента,
• взять ситуацию под контроль,
• обеспечить сдерживание инцидента,
• информировать заинтересованные стороны.

Та же самая структура должна инициировать необходимую процедуру реагирования по обеспечению непрерывности бизнеса. Эта структура может называться группой по управлению инцидентами (IMT) или группой по управлению кризисными ситуациями (CMT).

8.2.3 Эта группа должна иметь планы, процессы и процедуры по управлению инцидентами, и эти планы, процессы и процедуры должны поддерживаться механизмами обеспечения непрерывности бизнеса, позволяющими обеспечить непрерывность и восстановление критичных для бизнеса производственных процессов.

8.2.4 Эта группа должна иметь планы по активизации, управлению, координации и информированию о процессе реагирования на инцидент. На Рис. 2 показаны три основные времен­ны‘е стадии процесса обработки инцидента, а также связь между процессами управления инцидентами и обеспечения непрерывности бизнеса.

ПРИМЕЧАНИЕ:   в некоторых случаях организация может активировать свои планы реагирования на инциденты, обеспечения непрерывности и восстановления бизнеса с меньшей задержкой или одновременно.

8.2.5 Организации могут разработать специальные планы для возобновления или восстановления операций обратно в «нормальное» состояние (планы восстановления). Однако иногда бывает невозможно определить, как выглядит это «нормальное» состояние, пока не пройдет какое-то время после инцидента, в таком случае нельзя немедленно приступить к реализации планов восстановления. Поэтому организациям могут потребоваться планы обеспечения непрерывности бизнеса, согласно которым гарантируется продолжительность работы, достаточная для разработки планов восстановления («обратно в нормальное состояние»).

8.3 Содержание планов

8.3.1 Введение

КОММЕНТАРИЙ К П. 8.3.1. Небольшие организации могут иметь один план, включающий все требования к организации и охватывающий всю ее деятельность. Очень крупная организация может иметь несколько планов, каждый из которых будет детально определять процесс восстановления для:

• отдельного компонента деятельности организации;
• конкретных помещений;
• конкретного сценария нештатной ситуации,

и может состоять из отдельных документов для этапов управления инцидентами, обеспечения непрерывности и восстановления.

Все планы – планы управления инцидентами, планы обеспечения непрерывности бизнеса или планы восстановления бизнеса – должны быть конкретными и доступны лицам, обязанности которых определяются в этих планах. Планы должны содержать элементы, указанные в пунктах 8.3.2 — 8.3.6.

Рис. 2. Временные рамки инцидента

8.3.2 Цель и область действия

КОММЕНТАРИЙ К П. 8.3.2. Каждый план может точно определять, чего не предполагается достичь и почему.

Цель и область действия каждого отдельного плана должны быть определены, согласованы с высшим руководством и поняты теми, кто будет вводить в действие этот план. Все связи с другими релевантными планами или документами должны быть четко указаны, а также необходимо описать способ получения этих планов и организацию доступа к ним.

Каждый план управления инцидентами, обеспечения непрерывности и восстановления бизнеса должен определять приоритетные задачи в контексте:

• критичных для бизнеса производственных процессов, подлежащих восстановлению;
• временных рамок, в которых эти производственные процессы должны быть восстановлены;
• уровней восстановления, необходимых для каждого критичного для бизнеса производственного процесса;
• ситуации, в которой будет использоваться каждый план.

8.3.3 Роли и обязанности

КОММЕНТАРИЙ К П. 8.3.3. Планы могут также содержать, когда это уместно, процедуры и рекомендации, поддерживающие процесс анализа планов по результатам инцидента.

Роли и обязанности уполномоченных (как с точки зрения принятия решений, так и полномочий на расходование средств) сотрудников и групп в ходе инцидента и после него должны быть четко документированы. Должны быть четко определены лица и группы, действия которых охватываются этим планом.

8.3.4 Активизация планов

КОММЕНТАРИЙ К П. 8.3.4. Время, потерянное в процессе реагирования, невозможно вернуть. Почти во всех ситуациях лучше мобилизовать группу реагирования и потом отменить мобилизацию, чем упустить возможность сдержать инцидент на ранней стадии и не допустить его эскалации.

Организации могут учесть заданные и согласованные на международном уровне стадии эскалации в соответствии с четкими рекомендациями других авторитетных источников, например, рекомендациями Всемирной организации здравоохранения по пандемии.

Метод активизации плана управления инцидентами, обеспечения непрерывности или восстановления бизнеса должен быть четко документирован. Этот процесс должен обеспечивать активизацию необходимых планов или их частей в кратчайшие сроки после возникновения нештатной ситуации.

Организация должна разработать и документировать четкие рекомендации и систему критериев, которые будут определять, какой сотрудник(и) имеет полномочия на активизацию плана (планов) и при каких обстоятельствах.
Процесс активизации может потребовать немедленной мобилизации ресурсов организации. План должен четко и точно описывать:

• как осуществляется мобилизация группы (групп);
• место проведения незамедлительной встречи;
• места проведения последующих собраний групп и подробную информацию об альтернативных местах проведения собраний (в крупных организациях эти места проведения собраний могут называться центрами управления инцидентами или центрами управления).

Организация должна документировать четкий процесс отмены мобилизации группы (групп) по завершении инцидента, а также процесс возвращения к обычному режиму функционирования.

8.3.5 Владелец и ответственный за ведение документов

Организация должна назначить основного владельца плана, а также определить и документировать, кто будет ответственным за регулярный анализ, усовершенствование и корректировку плана. Должен использоваться контроль версий, должно быть обеспечено формальное информирование всех заинтересованных сторон об изменениях в планах, должны вестись и своевременно обновляться формальные записи рассылки плана.

8.3.6 Контактная информация

КОММЕНТАРИЙ К П. 8.3.6. Записи контактов могут содержать информацию для связи в «нерабочее время». Однако, если планы содержат подобную информацию частного характера, необходимо уделить первостепенное внимание обеспечению защиты информации.
Каждый план должен содержать необходимую контактную информацию для всех основных заинтересованных сторон или предоставлять ссылку на такую информацию.

8.4 План управления инцидентами

Цель плана управления инцидентами заключается в предоставлении организации возможности управлять начальной (экстренной) стадией инцидента.

План управления инцидентами должен:

• быть гибким, практически осуществимым и релевантным;
• быть легко читаемым и понятным;
• обеспечивать базис для управления всеми возможными проблемными ситуациями (включая взаимоотношения с заинтересованными сторонами и внешние проблемы), с которыми сталкивается организация во время инцидента.

Кроме того, план управления инцидентами должен:

1. поддерживаться высшим руководством, включая представителя совета директоров, когда это применимо;
2. поддерживаться выделением необходимых финансовых средств на разработку, ведение и тестирование.

8.5 Содержание планов управления инцидентами

8.5.1 Общие положения

Кроме содержания, рекомендованного в п. 8.3, план управления инцидентами должен включать информацию, указанную в пп. 8.5.2 — 8.5.8.

8.5.2 Списки задач и действий

План управления инцидентами должен включать списки задач и контрольные списки действий по управлению немедленными последствиями возникновения нештатной ситуации. Эти задачи должны:

• в первую очередь, обеспечить безопасность людей;
• основываться на результатах проведенного анализа влияния на бизнес;
• быть структурированными так, чтобы обеспечить варианты стратегии и тактики, выбранные организацией (как описано в п. 7);
• помогать предотвращать дальнейшую потерю или недоступность критических операций и поддерживающих их ресурсов, как описано в п. 7.

8.5.3 Контактные лица при чрезвычайных ситуациях

КОММЕНТАРИЙ К П. 8.5.3. В зависимости от масштаба организации и уровня инцидента, может потребоваться несколько компетентных, подготовленных людей для ответов на телефонные запросы об инциденте.
В план должно быть включено описание того, как и при каких обстоятельствах организация будет устанавливать связь с сотрудниками и их родственниками, друзьями и контактными лицами, с которыми следует связаться в случае чрезвычайной ситуации. В некоторых случаях может быть целесообразно включить подробную информацию в отдельный документ.

Информация о ближайших родственниках и контактных лицах, с которыми следует связаться в случае чрезвычайной ситуации, для всех сотрудников должна своевременно обновляться и быть доступной для немедленного использования.

8.5.4 Действия людей

КОММЕНТАРИЙ К П. 8.5.4. Организации несут прямую ответственность за защиту благополучия сотрудников, подрядчиков, посетителей и заказчиков в случае, если инцидент ставит под непосредственную угрозу их жизнь, средства к существованию и благополучие. Особое внимание необходимо уделить всем группам лиц с особыми нуждами (например, инвалидам, беременным женщинам, временно нетрудоспособным вследствие травмы и т.д.). Заблаговременное планирование мер по выполнению этих требований способно уменьшить риск и придать уверенность тем, кого затрагивают эти проблемы.

Долговременное влияние инцидентов нельзя недооценивать. Разработка соответствующих стратегий, обеспечивающих поддержку благополучия людей, прямо способствует восстановлению физического и эмоционального состояния людей в организации

План управления инцидентами должен отвечать интересам тех, чье благополучие может  быть поставлено под угрозу в результате возникновения инцидента, с учетом релевантных социальных и культурных соображений (см. п. 7.8.2).

В плане управления инцидентами должно быть идентифицировано лицо (лица), ответственное за защиту благополучия людей после возникновения инцидента (см. п. 7.8.3), включая:

• эвакуацию объекта (в том числе в подготовленное внутреннее укрытие);
• мобилизацию групп по обеспечению безопасности, оказанию первой медицинской помощи или обеспечению эвакуации;
• определение местонахождения и учет лиц, находившихся на объекте или в непосредственной близости от него;
• постоянное информирование сотрудников/заказчиков и инструктаж по технике безопасности.

Организация должна использовать персонал с соответствующими уровнями полномочий для поддержания контактов, а при необходимости – взаимодействия, с аварийными службами.

ПРИМЕЧАНИЕ:   аварийные службы играют главную роль в спасении жизни и оказании помощи пострадавшим в ходе чрезвычайных ситуаций. Поэтому организация взаимодействия на ранней стадии, осуществление координации на этапе предварительного планирования и оперативной координации действий в ходе инцидента между  руководством организации и группами экстренного реагирования и аварийными службами способно значительно повысить эффективность реагирования на инцидент.

Организация может найти возможность предоставить консультационные услуги и оказание помощи пострадавшим в результате инцидента сотрудникам. Услуги могут быть получены из внешних источников или могут быть предоставлены в качестве дополнения к существующим программам по гигиене труда и оказанию помощи сотрудникам.

8.5.5 Освещение в средствах массовой информации

КОММЕНТАРИЙ К П. 8.5.5. На ранних стадиях инцидента особенно полезна заранее подготовленная информация. Она позволяет, пока выясняются подробности инцидента, дать информацию об организации и ее деятельности. Организация может использовать все возможные средства для обмена информацией во время инцидента и после. Такие источники могут включать веб- сайты, публичные выступления представителей организации, информационные программы и заявления на брифингах компании.

Порядок реагирования организации в средствах массовой информации должен быть документирован в плане управления инцидентами, включая:

• стратегию информирования об инциденте;
• преимущественный порядок взаимодействия организации со СМИ;
• директивы или образец для составления заявления, которое должно быть передано в СМИ при первой практической возможности после инцидента;
• надлежащее количество квалифицированных, компетентных представителей организации, назначенных и уполномоченных предоставлять информацию в СМИ;
• организация, если возможно, специального места для общения со СМИ и другими заинтересованными сторонами.

В некоторых случаях может быть целесообразно:

• предоставить вспомогательную информацию в отдельном документе;
• выделить необходимое количество компетент­ных, квалифицированных людей для ответа на телефонные запросы от представителей СМИ;
• подготовить справочный материал об организации и ее деятельности (эта информация должна быть предварительно согласована для публикации);
• следить за тем, чтобы вся информация в СМИ предоставлялась оперативно, без излишней задержки.

8.5.6 Управление взаимодействием с заинтересованными сторонами

КОММЕНТАРИЙ К П. 8.5.6. Возможно, потребуется также учесть группы давления и инициативные группы активистов, которые благодаря совместным организованным действиям способны оказывать влияние на организацию.

Процесс идентификации и приоритезации контактов с другими основными заинтересованными сторонами должен быть включен в план управления инцидентами. Может потребоваться разработка отдельного плана управления взаимодействием с заинтересованными сторонами, в котором будут определяться критерии для установления приоритетов и назначения лиц для взаимодействия с каждой заинтересованной стороной или группой заинтересованных сторон.

8.5.7 Помещение для управления инцидентами

КОММЕНТАРИЙ К П. 8.5.7. Помещение для управления инцидентами позволяет организовать заранее оборудованный координационный центр, из которого будет осуществляться управление инцидентами. При управлении инцидентами важно получать и обмениваться информацией, определять цели, распределять задачи, управлять ресурсами, идентифицировать и отслеживать проблемы и принимать решения с учетом всей имеющейся информации. Важнейшее значение имеют надежные средства связи. Использование заданного места встречи позволяет обеспечить управление в ситуациях, когда перегружены телефонные сети. Помещение для управления может быть очень простым, например номер в гостинице или дом сотрудника организации. Оно может быть очень сложным, таким как специальный «центр управления», оснащенный компьютерами, системой конференц-связи и несколькими телефонами. Вначале, возможно, потребуется провести виртуальное или дистанционное собрание, например, по телефону, телеконференц-связи или видеоконференц-связи для незамедлительного принятия ключевых решений.

Организация должна выделить надежное и заранее определенное помещение, из которого будет осуществляться управление инцидентами. После оборудования этого помещения оно должно стать координационным центром реагирования организации. Кроме того, должно быть указано альтернативное место встречи на случай недоступности основного места. На каждом из этих мест следует обеспечить доступ к необходимым ресурсам, с помощью которых группа реагирования на инциденты может без задержки приступить к эффективным действиям по управлению инцидентами.

Выбранное помещение должно соответствовать своему назначению и включать:

• эффективные основные и дополнительные средства связи;
• оборудование для получения и обмена информацией, в том числе для мониторинга новостных средств массовой информации.

8.5.8 Приложения

План управления инцидентами должен включать актуальную контактную и мобилизационную информацию для всех учреждений, организаций и ресурсов, которые могут потребоваться для поддержки стратегий реагирования организации.

План управления инцидентами должен содержать журналы или формуляры для регистрации важной информации об инциденте, такой как временны‘ е рамки инцидента, подробности аварии, принятые решения, израсходованные денежные средства, оценки ущерба, опубликованные сообщения и любую другую информацию, которую организация посчитает существенной для поддержки анализа инцидента.

Кроме того, план управления инцидентами может содержать следующую информацию (или ссылаться на нее):

• карты, схемы, планы, фотографии и другую информацию, которая может иметь отношение к инциденту;
• документированные стратегии реагирования, соответствующим образом согласованные с третьими сторонами (партнерами по совместному предприятию, подрядчиками, поставщиками и т.д.);
• детальную информацию о площадках хранения и подготовки оборудования;
• план доступа к объекту;
• процедуру управления претензиями, которая позволяет следить за тем, чтобы все страховые требования и правовые притязания к организации соответствовали требованиям закона и условиям контрактов.

