Какие принципы входят в высокоуровневые принципы обеспечения непрерывности деятельности базельского

ОНиВД: требования регулятора или необходимость?

Планирование непрерывности бизнеса банка представляет из себя некий цикл, который может применяться в отношении всех видов планов для планирования влияния чрезвычайных событий на каждый вид банковского риска, на каждый бизнес-процесс. Первым этапом этого цикла является определение перечня критически важных для банка процессов, обязательств, систем, объектов. Для этого банкам рекомендуется провести анализ документов, описать основные процессы и продукты, в случае необходимости, организовать целевые встречи с персоналом.

На следующем этапе планирования банку необходимо определить набор возможных негативных событий, чрезвычайных ситуаций, обстоятельств форс-мажора, которые могут повлиять на деятельность банка в целом или одного из его структурных подразделений. Вероятность возникновения чрезвычайных ситуаций может быть оценена на основе конкретных условий расположения объектов кредитной организации, особенностей климатических зон.

Очередным шагом разработки плана ОНиВД является оценка тяжести последствий чрезвычайных ситуаций для банка. Классификаций состояния банка в зависимости от негативного воздействия может быть много – от применения балльной системы до аналитического инструментария. Для получения количественной оценки угроз балльное значение вероятности наступления чрезвычайного события умножается на рейтинг его последствий. Так, если вероятность урагана оценивается в 10 баллов, а оценка последствий равна «3», взвешенный фактор риска составит 30 баллов.

После определения влияния различных событий на непрерывность бизнеса и рисков их возникновения банку необходимо детально проработать схему информирования руководства и ответственных подразделений, которую следует описать в форме алгоритма (последовательных действий). Далее Банк формирует план мероприятий по восстановлению бизнес-процессов, подвергшихся нарушениям в результате какого-либо чрезвычайного обстоятельства, т.е. разрабатывает стратегию восстановления.

Мировой опыт свидетельствует, что план восстановления бизнес-процессов банка должен содержать как минимум три блока: оперативное реагирование, антикризисное управление и коммуникации, восстановление уровня деловой активности. Оперативное реагирование (Emergency Response) – действия, которые необходимо предпринять в кризисной ситуации прежде всего для сохранения жизни работников и, если возможно, ограничения размера материального ущерба. Антикризисное управление и коммуникации (Crisis Management and Communications) основываются на алгоритме действий, необходимых для снижения негативных последствий кризисной ситуации. Восстановление уровня деловой активности (Business Recovery) включает в себя мероприятия, направленные на достижение докризисного объема операций банка, качества предоставляемых клиентам банковских продуктов и услуг.

План ОНиВД также должен содержать мероприятия банка и после ликвидации чрезвычайной ситуации. В частности, банк должен предусмотреть порядок проведения расследования причин чрезвычайной ситуации, разработку профилактики их возникновения, определения объема причиненного вреда, потери из-за неиспользованных возможностей.

Аудит плана ОНиВД

Очень важно, чтобы реагирование на негативные события было оперативным. В этой связи план ОНиВД никак не может быть для банка очередным «кирпичом», предъявляемым органам банковского надзора в ходе очередной проверки. В то же время признать план ОНиВД как инструмент восстановления работоспособности банка после реализации внешних и внутренних угроз можно эффективным только в том случае, если в его основе как минимум заложено определение того, что такое нормальное функционирование банка, как идентифицировать произошедшее изменение, оценивать его, классифицировать и как затем запускать процесс управления кризисным событием.

Иными словами, в банке должны быть организованы на постоянной основе проверки плана ОНиВД на предмет адекватности текущей ситуации и объективной оценки способности банка избежать существенных материальных потерь и восстановить динамику проведения своих операций. Подразделениям внутреннего контроля требуется проводить ревизии этого плана тогда, когда в банке происходят изменения бизнеса, процессов на уровне банка или в целом на уровне рынка, поскольку появляются новые угрозы и новые бизнес-процессы.

Мировой опыт свидетельствует, что план восстановления бизнес-процессов банка должен содержать как минимум три блока: оперативное реагирование, антикризисное управление и коммуникации, восстановление уровня деловой активности

Практика показывает, что лишь некоторые российские банки проводят регулярное тестирование процедур реагирования. В большинстве случаев о таких планах вспоминают при наступлении очередного чрезвычайного происшествия. Причем поскольку планы зачастую оказываются неработоспособными, банк несет существенные потери.

Процесс внедрения плана ОНиВД

Внедрение плана ОНиВД требует подчас существенных финансовых и нефинансовых затрат, которые оправданы тем, что банк, четко координируя свои действия при наступлении чрезвычайного события, может предотвратить значительную часть сопутствующих рисков – кредитных, репутационных, правовых, риска ликвидности и т.д.

Процесс введения плана ОНиВД в действие, как правило, включает в себя определенную последовательность действий, в частности:

• ввод в действие процедур для чрезвычайных ситуаций;
• уведомление сотрудников, поставщиков и заказчиков;
• формирование группы (групп) восстановления;
• оценка последствий бедствия;
• принятие решения о реализации плана восстановления деятельности;
• ввод в действие процедур восстановления деятельности;
• переезд в альтернативное рабочее помещение (помещения);
• восстановление функционирования критически важных приложений;
• восстановление основного рабочего помещения.

При введении плана ОНиВД параллельно вводятся в действие документы, содержащие такую информацию, как схемы коммутации телефонов, процедуры для аварийного отключения питания; организационную структуру, требования к оборудованию и снабжению и конфигурацию Центра восстановления; список критически важных приложений, вступающих в действие одновременно с планом ОНиВД, список восстанавливаемого оборудования, а также сводные данные по оценке рисков.

Даже при беглом просмотре мероприятий, необходимых для создания и поддержания в жизнеспособном состоянии системы непрерывности деятельности, становится очевидно, что их реализация является довольно затратной. Однако как показывает современная практика банковского дела, ни один банк не может быть застрахован от чрезвычайного события – пожара, землетрясения, террористического акта, сбоев и аварий энергосетей и т.д. Это означает, что реализация мероприятий по обеспечению непрерывности деятельности, позволяющих участникам финансовой системы выдержать события, влияющие на их способность осуществлять расчетные операции, должна, тем не менее, оставаться главной задачей.

* — Указание от 5 марта 2009 г. №2194-У «О внесении изменений в Положение Банка России от 16 декабря 2003 г. №242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах» – введение в Положение ЦБ РФ от 16.12.2003 №242-П Приложения №5 – «Рекомендации по структуре и содержанию плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности (далее – План ОНиВД) кредитной организации в случае возникновения непредвиденных обстоятельств, а также по организации проверки возможности его выполнения».

Обеспечение непрерывности бизнеса для кредитных организаций

Проблема обеспечения непрерывности бизнеса является ключевой для кредитной организации, чья успешная деятельность во многом зависит от ее возможностей гарантировать клиентам, а также акционерам, инвесторам и т.д. выполнение своих обязательств перед ними и ее готовности в случае наступления чрезвычайных обстоятельств оперативно и без потерь решить все вопросы. Настоящая статья посвящена вопросам правового регулирования данной проблемы.