8.6   План(ы) обеспечения непрерывности бизнеса

КОММЕНТАРИЙ К П. 8.6 Компоненты и содержание планов обеспечения непрерывности бизнеса варьируются от организации к организации и могут иметь различный уровень детализации в зависимости от размера, среды функционирования, корпоративной культуры и технической сложности организации.
Крупным организациям могут потребоваться отдельные документы для каждой из их критичных для бизнеса производственных процессов, тогда как небольшие организации, возможно, смогут охватить все, что для них критично, в одном документе.

Цель плана обеспечения непрерывности бизнеса состоит в том, чтобы предоставить организации возможность восстанавливать или поддерживать свои производственные процессы в случае нарушения нормального функционирования организации.

Планы обеспечения непрерывности бизнеса активизируются (инициируются) для поддержки критичных для бизнеса производственных процессов, необходимых для выполнения целевых задач организации. Они могут активизироваться в полном объеме или частично и на любой стадии реагирования на инцидент.

8.7 Содержание планов обеспечения непрерывности бизнеса

8.7.1 Общие положения

Кроме содержания, рекомендованного в п. 8.3, план обеспечения непрерывности бизнеса должен включать информацию, указанную в пп. 8.7.2-8.7.5.

8.7.2 Планы действий/списки задач

КОММЕНТАРИЙ К П. 8.7.2. Данные пункты соответствуют требованиям документа Civil Contingencies Act [1], раздел 6.20. В планах будут рассматриваться человеческие ресурсы, помещения, технология, информация, запасы и заинтересованные стороны, идентифицированные на стадии определения стратегий (см. п. 7). В планах должны содержаться сделанные допущения и детальная информация обо всех ресурсах, необходимых для реализации планов. Если в результате недоступности услуги или ресурса цели плана становятся недостижимыми, должна быть определена процедура эскалации проблемы.

План действий должен включать структурированный контрольный список действий и задач в порядке их приоритета, особо выделяя следующие моменты:

• как инициируется план обеспечения непрерывности бизнеса;
• лицо (лица), ответственное за инициирование плана обеспечения непрерывности бизнеса;
• процедура, которой должно придерживаться это лицо, принимая решение об инициировании плана обеспечения непрерывности бизнеса;
• лицо (лица), с которыми следует провести консультации перед принятием этого решения;
• лицо (лица), которых следует проинформировать после того, как решение будет принято;
• кто, когда и куда идет;
• какие сервисы являются доступными, где и когда, в том числе как организация мобилизует внешние ресурсы и ресурсы третьих сторон;
• как и когда распространяется эта информация;
• если уместно, подробные руководства по альтернативным методам ручного выполнения работ, восстановлению системы и т.д.

8.7.3 Потребности в ресурсах

Ресурсы, необходимые для обеспечения непрерывности и восстановления бизнеса, должны быть идентифицированы в различные моменты времени. Они могут включать:

• человеческие ресурсы, к которым могут относиться:
  • обеспечение безопасности,
  • транспортное обеспечение,
  • требования обеспечения благополучия,
  • чрезвычайные расходы;
• помещения;
• технологии, включая средства связи;
• сведения, которые могут содержать:
  • финансовую информацию (например, о зарплате),
  • записи о лицевых счетах заказчиков,
  • информацию о поставщиках и заинтересованных сторонах,
  • юридически значимые документы (например, контракты, страховые полисы, документы о праве собственности и т.д.),
  • другие процессуальные документы (например, соглашения об уровне обслуживания);
• запасы;
• управление взаимодействием с заинтересованными сторонами.

8.7.4 Ответственное лицо (ответственные лица)

КОММЕНТАРИЙ К П. 8.7.4. Во многих случаях организация может захотеть назначить тех же лиц, которые определены в плане управления инцидентами, и поручить им управление более долгосрочными проблемами.

Организация должна указать назначенное лицо (лиц), которое будет отвечать за управление на стадиях обеспечения непрерывности и восстановления бизнеса в случае нештатной ситуации.

8.7.5 Формуляры и приложения

КОММЕНТАРИЙ К П. 8.7.5. План может также включать формуляры для записи административной информации, например, используемых ресурсов, документов регистрации расходов; карты, чертежи, планы объекта и служебных помещений, особенно тех, которые имеют отношение к каким-либо альтернативным помещениям, таким как резервным рабочим и складским помещениям.

Когда это целесообразно, план обеспечения непрерывности бизнеса должен содержать актуальную контактную информацию для необходимых внутренних и внешних учреждений, организаций и провайдеров, которые могут потребоваться для поддержки организации.

План обеспечения непрерывности бизнеса должен включать журнал инцидентов или формуляры для записи важной информации, в особенности той, которая относится к принятым решениям.

9. Тестирование, поддержка и пересмотр планов управления непрерывностью бизнеса

Данный элемент жизненного цикла процесса управления непрерывностью бизнеса позволяет проверить действенность планов по управлению непрерывностью бизнеса с помощью их тестирования и анализа, а также обеспечить актуальность этих планов.

9.1 Введение

Планы организации по обеспечению непрерывности бизнеса и управлению инцидентами нельзя считать надежными, если не проведено их тестирование и не поддерживается их актуальность. Тестирование имеет существенное значение для повышения уровня взаимодействия, компетентности, уверенности и знаний, что крайне необходимо во время инцидента.

Планы должны проверяться с помощью процессов тестирования, аудита и самооценки, позволяющих обеспечить соответствие планов своему назначению.

9.2 Программа тестирования

КОММЕНТАРИЙ К П. 9.2. Процедуры тестирования позволяют получить и наглядно подтвердить наличие навыков и средств обеспечения непрерывности бизнеса и управления инцидентами. Время и ресурсы, потраченные на проверку стратегий УНБ с помощью тестирования планов обеспечения непрерывности бизнеса, позволяют получить средства, отвечающие своему целевому назначению. Независимо от того, насколько хорошо разработанными и продуманными представляются стратегия УНБ или план обеспечения непрерывности бизнеса, ряд надежных и реалистичных испытаний позволит идентифицировать области, в которых требуется корректировка.

Программа тестирования должна соответствовать области применения плана (планов) обеспечения непрерывности бизнеса и должна надлежащим образом учитывать все необходимые законодательные и нормативные акты. Тестирование может:

• предполагать некий заранее определенный результат, например, иметь предварительно заданный план и объем;
• предоставлять организации возможность разрабатывать инновационные решения.

Программа тестирования должна быть разработана так, чтобы со временем дать объективную уверенность в том, что, когда это потребуется, план обеспечения непрерывности бизнеса будет работать, как ожидалось. Программа должна:

• тестировать техническую, логистическую, административную, процедурную и другие системы плана обеспечения непрерывности бизнеса;
• тестировать схему и инфраструктуру управления непрерывностью бизнеса (включая роли, обязанности, любые помещения, связанные с управлением инцидентами, а также рабочие места и т.д.);
• проверять восстановление технологий и телекоммуникаций, включая наличие и перебазирование персонала.

Кроме того, эта программа позволит усовершенствовать средства управления непрерывностью бизнеса с помощью:

• практической тренировки способности организации восстанавливать свою деятельность в случае возникновения инцидента;
• проверки того, включены ли в план обеспечения непрерывности бизнеса все критичные для бизнеса производственные процессы организации, их зависимости и приоритеты;
• привлечения внимания к допущениям, которые необходимо дополнительно изучить;
• внушения уверенности участникам тестирования;
• повышения информированности всей организации об обеспечении непрерывности бизнеса путем распространения информации о тестировании;
• проверки эффективности и своевременности восстановления критичных для бизнеса производственных процессов;
• наглядной демонстрации квалификации основных групп по реагированию и их дублеров.

9.3 Тестирование

9.3.1 Тестирования должны быть реалистичными, тщательно спланированными и согласованными с заинтересованными сторонами, чтобы минимизировать риск нарушения нормального функционирования бизнес-процессов. Тестирование должно быть спланировано таким образом, чтобы минимизировать риск возникновения инцидента в результате непосредственного влияния этого тестирования.

9.3.2 Каждое тестирование должно иметь четко поставленные цели и задачи. После тестирования следует провести анализ его выполнения, в ходе которых необходимо рассмотреть выполнение целей и задач этого тестирования. По результатам тестирования должен быть создан отчет, содержащий рекомендации и график реализации этих рекомендаций.

9.3.3 Масштаб и уровень сложности тестирования должен соответствовать требованиям организации к процессу восстановления.

КОММЕНТАРИЙ К П. 9.3A. Тестирование, которое продемонстрирует серьезные недостатки или ошибки в плане обеспечения непрерывности бизнеса, должно быть выполнено повторно после того, как будут завершены корректирующие действия. Несколько возможных методов тестирования стратегий УНБ приводится в Таблице 1.

9.3.4 Планы обеспечения непрерывности бизнеса и управления инцидентами следует тестировать, чтобы удостовериться в возможности их правильного выполнения и что они содержат надлежащую информацию и инструкции.

9.3.5 Программа тестирования должна учитывать роли всех сторон, включая основных сторонних провайдеров, партнеров по аутсорсингу и других, кто, как предполагается, будет принимать участие в действиях по восстановлению. Организация может включить такие стороны в свое тестирование.

Таблица 1. Некоторые методы тестирования стратегий УНБ.

Уровень сложности	Тестирование	Процесс	Варианты	Рекоменд. период-ть А
Простой	Проверка за столом	Анализ/ корректировка содержания Критическая оценка содержания BCP	Обновление/ Утверждение Аудит/ Подтверждение	Не реже одного раза в год Ежегодно
Средний	Комплексная проверка плана	Критическая оценка содержания планов обеспечения непрерывности	Включить взаимодействие и подтвердить роли участников	Ежегодно
Имитация	Использование «искусственной» ситуации для проверки того, что план(ы) BCP содержат информацию, необходимую и остаточную для успешного восстановления	Включение связанных планов	Ежегодно или два раза в год
Тестирование критичных для бизнеса производ. процессов	Инициирование в контролируемой ситуации, безопасности нарушения нормального функционирования организации	Выбранные операции из альт. помещения в течение фиксированного времени	Ежегодно или реже
Сложный	Тестирование всего BCP, включая управление инцидентами	Тестирование в масштабах здания/комплекса зданий(кампуса)/ запретной зоны		Ежегодно или реже

(A) Периодичность тестирования должна определяться как потребностями организации, средой ее функционирования, так итребованиями заинтересованных сторон. Однако программа тестирования должна быть гибкой, учитывающей темпизменений в организации и результаты предыдущих тестирований. Допустимо использовать описанные выше методы длятестирования отдельных компонентов плана, а также для одного или нескольких планов.)

9.4 Поддержка

КОММЕНТАРИЙ К П. 9.4. Цель процесса поддержки программы УНБ – обеспечить, чтобы навыки и средства управления непрерывностью бизнеса организации оставались эффективными, соответствующими целевому назначению и актуальными.

Если в ходе выполнения действий по поддержке установлено, что произошли существенные изменения в стратегии, решении или бизнес-процессе, следует изменить существующие графики тестирования.

Должна быть разработана четко определенная и документированная программа поддержки программы управления непрерывностью бизнеса. Эта программа должна гарантировать, что любые затрагивающие организацию изменения (внутренние или внешние) будут проанализированы в связи с их влиянием на программу УНБ. Кроме того, эта программа должна идентифицировать любые новые продукты и услуги, а также связанные с ними производственные процессы, которые необходимо включить в программу поддержки УНБ.

На основании программы поддержки УНБ организация должна:

• анализировать и критически оценивать все допущения, сделанные в любых компонентах УНБ по всей организации;
• распределять среди ключевых сотрудников обновленные, уточненные или измененные политику, стратегии, решения, процессы и планы УНБ в рамках формального процесса управления изменениями.

ПРИМЕЧАНИЕ:   в случае, если в деятельности организации произошли существенные изменения, необходимо выполнить пересмотр результатов анализа влияния на бизнес. Для учета этих изменений могут быть внесены изменения в другие компоненты программы УНБ.

Результаты процесса поддержки программы УНБ должны включать:

• документированные свидетельства проактивного управления и руководства программой организации по обеспечению непрерывности бизнеса;
• подтверждение того, что основной персонал, который должен обеспечивать реализацию стратегии и планов УНБ, является квалифицированным и компетентным;
• подтверждение мониторинга и контроля рисков УНБ, с которыми сталкивается организация;
• документированные свидетельства того, что существенные изменения в структуре организации, продуктах и услугах, производственных процессах, цели, персонале и задачах были включены в планы организации по обеспечению непрерывности бизнеса и управлению инцидентами.

9.5 Пересмотр

9.5.1 Высшее руководство организации должно (через промежутки времени, которые оно посчитает необходимыми) анализировать средства управления непрерывностью бизнеса, чтобы обеспечить их постоянную пригодность, адекватность и эффективность. Этот анализ должен быть задокументирован.

9.5.2 Этот анализ должен подтвердить, что соответствие политике УНБ организации гарантирует соответствие всем необходимым законам, стандартам, стратегиям, концепциям и рекомендуемым нормам.

КОММЕНТАРИЙ К П. 9.5.3. В процессе непрерывного совершенствования организация может узнать о новых технологиях и практических методиках (в том числе о новых средствах и методах), связанных с процессом УНБ, которые необходимо оценить, чтобы определить их потенциальную выгоду для организации.

9.5.3 При анализе следует учитывать возможную необходимость внесения изменений в политику, стратегию, целевые задачи и другие элементы системы управления непрерывностью бизнеса в свете таких факторов, как результаты тестирования, изменившиеся обстоятельства и понимание необходимости постоянного усовершенствования.

9.5.4 Анализ проводится в форме внутренних или внешних аудитов или самооценок. Периодичность и время проведения анализов определяется законами и нормативными актами, в зависимости от размера, типа и правового статуса организации. Кроме того, на периодичность и время проведения анализов могут повлиять требования заинтересованных сторон.

Аудит или оценка организацией программы по управлению непрерывностью бизнеса должны подтвердить, что:

• все основные продукты и услуги, а также поддерживающие их критичные для бизнеса производственные процессы и ресурсы были идентифицированы и включены в стратегию УНБ организации;
• политика, стратегии, концепция и планы УНБ организации точно отражают ее приоритеты и требования (целевые задачи организации);
• компетенции организации по управлению непрерывностью бизнеса и ее средства управления непрерывностью бизнеса являются эффективными, соответствуют целям организации и позволяют ей управлять, руководить, осуществлять контроль и координацию действий во время инцидента;
• решения организации по управлению непрерывностью бизнеса являются эффективными, отвечают современным требованиям и целевому назначению, а также соответствуют уровню рисков, с которыми сталкивается организация;
• программы организации по поддержке и тестированию были эффективно реализованы;
• стратегии и планы УНБ включают усовершенствования, идентифицированные в ходе инцидентов и тестирования, а также в программе поддержки;
• организация имеет постоянно действующую программу обучения и ознакомления с системой УНБ;
• процедуры УНБ были эффективно доведены до соответствующих сотрудников, и эти сотрудники понимают свои роли и обязанности;
• введены в действие и эффективно используются процессы управления изменениями.

9.5.5 Аудит

Организация должна предусмотреть независимый аудит своих навыков и средств управления непрерывностью бизнеса, чтобы выявить существующие и потенциальные недостатки. Она должна разработать, реализовать и поддерживать процедуры реагирования на подобные недостатки. Независимые аудиты (как внутренние, так и внешние) должны проводиться компетентными лицами.

9.5.6 Оценка организацией программы УНБ

Процесс самооценки организацией программы УНБ играет определенную роль в подтверждении того, что организация имеет надежные, эффективные и отвечающие целевому назначению навыки и средства управления непрерывностью бизнеса. Он обеспечивает качественное подтверж­дение способности организации восстанавливать свою деятельность после инцидента. Оценка должна проводиться относительно целевых задач организации. Кроме того, следует учесть необходимые отраслевые стандарты и общепринятые нормы.

10. Встраивание процесса управления непрерывностью бизнеса в корпоративную культуру

Для успешной реализации программы УНБ она должна стать частью общего подхода, который используется для управления организацией, независимо от ее размера и сферы деятельности. На каждой стадии процесса управления непрерывностью бизнеса существуют возможности привнести и улучшить корпоративную культуру управления непрерывностью бизнеса.

10.1  Общие положения

КОММЕНТАРИЙ К П. 10.1. Создание и встраивание культуры управления непрерывностью в корпоративную культуру, вероятно, окажется длительным и сложным процессом, который может столкнуться с трудно предсказуемым противодействием. Понимание существующей корпоративной культуры поможет разработать соответствующую культуру управления непрерывностью бизнеса. Все сотрудники должны понимать, что управление непрерывностью бизнеса является серьезной задачей для организации, и что они играют важную роль в обеспечении поставки продуктов своим клиентам и заказчикам.

Создание, продвижение и внедрение культуры управления непрерывностью бизнеса в организации позволяет ей стать частью основных ценностей и системы эффективного управления организацией.

Организация с позитивной культурой управления непрерывностью бизнеса будет:

• более эффективно разрабатывать программу управления непрерывностью бизнеса;
• внушать уверенность заинтересованным сторонам (особенно персоналу и заказчикам) в своей способности справиться с нештатной ситуацией;
• повышать свою устойчивость с течением времени, обеспечивая учет результатов управления непрерывностью бизнеса при принятии решений на всех уровнях;
• минимизировать вероятность нештатных ситуаций и их влияние на деятельность организации.

Разработка культуры управления непрерывностью бизнеса поддерживается с помощью:

• руководящей роли высших должностных лиц организации;
• распределения обязанностей (см. п. 5.2);
• повышения осведомленности;
• практического обучения;
• планов тестирования.

10.2  Осведомленность

КОММЕНТАРИЙ К П. 10.2. Повышение и поддержание на должном уровне осведомленности о программе УНБ среди всего персонала организации имеет большое значение в вопросе обеспечения понимания персоналом важности программы УНБ для организации. Сотрудникам необходимо показать, что это долговременная инициатива, которая пользуется постоянной поддержкой высшего руководства организации.

Организации необходим процесс для идентификации и выполнения требований по ознакомлению с программой УНБ и для оценки эффективности их выполнения. Персонал, участвующий в реализации программы УНБ, должен ознакомиться с внешней информацией об управлении непрерывностью бизнеса. В дополнение к этому можно обратиться за инструкциями в аварийные службы, органы местной власти и регулирующие органы. Организация должна повышать, улучшать и поддерживать осведомленность путем реализации программы обучения и информирования о программе УНБ для всего персонала.

Такая программа может включать:

• процесс консультаций с персоналом во всей организации по вопросам внедрения программы управления непрерывностью бизнеса;
• обсуждение программы управления непрерывностью бизнеса в информационных бюллетенях организации, на брифингах, в программах введения в должность или в журналах;
• размещение информации о программе управления непрерывностью бизнеса на соответствующих веб-страницах или во внутрикорпоративной сети;
• обучение на опыте внутренних и внешних инцидентов;
• использование программы управления непрерывностью бизнеса в качестве одного из пунктов повестки на групповых встречах;
• тестирование планов обеспечения непрерывности в альтернативном помещении (например, в помещении для восстановления бизнеса);
• посещения какого-нибудь назначенного альтернативного помещения (например, помещения для восстановления бизнеса).

Организация может распространить свою программу ознакомления с УНБ на своих поставщиков и другие заинтересованные стороны.

10.3  Практическое обучение

Организации необходим процесс для идентификации и выполнения требований организации по обучению сотрудников программе УНБ и для оценки эффективности выполнения требований.

Организация должна выполнять обучение:

• сотрудников, участвующих в реализации процесса управления непрерывностью бизнеса, выполнению таких задач, как:
  • управление программой управления непрерывностью бизнеса,
  • проведение анализа влияния на бизнес,
  • разработка и внедрение планов обеспечения непрерывности бизнеса,
  • выполнение программы тестирования планов обеспечения непрерывности бизнеса,
  • оценка рисков и угроз,
  • взаимодействие со средствами массовой информации;
• не участвующих во внедрении программы УНБ сотрудников, которые должны иметь необходимую квалификацию для выполнения назначенных им ролей в ходе реагирования на инциденты или восстановления бизнеса.

Навыки поведения в аварийной ситуации и компетентность всех сотрудников организации следует совершенствовать и повышать путем практических тренингов, включая активное участие в мероприятиях по тестированию.

Библиография

Публикации стандартов

BS EN ISO 9000, Quality management systems – Fundamentals and vocabulary (Система менеджмента качества – Основные положения и словарь).

BS ISO/IEC 20000 (обе части), Information technology – Service management (Информационные технологии – Управление сервисом).

BS ISO/IEC 27001, Information technology – Security techniques – Information security management systems – Requirements (Информационная технология – Методы и средства обеспечения безопасности – Системы управления информационной безопасностью – Требования).

PAS77, IT Service Continuity Management – Управление непрерывностью ИТ-сервисов.

Другие публикации

[1 ] The Civil Contingencies Act 2004, London: TSO.

ВSI – Британский институт стандартов (British Standards Institution)

Британский институт стандартов (BSI) – независимый национальный орган, отвечающий за подготовку британских стандартов. Он отражает точку зрения Великобритании на европейские и международные стандарты. Институт был учреж­ден королевским пожалованием.

Исправления и дополнения

Британские стандарты обновляются посредством внесения исправлений или переработки. Пользователи британских стандартов должны удостовериться, что в их распоряжении имеются самые последние поправки или издания.

Повышение качества продуктов и услуг Британского института стандартов является нашей неизменной целью. Мы будем признательны всем, кто сообщит о каких-либо неточностях или неясностях, обнаруженных при пользовании данным британским стандартом, секретарю ответственного технического комитета:
Тел: +44 (0)20 8996 9000
Факс: +44 (0)20 8996 7400
BSI предлагает своим партнерам индивидуальную услугу обновления информации под названием PLUS, которая гарантирует подписчикам автоматическое получение самых последних изданий стандартов.

Покупка стандартов

Заказы на все публикации стандартов Британского института стандартов, международных и зарубежных стандартов следует направлять в службу поддержки заказчиков (Customer Services).
Тел: +44 (0)20 8996 9001
Факс: +44 (0)20 8996 7001
Email: orders@bsi-global.com
Стандарты также доступны на web-сайте Британского института стандартов по адресу http://www.bsi-global.com.
При выполнении заказов на международные стандарты Британский институт стандартов, в соответствии с проводимой им политикой, высылает свою версию  тех стандартов, которые были опубликованы в качестве британских стандартов, если иное не указано в заказе.

Информация о стандартах

Британский институт стандартов предоставляет широкий диапазон информации по национальным, европейским и международным стандартам через свою библиотеку и свою службу технических консультаций. Также доступны различные электронные службы информации BSI, позволяющие получить подробную информацию обо всех продуктах и услугах института. Обращайтесь в информационный центр.
Тел: +44 (0)20 8996 7111
Факс: +44 (0)20 8996 7048
Email: info@bsi-global.com
Своим подписчикам Британский институт стандартов рассылает информацию о самых последних разработках стандартов и предоставляет значительные скидки при покупке стандартов. Для получения информации об этих и других преимуществах следует обратиться в отдел регистрации членства.
Тел: +44 (0)20 8996 7002.
Факс: +44 (0)20 8996 7001
Email: membership@bsi-global.com

Информация об электронном доступе к британским стандартам через сервис British Standards Online доступна по адресу http://www.bsi-global.com/bsonUne.
Более подробная информация о Британском институте стандартов доступна на веб-сайте института по адресу http://www.bsi-global.com.

Авторские права

Авторское право распространяется на все публикации Британского института стандартов. Кроме того, в Великобритании Британский институт стандартов является обладателем авторских прав на публикации международных органов по стандартизации. Кроме исключений, предусмотренных законом об авторском праве, дизайне и патентах (Copyright, Designs and Patents Act 1988), не допускается копирование, хранение в системах поиска информации или распространение в любой форме или любыми средствами – электронными, механическими, средствами фотокопирования или иными – любой части данного стандарта без предварительного письменного разрешения Британского института стандартов.

Это не препятствует свободному использованию, в процессе внедрения стандарта, необходимой для этого информации, такой как символы, а также обозначения размера, типа или качества. Если эта информация используется в отличных от реализации целях, должно быть получено предварительное письменное разрешение Британского института стандартов.

Информацию и консультации можно получить, обратившись к менеджеру по авторским правам и лицензированию (Copyright & Licensing Manager).
Телефон: +44 (0)20 8996 7070
Факс: +44 (0)20 8996 7553
Email: copyright@bsi-global.com

6.1. Управление непрерывностью услуг

Управление непрерывностью услуг (IT Service Continuity Management или ITSCM) — процесс, ответственный за управление рисками, которые влияют на услуги. ITSCM обеспечивает возможность поставщику услуг постоянно предоставлять минимально согласованный Уровень услуг, через снижение рисков до приемлемого уровня и Планирование восстановления услуг[1].

Основная цель Управления непрерывностью услуг (далее просто Управление непрерывностью) — поддерживать процесс Управления непрерывностью бизнеса. Управление непрерывностью бизнеса (Business Continuity Management или BCM) — бизнес-процесс, отвечающий за управление рисками, которые могут серьезно повлиять на бизнес. BCM защищает интересы ключевых заинтересованных сторон, репутацию, бренд и деятельность по созданию ценности. Процесс BCM включает в себя снижение рисков до приемлемого уровня и планирование способов восстановления бизнес-процессов в случае нарушения бизнеса. BCM устанавливает цели, охват и требования по отношению к Управлению непрерывности ИТ-услуг[1].

В настоящее время технологии являются основным компонентом многих бизнес процессов, поэтому обеспечение их непрерывности и доступности является необходимым для существования бизнеса в целом. ITSCM управляет способностью услуг и их компонентов к восстановлению.

Промежуточные цели ITSCM:

1. управление набором Планов обеспечения непрерывности услуг и Планов восстановления услуг, которые являются частью Планов обеспечения непрерывности бизнеса. План обеспечения непрерывности услуг (IT Service Continuity Plan) — план, определяющий шаги, необходимые для восстановления одной или нескольких услуг. План также должен определять события, которые являются основанием для его инициации, людей, которые должны быть задействованы, средства коммуникаций и т.п.

   План обеспечения непрерывности бизнеса (Business Continuity Plan или BCP) — план определяет шаги, необходимые для восстановления бизнес-процессов в случае нарушения их функционирования. План также должен содержать информацию о событиях, которые являются основанием для его инициирования; людях, которые должны быть задействованы в реализации плана; средствах коммуникаций и т.п.[1]

2. завершение Анализа влияния на бизнес в части гарантии управления планами обеспечения непрерывности в соответствии с изменяющимися требованиями и потребностями бизнеса;
3. сопровождение Анализа рисков и менеджмента, в частности при взаимодействии с бизнесом и процессами Управления доступностью и Управления безопасностью, которые управляют услугами в соответствии с согласованным Уровнем услуг;
4. предоставление рекомендаций и руководств другим областям IT в вопросах, связанных с непрерывностью и восстановлением услуг;
5. обеспечение механизмов непрерывности и восстановления, которые позволят достигнуть целевых показателей, установленных бизнесом;
6. оценка влияния изменений на Планы обеспечения непрерывности услуг и Планы восстановления услуг;
7. проактивное улучшение непрерывности услуг там, где это экономически эффективно;
8. ведение переговоров и заключение контрактов с поставщиками об обеспечении необходимой способности к восстановлению в целях поддержки непрерывности (с участием процесса Управления поставщиками)[10].

Управление непрерывностью фокусируется на значимых негативных событиях, которые ITIL называет «катастрофами» для бизнеса. Менее значимые события рассматриваются в рамках процесса Управления инцидентами. То, является ли какое-то конкретное событие катастрофой, зависит от организации, в которой оно произошло. Размер и значимость негативного влияния события на бизнес, например, финансовые потери или потеря репутации, измеряется в рамках Анализа влияния на бизнес. Анализ влияния на бизнес определяет минимальные требования к критичности, конкретные требования к технологиям и услугам определяются в рамках Управления непрерывностью.

ITSCM главным образом рассматривает активы IT и конфигурации, которые поддерживают бизнес-процессы. В случае катастрофы бизнесу необходимо перестроиться на альтернативную рабочую локацию. При этом необходимо предоставить такие элементы как удобство офиса для персонала, копии критических бумажных отчетов, услуги курьеров и телефонную связь для связи с клиентами и партнерами. В этой связи Управление непрерывностью должно учитывать количество и месторасположение офисов организации, а также услуги, предоставляемые в каждом из них.

В рамках Управления непрерывностью должны выполняться следующие деятельности:

1. Согласование границ ITSCM и применяемых политик;
2. Анализ влияния на бизнес для количественной оценки влияния потери услуги на бизнес;
3. Анализ рисков — идентификация и оценка рисков с целью определения потенциальных угроз непрерывности и оценки вероятности их осуществления. Сюда также входит применение механизмов управления угрозами там, где это экономически эффективно;
4. формирование стратегии ITSCM, интегрированной в стратегию BCM.
5. формирование Планов обеспечения непрерывности, интегрированных в планы BCM.
6. Тестирование планов обеспечения непрерывности;
7. Непрерывное осуществление планов и управление ими.

На рис. 6.1 показан жизненный цикл ITSCM.

ITSCM циклически повторяется на всем жизненном цикле услуги и гарантирует то, что однажды разработанные планы по восстановлению и обеспечению непрерывности услуг будут соответствовать в дальнейшем приоритетам бизнеса и Планам обеспечения непрерывности бизнеса. На рис. 6.1 также показана роль BCM в ITSCM.