С целью совершенствования работы банков в сфере контроля систем управления рисками Центральный банк Российской Федерации Указанием от 05.03.2009 N 2194-У внес дополнения в Положение ЦБ РФ от 16.12.2003 N 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах» (далее — Положение N 242-П), зарегистрированное Министерством юстиции Российской Федерации 27 января 2004 г. N 5489, 22 декабря 2004 г. N 6222, 20 марта 2009 г. N 13547 («Вестник Банка России» от 04.02.2004 N 7, от 31.12.2003 N 74, от 11.04.2009 N 21). Дополнения, включающие Рекомендации по структуре и содержанию плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности (далее — План ОНиВД) кредитной организации в случае возникновения непредвиденных обстоятельств, а также по организации проверки возможности его выполнения, представлены Приложением 5 к указанному Положению.

План ОНиВД — внутренний документ кредитной организации, определяющий цели, задачи, порядок, способы и сроки осуществления комплекса мероприятий по предотвращению или своевременной ликвидации последствий возможного нарушения режима повседневного функционирования кредитной организации, вызванного непредвиденными обстоятельствами. Эти обстоятельства предполагают возникновение чрезвычайной ситуации или иное событие, наступление которого возможно, но трудно предсказуемо и связано с угрозой существенных материальных потерь или иных последствий, препятствующих выполнению кредитной организацией принятых на себя обязательств.

Подготовленные Банком России Рекомендации по подготовке Плана ОНиВД являются продолжением политики внедрения в банковскую практику рекомендаций Базельского комитета, который в течение 2004 — 2005 гг. обобщал практику необходимых требований по обеспечению деловой непрерывности. Требования возникли из складывающейся в мировом масштабе ситуации неопределенности, включающей нарастание угроз терроризма, распространение атипичной пневмонии (и другого рода эпидемий), природные (климатические) катаклизмы и другие уникальные обстоятельства, которые в условиях глобализации из национальных проблем мгновенно становились проблемами интернациональными, а трудности производственных секторов экономики перераспределялись в страховую, кредитную и финансовую сферы. Деловое планирование непрерывности — процесс детализации планов, покрывающих любой тип нарушения предпринимательской (торговой, банковской и т.д.) деятельности, от простого отключения электричества до более существенных бедствий, и позволяющих обеспечить продолжение бизнеса . В августе 2006 г. Базельский комитет выпустил консультативный документ, посвященный теме непрерывности бизнеса, — «Высокоуровневые принципы обеспечения непрерывности деятельности» .

A Business Continuity Plan (BCP) — деловой план непрерывности идентифицирует ключевые риски, определяет результаты тех рисков, вероятность реализации которых высока, и формирует последовательность действий по минимизации затрат и потери производительности, а в случае остановки гарантирует минимизацию временной задержки деятельности и потери дохода.
High-level Principles for Business Continuity // Basle Committee on Banking Supervision. August 2006.

Семь принципов высокого уровня обеспечения непрерывности деятельности основываются на традиционных понятиях эффективного делового управления непрерывностью.

Принцип 1. Окончательная ответственность за деловое управление непрерывностью, которое мало чем отличается от управления другими рисками, лежит на совете директоров и правлении организации.

Принцип 2. Организации обязательно должны разработать и утвердить мероприятия (план) относительно главных операционных (эксплуатационных) разрушений.

Принцип 3. Все участники финансовых рынков, понимая, что они предлагают услуги повышенного риска, должны иметь более высокие стандарты по обеспечению управления непрерывностью и четкие цели восстановления, чем участники других рынков. Поскольку меры, необходимые для обеспечения устойчивости финансовой системы, могут быть более дорогостоящими, чем те, которые участники в состоянии предпринять самостоятельно, финансовые власти должны участвовать в качестве лидеров в определяющих мероприятиях по восстановлению, которые являются пропорциональными риску, принятому участниками соответствующих рынков, чтобы последовательно достигнуть необходимой устойчивости.

Принцип 4. Деловые планы непрерывности должны быть адресными, описывать полный диапазон внутренних и внешних воздействий, которые могут привести к эксплуатационным разрушениям. Принцип также предусматривает необходимость устойчивой конфиденциальной связи в течение возможного эксплуатационного разрушения для управления кризисом.

Принцип 5 выдвигает на первый план специальные средства международных коммуникаций в течение главного эксплуатационного разрушения. Учитывая углубляющиеся взаимозависимости финансовых систем поверх национальных границ, этот принцип рекомендует всем участникам финансовых и других рынков и финансовым властям заранее утверждать (принимать) протоколы связи, которые используются в ситуациях, когда международная связь необходима.

Принцип 6 определяет необходимость гарантировать, что деловые планы непрерывности эффективны, и идентифицировать необходимые модификации путем мониторинга действенности разработанных планов путем периодических испытаний.

Принцип 7 призывает финансовые власти включать деловые обзоры управления непрерывности в их текущую деятельность для того, чтобы оценить участников финансовых рынков.

Процедуры формирования Плана ОНиВД основываются не только на перечисленных семи высокоуровневых принципах обеспечения непрерывности деятельности Базельского комитета, но и на опыте других стран, в частности США, где рекомендации по обеспечению непрерывности деятельности изложены в пособии Business Continuity Planning Booklet (BCP), March 2008.

Общая структура этапов работ по плану ОНиВД кредитной организации определяется хронологическим порядком: 1. Разработка => 2. Согласование => 3. Утверждение => 4. Пересмотр => 5. Проверка, с указанием полномочий ее органов управления и подразделений.

Разработка Плана ОНиВД

Разработка Плана ОНиВД проводится с учетом анализа следующих факторов:

• виды и характер возможных непредвиденных обстоятельств и степень их воздействия на деятельность кредитной организации, вплоть до нарушения режима повседневного функционирования кредитной организации и способности выполнения принятых на себя обязательств;
• перечень критически важных с точки зрения обеспечения режима повседневного функционирования кредитной организации внутренних банковских процессов, а также автоматизированных банковских систем (АБС);
• показатели восстановления внутренних банковских процессов, в том числе такие как срок восстановления, допустимый размер материальных затрат, допустимый размер потерь информации.

Данные показатели, а также устанавливаемые на их основе критерии непрерывности осуществления внутренних банковских процессов рекомендуется определять с учетом необходимости соблюдения кредитной организацией нормативно-правовых требований и выполнения принятых на себя обязательств. Последний пункт включает в себе гораздо больше, чем просто нормативные требования: необходимо определить перечень видов и характер возможных рисков и угроз непрерывности деятельности, вероятность их наступления, значимость последствий, взаимосвязь внешних и внутренних факторов, а также выявить наиболее критичные бизнес-операции и их зависимость от ресурсов, требуемых для восстановления в случае прерывания деятельности.

Целями Плана ОНиВД могут быть:

• поддержание способности кредитной организации выполнять принятые на себя обязательства перед вкладчиками и кредиторами, в том числе перед Банком России (по кредитам Банка России, уплате процентов по ним и другим денежным обязательствам перед Банком России);
• предупреждение и предотвращение возможного нарушения режима повседневного функционирования кредитной организации;
• снижение тяжести последствий нарушения режима повседневного функционирования кредитной организации (в том числе размера материальных потерь, потерь информации, потери деловой репутации);
• сохранение уровня управления кредитной организацией, позволяющего обеспечить условия для принятия обоснованных и оптимальных управленческих решений, их своевременную и полную реализацию;
• обеспечение способности кредитной организации осуществлять расчеты в соответствии с принятыми на себя обязательствами, в том числе по кредитам Банка России, процентам по ним и другим денежным обязательствам перед Банком России;
• обеспечение информационной безопасности кредитной организации, в том числе ее расчетной системы;
• обеспечение благоприятных условий труда и безопасности служащих кредитной организации, безопасности лиц, находящихся в помещениях (посетителей) кредитной организации.

Таким образом, цели, которые необходимо внести в План ОНиВД в соответствие с Положением N 242-П, различаются как по ресурсам, так и по функциям. Можно рекомендовать кредитным организациям отдельно определить в своих целях сохранение и восстановление функционала за счет сохранения и сбережения ресурсов или целеполагание через ресурсосбережение. Определение целей и задач Плана ОНиВД осуществляется для различных уровней: банка в целом, отдельных структурных подразделений, отдельных направлений деятельности, а также в зависимости от масштабности непредвиденных обстоятельств — формирование матрицы действий и решений для всех «пересечений» (различных уровней событий и процессов), то есть определение структуры и содержания Плана ОНиВД.

Основными целями Плана ОНиВД (на уровне банка в целом) являются: поддержание способности банка как организации исполнять принятые на себя обязательства (как «внешние» — перед вкладчиками, кредиторами, акционерами, регулирующими органами, так и «внутренние» — в части обеспечения безопасности и благоприятных условий труда сотрудников) и обеспечение функционирования как части системы расчетов; сохранение уровня управления банком, позволяющего обеспечить условия для принятия обоснованных и оптимальных управленческих решений, их своевременную и полную реализацию, в том числе в части обеспечения информационной безопасности; и, наконец, возможное предупреждение (предотвращение) негативного события и/или нарушения режима повседневного функционирования и/или снижение тяжести последствий (в том числе размера прямых материальных потерь, потерь информации, потери деловой репутации и т.п.).

В целом первый этап включает: составление перечня основных (критически важных) банковских процессов, обязательств, систем, объектов (анализ документов, описаний процессов и продуктов, встречи и «интервью» с персоналом и т.п.);

• определение круга возможных негативных событий, чрезвычайных ситуаций, обстоятельств форс-мажора, которые могут затронуть (полностью или частично нарушить) деятельность банка в целом или одного из структурных подразделений;
• сопоставление перечней: определение видов и степени воздействия непредвиденных обстоятельств на режим повседневного функционирования банка, его способность выполнять принятые на себя обязательства;
• определение критериев непрерывности процессов (работоспособности систем, исполнения обязательств): очевидно, что мерилом будут служить условия соответствующих договоров, стандарты и сложившаяся практика (например, последовательности операций в рамках процесса) и требования законодательства РФ, нормативных актов Банка России;
• формирование показателей восстановления (внутренних банковских процессов, возможности исполнения договоров, работоспособности систем): приемлемые сроки, допустимый размер материальных и/или трудовых затрат, допустимый размер потерь (например, информации) и пр.;
• участие в процессе всех структурных подразделений — как непосредственно связанных с осуществлением банковских операций и иных сделок, так и обеспечивающих деятельность банка в целом.

Согласование Плана ОНиВД

Разработку и принятие Плана ОНиВД рекомендуется осуществлять с учетом норм Федерального закона от 21.12.1994 N 68-ФЗ «О защите населения и территорий от чрезвычайных ситуаций природного и техногенного характера», в том числе в рамках мероприятий по выполнению требований ст. 14 указанного Федерального закона. План ОНиВД рекомендуется разрабатывать применительно к крупномасштабным непредвиденным обстоятельствам, сопоставимым по длительности и силе воздействия, размерам возможных материальных потерь и негативным последствиям нематериального характера с чрезвычайной ситуацией муниципального характера или, в зависимости от характера, масштабов и условий деятельности кредитной организации, — межмуниципального, регионального или межрегионального характера в соответствии с классификацией, установленной Постановлением Правительства Российской Федерации от 21.05.2007 N 304 «О классификации чрезвычайных ситуаций природного и техногенного характера».

При этом рекомендуется предусмотреть возможность реализации отдельных модулей (частей) Плана ОНиВД в случае непредвиденных обстоятельств меньшего масштаба, связанных с проявлением (по отдельности или в сочетаниях) таких факторов, как выход из строя технических средств, сбои в работе автоматизированных информационных систем кредитной организации, нарушение коммунальной инфраструктуры, перебои в электроснабжении, непредвиденный дефицит ликвидности кредитной организации, в том числе по причине потери деловой репутации, отказ кредитных организаций-корреспондентов и (или) организаций-контрагентов, в том числе поставщиков услуг (провайдеров) кредитной организации, от исполнения своих обязательств.

В качестве примера приведем описание организации планирования производительности, непрерывности операций и реагирования на непредвиденные ситуации для интернет-банкинга :

1. следует идентифицировать и критично оценивать все виды обслуживания и прикладные программы, используемые в области интернет-банкинга, включая те, которые предоставляются сторонними провайдерами услуг;
2. следует осуществлять оценивание рисков для всех критичных видов обслуживания и прикладных программ в части интернет-банкинга, включая потенциальное влияние любых случаев прерывания деловых операций на кредитный, рыночный, правовой, операционный, репутационный риски и риск ликвидности для данного банка;
3. следует установить функциональные критерии для каждого критичного вида обслуживания и программного приложения в рамках электронного банкинга, а также организовать мониторинг уровней обслуживания в сопоставлении с такими критериями. Следует принять должные меры для обеспечения того, чтобы системы интернет-банкинга могли обрабатывать как малые, так и большие объемы транзакций и чтобы функционирование систем и их производительность согласовывались с предположениями данного банка относительно перспективного развития сети Интернет;
4. следует принять во внимание разрабатываемые альтернативные варианты обработки для управления спросом при достижении системами интернет-банкинга установленных заранее номинальных показателей производительности;
5. планы обеспечения непрерывности операций в части интернет-банкинга следует составлять таким образом, чтобы учитывалось все, что возложено на сторонних провайдеров услуг, а также прочие внешние зависимости, связанные с необходимостью применения процедур восстановления работоспособности;
6. в планах реагирования на непредвиденные обстоятельства при осуществлении обслуживания в рамках интернет-банкинга следует определить какие-либо процессы для возобновления или замещения существующих средств обработки в части интернет-банкинга, реконструирования информации в обеспечение выполнения транзакций, а также описать те меры, которые должны быть приняты для восстановления доступности критичных систем и прикладных программ интернет-банкинга в случае прерывания деловых операций.