Стадии инициализации и формирования требований относятся к BCM. ITSCM должен только участвовать в этих стадиях, чтобы поддержать BCM и понять связи между бизнес-процессами и влияние потери услуг на них. В результате этих начальных стадий BCM формирует Стратегию обеспечения непрерывности бизнеса. Для ITSCM первой серьезной задачей становится сформировать свою стратегию, которая сделает возможной и поддержит Стратегию непрерывности бизнеса. Рассмотрим стадии жизненного цикла ITSCM.

Стадия 1 — Запуск

Эта стадия ITSCM состоит из следующих действий:

• формирование политики обеспечения непрерывности — должно быть осуществлено как можно быстрее. Политика, как минимум, должна определять цели и моменты и вопросы, на которые менеджмент должен обратить внимание;
• определение терминов охвата и компетенции — определение границ ITSCM и распределение ответственности для всего персонала в организации;
• распределение ресурсов — формирование окружения для обеспечения непрерывности бизнеса, требующего значительных ресурсов как денежных, так и людских.
• определение проекта для организации процесса ITSCM и структуры его контроля — ITSCM и BCM являются сложными процессами, требующими тщательной организации и контроля.
• согласование проекта и планов качества — планы обеспечивают контроль проекта и его применимость для различных ситуаций.

Стадия 2 — Требования и стратегия

Установление требований бизнеса к непрерывности услуг является критически важным, так как именно от этого этапа зависит устойчивость организации к катастрофам и соответствующие затраты. Если требования некорректны или пропущена какая-то важная информация, все механизмы ITSCM будут неэффективны. Эта стадия разделяется на две подстадии:

• требования — Анализ влияния на бизнес и оценка рисков
• стратегия — стратегия формулирует меры уменьшения риска и опции восстановления.

Анализ влияния на бизнес (Business Impact Analysis или BIA) — деятельность в рамках процесса Управления непрерывностью бизнеса, которая определяет критичные бизнес-функции и их зависимость от факторов окружения. Этими факторами могут быть поставщики, люди, другие бизнес-процессы, услуги и т.д[1]. BIA определяет последствия потери услуг для бизнеса. Потери могут быть значительными, например, крупные финансовые потери, и «мягкими» — моральные потери, потеря репутации, конкурентного преимущества и т.п.

Анализ влияния на бизнес определяет:

• форму, которую может приобретать разрушение или потеря, например:
  • потерянный доход;
  • дополнительные затраты;
  • вред репутации;
  • потеря благосклонности клиентов;
  • потеря конкурентного преимущества;
  • повреждение и нарушение здоровья, законности и безопасности;
  • риск безопасности персонала;
  • потеря рынка сбыта в краткосрочном и долгосрочном периодах;
  • потеря операционных возможностей, например, контроля.
• как будут увеличиваться негативные последствия разрушения или потери после неблагоприятного события, а также время суток, недели, месяца, когда они будут наиболее серьезными;
• кадровое обеспечение, навыки, аппаратура и услуги, которые необходимы для поддержки минимальных уровней непрерывности критичных бизнес-процессов;
• временные рамки, в пределах которых необходимо обеспечить минимальный уровень восстановления кадрового обеспечения, аппаратуры, услуг и других возможностей;
• временные рамки, в пределах которых необходимо полностью восстановить критичные бизнес-процессы и поддерживающие их кадровое обеспечение, аппаратуру, услуги и другие возможности;
• приоритеты восстановления для услуг.

Одним из основных выходов BIA является построение диаграммы оценки влияния потери услуги или бизнес-процесса на бизнес в целом (рис. 6.2).

Анализ влияния на бизнес предоставляет базис для осуществления ITSCM. На основе анализа формируется перечень услуг, приложений и других компонентов, которые станут предметами рассмотрения ITSCM.

Второй этап определения требований для ITSCM заключается в оценке вероятности возникновения неприятных событий.

Оценка рисков (Risk Assessment) — начальные шаги Управления рисками. Анализируется ценность активов для бизнеса, идентифицируются угрозы по отношению к этим активам, и оценивается уязвимость активов по отношению к этим угрозам[1].

Для оценки рисков и управления ими применяется стандартная методология M_o_R (Management of Risks), которая состоит из следующего:

• принципы M_o_R — базируются на принципах управления организацией и являются необходимыми для эффективного управления рисками;
• подход M_o_R — подход организации к указанным выше принципам должен быть отображен в ряде документов, в частности, в Политике управления рисками.
• процессы M_o_R. Выделяют четыре процесса в рамках M_o_R:
  • Определение — определение угроз для деятельности, которые могут повлиять на достижение ею намеченного результата;
  • Оценка — оценка суммарного влияния всех определенных угроз;
  • Планирование — определение набора управленческих действий, которые уменьшат риски;
  • Реализация — осуществление запланированных управленческих действий, их контроль, определение эффективности и корректирование в случае необходимости.
• пересмотр и внедрение M_o_R — внедрение процессов, политик и подхода M_o_R так, чтобы они непрерывно контролировались и оставались эффективными;
• взаимодействие — обеспечение взаимодействия всех действий в рамках M_o_R с целью поддержки актуальности информации об угрозах, возможностях и других аспектах Управления рисками.

ВВЕДЕНИЕ

Современный бизнес отличают динамичность и стремительность, поэтому нарушение нормального ритма работы даже на несколько часов может иметь катастрофические последствия для прибыльности и репутации компании. Приостановка или остановка деятельности несет серьезную угрозу для множества заинтересованных сторон – государственные, коммерческие структуры, граждане. Поэтому необходимо решать, как устранить риски. Организациям для управления непрерывностью бизнес-процессов необходимо заранее разрабатывать план. Управление непрерывностью бизнеса обеспечивает эффективный контроль внезапных нарушений рабочего режима, кризисных и чрезвычайных ситуаций и позволяет организациям оперативно восстановить обычный деловой ритм в случае наступления таких событий. Как только план по непрерывности бизнеса подготовлен, его необходимо протестировать, чтобы удостовериться, что процедуры работают так, как и планировалось.

К настоящему времени в практике разработано достаточное количество нормативных документов, регламентирующих вопросы управления непрерывностью бизнеса. К таким документам можно отнести NFPA 1600 Standard on Disaster/Emergency Management and Business Continuity Programs, ISO/IEC 27001 (14 раздел), СоbiТ, ITIL, BS ISO/IEC 27031:2011 и др [24, 26, 30]

Целью работы является разработка стратегии обеспечения непрерывности бизнес-процессов компания, занимающейся реализацией и управлением ИТ-проектами.

Объект: деятельность ИТ-компания

Предмет: процесс управления непрерывностью бизнеса в ИТ-компании

В соответствии с поставленной целью исследования определены следующие основные задачи:

1. Проанализировать процесс управления непрерывностью бизнеса в организациях.

2. Рассмотреть ИТ-компанию с позиции выявления критически важных бизнес-процессов.

3. Разработать стратегию управления непрерывностью бизнеса для ИТ-компании.

Теоретической и методологической основой послужили научные труды отечественных и зарубежных авторов – Петренко С., Беляев А., Качуров Е., Джинн Р., Джоунс Е.Д., Тойго Дж.У., Уолланс М., Веббер Л.; законодательные и нормативные акты, стандарты управления непрерывностью бизнеса, Интернет источники.

Практическая значимость курсовой работы заключается в том, что представленные рекомендации по обеспечению непрерывности бизнес-процессов в компании послужат теоретико-методологической базой для дальнейшего исследования.

§1 Определение процесса управления непрерывностью бизнесав деятельности организаций

Деятельность любой организации подвержена к возникновению неблагоприятных ситуаций, в результате которых бизнес процесс приостанавливается на время выяснение обстоятельств. Сбои в процессах снижают производительность, а иногда приносят убытки в деятельности организации. Не только новые технологии создают риски для осуществления бизнеса в инновационной деятельности. С подобной ситуацией сталкиваются и промышленные предприятия, которым приходится иметь дело с различными факторами, угрожающими стабильной деятельностью. Приостановка или остановка деятельности несет серьезную угрозу для множества заинтересованных сторон – государственные, коммерческие структуры, граждане. Поэтому необходимо решать, как устранить риски. Организациям для управления непрерывностью бизнес-процессов необходимо заранее разрабатывать план [12, 17].

Управление непрерывностью бизнеса обеспечивает эффективную контроль внезапных нарушений рабочего режима, кризисных и чрезвычайных ситуаций и позволяет организациям оперативно восстановить обычный рабочий процесс. Как только план по непрерывности бизнеса подготовлен, его необходимо протестировать, чтобы удостовериться, что процедуры работают так, как и планировалось [17].

Управлением непрерывностью услуг (IT Service Continuity Management или ITSCM) называется «процесс, ответственный за управление рисками, которые влияют на услуги» [30]. ITSCM обеспечивает возможность поставщику услуг постоянно предоставлять минимально согласованный уровень услуг, через снижение рисков до приемлемого уровня и планирование восстановления услуг.

Основная цель управления непрерывностью – поддерживать процесс управления непрерывностью бизнеса (BCM). BCM защищает интересы ключевых заинтересованных сторон, репутацию, бренд и деятельность по созданию ценности. Процесс BCM включает в себя снижение рисков до приемлемого уровня и планирование способов восстановления бизнес-процессов в случае нарушения бизнеса. BCM устанавливает цели, охват и требования по отношению к управлению непрерывности ИТ-услуг [30].

Предусмотреть все возможные сценарии и подготовиться к ним невозможно, но четкий и ясный план управления непрерывностью бизнеса в обязательном порядке предусматривает последовательность действий, объем ресурсов и процедуры, которые необходимы для профилактики кризисных ситуаций, принятия контрмер и устранения последствий в случае их наступления. При отсутствии плана действий в непредвиденных ситуациях и поддерживающих реализацию этого плана технологии, восстановление бизнеса для нормальной деятельности сильно затрудняется.

Основные выгоды от составления плана по обеспечению бесперебойной деятельности состоят в следующем: минимизация потенциальных финансовых потерь, уменьшение юридической ответственности, сокращение времени нарушения нормальной работы, обеспечение стабильности деятельности организации, организованное восстановление деятельности, сведение к минимуму суммы страховых взносов, уменьшение нагрузки на ведущих сотрудников, обеспечение безопасности персонала и заказчиков, соблюдение требований законов и инструкций.

Причины возникновения последствий в отсутствии плана было определено в исследовании Техасского университета, в котором были получены следующие данные:

• 85% организаций зависят от вычислительных систем;

• в среднем на 6-й день перерыва в работе компания теряет 25% ежедневного дохода, а на 25-й день – 40%;

• спустя две недели после прекращения работы вычислительных систем у 75% компаний потеря функционирования становится критической или полной;

• 43% компаний, испытавших бедствие и не имевших плана обеспечения бесперебойного функционирования, не возобновляют свою деятельность, а спустя два года продолжает функционировать лишь 10% компаний [10].

По полученным данным эксперты определили, что организации, которые составили план действий в непредвиденных обстоятельствах, имели существенно меньшие дополнительные затраты и потери доходов.

Процесс управления непрерывностью бизнеса обеспечивает для организации следующие возможности:

• повышенная готовность персонала к обеспечению собственной безопасности и осуществлению компанией необходимых мероприятий в организованном порядке

• выполнение требований законодательства и финансовых обязательств, что исключает возникновение штрафных санкций и судебных споров

• восстановление бизнес-процессов организации в порядке установленных приоритетов с целью оптимального распределения ресурсов, необходимых для защиты доходов и снижения затрат

• решения в области управления инфраструктурой/рабочим пространством, позволяющие уравновесить высокие издержки на недвижимость с необходимостью рассредоточения интеллектуального капитала организации;

• стратегии реагирования, учитывающие особенности бизнеса организации, сфокусированные на сценариях высокой вероятности и обеспечивающие эффективное и результативное распределение бюджета, выделенного на осуществление плана управления непрерывностью бизнеса;

• хорошо продуманная концепция реагирования на критические ситуации/информационного взаимодействия, разработанная с учетом как внутрикорпоративных, так и внешних требований;

• информированность о планах управления непрерывностью бизнеса, разработанных бизнес-партнерами или третьими сторонами, которая позволяет обеспечить непрерывность бизнеса и защиту всей цепочки создания стоимости. [18]

Изначально непрерывность бизнеса направлялась на защиту от маловероятных, но серьезных событий, таких как пожар, наводнение и прочих стихийных бедствий. С появлений технологий программы по обеспечению непрерывности менялись:

• начало 1990-х: восстановление после катастрофы, а также защиту от стихийных бедствий и масштабных отказов путем перехода в течение 72 часов на другой вычислительный центр;

• середина 1990-х: план восстановления для телефонной поддержки клиентов;

• 2000 года: сокращение периодов восстановления до 4-24 часов, учет специфики электронного бизнеса на базе Интернет [17].

По данным исследования IBM и журнала The Economist по вопросам, связанных с рисками и устойчивости бизнеса, в мире около 37% крупных компаний имеют интегрированные решения и стратегию обеспечения устойчивости к внешним разрушающим факторам [25]. В отечественной практике, по мнению специалистов компании «АйТи», в России можно насчитать не более 15–20 проектов по реализации стратегии обеспечения непрерывности бизнеса и внедрению соответствующих технологических решений. Компании должны быть готовы к неожиданностям независимо от источников: экономических отклонений, чрезвычайных ситуаций техногенного характера, действий конкурентов или регуляторов, элементарных ошибок людей в процессе их повседневной работы, приводящих к выводу из строя жизненно важных для бизнеса систем. Значительная длительность остановки бизнеса характеризует финансовые потери, что становятся абсолютно неприемлемыми для многих категорий деятельности, учитывая высокую конкуренцию.

Для обеспечения непрерывностью бизнеса существует ряд стандартов, которые содержат практики управления процесса непрерывности, аварийного восстановления инфраструктуры компании в чрезвычайных ситуациях:

• NFPA 1600 Standard on Disaster/Emergency Management and Business Continuity Programs;

• ISO/IEC 27001 (14 раздел);

• СоbiТ;

• ITIL;

• ISO 22301:2014 – Общественную безопасность. Системы управления непрерывностью бизнеса. Требования;

• BS ISO/IEC 27031:2011 – Информационные технологии. Техники безопасности. Руководство по готовности информационно-коммуникационных технологий для обеспечения непрерывности бизнеса;

• BS 12999:2015 – Повреждение управления. Кодекс практики для организации и управления по стабилизации, ликвидации последствий и восстановлению свойств, содержания, средств и активов после происшествия повреждение [17].

Краткая характеристика технической документации представлена в Приложении А.

Кроме документов и стандартов, которые закреплены, также выделяют отраслевые внутренние корпоративные нормативные документы (для операторов связи, объектов ФОМС, энергетических компаний и пр.).

По мнению экспертов, чтобы управлять непрерывностью бизнеса, любое предприятие должно выйти на определенный уровень зрелости, понимать что такое риск и как им управлять. Некоторым организациям для развития бизнеса, достаточно получение прибыли, и на данный момент они не стремятся к дальнейшему развитию при текущем уровне зрелости. Но на каком уровне не находилось бы предприятие, необходимо контролировать риски. Нужно, чтобы руководители пришли к пониманию, что вести бизнес, игнорируя эти вопросы, непрофессионально. Решение о начале работ по BCM должно принимать именно высшее руководство, потому что управление непрерывностью касается любых бизнес-процессов, происходящих в организации.