При разработке Плана ОНиВД рекомендуется уделять внимание вопросам своевременного информирования клиентов, участников (акционеров), контрагентов, в том числе поставщиков услуг (провайдеров) кредитной организации, органов государственной власти и местного самоуправления, Банка России, других государственных органов, в пределах своей компетенции осуществляющих функции регулирования и надзора в отношении кредитной организации, средств массовой информации и других заинтересованных лиц о возникновении непредвиденных обстоятельств, а также порядку взаимодействия с заинтересованными лицами по вопросам обеспечения непрерывности и восстановления деятельности кредитной организации.

Утверждение Плана ОНиВД

При утверждении Плана ОНиВД необходимо проверить в его содержании наличие следующих документов:

• порядок реализации Плана, включая порядок принятия решения о переводе деятельности кредитной организации в чрезвычайный режим, а также порядок управления кредитной организацией в этом режиме;
• перераспределение обязанностей и полномочий как между подразделениями, так и между служащими кредитной организации в условиях чрезвычайного режима с учетом взаимозаменяемости служащих в случае отсутствия (недоступности) ответственных и (или) уполномоченных служащих;
• перечень установленных в кредитной организации процедур, выполнение которых в режиме повседневного функционирования кредитной организации необходимо для успешной реализации Плана ОНиВД (например, резервное копирование информации, заключение договоров с контрагентами на оказание услуг (работ), обеспечивающих реализацию Плана ОНиВД), а также очередность и сроки их выполнения;
• порядок взаимодействия, в том числе порядок экстренного оповещения и связи, между органами управления, подразделениями и служащими кредитной организации при возникновении непредвиденных обстоятельств;
• порядок информирования заинтересованных лиц о возникновении непредвиденных обстоятельств, порядок взаимодействия с заинтересованными лицами, в том числе с Банком России, по вопросам обеспечения непрерывности и (или) восстановления деятельности кредитной организации;
• детальные инструкции для подразделений и служащих кредитной организации, содержащие описание действий, необходимых для поддержания или своевременного возобновления функционирования критически важных для деятельности кредитной организации внутренних банковских процессов и автоматизированных информационных систем;
• порядок завершения работы в чрезвычайном режиме и возврата в режим повседневного функционирования.

В целях обеспечения способности кредитной организации выполнять принятые на себя обязательства и минимизировать возможные негативные последствия непредвиденных обстоятельств в Плане ОНиВД рекомендуется определить порядок осуществления внутренних банковских процессов в чрезвычайном режиме.

Для каждого внутреннего банковского процесса рекомендуется определить уровень его осуществления, в том числе:

• осуществление на уровне, соответствующем уровню осуществления внутреннего банковского процесса в режиме повседневного функционирования;
• осуществление на заданном (сниженном по сравнению с уровнем режима повседневного функционирования) уровне в течение заданного периода времени;
• прекращение его осуществления (планомерное или максимально быстрое и безопасное).

Для каждого критически важного для деятельности кредитной организации внутреннего банковского процесса рекомендуется дополнительно определить:

• критерии непрерывности осуществления;
• развернутый перечень ресурсов — кадровых, финансовых, материальных, информационных (включая вычислительную технику, другие технические средства, программное обеспечение), средств связи, необходимых для его поддержания в чрезвычайном режиме;
• помещения, предназначенные для осуществления процесса в чрезвычайном режиме в случае недоступности помещений, используемых в режиме повседневного функционирования. Для этих целей рекомендуется определить запасные помещения, территориально удаленные от мест основного расположения кредитной организации и поддерживаемые в состоянии готовности для использования в чрезвычайном режиме, либо помещения, находящиеся в местах основного расположения кредитной организации (ее филиала или иного территориально обособленного структурного подразделения), исходя из возможности увеличения интенсивности использования или изменения назначения указанных помещений в чрезвычайном режиме;
• возможность получения услуг, необходимых для осуществления процесса, в случае отказа поставщика указанных услуг (провайдера) кредитной организации от исполнения договорных обязательств, в том числе использование услуг другого поставщика (провайдера) или переход на самообслуживание.

В Плане ОНиВД рекомендуется предусмотреть периодичность и способы создания резервных копий информации, необходимой для осуществления внутренних банковских процессов, с учетом установленных для них критериев непрерывности. Следует определить места хранения и способы доставки резервных копий до мест хранения, а также способы и сроки восстановления информации.

Также в Плане ОНиВД содержатся рекомендации определить порядок хранения документированной информации (в том числе данных бухгалтерского и депозитарного учета, реестров обязательств кредитной организации перед вкладчиками) и порядок восстановления документов в случае утраты их оригиналов.

Согласно Плану ОНиВД представляется целесообразным предусмотреть способы экстренного поддержания ликвидности на случай непредвиденных обстоятельств с указанием лиц, с которыми заключены договоры об оказании финансовой помощи на случай непредвиденных обстоятельств (в том числе участников (акционеров) кредитной организации, организаций банковской группы, кредитных организаций-партнеров), способов связи с ними.

Содержание данного пункта вызывает больше вопросов, чем все остальные пункты, поскольку если меры по снижению операционного риска в данном документе логичны и естественны, то меры по поддержанию ликвидности скорее можно отнести к работе со слабыми банками, но редко к работе в чрезвычайных обстоятельствах.

Внутрибанковские инструкции должны определять:

• порядок действий при возникновении непредвиденных обстоятельств или появлении реальной угрозы их возникновения;
• процедуры перевода работы в чрезвычайный режим;
• порядок осуществления критически важных для деятельности кредитной организации внутренних банковских процессов в чрезвычайном режиме, описание изменений в технологиях их осуществления;
• порядок доступа к ресурсам, необходимым для работы в чрезвычайном режиме.

В Плане ОНиВД рекомендуется предусмотреть порядок восстановления нарушенных внутренних банковских процессов после ликвидации последствий непредвиденных обстоятельств, критерии, позволяющие принять решение о завершении работы в чрезвычайном режиме, и порядок принятия такого решения, а также порядок возврата в режим повседневного функционирования.

Пересмотр Плана ОНиВД

План ОНиВД рекомендуется пересматривать не реже одного раза в два года с целью обеспечения его соответствия организационной структуре, характеру и масштабам деятельности кредитной организации, утвержденной стратегии развития деятельности кредитной организации, условиям мест нахождения кредитной организации (ее подразделений), а также для устранения недостатков, выявленных в ходе проверок (тестирования) Плана ОНиВД, и учета вновь выявленных факторов, которые могут привести к нарушению повседневного функционирования кредитной организации.

В целях реализации Плана ОНиВД и сохранения уровня управления кредитной организацией в условиях непредвиденных обстоятельств при необходимости возможно предусмотреть передачу полномочий по оперативному руководству деятельностью кредитной организации органу чрезвычайного управления.

Для достижения указанной цели также возможно создание резервного центра обработки данных — резервный ЦОД, который обеспечит непрерывность бизнеса кредитной организации (реализацию плана business continuity & disaster recovery) в аварийных и чрезвычайных ситуациях. Это предполагает создание офисного помещения с готовой ИТ-инфраструктурой, соответствующего по функциональности основному офису .