Одним из наиболее важных факторов, влияющих на непрерывность бизнеса, являются информационные технологии. Это связано с тем, что информационные технологии охватывают большую область управления человеческой деятельности и их возможности и средства. Решение многих вопросов по обеспечение непрерывности бизнеса в большей степени можно решить организационно, но без соответствующей технологической возможности, вопросы могут остаться без ответа. Усиление зависимости бизнеса от информационных технологий и усложнение корпоративных ИТ-инфраструктур – основные факторы, которые определяют роль технологических составляющих в BCM. По опросу, проводившим IBM и The Economist, 40% респондентов считают технологии средствами управления непрерывностью бизнеса [4].

Процесс управления непрерывностью бизнеса состоит из следующих этапов, которые сопровождаются определенным результатом:

1. Инициация проекта. На данном этапе определяется содержание проекта обеспечения непрерывности бизнеса и разрабатывается план. В нем определяются вопросы, связанные с исполнением проекта, мониторингом и контролем, а также определяются границы проекта, роли членов проектной команды и цели проекта. Для многих компаний процесс управления непрерывности бизнеса воспринимается как обеспечение надежностью критических бизнес-процессов [1717]. Процесс инициации регламентируется стандартами по управлению проектами, а именно PMI и PRINCE2.

2. Анализ воздействия на бизнес – метод, который позволяет исследовать воздействие инцидентов на ключевые виды деятельности и процессы исследуемой организации. Данный этап предусматривает детальное изучение процессов с проведением анкетирование и интервью с руководством отделов. В перечень вопросника входят темы по деятельности отделов, характеристика процессов или функций, которые они выполняют. Для детальной характеристики процессов определяется тип воздействия на бизнес и степень зависимости процесса от информационных технологий и внешних сервисов. А затем определяется максимально допустимое время простоя (Maximum Allowable Outage). На основе данного показателя определяются такие показатели как [4]:

• RTO – «время, в течение которого должно происходить восстановление бизнес-функции или ресурса при наступлении нештатных ситуаций» [11];

• RPO – «целевая точка восстановления определяет объем допустимых потерь данных в случае прерывания операций» [11];

• SDO–«уровень доступности сервиса в определенный момент времени» [11].

В результате проведенного обследования по этапу «Анализ воздействия на бизнес» должны быть получены следующие данные:

• перечень ранжированных критических процессов и соответствующих взаимозависимостей;

• зарегистрированные экономические и производственные воздействия, вызванные нарушением критических процессов;

• вспомогательные ресурсы, необходимые для идентифицированных критических процессов;

• возможные сроки простоя и восстановления критических процессов и взаимосвязанных информационных технологий [7, 17, 30].

Для более точной оценки восстановления бизнес-процессов, необходимо согласовывать ценность процесса, с точки зрения возникшего происшествия, с их владельцами, а также с заинтересованной стороной.

1. Целью этапа «Оценка рисков», является событие, которое приводит к нарушению деятельности компании, а также их последствий.

Для данного этапа эксперты различные методы идентификации и дальнейшей оценки рисков. Наиболее приемлемым методом, по мнению ИТ-подразделении компании, является метод CRAMM, разработанный Службой безопасности Великобритании (UK Security Service) в качестве государственного стандарта. В его основе лежит комплексный подход к оценке рисков, сочетающий количественные и качественные аналитические компоненты.

Преимущества этапа определяются в понимании потенциальных опасностей и воздействия их последствий на достижение установленных целей компании. Оценка рисков состоит из последовательных процессов, которые определяют дальнейшее развитие событий:

• идентификации риска – процесс определения элементов риска, описания каждого из них, составления их перечня;

• анализ риска – процесс исследования информации о риске;

• сравнительная оценка риска – сопоставление его уровня с критериями, установленными при определении области применения менеджмента риска, для определения типа риска и его значимости.

Результатом этапа оценки рисков является оптимальный сценарий для разработки стратегии непрерывности бизнеса.

1. Разработка стратегии непрерывности бизнеса – процесс необходим для обоснования технических и организационных решений. В процессе выбора решения детально рассматриваются возможные действия в отношении помещений, технологий, информационных активов, контрагентов, а также партнеров. Целями выбора решений являются следующие направления:

• защиты приоритетных видов деятельности компании;

• их эффективного восстановления;

• смягчения последствий инцидентов, разработки ответных и превентивных мер [11, 19].

1. Разработка и внедрение планов непрерывности бизнеса. Основной результат процесса – план, который определяет систему мероприятий, предусматривающая порядок, последовательность и сроки выполнения работ. Планы управления непрерывностью должны состоять из трёх компонентов: реагирование на чрезвычайные, управление инцидентами восстановление деятельности. Структура плана определяется разделами, которые характеризуют последовательность действий над управлением непрерывностью: Исходная информация, Границы действия плана, Предпосылки создания плана, Концепция, Активация плана, Контроль, Восстановление [7, 11, 20].

2. Тестирование и пересмотр планов осуществляется для проверки работоспособности планов при возникновении рисков, влияющих на деятельность компании. План тестирования выбирается с учетом типа компании и ее целей [1, 4].

3. Обслуживание и обновление планов определяет процесс непрерывности бизнеса цикличным процессом. Созданный план необходимо сопровождать, обновлять и совершенствовать через определенный промежуток времени [17]. Чтобы сохранить актуальность планов, необходимо выполнять следующие действия:

• проводить внутренние аудиты, включающие проверку восстановления после аварий, документации по обеспечению непрерывности и соответствующих процедур;

• проводить регулярные практические тренинги по выполнению плана;

• интегрировать вопросы непрерывности бизнеса в процесс управления изменениями компании.

В результате мероприятий по обеспечению непрерывности бизнеса могут возникнуть события, которые являются возможностями при управлении деятельностью организации. Проработанная программа обеспечения непрерывности позволит ключевым лицам компании осознать структуру поддерживающих процессов и внутренних сервисов компании, степень их важности для бизнеса, значение существующих на текущий момент связей со сторонними организациями, степень зависимости бизнеса от них.

§2 Анализ непрерывности бизнеса в ИТ-компании

Для разработки стратегии управления непрерывности бизнеса необходимо сначала проанализировать исследуемую компанию: определить цели организации, обязательства перед заказчиками и партнерами, установленных законодательных и обязательных требований, особенности рабочей среды и условия функционирования организации.

В работе рассматривается компания, целью является: предлагать полный спектр услуг по проектированию, монтажу, пусконаладочным работам, поставке силового электрооборудования и оборудования АСУТП в соответствии с требованиями законодательства и Заказчика [8].

В рамках предметной области компания выполняет следующие задачи: Обследование объекта автоматизации, разработка Технического задания, проектирование, поставка оборудования и ПО, программирование, монтаж, шеф-монтаж, пусконаладочные работы, обучение, техническая поддержка, лаборатория неразрушающего контроля.

Для реализации проектной деятельности клиентами компании являются крупнейшие производственные предприятия металлургии, энергетики, машиностроения, горнодобывающей промышленности и другие [8].

Штат компании состоит из обученных и сертифицированных специалистов, имеющих опыт проектирования Автоматизированных Систем Управления Технологическими Процессами (АСУТП), АСУ «Производство», разработки программного обеспечения различного уровня и назначения, инженерных систем для промышленных предприятий, а также проведения монтажных и пусконаладочных работ в реальных производственных условиях предприятий горно-обогатительной, металлургической и нефтеперерабатывающей отраслей.

Определение основных бизнес-процессов и обеспечиваемых активов.

Каждый из отделов выполняет следующие задачи.

АСУ ТП. Целью деятельности отдела является разработка, внедрение современных систем управления технологическими процессами для предприятий металлургии, горной промышленности, энергетики, железнодорожного транспорта и других отраслей. Отдел АСУ ТП выполняет следующий комплекс работ:

• обследование объектов и разработку технического задания на АСУ ТП;

• разработку проектной документации по автоматизации объекта;

• выбор комплекта необходимых технических средств АСУ ТП;

• разработку программного обеспечения;

• консультационная поддержка Заказчика на всех стадиях разработки АСУ ТП;

• техническое обслуживание систем.

АСУ П-MES.Отдел, занимающийся разработкой и внедрением MES-систем, работающих в режиме реального времени, и обеспечивающий эффективное управление производственными процессами в масштабе цеха на основе целостного анализа производства.

АСУ П.Основными задачами отдела являются: обеспечение эффективного функционирования АСУП, совершенствование АСУП. Деятельность по отделу направлена на интеграционные решения, функции которых определяются в проведении исследований системы управления, порядка и методов планирования и регулирования производства с целью определения возможности их формализации и целесообразности перевода соответствующих процессов на автоматизированный режим, и в изучении проблем обслуживания автоматизированных систем управления организации и ее подразделений.

Производственный отделобеспечивает технический контроль эксплуатации средств связи, вычислительной техники, установку (монтаж, ввод, эксплуатация) и ремонт оборудования:

• установка оборудования систем автоматизации (КИПиА, контроллеры, серверы, рабочие станции и др.);

• монтаж шкафов, пультов и щитов управления;

• прокладка и подключение сетей передачи данных (СКС, ВОЛС, Wi-Fi, телефонные сети, интернет и др.);

• подключение кабелей электропитания и заземления;

• шеф-монтаж по собственным проектам компании.

Отдел снабжениязанимается обеспечением материально-техническими ресурсами. Деятельность отдела определяется следующим функционалом: определение потребности в материальных ресурсах, определение источников покрытия потребности в материальных ресурсах, обеспечение предприятия всеми необходимыми для его деятельности ресурсами. Компания осуществляет поставку широкого спектра продукции от ведущих мировых производителей: датчики, исполнительные устройства, контроллеры; серверное оборудование, промышленные и персональные компьютеры, ноутбуки; активное и пассивное сетевое оборудование; инженерная инфраструктура; офисное оборудование; комплектующее оборудование и материалы; программное обеспечение.

Отдел пуско-наладочных работ. Целью является настройка установленного оборудования, выявление недостатков и несоответствий проекту, которые способны негативно повлиять на безопасность использования оборудования, а также проверка готовности функционирования системы. Пусконаладочные работы осуществляются специалистами компании в рамках внедрения систем автоматизации «под ключ».

Пуско-наладочные работы выполняются в следующем объеме и последовательности:

1. Подготовительные работы: анализ рабочей проектной документации, подбор измерительных средств и инструментов, подготовка рабочих мест, проверка соответствия основных технических характеристик аппаратуры требованиям, согласование форм отчетной документации и т.п..

2. Пусконаладочные работы, совмещенные с работами по монтажу средств контроля, управления и электротехнических устройств – работы выполняются до введения эксплуатационного режима и выполняются одновременно с работами по монтажу приборов и средств автоматизации, включая каналы связи ПТК с периферийными подсистемами.

3. Пусконаладочные работы третьего этапа предусматривают: проверка функционирования прикладного и системного программного обеспечения; предварительное определение характеристик объекта, расчет и настройка параметров аппаратуры автоматизируемых систем, наладка информационных измерительных каналов; наладка и проведение предпусковых испытаний подсистемы; доведение параметров настройки программно-технических средств, каналов связи и прикладного ПО до состояния, при которых автоматизированные системы могут быть использованы в эксплуатации.

Отдел инфраструктуры и связи. Построение сетей для объединения территориально-разрозненных зданий, цехов и отдельных производственных помещений предприятия на основе волоконно-оптических линий связи, обеспечивающих передачу всех видов сигналов, которые используются в мультисервисных информационных сетях АСУ П, АСУ ТП и телефонии.

Отдел ИТ реализует работы по обеспечению бесперебойного функционирования и развития программно-аппаратных комплексов, обеспечение информационной и технической поддержки средств вычислительной техники и программного обеспечения, а также проведение работ по оптимизации использования информационно-технических ресурсов.

Отдел инновационных разработок,деятельность которого направлена на разработку эффективных механизмов и координацию развития деятельности по осуществлению инноваций в компании, сопровождение мероприятий по внедрению научных и (или) научно-технических результатов.

Бухгалтерия осуществляет формирование полной и достоверной информации о деятельности компании и ее имущественном положении, обеспечивает информацией, необходимой внутренним и внешним пользователям бухгалтерской отчетности, отражает и контролирует затраты, которые связанны с деятельностью компании.

1. Начисление заработной платы

2. Начисление и выплата налогов

3. Подготовка к аудиторской проверке

4. Ведение бухгалтерской отчетности

Отдел кадров выполняет задачи, связанные с подбором кадров, учетом персонала и ведением кадровой документации, повышением квалификацией работников, проведением аттестации, формированием кадрового резерва.

Бюро технической документации. Осуществляет деятельностьв разработке и корректировке нормативной и технической документации, регистрации договоров, нормоконтроль технической документации.

Сметно-договорной отдел.Основной задачей отдела является подготовка и оформление договоров на реализацию услуг компании.

Так как организация занимается управлением проектами, выделим основные бизнес-процессы:

1. Инициация проекта.

2. Планирование проекта.

3. Исполнение проекта.

4. Мониторинг и контроль.

5. Завершение проекта.

Далее определим последовательность бизнес-процессов по степени критичности. Степень критичность определяется по значимости к выполняемым функциям [14]:

1. Исполнение.

2. Инициация проекта.

3. Планирование проекта.

4. Мониторинг и контроль.

5. Завершение проекта.

Таким образом, критичными бизнес-процессами являются процесс Исполнение и Инициация [14].

Риск – это возможность возникновения потерь (материальных, финансовых, трудовых, потери времени и т. п.), появляющихся в связи со случайным изменением условий экономической деятельности, неблагоприятными обстоятельствами, реальными или потенциально возможными действиями (или условиями), приводящими к нарушению процесса реализации предпринимательского проекта. Оценка риска определяется как вероятность потерь, получаемых в результате наступления такого неблагоприятного события (ситуации).

В Приложение Б представлен перечень угроз, которые могут произойти в деятельности любой организации. Определим наиболее важные угрозы, которые характеризуют исследуемое предприятие (таблица 1).

Таблица 1 – Описание угроз (рисков)

Описание риска (угрозы)	Уязвимости	Возможный источник угрозы	Вероятные последствия — результаты реализации угрозы (сценарии)
Сбои и отказы программных средств и технических средств	отсутствие механизма защиты от перегрузки канала связи; архитектура приложения, неоптимизированная для высоких нагрузок; отсутствие дополнительных программных средств; не согласованы сроки поставки	Персонал	изменение данных, необходимых для управления проектами; отклонение работ от плана
Социальный инжиниринг	система безопасности	Персонал любой человек	утрата информационных активов; нарушение непрерывности процессов снижение качества информационных услуг
Пожар	неисправность системы пожаротушения	Рабочий персонал	пожар
Зависимость от партнеров/клиентов	невыполнение условий договора; изменение условий договора	Партнеры Заказчики Руководство	срыв сроков проекта; не реализация проекта
Трудовые ресурсы	спецификация персонала; низкий уровень вовлеченности исполнителей в реализацию проектов	Руководство	срыв сроков проекта; отсутствие прибыли; клиенты и партнеры отказываются в дальнейшем работать
Финансовые	недостаточно средств; экономический кризис	Руководство	сокращение бюджета проекта; снижение качества проекта
Временные ресурсы	невыполнение проекта в срок	Персонал	срыв сроков проекта; под вопросом дальнейшая реализация проектов и программ

Все возникшие уязвимости можно разделить на 3основне группы

1.  

   1. Обусловленные действиями субъекта (антропогенные источники) – субъекты, действия которых могут привести к нарушению безопасности информации, данные действия могут быть квалифицированны как умышленные или случайные преступления. Источники, действия которых могут привести к нарушению безопасности информации могут быть как внешними так и внутренними. Данные источники можно спрогнозировать, и принять адекватные меры.

Угрозы: потеря персонала; невыход персонала на работу; атаки хакеров; компьютерные вирусы; выход из строя обеспечивающих систем (халатность); угроза некорректности данных (ошибки персонала); угроза целостности данных (хищение).

1.  

   1. Обусловленные техническими средствами (техногенные источники)– эти источники угроз менее прогнозируемы и напрямую зависят от свойств техники и поэтому требуют особого внимания. Данные источники угроз информационной безопасности, также могут быть как внутренними, так и внешними.

Угрозы: отказ компьютерных аппаратных средств; сбои в работе аппаратных и программных средств; выход из строя аппаратных средств.

1.  

   1. Стихийные источники – данная группа объединяет обстоятельства, составляющие непреодолимую силу (стихийные бедствия, или др. обстоятельства, которые невозможно предусмотреть или предотвратить или возможно предусмотреть, но невозможно предотвратить), такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. Такие источники угроз совершенно не поддаются прогнозированию и, поэтому меры против них должны применяться всегда. Стихийные источники, как правило, являются внешними по отношению к защищаемому объекту и под ними, как правило, понимаются природные катаклизмы.

Угрозы: пожары, нарушение функционирования систем жизнеобеспечения, нарушение внутриклиматических условий, нарушение электропитания и др.

Бизнес-процессы исследовались точки зрения подверженности тем или иным объективным внешним и внутренним угрозам, выявлялись уязвимости каждого ресурса, поддерживающего данный бизнес-процесс, и определялось потенциальное воздействие при превращении угрозы в инцидент, нарушающий деятельность организации.

Для стратегии нам необходимо посчитать допустимое время восстановления (pRTO). Для расчета используем следующие сокращения:

• TPD max (англ. Maximum tolerable period of disruption) – максимально приемлемый (допустимый) период восстановления бизнес процесса организации, можно выделить данный показатель для основного рабочего времени и дня не основного (например, ночное время) [13, 17, 19].

• RTO (англ. Recovery time objective) – целевой срок (время) восстановления каждого вида деятельности организации.

• LBC (англ. Level of business continuity) – «уровень непрерывности бизнеса», описывающий какую долю штатной нагрузки должен обеспечивать бизнес-процесс в случае чрезвычайной ситуации [17]

Расчеты показателей представлены в таблице 2

Таблица 2 – Расчет допустимого времени восстановления бизнес-процессов

Исполнение проекта
Реализация плана проекта	TPD max =5 дней; RTO max = 2 часа; LBC = 75%
Обеспечение качества проекта	TPD max =2 часа; RTO max = 30 минут; LBC = 50%
Управление командой проекта	TPD max =2 часа; RTO max = 4 часа; LBC = 75%
Учет исполнения проекта	TPD max=4 часа; RTO max = 1 час; LBC = 50%
Управление снабжением	TPD max = 2 дня; RTO = 6 часов; LBC = 70%
Инициация проекта
Разработка концепции проекта	TPD max = 2 часа; RTO = 3 часа; LBC = 70%
Рассмотрение и утверждение концепции.	TPD max = 30 минут; RTO = 1 час; LBC = 20%
Принятие решения о начале проекта	TPD max = 15 минут; RTO = 3 часа; LBC = 50%

Таким образом, наибольшую длительность на восстановление имеет процесс «Управление командой проекта». Высокий уровень «непрерывности бизнеса» – «Реализация плана проекта».

Далее рассчитаем оценку воздействий и долговременных последствий отказов, отсутствия активов и ресурсов. Показатель оценивается с помощью приоритетного коэффициента риска (1)

Кр = КпКнКо, (1)

где Кр показывает, какие возможные отказы являются наиболее существенными, а, следовательно, по каким из них следует принимать предупреждающие меры в первую очередь;

Кп – коэффициент, учитывающий значение последствий отказов для потребителя (таблица В.1.). Потребителем всегда является конечный потребитель (покупатель). При анализе процесса потребителем считают того, кто принимает результат предыдущего этапа.

Кн – коэффициент, учитывающий вероятность Рн, с которой отказ или его причина не могут быть обнаружены до возникновения последствий непосредственно у потребителя (таблица В.2.). Нужно отметить, что вероятность пропуска (необнаружения) причины численно равна среднему выходному уровню дефектности.

Ко– коэффициент, учитывающий вероятность Ро отказа. Обычно Ро=1- Рб, где Рб — вероятность отсутствия отказа (таблица В.3.). При определении Ро исходят из того, что отказ не обнаружится до тех пор, пока потребитель не начнет пользоваться изделием.

Таким образом, были получены следующие показатели (таблица 3)

Таблица 3 – Расчеты коэффициента риска

Исполнение проекта
Реализация плана проекта	8*5*4=160
Обеспечение качества проекта	8*6*8=384
Управление командой проекта	6*6*7=252
Учет исполнения проекта	8*5*8=320
Управление снабжением	8*5*3=120
Инициация проекта
Разработка концепции проекта	6*4*5=144
Рассмотрение и утверждение концепции.	8*4*6=192
Принятие решения о начале проекта	9*4*6=216

Наибольшие значения по расчетам были оценены процессы – Обеспечение качества проекта (384), Учет исполнения проекта (320), Управление командой проекта (252).

Важнейшим этапом анализа характера и последствий отказа является проведение целенаправленных мероприятий по предупреждению дефектов. Эти мероприятия должны вести к одному из следующих результатов:

• избежанию причин отказов;

• снижению вероятности появления отказа (что возможно вследствие изменения конструкции или процесса, например, включение в конструкцию запасных параллельных элементов, выбор другого материала или термообработки);

• снижению влияния первопричины на появление отказа и тяжесть его последствий (что возможно благодаря изменению конструкции, например, снижение вибраций по отношению к предельному уровню возможно при включении упругого элемента в трансмиссию машины, что позволяет в несколько раз уменьшить динамические нагрузки);

• повышению вероятности обнаружения отказа на предприятии до момента поставки продукции потребителю (обычно это достигается изменением конструкции и процесса, а также в результате совершенствования мероприятий по обнаружению дефектов).

§3 Стратегия управления непрерывностью бизнеса

На основе полученных данных разработаем стратегию управления непрерывности бизнеса, которая будет рекомендована для использования в случае инцидента, чтобы обеспечить компании возможность продолжить выполнение ее критических процессов [14, 19].

1. Цель и область применения

Целью документа является восстановление критичных важных организационных и технических процессов после их сбоя, определив четкую последовательность действий.

Обеспечение непрерывности бизнеса включает в себя такие цели:

• поддержание способности компании выполнять принятые на себя обязательства перед клиентами и партнерами, предупреждение и предотвращение возможного нарушения режима повседневного функционирования компании;

• сохранения уровня управления компании, позволяющего обеспечить условия для принятия обоснованных и оптимальных управленческих решений, своевременную полную реализацию;

• снижение последствий нарушения режима повседневного функционирования;

• обеспечение соответствия всех механизмов принципов непрерывности бизнеса требованиям нормативно-правовых актов, государственных стандартов, утвержденных в компании актов, планов, программ и т.п.

План обеспечения непрерывности включает поддержку процесса восстановления в штатный режим работы следующих сервисов: электронная почта, файловый сервис.

Рамки плана. Настоящий план предназначен для случаев сбоев в работе критически важных сервисов, вызванных сбоями оборудования/программного обеспечения (аварийный режим) более чем на 2 часа. План предназначен для использования в случае:

• с неблагоприятными событиями природного, техногенного и социального характера (пожар, чрезвычайные ситуации и стихийные бедствия, техногенные катастрофы, нарушение электропитания, нарушение функционирования жизнеобеспечения);

• серьезных инцидентов в области информационной безопасности (вирусные атаки, DOS атаки, приводящие к нарушению работоспособности всех информационных систем, социальный инжиниринг, ошибки персонала, недобросовестное исполнение обязанностей, использование информационных активов не по назначению, несанкционированный доступ).

• связанные со сбоями, отказами, разрушениями/повреждениями программных и технических средств (выхода из строя аппаратных компонентов, выхода из строя оборудования кондиционирования в серверном помещении, сбои и отказы программных средств, нарушения функциональности криптографической системы, нарушения функциональности архивной системы).

1. Распределение функций, ответственности и полномочий

Для поддержания готовности к реагированию при реализации угроз, влияющих на непрерывность сервиса, необходимо создание восстановительной команды:

•  
  •  

    • руководитель АВК;

    • координатор планирования обеспечения непрерывности;

    • ответственный за резервное копирование;

    • ответственный за выделение рабочих площадок;

    • ответственный за функционирование локальной сети;

    • ответственный за функционирование каналов передачи данных;

    • ответственный за резерв аппаратного обеспечения;

    • администратор;

• специалист технической поддержки пользователей.

Целевые параметры восстановления

Задачей плана является восстановление сервис в течение 1-3 ч. На восстановление каждого сервиса отводится 1 час.

Допустимой потерей данных при восстановлении системы является потеря данных за интервал в 2 ч.

Стратегия выполнения

Общей стратегией выполнения плана является:

• оповещение ответственного администратора;

• диагностика неисправности;

• переход работы сервисов на оборудование «холодного» резерва;

• работа на оборудовании «холодного» резерва;

• восстановление штатного способа предоставления сервиса;

• возврат к штатному режиму функционирования.

1. Активация плана

Активация настоящего плана производится: визуальный осмотр серверного помещения и определение невозможности запуска аппаратных средств, получение информации от энергокомпании о выключении электропитания в серверном помещении более чем на 2 часа, выход из строя аппаратных компонентов и невозможности их замены.

В случае наступления данного события, ответственный администратор системы должен быть незамедлительно уведомлен о необходимости активации плана.

Активацию данного плана не следует проводить в случаях: кратковременного (до 2 часов) выключения электропитания, проведения монтажных и других работ в серверном помещении, связанных с отключением электропитания в серверном помещении.

1. Актуализация плана

Настоящий план подлежит пересмотру каждые 6 месяцев. В рамках процедуры актуализации плана должна быть проверена актуальность конфигурации оборудования и ПО, контактной информации всех лиц, имеющих отношение к данному плану.

В процессе актуализации плана должна быть проведена проверка сроков действия всех договоров на поддержку (гарантийных договоров) систем, включенных в план. Срок действия вышеупомянутых договоров должен быть не менее даты следующего пересмотра настоящего плана (6 месяцев).

Процедура актуализации должна также быть выполнена до планового срока в случае, если в систему вносятся существенные изменения, например, происходит миграция на новое оборудование.

По завершении процедуры актуализации план должен быть заново опубликован и размещен в доступных для ответственных лиц местах.

Частота обновлений компонентов:

• оценка рисков: 6 месяцев;

• стратегия обеспечения непрерывности сервиса:12 мес;

• роли и обязанности команды восстановления:12 мес;

• состав команды восстановления и контактная информация: 3 мес.

Тестирование плана

Тестирование плана аварийного восстановление должно осуществляться на регулярной основе с интервалом не более 6 месяцев. Тестирование плана производится в нерабо­чее время или в выходные дни.

После получения информации о недоступности сервиса, ответственный администратор, получивший сигнал, должен проинформировать одного из представителей руководства компании о происшествии.

В случае наступления существенного (т.е. такого, который не смог быть оперативно устранен ответственным администратором) сбоя в предоставлении сервиса, служба технической поддержки должна быть незамедлительно проинформирована ответственным администратором.

В случае, если наблюдаются события, которые могут привести к сбою/существенной деградации сервиса в ближайшем будущем, ответственному администратору сначала необходимо провести первичную диагностику, оценить риски и требуемые действия по восстановлению, и потом, в случае существенной вероятности возникновения сбоев в предоставлении сервиса, проинформировать Службу заказчика. В любом случае, сообщение в службу технической поддержки должно содержать сле­дующую информацию:

• сервис(ы), предоставление которых полностью, либо частично, нарушено (может быть нарушено);

• прогнозное время устранения проблемы (если может быть определено на дан­ном этапе);

• возможные альтернативные способы предоставления сервиса, если таковые существуют.

После наступления аварийной ситуации сервисы будут недоступны для пользователей. Службе технической поддержки необходимо проинформировать основных сотрудников, которые используют сервисы.

Мероприятия по обеспечению непрерывности

Фаза 0. Обнаружение инцидента

В течение фазы 0 происходит первичное обнаружение инцидента, возможно лицами, не являющимися специалистами в данном вопросе, первичная оценка степени серьезности повреждений и информирование руководителя АВК.

Любое лицо: если инцидент затрагивает безопасность людей, звонить в спец службы

Группа технической поддержки:

Оценить длительность выхода сервиса из строя (если превышает 1 ч, то информировать АВК)

Администратор сервиса: оценить длительность выхода сервиса из строя

Фаза 1. Идентификация инцидента, выбор стратегии

В течение фазы 1 происходит идентификация характера повреждений специалистами команды АВК, детальная оценка степени серьезности повреждений и производится выбор стратегии восстановления.

Руководитель АВК, специалист, ответственный за поврежденный компонент: проанализировать характер повреждения, оценить время восстановления, принять решение об объявлении аварии или передать инцидент специалисту.

Фазы 2 и 3. Частичное и полное восстановление сервиса

В течение фаз 2 и 3 выполняется процесс частичного и полного восстановления сервиса соответственно. При этом в ходе работ возможно выявления непредвиденных обстоятельств, которые могут привести к изменению уровня инцидента и возврата к этапу выбора стратегии, возможно, с переходом на план более высокого уровня.

Руководитель АВК: определить приоритеты восстановления;

Администратор АВК: проверить достаточность аппаратного обеспечения на момент восстановления.

Ответственный за резервное копирование: проверить достаточность материала резервных копий.

Фаза 4. Выход в штатный режим функционирования

Фаза 4 характеризуется обеспечением полного спектра услуг для бизнес-про­цессов со стороны ИТ-сервиса, однако, его внутренняя архитектура отличается от штатной (например, отсутствует дублирование компонент).

Руководитель АВК: определить компоненты восстановления системы, получить из резерва недостающие компоненты

Ответственные лица, администратор сервиса: привести архитектуру сервиса к штатной.