Резервный ЦОД позволит перейти к сценарию business continuity & disaster recovery в случаях, когда: поврежден основной ЦОД компании (например, вследствие пожара, стихийного бедствия, теракта, чрезвычайных происшествий); не функционируют коммуникации в основном центре обработки данных; отключилось электропитание в основном центре обработки данных; произошла потеря данных в основном ЦОД. Непрерывность бизнеса — резервный ЦОД и его составляющие: помещение с готовыми рабочими местами; коммуникации (выделенный канал, основной центр обработки — резервный ЦОД, телефония и доступ в Интернет из резервного ЦОД); оборудование (собственное или арендованное) и информационные системы компании, необходимые для реализации плана business continuity & disaster recovery; стойки в дата-центре для размещения информационных систем.

С учетом определенных кредитной организацией порядка создания органа чрезвычайного управления, его полномочий и сроков их действия в Плане ОНиВД возможно предусмотреть осуществление указанным органом следующих функций:

• определение степени влияния непредвиденных обстоятельств на деятельность кредитной организации, составление перечня потерь, оценку размера нанесенного ущерба;
• координацию работ по обеспечению непрерывности и восстановления деятельности кредитной организации, принятие решений о реализации модулей Плана ОНиВД;
• информирование заинтересованных лиц о ходе восстановления деятельности кредитной организации и мерах, принятых для обеспечения ее непрерывности;
• взаимодействие с Банком России в целях координации совместных действий по обеспечению своевременного проведения расчетов по поручениям клиентов и по обязательствам кредитной организации, а также с другими заинтересованными лицами по вопросам обеспечения непрерывности и (или) восстановления деятельности;
• взаимодействие с правоохранительными органами, аварийными и специализированными службами (в том числе с органами внутренних дел, пожарной охраной, аварийно-спасательными службами, учреждениями здравоохранения, органами, осуществляющими государственный санитарно-эпидемиологический надзор);
• взаимодействие с коммунальными службами, в том числе по вопросам обеспечения электро-, тепло- и водоснабжения, с поставщиками услуг телефонной и других видов связи;
• организация необходимой помощи служащим кредитной организации и членам их семей.

Проверка Плана ОНиВД

С целью определения возможности выполнения Плана ОНиВД в случае возникновения непредвиденных обстоятельств рекомендуется предусмотреть проведение службой внутреннего контроля (СВК) проверок (тестирования) Плана ОНиВД с периодичностью не реже одного раза в два года. Для обеспечения постоянной готовности служащих к действиям на случай непредвиденных обстоятельств рекомендуется организовать изучение Плана ОНиВД на регулярной основе всеми служащими кредитной организации в соответствии со специально разработанной для этих целей программой, включающей проведение учений. Учения рекомендуется планировать таким образом, чтобы оценить реальное время, необходимое для выполнения каждого модуля Плана ОНиВД, и степень подготовленности служащих кредитной организации к работе в чрезвычайном режиме.

При проведении СВК проверки необходимо определить:

• программу, форму и сроки проведения проверки (тестирования) Плана ОНиВД;
• перечень подразделений и служащих кредитной организации, участвующих в проверке (тестировании) Плана ОНиВД;
• перечень проверяемых (тестируемых) модулей Плана ОНиВД;
• перечень ресурсов, предполагаемых для использования при проверке (тестировании) Плана ОНиВД;
• состав и обязанности группы наблюдателей (контролеров);
• сроки и порядок оформления результатов проверки (тестирования) Плана ОНиВД.

Протокол проверки (тестирования) Плана ОНиВД рекомендуется вести по установленной внутренними документами кредитной организации форме. При этом в протоколе рекомендуется указывать:

• список наблюдателей (контролеров), присутствующих при проведении проверки (тестирования), с указанием лица, ответственного за ведение протокола;
• перечень всех процедур, выполняемых в рамках тестируемых модулей Плана ОНиВД, с отметками о соответствии результатов их выполнения Плану ОНиВД;
• время, затраченное на завершение промежуточных этапов и реализацию проверяемых (тестируемых) модулей Плана ОНиВД;
• описание выявленных недостатков Плана ОНиВД или подготовки служащих — участников проверки.

Отчет по итогам проведения проверки (тестирования) Плана ОНиВД рекомендуется составлять на основании согласованного протокола проверки (тестирования) Плана ОНиВД. К участию в проверке (тестировании) Плана ОНиВД рекомендуется при необходимости привлекать контрагентов, в том числе поставщиков услуг (провайдеров) кредитной организации, от деятельности которых зависит непрерывность осуществления критически важных для деятельности кредитной организации внутренних банковских процессов и (или) сроки их восстановления.

Всем кредитным организациям необходимо срочно обеспечить наличие Плана ОНиВД, грамотная разработка и реализация которого позволит минимизировать возможные негативные последствия непредвиденных обстоятельств, включая материальные и кадровые потери, а также ущерб репутации кредитных организаций. Этап внедрения Плана ОНиВД предполагает:

• внесение соответствующих изменений во внутренние регламенты по направлениям деятельности;
• распорядительные и уставные документы, штатное расписание и организационную структуру;
• заключение и пересмотр необходимых договоров с поставщиками услуг, ресурсов и т.п.;
• пересмотр действующих договоров с контрагентами, партнерами, клиентами, трудовых договоров с персоналом, распределение полномочий и ответственности; заключение или пересмотр соглашений о страховании рисков (и/или имущества, и/или жизни и здоровья персонала);
• закупку необходимых материальных активов и пр.;
• различные уровни и способы обучения персонала и проверки навыков в зависимости от направления деятельности, взаимосвязей, общих ресурсов и пр.;
• общую проверку на уровне банка как организации в целом;
• информирование всех заинтересованных лиц в рамках их компетенции (или, вернее сказать, в рамках их интересов и/или необходимости в их «правильной» информированности для банка — например, если речь идет о СМИ);
• установление способов взаимодействия с государственными (муниципальными) аварийными и специализированными службами (в том числе с органами внутренних дел, пожарной охраной, аварийно-спасательными службами, учреждениями здравоохранения, органами, осуществляющими государственный санитарно-эпидемиологический надзор), коммунальными службами (электро-, тепло- и водоснабжения, с поставщиками услуг телефонной и других видов связи) и, где применимо и уместно, аналогичными коммерческими организациями.

В заключение необходимо отметить, что имидж банка, обеспечивающего для своих клиентов безусловную надежность, является существенным конкурентным преимуществом; а План ОНиВД, спроектированный в расчете на серьезную чрезвычайную ситуацию, поможет сохранить жизненно важную для бизнеса инфраструктуру и данные и в необходимые сроки восстановить предоставление услуг клиентам не только при серьезном происшествии, но и при рядовых сбоях, которые случаются в любых организациях достаточно часто.

Главный редактор журнала

в кредитной организации»

Мы используем файлы Cookie. Просматривая сайт, Вы принимаете Пользовательское соглашение и Политику конфиденциальности.