Документирование и анализ инцидента

По окончании процесса восстановления (возможно, до окончания фазы 4) необходимо проведение подробного документирования инцидента и процесса восстановления сервиса от его последствий. Кроме того, анализ процесса восстановления может привести к изменениям в стратегии и планах обеспечения непрерывности сервисов.

ЗАКЛЮЧЕНИЕ

Таким образом, для успешной деятельности компании необходимо контролировать бизнес-процессы от возникших инцидентов. Процесс управления непрерывностью бизнеса обеспечивает объединение всех применяемых на предприятии мер – целостный комплекс, позволяющий компании непрерывно предоставлять услуги, избежать влияния чрезвычайных ситуаций на деятельность и минимизировать возможный ущерб. Большинство компаний ставят следующие задачи развития деятельности:

• минимизация рисков деятельности путем защиты своих интересов;

• планирование т поддержка непрерывности бизнеса;

• повышение качества деятельности по обеспечению информационной безопасности;

• снижение издержек и повышение инвестиций в информационную безопасность;

• повышение доверия со стороны партнеров, заказчиков и других заинтересованных сторон

Цель работы: разработка стратегии обеспечения непрерывности бизнес-процессов компания, занимающейся реализацией и управлением ИТ-проектами.

В рамках курсовой работы были решены следующие задачи:

1. проанализирован процесс управления непрерывностью бизнеса в организациях;

2. рассмотрена ИТ-компания с позиции выявления критически важных бизнес-процессов;

3. разработана стратегия управления непрерывностью бизнеса для ИТ-компании.

При написании курсовой работы по теме исследования была изучена специальная литература, включающая научные статьи, рассмотрен процесс управления непрерывностью в различных сферах деятельности.

Изначально был проанализирован процесс управления непрерывностью бизнеса, изучена история развития, а также основные нормативные документы и стандарты в области обеспечения непрерывности бизнеса. На примере специфической области была проанализирована ИТ-компания, определены критические бизнес-процессы. Для определения уровня риска были рассчитаны числовые значения приоритетного коэффициента риска. На основе полученных данных разрабатывалась стратегия управления непрерывностью бизнеса, цель которой обеспечить восстановление сервисов на резервном оборудовании, определив четкую последовательность действий, которые должны выполнить сотрудники компании.

Результаты анализа могут быть использованы в качестве рекомендаций по управлению непрерывности в практической деятельности.

СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ

1. Башнин А. Ситуативное управление и непрерывность бизнеса [Электронный ресурс]. URL: http://consulting.1c.ru/ejournalPdfs/Situativnoe_upravlenie_i_nepreryvnost__biznesa_part3-.pdf.

2. ГОСТ 7.1-2003. Библиографическая запись. Библиографическое описание. Общие требования и правила составления от 2 июля 2003.

3. Дорофеев А.В, Марков А.С. Планирование обеспечения непрерывности бизнеса и восстановления // Вопросы кибербезопасности.2015. №3(11). С. 68-73.

4. Дубова Н. BCM: быть или не быть? // Открытые системы. СУБД. 2012. №01 [Электронный ресурс]. URL: http://www.osp.ru/os/2012/01/13012921/.

5. Дяченко О. Business Continuity Management // Национальный банковский журнал. 2015 [Электронный ресурс]. URL: http://bankir.ru/publikacii/20150422/business-continuity-manag.

6. ИСО/МЭК 27001:2005 «Информационные технологии. Методы обеспечения безопасности. Системы менеджмента информационной безопасности. Требования».

7. Качуров Е. Семь шагов к непрерывности бизнеса [Электронный ресурс]. URL: https://habrahabr.ru/company/softline/blog/261053/.

8. КонсОМ СКС [Электронный ресурс]. URL: https://www.konsom.ru/.

9. Лаврушина Я. Н., Макарова А. А. Методологические подходы к анализу и оценке операционных рисков компании в статистически некорректной среде//Журнал «Бизнес-информатика», 2011. № 2 (16).

10. Непрерывность бизнеса. Подходы и решения [Электронный ресурс]. URL: http://www.iso27000.ru/chitalnyi-zai/upravlenie-nepreryvnostyu-biznesa/nepreryvnost-biznesa-podhody-i-resheniya.

11. Пономаренко К.В., Чернова Е.В. Разработка плана обеспечения непрерывной деятельности компании по предоставлению проектных услуг / Теоретические и прикладные аспекты современной науки: сборник научных трудов по материалам VIII Международной научно-практической конференции 27 февраля 2015 г.: в 7 ч. / Под общ. ред. М.Г. Петровой. – Белгород: ИП Петрова М.Г., 2015. – Часть VII. – 160 с. – с. 123-125 с.

12. Распопов В. М. Управление изменениями: учебное пособие [для студентов, обуч. по программам магистратуры, и слушателей программ MBA]. – М.: Магистр, 2013. – 336 с.

13. Салимова, Т.А. Стандартизация в области непрерывности бизнеса и устойчивого развития/Т.А. Салимова//Стандарты и качество. -2016. -№ 4. -С. 47-51.

14. Скокова И.К. Аналитический этап разработки стратегии управления непрерывностью бизнес-процессов для ИТ-компании / И.К. Скокова, Н.А. Романенко, Е.В. Чернова // Sworld. 2016 [Электронный ресурс]. URL: http://www.sworld.com.ua/index.php/ru/technical-sciences-416/informatics-computer-science-and-automation-416/28665-416-127.

15. СМК-СМГТУ-42-09. Система менеджмента качества. Стандарт организации. Курсовой проект (работа): структура, содержание, общие правила выполнения и оформления.

16. Управление изменениями [Электронный ресурс]. URL: http://qoo.by/Mh0.

17. Управление непрерывностью бизнеса. Ваш бизнес будет продолжаться. Информационные технологии для инженеров. – М.: ДМК Пресс; М.: Компания АйТи, 2011. — 400 с.: ил.

18. Управление непрерывностью бизнеса [Электронный ресурс]. URL: http://www.pwc.ru/ru/riskassurance/business-continuity.html.

19. Чернова Е.В. Профессиональные компетенции магистров бизнес-информатики в курсе «Управление непрерывностью бизнеса» / Научные труды SWorld. – Выпуск 3(44). Том 4. – Иваново: Научный мир, 2016 – 100 с. — С.22-27.

20. Чусавитина Г.Н., Давлеткиреева Л.З. Анализ и установление уровня зрелости информационной инфраструктуры организации для управления непрерывностью бизнеса//Современные информационные технологии и ИТ-образование/Сборник избранных трудов VII Международной научно-практической конференции. Под ред. проф. В.А. Сухомлина. -М.: ИНТУИТ.РУ, 2012. -1050 с.-С. 529-544.

21. Шермет М. А. Управление изменениями: учеб. пособие. — М.: Изд-во «Дело» АНХ, 2010. – 128 с.

22. APMGroup Official ITIL® Website [В Интернете]. — http://www.itil-officialsite.com/.

23. British Standard BS 25999-2:2007 Business continuity management – Part 2: Specification. (http://www.bsi-global.com/en/Shop/Publication-Detail/?pid=000000000030169700).

24. Business Continuity Management [Электронный ресурс]. URL: http://isqa.ru/bcp-ii/.

25. Business Continuity Management [Электронный ресурс]. URL: http://tadviser.ru/a/82143.

26. Cobit 4.1. Российское издание. IT Governance Institute, 2007.

27. Engemann, K.J., Henderson, D.M.: Business Continuity and Risk Management: Essentials of Organizational Resilience. Rothstein Associates, Brookfield (2012).

28. Gang, C.: Risk Evaluation of Business Continuity Management by Using Green Technology. In: Zaman, M., Liang, Y., Siddiqui, S.M., Wang, T., Liu, V., Lu, C. (eds.) CETS 2010. CCIS, vol. 113, pp. 86–92. Springer, Heidelberg (2010).

29. Henry A. Hornstein The integration of project management and organizational change management is now a necessity // International Journal of Project Management, Volume 33, Issue 2, February 2015, Pages 291-298.

30. ITIL. IT Service Management по стандартам V.3.1 [Электронный ресурс]. URL: http://www.intuit.ru/studies/courses/2323/623/lecture/13567?page=1.

31. Winkler U, Fritzsche M, Gilani W, Marshall M (2010) A model-driven framework for process-centric business continuity management. 7th International conference on the quality of information and communications technology, Porto, S 248–252.

ПРИЛОЖЕНИЕ А. Стандарты по управлению непрерывностью бизнеса

(рекомендуемое)

Практики и стандарты	Описание
Британский институт BCI	Некоммерческая организация Институт непрерывности бизнеса, основанная в Великобритании в 1994 г. Характеристика деятельности: распространение и продвижение лучших практик управления непрерывностью бизнеса и аварийного восстановления в чрезвычайных ситуациях. Проведение крупных международных мероприятий: ВСІ International Symposium – международный форум специалистов в области управления непрерывностью бизнеса, в котором обсуждают актуальные вопросы и намечают дальнейшее развитие практик управления непрерывностью бизнеса; Business Continuity EXPO – крупная международная выставка, на которой системные интеграторы, производители программного и аппаратного обеспечения и консалтинговые компании представляют свои достижения и делятся передовым опытом в области ВСМ; Business Continuity Awareness Weeks – регулярно проводимые по всему миру мероприятия, в ходе которых через сайт института свободно распространяются презентации, методические рекомендации и справочная литература по вопросам ВСМ
Американский институт DRI	Международный институт восстановления после бедствия, создан при Вашингтонском университете в 1988. К основным направлениям деятельности института DRII относятся: подготовка и распространение знаний в области восстановления после бедствия; начальное обучение специалистов в области обеспечения бесперебойной деятельности организации в случае бедствия; повышение квалификации специалистов в области восстановления после бедствия; экспертиза соответствующих стандартов и нормативных документов в области восстановления после бедствия Модель включает семь этапов: инициация проекта, анализ требований, разработка плана, реализация плана, тестирование плана, сопровождение и поддержка плана, ввод плана в действие.

Практика SANS	Эксперты института системных администраторов и администраторов безопасности. Практика управления непрерывности подразделяется на непрерывности бизнеса (ВСР) и план аварийного восстановления (DRP). По мнению экспертов SANS, выделяют следующие этапы жизненного цикла управления непрерывностью: анализ рисков, анализ воздействия на бизнес, построение плана, тестирование и утверждение плана, модификация и обновление плана, утверждение и поддержание плана
Британский стандарт BS 25999	Стандарт содержит лучшие мировые практики непрерывности бизнеса. Опубликован в двух частях: Часть 1: Лучшая практика ВСМ; Часть 2: Спецификации системы ВСМ. Первая часть содержит общие рекомендации по управлению непрерывностью бизнеса в государственных и коммерческих организациях. Здесь под управлением непрерывностью бизнеса, ВСМ понимается системный процесс оценивания текущего уровня зрелости компании в области непрерывности бизнеса и его приведение к более зрелому уровню, в соответствии с целями и задачами бизнеса. Вторая часть разбита на четыре раздела, которые соответствуют циклу Деминга (Plan-Do-Check-Ad) и содержит сертификационные требования к системе управления непрерывностью бизнеса. Эта часть позволяет провести сертификационный аудит системы управления непрерывностью бизнеса организации на соответствии рекомендациям
NFPA 1600 Standard on Disaster/Emergency Management and Business Continuity Programs	Впервые стандарт был опубликован в 1995 году. Основное внимание уделялось вопросам, связанных с менеджментом стихийных бедствий. Начиная с 2000 года в стандарте рассматривалось планирование программы, которое включает элементы, методы и процессы общей программы обеспечения непрерывности деловой деятельности. В редакции стандарта 2007 года была введена концепция «системы менеджмента» в области обеспечения непрерывности деловой деятельности, которая быстро получила значительную поддержку в связи с успехом этой концепции в других областях деловой деятельности. Ассоциация NFPA работала над тем, чтобы лучше согласовать стандарт с моделью (Plan, Do, Check, Act, PDCA), лежащей в основе всех систем менеджмента. В январе 2010 года NFPA объявила о выпуске стандарта NFPA 1600 редакции 2010 года. Документ существенно изменился – как по структуре, так и по своему содержанию. На верхнем уровне, наиболее значительные изменения могут быть сгруппированы по трем направлениям: Переупорядочение глав в соответствие с моделью PDCA и расширение их содержания; Более ясное изложение ряда требований, а также Добавление полезного вспомогательного материала. Документ состоит из восьми глав: область применения, ссылки на публикации, определения терминов, управление программой (включающее управление документами), разработка плана, практическая реализация плана, тестирование и учения, совершенствование программы
ISO/IEC 27001 (14 раздел)	Рассматривается раздел вопросы информационной безопасности управления непрерывностью бизнеса Цель: На случай, если инцидент информационной безопасности может привести к судебному разбирательству (гражданскому или уголовному) против лица или организации, информация должна быть собрана, сохранена и представлена согласно правилам оформления доказательств, изложенным в соответствующих документах
СоbiТ	Процесс оценки и управления рисками включен в первую часть рекомендаций «Планирование». Метриками качества процесса управления рисками по версии СоbiТ являются: доля ИТ-бюджета, тратящегося на процедуры оценки и управления рисками; доля ИТ-целей компаний, охваченных процедурами управления рисками; доля потенциальных угроз, для которых оценка риска проведена полностью и выработан план по ограничению риска; доля инцидентов в сфере информационной безопасности, которые на момент возникновения оказались не учтенными процессом оценки риска и пр.
ITIL	Управление непрерывностью ИТ-услу г – поддержка принципов ITIL по управлению непрерывностью обслуживания Доступ к данным через CMDB с использованием всех необходимых ключевых функций ITIL, таких как: управление конфигурациями, служба технической поддержки и управление инцидентами, управление изменениями, управление доступностью и мощностями, управление уровнем обслуживания и управление информационно-коммуникационной инфраструктурой. Интеграция с программой управления уровнем обслуживания в целях обеспечения восстановления и возобновления доступа к договорным услугам в сроки, предусмотренные в SLA, соглашениях об эксплуатационном уровне (OLA) и договорах с внешними поставщиками услуг

ПРИЛОЖЕНИЕ Б. Классификация источников угроз

(справочное)