Непрерывность бизнеса. Подходы и решения

История обеспечения непрерывности деятельности началась в 50-х гг. XX века. Именно тогда компании столкнулись с проблемой аварийного восстановления деятельности и начали хранить дубликаты критичных данных в электронной и бумажной форме в удаленных помещениях. Первое время такие действия предпринимались отдельными предприятиями и организациями от случая к случаю, но в 70-х гг. их необходимость стала очевидной, применяться они стали довольно часто, и появились специализированные компании, предлагавшие услуги по хранению данных. Позже закономерно возник рынок резервных «горячих» вычислительных центров (ВЦ). Аварийное восстановление окончательно сформировалось в 80-х гг., когда в одних только Соединенных Штатах Америки услуги по предоставлению «горячих» резервных вычислительных центров предлагали более ста компаний. «Горячий» резервный ВЦ стал очень популярным решением среди финансовых организаций с централизованной ИТ-инфраструктурой, которые очень сильно зависели от наличия и доступности данных. В 90-е гг. бурное развитие компьютерной индустрии привело к кардинальным переменам: на смену вычислительным центрам пришли вездесущие персональные компьютеры, соответственно этому изменились подходы к аварийному восстановлению информационных систем. Большинство организаций отказались от единого центрального мейнфрейма, заменив его большим количеством серверов и пользовательских мест, распределенных по всей организации. Децентрализация информационно-вычислительной инфраструктуры и, как следствие, большое количество разнообразных комбинаций неисправностей аппаратного и программного обеспечения существенно повысили сложность аварийного восстановления ИС. Во второй половине 90-х на смену термину «аварийное восстановление» пришел термин «непрерывность бизнеса». Причиной этому послужил тот факт, что профессиональные составители планов аварийного восстановления старались уменьшить количество уязвимостей (начиная с человеческого фактора, продолжая недоступностью компьютерных сетей, сетевыми атаками и заканчивая авариями телекоммуникаций), которые возникли благодаря децентрализованной архитектуре. Термин «аварийное восстановление» стал использоваться для описания традиционных информационно-технологических вопросов, связанных с резервным копированием и восстановлением данных, тогда как о «непрерывности бизнеса» говорят в связи с бесперебойной деятельностью всей организации, включая производственное оборудование, средства коммуникации и персонал.

Авторы

Константин Мусатов Консультант по направлению Непрерывность бизнеса группы консалтинга компании «Инфосистемы Джет»

Теги

Другие статьи автора

Статьи по теме

Поделиться

Развитие законодательной базы в мире

Помимо развития технологий, на деятельность организаций, особенно в финансовой сфере и области здравоохранения, стали оказывать все большее влияние нормативные требования и индустриальные стандарты. Хотя правительственные директивы носили расплывчатый характер, тем не менее они подстегнули проявление инициативы самими организациями и способствовали становлению дисциплины обеспечения непрерывности бизнеса.

С 1983-го года финансовые институты США должны были иметь планы восстановления, записанные на бумаге. Поскольку законодательные требования не отличались излишней конкретностью, считалось, что они относились в основном к резервному копированию и восстановлению баз данных. Для соответствия нормативным актам достаточно было увозить магнитные ленты с резервными копиями в удаленные хранилища. Более четкие законодательные требования к содержанию и уровню детализации, поддержанию в актуальном состоянии и тестированию планов аварийного восстановления появились лишь в 1989-м году.

В 1988 г. в США был основан Международный институт аварийного восстановления. Перед его членами были поставлены такие задачи:

• создание базы знаний по вопросам планирования аварийного восстановления и обеспечения непрерывности;
• сертификация людей, имеющих высокую квалификацию и большой опыт в данных областях;
• повышение профессионализма сертифицированных специалистов и уровня доверия к качеству их услуг.

В 1994 г. в Великобритании был основан Институт непрерывности бизнеса (Business Continuity Institute). Эта некоммерческая организация помогла объединить усилия специалистов в области аварийного восстановления и обеспечения непрерывности бизнеса и выработать единый набор рекомендаций в данной области.

В 1996 г. Департамент здравоохранения и социального обеспечения США (U.S. Department of Health and Human Services) начал разрабатывать «Акт об учете и перерегистрации страхования здоровья» (Health Insurance Portability and Accountability Act (HIPAA)), который требовал от компаний в области здравоохранения организовать процессы, гарантирующие сохранность личной информации пациентов. Здесь имелись в виду доступ, отслеживание, резервное копирование, передача и восстановление данных о клиенте, а также необходимо было разработать планы аварийного реагирования, обеспечения непрерывности деятельности и безопасности. Этот документ приобрел статус закона в 2001 году, а с 2003-го были ужесточены требования к его соблюдению.

В 1997 г. Объединенная комиссия по аккредитации организаций здравоохранения США (Joint Commission on Accreditation of Healthcare Organizations (JCAHO)) опубликовала руководство, в котором рассматривались вопросы информационной безопасности, готовности к чрезвычайным ситуациям и аварийного восстановления в области здравоохранения. Все организации, желающие быть аккредитованными, обязаны отвечать данным требованиям.

В том же году Федеральный совет по надзору за финансовыми учреждениями США (Federal Financial Institutions Examination Council (FFIEC)) объявил, что за отсутствие планов аварийного восстановления распределенных компьютерных сетей несут ответственность советы директоров организаций. Позднее FFIEC расширил их зону ответственности дополнительно к планам в области компьютерного оборудования, включив в нее планы обеспечения непрерывности бизнеса всей организации.

В 2000 г. американская Национальная ассоциация пожарных (National Fire Protection Association) опубликовала стандарт аварийного управления и программ обеспечения непрерывности (NFPA 1600), определив тем самым требования в таких областях программ обеспечения непрерывности, как оценка риска, анализ влияния на бизнес, снижение ущерба и тестирование. Этот стандарт был утвержден Американским национальным институтом стандартов (American National Standards Institute (ANSI)), после чего стал часто цитируемым руководством при разработке различных инициатив в области обеспечения непрерывности бизнеса.

В 2001г. в США вступил в силу Акт Грамма-Лича-Блайли (Gramm-Leach-Bliley Act), обязывающий организации соблюдать процедуры, обеспечивающие конфиденциальность информации клиентов. Организации, на которые распространяется действие Акта Грамма-Лича-Блайли (к ним относятся не только финансовые институты, но и сети розничной торговли, страховые компании, агентства недвижимости и налоговые консультанты), также обязаны удостовериться, что их поставщики услуг или товаров, в свою очередь, также защищают личные сведения клиентов.

В 2002 г. в США был принят Акт Сорбейна-Оксли (Sarbanes-Oxley Act), обеспечивающий более высокое качество корпоративного управления при подготовке финансовой отчетности для инвесторов. Он требует от высшего руководства подтверждать точность финансовых отчетов, а также раскрывать любые изменения, относящиеся к финансовому положению организации или ведению операций. (Несмотря на то, что этот документ не содержит конкретных ИТ-требований, из его положений вытекает ряд ограничений и условий, которым должна удовлетворять информационная система организаций).

В 2004 г. Комиссия по ценным бумагам США (Securities and Exchange Commission (SEC)) одобрила два документа: «Правило 3510 Национальной Ассоциации дилеров ценных бумаг» (National Association of Securities Dealers (NASD) Rule 3510) и «Правило 446 Нью-Йоркской фондовой биржи» (New York Stock Exchange (NYSE) Rule 446), требующие от организаций-членов создания и поддержания в актуальном состоянии планов обеспечения непрерывности бизнеса. Правила также рекомендуют ежегодно пересматривать планы, постоянно поддерживать их актуальность и в обязательном порядке информировать клиентов о способах реагирования на возможные перерывы в деятельности.

В 2002 г. британский Институт непрерывности бизнеса опубликовал первую версию «Руководства по применению рекомендуемых методов» (Good Practice Guidelines). На их основе в начале 2003 г. Британский институт стандартов совместно с Институтом обеспечения непрерывности разработал общедоступную спецификацию PAS56. В этом документе описывались процесс, общие принципы и терминология управления непрерывностью бизнеса. Что еще более важно, в нем описывались действия, выполняемые в рамках процесса управления непрерывностью бизнеса, и результаты, достигаемые после внедрения этого процесса. Кроме того, документ содержал описание проверенных на практике наилучших методов выполнения этих действий.

28 августа 2003 г. Международный институт аварийного восстановления и британский Институт непрерывности бизнеса опубликовали свод знаний, которыми должны обладать те, кто профессионально предоставляет услуги в области аварийного восстановления и обеспечения непрерывности деятельности организации. Этот свод знаний состоял из 10 пунктов, каждый из которых описывал один из этапов разработки, внедрения и развития процесса управления обеспечением непрерывности бизнеса. Наличие этого свода знаний позволило унифицировать требования, предъявляемые при сертификации специалистов, найме на работу и заключении контрактов.

В 2003 г. Объединенным комитетом стандартов Австралии и Новой Зеландии была опубликована первая версия «Справочника по управлению обеспечением непрерывности бизнеса» (Handbook Business Continuity Management). В документе рассматривались такие угрозы непрерывности бизнеса, как стихийные бедствия, крах компаний, военные действия и терроризм. В следующем году после существенной переработки и дополнения в свет вышла вторая версия этого справочника.

25 июля 2003 г. Банк Японии выпустил документ под названием «Планирование обеспечения непрерывности в финансовых организациях» («Business Continuity Planning at Financial Institutions»). Это был третий документ, посвященный проблеме обеспечения непрерывности критичных операций в финансовых институтах. Первый — «Разумные меры по управлению обеспечением непрерывности деятельности финансовых институтов при подготовке к разрушению рабочих помещений» («Sound Practices on Business Continuity Management of Financial Institutions in Preparation for Disruption of Operational Sites») — был опубликован в марте 2002 г., а второй — «Результаты опросного изучения управления обеспечением непрерывности деятельности» («Results of a Questionnaire Study on Business Continuity Management») — в феврале 2003-го. Но только в третьем (июльском) документе, наконец, появилось подробное описание «разумных мер» по разработке и внедрению планов обеспечения непрерывности деятельности.

В ноябре 2004 г. Главный информационный департамент Федеральной канцелярии Австрии подготовил «Справочник по информационной безопасности» (Handbook of IT-Security), версия 2.2. (Первая версия увидела свет еще в 1998 г.). Австрийский справочник подробно описывает процесс управления информационной безопасностью, анализ рисков, разработку концепции безопасности, порядок внедрения планов безопасности и последующие действия, а также содержит большой список мер по обеспечению безопасности. Первоначально документ предназначался только для правительственных организаций, но новая версия подходит для любых организаций. Этот документ соответствует международным стандартам информационной безопасности ISO/IEC IS 13335 и, частично, ISO/IEC IS 17799, и он тесно связан с процессами обеспечения непрерывности и управления изменениями.

22 сентября 2005 г. Бизнес-федерация Сингапура совместно с Советом по стандартам, продуктивности и инновациям Сингапура (Standards, Productivity and Innovation Board (SPRING)) и при поддержке Совета по экономическому развитию Сингапура официально объявила о вступлении в действие стандарта управления обеспечением непрерывности деятельности. Он получил название Technical Reference TR19:2005. В стандарте описаны требования, предъявляемые к организациям, задавшимся целью защититься от событий, которые могут прервать ход выполнения штатных бизнес-операций, и получить возможность быстро восстанавливать эти операции, а также оговариваются требования к поддержанию готовности реагировать на чрезвычайные события. Однако в нем нет описания того, каким образом организации должны добиваться выполнения требований данного документа. В качестве обоснования утверждается, что деятельность каждой организации носит уникальный характер и постоянно меняется вслед за развитием технологий, изменениями в бизнес-среде и необходимостью удовлетворять нормативным и законодательным актам. Также в стандарте не рассматриваются вопросы управления проектом написания планов обеспечения непрерывности, такие как инициация проекта и получение поддержки со стороны высшего руководства организации. Отметим, что ряд компаний, расположенных в Сингапуре и в других странах, уже сообщили об успешном прохождении сертификации на соответствие этому стандарту.

В конце 2005 г. правительство Японии опубликовало первую редакцию «Руководства по обеспечению непрерывности бизнеса» («Business Continuity Guidelines»). В то время как лидеры в области обеспечения непрерывности — Великобритания и США — в качестве основной угрозы рассматривают терроризм, главное внимание японских компаний сосредоточено на минимизации воздействия стихийных бедствий, например, землетрясений. Тем не менее структура и содержание этого руководства соответствует документам, имеющим международное признание. Важной отличительной особенностью последствий стихийных бедствий является их большой масштаб, из чего вытекает невозможность восстановления деятельности одной отдельно взятой компании или организации. Поэтому данный документ содержит требования к организации объединять усилия по восстановлению как с расположенными поблизости компаниями, так и с важными партнерами по осуществлению прерванной деятельности. Япония выступила с инициативой о включении этого положения в будущий международный стандарт ISO. В настоящее время правительство Японии совместно с десятью промышленными группами разрабатывает узкоспециализированные руководства по обеспечению непрерывности бизнеса в различных отраслях.

В июне 2006 г. Объединенным комитетом стандартов Австралии и Новой Зеландии опубликован документ HB 292-2006 «Руководство по управлению обеспечением непрерывностью деятельности для практического применения» («A practitioners guide to business continuity management»). В нем описывается ряд общепринятых, а также новых практических методов, применяемых в США, Великобритании и ряде других стран. Особенность управления непрерывностью деятельности заключается в том, что методы, хорошо зарекомендовавшие себя в одной организации, могут не подойти для другой, поэтому очень большое внимание должно быть уделено выбору аспектов управления обеспечением непрерывности, которые будут реализованы в конкретной организации. Структура этого руководства основана на второй версии «Справочника по управлению обеспечением непрерывности бизнеса». Однако содержание документа существенно расширено и дополнено большим количеством пояснительной информации.