Источник угрозы ИБ	Описание
Класс 1. Источники угроз ИБ, связанные с неблагоприятными событиями природного, техногенного и социального характера
Пожар	Неконтролируемый процесс горения, сопровождающийся уничтожением материальных ценностей и создающий опасность для жизни людей. Возможные причины: поджог, самовозгорание, природное явление
Природные катастрофы, чрезвычайные ситуации и стихийные бедствия	Природные явления разрушительного характера (наводнения, землетрясения, извержения вулканов, ураганы, смерчи, тайфуны, цунами и т.д.)
Техногенные катастрофы	Разрушительный процесс, развивающийся в результате нарушения нормального взаимодействия технологических объектов между собой или с компонентами окружающей природной среды, приводящий к гибели людей, разрушению и повреждению объектов экономики и компонентов окружающей природной среды
Нарушение внутриклиматических условий	Негативное изменение климатических условий в помещениях, где расположены технические средства и/или находится персонал: значительные изменения температуры и влажности, повышение содержания углекислого газа, пыли и т.п. Возможные последствия: сбои, отказы и аварии технических средств, снижение работоспособности и нанесение ущерба здоровью персонала, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Нарушение электропитания	Нарушение или снижение качества электропитания. Возможные причины: техногенная катастрофа, стихийное бедствие, природное явление, террористический акт, пожар и т.п. Возможные последствия: сбои и отказы технических средств
Нарушение функционирования систем жизнеобеспечения	Сбои и аварии в системах водоснабжения, канализации, отопления
Угроза здоровью персонала	Угроза здоровью персонала в результате радиационных, биологических, механических, термических, химических и иных воздействий со стороны окружающей среды, объектов инженерной инфраструктуры, технических средств, пищевые отравления, производственный травматизм. Возможные причины: техногенные или природные катастрофы, аварии объектов инженерной инфраструктуры, неисправность оборудования, несоблюдение правил техники безопасности и охраны труда, санитарных правил и т.д. Возможные последствия: нехватка персонала, денежные выплаты, судебные разбирательства
Класс 2. Источники угроз ИБ, связанные с деятельностью террористов и лиц, совершающих преступления и правонарушения
Нарушения общественного порядка, вандализм, массовые беспорядки, политическая нестабильность	Уничтожение или повреждение имущества организации БС РФ
Террористические действия	Совершение взрыва, поджога или иных действий, устрашающих население и создающих опасность гибели людей, причинения значительного имущественного ущерба либо наступления иных тяжких последствий, в целях воздействия на принятие решения организацией БС РФ, а также угроза совершения указанных действий в тех же целях
Промышленный шпионаж	Передача, собирание, похищение или хранение информационных активов организации БС РФ для использования их в ущерб организации БС РФ
Запугивание и шантаж	Принуждение персонала организации БС РФ к осуществлению несанкционированных действий, заключающееся в угрозе разоблачения, физической расправы или расправы с близкими
Социальный инжиниринг	Умышленные действия сторонних лиц, преследующих мошеннические цели, реализуемые посредством обмана, введения в заблуждение работников организации БС РФ. Возможные последствия: ошибки работников, нарушение свойств, утрата информационных активов, нарушение непрерывности процессов, снижение качества информационных услуг (сервисов)
Класс 3. Источники угроз ИБ, связанные с деятельностью поставщиков/провайдеров/партнеров
Зависимость от партнеров/клиентов	Зависимость от партнеров заставляет организацию полагаться на их информационную безопасность, организация должна быть уверена, что партнер сможет обеспечить должный уровень безопасности либо учитывать данный источник угроз
Ошибки, допущенные при заключении контрактов с провайдерами внешних услуг	Неточности и неопределенности в договоре с провайдером внешних услуг, которые могут создавать проблемы в работе заказчика
Нарушения договорных обязательств сторонними (третьими) лицами	Невыполнение со стороны третьих лиц взятых на себя обязательств по качеству, составу, содержанию и/или порядку оказания услуг, поставки продукции и т.д. Например, невыполнение требований разработчиками, поставщиками программно-технических средств и услуг или внешними пользователями
Ошибки в обеспечении безопасности информационных систем на стадиях жизненного цикла	Ошибки в обеспечении безопасности при разработке, эксплуатации, сопровождении и выводе из эксплуатации информационных систем
Разработка и использование некачественной документации	Некачественное выполнение документированного описания технологических процессов обработки, хранения, передачи данных, руководств для персонала, участвующего в этих технологических процессах, а также описания средств обеспечения ИБ и руководств по их использованию
Использование программных средств и информации без гарантии источника	Использование в информационной системе организации непроверенных данных или нелицензионного программного обеспечения
Класс 4. Источники угроз ИБ, связанные со сбоями, отказами, разрушениями/повреждениями программных и технических средств
Превышение допустимой нагрузки	Неумышленное превышение допустимой нагрузки на вычислительные, сетевые ресурсы системы. Выполнение работниками объема операций большего, чем это допускается психофизиологическими нормами. Возможные причины: малая вычислительная и/или пропускная мощность, неправильная организация бизнес-процессов. Возможные последствия: сбои и отказы технических средств, нарушение доступности технических средств, ошибки персонала, нанесение вреда здоровью
Разрушение/повреждение, аварии технических средств и каналов связи	Физическое разрушение/повреждение технических средств (канала связи) или определенное сочетание отказов его элементов, приводящее к нарушениям функционирования, сопряженным с особо значительными техническими потерями, делающее невозможным функционирование технического средства (канала связи) в целом в течение значительного периода времени. Возможные причины: действие внешних (физический несанкционированный доступ, террористический акт, техногенная катастрофа, стихийное бедствие, природное явление, массовые беспорядки) и/или внутренних (значительные отказы элементов технических средств) факторов. Возможные последствия: нарушение свойств информационных активов, их утрата, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Сбои и отказы программных средств	Нарушение работоспособности программных средств. Возможные причины: недопустимое изменение параметров или свойств программных средств под влиянием внутренних процессов (ошибок) и/или внешних воздействий со стороны вредоносных программ, оператора и технических средств. Возможные последствия: нарушение свойств информационных активов, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Сбои и отказы технических средств и каналов связи	Прерывание работоспособности технических средств или невозможность выполнения ими своих функций в заранее установленных границах. Возможные причины: недопустимое изменение характеристик технических средств под влиянием внутренних процессов, сложность технических средств, нехватка персонала, недостаточное техническое обслуживание. Возможные последствия: сбои, отказы программных средств, аварии систем, нарушение доступности информационных активов, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Нарушения функциональности криптографической системы	Случайное или намеренное неправильное управление криптографическими ключами, криптографическими протоколами и алгоритмами, программно-аппаратными средствами систем криптографической защиты информации, приводящее к потере конфиденциальности, целостности и доступности информации, нарушению неотказуемости приема-передачи информации, блокировке функционирования платежных и информационных систем организации БС РФ
Нарушения функциональности архивной системы	Нарушение конфиденциальности и целостности архивных данных и/или непредоставление услуг архивной системой (нарушение доступности) вследствие случайных ошибок пользователей или неправильного управления архивной системой, а также вследствие физических воздействий на компоненты архивной системы
Класс 5. Источники угроз ИБ, связанные с деятельностью внутренних нарушителей ИБ
Недобросовестное исполнение обязанностей	Сознательное неисполнение работниками определенных обязанностей или небрежное их исполнение
Халатность	Неисполнение или ненадлежащее исполнение должностным лицом своих обязанностей вследствие недобросовестного или небрежного отношения к службе
Причинение имущественного ущерба	Умышленное нанесение персоналом вреда информационным активам. В первую очередь вредительство может быть направлено на технические и программные средства, а также на информационные активы. Возможные последствия: ущерб, вызванный нарушением свойств активов, включая их разрушение и уничтожение
Ошибка персонала	Любые не соответствующие установленному регламенту или сложившимся практикам действия персонала, совершаемые без злого умысла. Возможные причины: недостаточно четко определенные обязанности, халатность, недостаточное обучение или квалификация персонала. Возникновению ошибок способствуют отсутствие дисциплинарного процесса и документирования процессов, предоставление избыточных полномочий, умышленное использование методов социального инжиниринга по отношению к персоналу. Возможные последствия: нарушение конфиденциальности и целостности информации, утрата информационных активов, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов), сбои и отказы технических и программных средств
Хищение	Совершенное с корыстной целью противоправное безвозмездное изъятие и/или обращение имущества организации БС РФ, причинившие ущерб собственнику или иному владельцу этого имущества
Выполнение вредоносных программ	Внедрение в систему и выполнение вредоносных программ: программных закладок, “троянских коней”, программных “вирусов” и “червей” и т.п. Возможные причины: беспечность, халатность, низкая квалификация персонала (пользователей), наличие уязвимостей используемых программных средств. Возможные последствия: несанкционированный доступ к информационным активам, нарушение их свойств, сбои, отказы и уничтожение программных средств, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Использование информационных активов не по назначению	Умышленное использование информационных активов организации в целях, отличных от целей организации. Возможные причины: отсутствие контроля персонала. Возможные последствия: нехватка вычислительных, сетевых или людских ресурсов, прямой ущерб организации
Нарушения персоналом организационных мер по обеспечению ИБ	Несоблюдение персоналом требований внутренних документов, регламентирующих деятельность по ИБ
Ошибки кадровой работы	Ошибки кадровой работы заключаются в приеме на работу неквалифицированных сотрудников, увольнении/перемещении сотрудников без проведения сопутствующих процедур по обеспечению ИБ, непроведении или нерегулярном проведении тренингов и проверок персонала
Класс 6. Источники угроз ИБ, связанные с деятельностью внешних нарушителей ИБ
Действия неавторизованного субъекта	Умышленные действия со стороны субъекта из внешней по отношению к области обеспечения ИБ среды. Возможные последствия: разрушение и уничтожение технических и программных средств, внедрение и выполнение вредоносных программ, нарушение свойств, утрата информационных активов и сервисов
Ложное сообщение об угрозе	Ложное сообщение об угрозе, такой как: пожар, террористический акт, техногенная катастрофа, гражданские беспорядки и т.д. Возможные последствия: нарушение свойств информационных активов, их утрата, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Неконтролируемое уничтожение информационного актива	Неумышленное уничтожение информационных активов. Возможные причины: сбои оборудования, природные факторы и техногенные катастрофы. Возможные последствия: прямой ущерб организации
Неконтролируемая модификация информационного актива	Неумышленное изменение информационных активов. Возможные причины: сбои оборудования, природные факторы и техногенные катастрофы. Возможные последствия: нарушение непрерывности выполнения процессов, прямой ущерб организации
Несанкционированный логический доступ	Несанкционированный логический доступ неавторизованных субъектов к компонентам подразделения и информационным активам. Возможные причины: компрометация пароля, предоставление пользователям/администраторам избыточных прав доступа, недостатки (отсутствие) механизмов аутентификации пользователей и администраторов, ошибки администрирования, оставление без присмотра программно-технических средств. Одним из путей получения несанкционированного доступа к системе является умышленное внедрение вредоносных программ с целью хищения пароля для входа в систему или получения прав доступа. Возможные последствия: нарушение свойств информационных активов, сбои, отказы и аварии программных и технических средств, нарушение непрерывности процессов и/или снижение качества информационных услуг (сервисов)
Несанкционированный физический доступ	Физический несанкционированный доступ неавторизованных лиц в контролируемую зону расположения технических средств и/или информационных активов. Возможные причины: может осуществляться путем обхода средств контроля физического доступа или использования утраченных/похищенных средств обеспечения доступа. Возможные последствия: разрушение и уничтожение технических и программных средств, нарушение конфиденциальности, целостности, доступности информационных активов, нарушение непрерывности процессов и/или снижение качества информационных услуг (сервисов)
Класс 7. Источники угроз ИБ, связанные с несоответствием требованиям надзорных и регулирующих органов, действующему законодательству
Несоответствие внутренних документов действующему законодательству	Несоответствие деятельности может привести к административным и уголовным санкциям со стороны судебных, надзорных и регулирующих органов в отношении должностных лиц подразделения, вызвать остановку отдельных видов деятельности
Изменчивость и несогласованность требований надзорных и регулирующих органов, вышестоящих инстанций	Непостоянство, различия и коллизии в содержании требований и/или порядке их выполнения способны дезорганизовать деятельность подразделения или его отдельных служб, снизить ее эффективность и качество, а при определенных обстоятельствах — затруднить ее осуществление. Способствует “размыванию” или пересечению зон ответственности исполнителей и служб, манипуляции со стороны ответственных лиц и служб своими правами и обязанностями в ущерб общей деятельности. Приводит к перераспределению ресурсов в пользу той деятельности (зачастую не основной), за несоблюдение требований к которой наказание наиболее ощутимо для организации (должностного лица)

ПРИЛОЖЕНИЕ В.Значения показателей для расчетаприоритетного коэффициента риска

(справочное)

Таблица В.1. – Коэффициент Кп, учитывающий значение последствий отказов для заказчика (внутреннего/внешнего)

Значение последствий отказа	Показатель
Вероятность, близкая к нулю, что дефект может иметь какие — либо ощутимые последствия. Видимое воздействие на функцию или на дальнейшее выполнение операций процесса невозможно	1
Незначительное влияние на функции системы или дальнейшее выполнение операций процесса (второстепенное несоответствие). Потребитель, вероятно, заметит лишь незначительную неисправность системы.	2-3
Умеренное влияние. Вызывает недовольство потребителя. Функции системы или дальнейшему выполнению операций процесса нанесен ущерб (значительное несоответствие).	4-6
Существенное влияние. Существенные функции системы полностью выпадают, или промежуточный продукт не поддается дальнейшей обработке (значительное несоответствие). Несоответствие вызывает досаду потребителю, но безопасность или соответствие законам здесь не затрагиваются.	7-8
Очень существенное влияние. Тяжелые последствия отказа, ведущие к остановке производства.	9
Критическое. Отказ угрожает безопасности (опасность для жизни и здоровья людей) и противоречит законодательным предписаниям.	10

Таблица В.2. – Коэффициент Кн, учитывающий вероятность Рн, невыявления отказа или его причины

Значение последствий отказа	Вероятность невыявлениярн %	Показатель
Близкая к нулю. Возникающие отказы или причины отказов явно распознаются (например, отсутствие отверстия для сборки)	не более 0,01	1
Очень маленькая. Выявление возникающих отказов или причин отказов очень вероятно, например, с помощью большого количества независимых друг от друга испытаний/ технологических проверок (автоматический сортировочный контроль одного признака)	не более 0,01	2-3
Небольшая. Выявление возникающих отказов или причин отказов вероятно; проводимые испытания/ технологические проверки относительно достоверны	не более 0,3	4-5
Умеренная. Выявление возникающих отказов или причин отказов менее вероятно; проводимые испытания/ технологические проверки недостаточно достоверны (традиционный контроль — выборочный контроль, эксперименты, тесты)	не более 2	6-7

Продолжение таблицы В.2.

Высокая. Выявление возникающих отказов или причин отказов весьма затруднительно; проводимые испытания / технологические проверки очень неэффективны (например, контроль ручным способом, т.е. зависимость от персонала; признак распознается с трудом — неправильно выбран материал)	не более 10	8-9
Очень высокая. Возникающие отказы или причины отказов выявить нельзя: технологические проверки не проводятся (например: нет доступа, нет возможности для контроля, срок службы)	более 10	10

Таблица В.3. – Коэффициент Ко, учитывающий вероятность Ро возникновения причины отказа

Значение последствий отказа	Вероятность отказов/ дефектов ро %	Показатель
Вероятность близка к нулю	менее 0,00001	1
Очень незначительная вероятностью. Конструкция в общем соответствует прежним проектам, при применении которых наблюдалось сравнительно незначительное количество отказов. Процесс статистически стабилен при Ср(и Срк)=1-1,3. Доля дефектов при контроле качества составляет	0,00001