4 июля 2006 г. Базельский комитет по банковскому надзору опубликовал новые соглашения о достаточности капитала (Базель II). Эти рекомендации не являются обязательными к выполнению, однако учитываются при разработке законодательных актов. Работы по внедрению этих рекомендаций ведутся более чем в ста странах. Их выполнение обеспечит стабильность международной финансовой системы даже в том случае, если прекратится деятельность одного или нескольких банков. Достижение этой цели осуществляется путем наложения строгих требований на процессы управления рисками и капиталом и в том числе затрагивает процессы оценки рисков и влияния на бизнес, написания планов обеспечения непрерывности деятельности и т.д. В августе 2006 г. Базельский комитет выпустил специальный документ, посвященный теме непрерывности бизнеса: «Высокоуровневые принципы обеспечения непрерывности деятельности» («High-level principles for business continuity»).

В ноябре 2006 г. Британский институт стандартов опубликовал первую часть стандарта BS 25999-1 Business Continuity Management — Code of practice. К моменту написания этой статьи завершилось публичное обсуждение чернового варианта второй части данного стандарта. Официальная публикация второй части, намеченная на 30 октября 2007 года, позволит организациям получать сертификат соответствия требованиям этого стандарта.

Летом 2007 г. канадская ассоциация по стандартизации представила для публичного обсуждения Стандарт Z1600 аварийного управления и программ обеспечения непрерывности деятельности. Сбор предложений и комментариев заканчивается 17 сентября 2007 г.

Рисунок 1. Хронология международного законодательства, регулирующего аварийное восстановление и управление обеспечением непрерывности деятельности организаций

Состояние дел в России

Конечно, проблема сохранения жизни людей и сохранности важной информации в условиях аварийных ситуаций волновала не только западный мир. В нашей стране в каждой организации обязательно существовали регламенты действий при пожаре, штаб гражданской обороны и даже иногда проводились учебные тревоги. Для обеспечения сохранности важного программного обеспечения, например, в некоторых организациях делались полные распечатки текстов компьютерных программ, которые хранились в удаленном хранилище.

В качестве угроз с точки зрения гражданской обороны рассматривались, главным образом, риски вооруженного нападения на государство, поэтому гражданская оборона представляла из себя систему общегосударственных оборонных мероприятий, проводимых в мирное и военное время в целях защиты населения и обеспечения устойчивой работы народного хозяйства. Общее руководство осуществлялось правительством, а на местах — местными органами власти. В качестве мер реагирования предусматривалась организация эвакуации населения из городов, из районов возможного затопления в результате разрушения крупных гидротехнических сооружений в безопасные районы, укрытие населения в убежищах и других защитных сооружениях. Другая важная задача гражданской обороны, помимо эвакуации населения, состояла в обеспечении устойчивой работы народного хозяйства. В этих целях проводились различные организационные и инженерно-технические мероприятия; создавались запасы сырья, оборудования и средств для восстановительных работ. В полном соответствии с теорией и здравым смыслом для успешного решения задач гражданской обороны проходила подготовка населения и (иногда) проводились учения. Но после распада Советского Союза мероприятия в рамках гражданской обороны практически перестали осуществляться.

В последние несколько лет в России стали появляться коммерческие центры обработки и хранения данных, такие как DATA FORT, М1, Stack, WideXs, обеспечивающие компаниям возможность продолжать предоставление услуг клиентам в случае выхода из строя или перерыва в работе собственного вычислительного центра.

В 2003 г. Центральный банк Российской Федерации принял Положение ЦБР от 16 декабря. N 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах». Пункт 3.7 этого положения гласит: «Кредитная организация должна иметь разработанные планы действий на случай непредвиденных обстоятельств с использованием дублирующих (резервных) автоматизированных систем и (или) устройств, включая восстановление критических для деятельности кредитной организации систем, поддерживаемых внешним поставщиком (провайдером) услуг.

Внутренними документами должен быть определен порядок проверки этих планов в части их выполнимости в случаях возникновения непредвиденных обстоятельств, а также перечень непредвиденных обстоятельств, в отношении которых разрабатываются планы действий».

С первого января 2006 г. вступила в действие новая редакция Стандарта Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» СТО БР ИББС-1.0-2006. Раздел 9.6 целиком посвящен обеспечению непрерывности бизнеса (деятельности) и восстановлению после прерываний. В тексте стандарта явно указано, что в качестве методологической основы при разработке планов могут быть использованы общепринятые международные стандарты, регулирующие вопросы менеджмента непрерывности бизнеса (например, BSI PAS-56).

Аналогичные законодательные акты появились в США и Великобритании в 80-х гг. Таким образом, можно заключить, что в законодательном плане мы отстаем примерно на два десятка лет. Так же, как в США и Великобритании 20 лет назад, сейчас в России вопросы, связанные с обеспечением непрерывности бизнеса, рассматриваются, в основном, как проблемы информационной безопасности или часть задач ИТ-инфраструктуры. Однако ситуация будет быстро меняться, причем в первую очередь на финансовом и телекоммуникационном рынках. Это определяется различными факторами.

На российский рынок приходят крупные финансовые корпорации. Высокие стандарты их работы, в том числе требования к наличию процесса обеспечения непрерывности бизнеса, заставят сначала поглощенные или приобретенные, а затем и все остальные отечественные финансовые институты позаботиться о сохранности своего бизнеса. Другими побудительными мотивами могут послужить стремление выйти на западные фондовые рынки и, следовательно, необходимость соблюдать законодательные нормы других стран, необходимость соответствовать разнообразным международным стандартам (одним из требований в ряде которых является наличие планов обеспечения непрерывности бизнеса); желание получить конкурентное преимущество в глазах партнеров или клиентов, которым необходима уверенность в надежности того, чьими продуктами/услугами они предполагают воспользоваться.

Прогноз — возникновение устойчивости бизнеса

Учитывая множество уже действующих нормативных актов и еще большее количество готовящихся к принятию, следует признать, что обеспечение непрерывности постепенно превращается в дисциплину, которая должна охватывать весь бизнес. Необходимо обеспечивать непрерывность операций, а также защиту сотрудников, клиентов, инвесторов. В защите нуждаются средства производства, инфраструктура, информация, торговая марка. Если прежде подходы к обеспечению непрерывности были специфичными для каждой области деятельности, и зачастую каждое подразделение занималось этой проблемой независимо от остальных, то сегодня необходим единый подход к проблеме сохранения устойчивости бизнеса организации в целом.

Обеспечение непрерывности бизнеса превращается в обеспечение его устойчивости, при которой гибкая ИТ-инфраструктура позволяет организации восстановить работу после любых сбоев в режиме реального времени. Такая инфраструктура предоставит всем сотрудникам, партнерам и другим заинтересованным сторонам доступ к любой информации, необходимой для выполнения важных бизнес-операций. В случае чрезвычайной ситуации удаленный доступ, гетерогенные коммуникационные среды, беспроводные технологии немедленно превратятся из средств поддержания штатной работы в средства, поддерживающие функциональность организации в период аварии или сбоя. Подобное свойство является ключевым для обеспечения нулевого времени простоя, а это требование становится все более распространенным в сегодняшнем быстро меняющемся, высоко конкурентном мире бизнеса.

О преимуществах

Какие же преимущества получают организации, внедряющие процесс управления непрерывностью своей деятельности?

Внедрение этого процесса имеет много положительных сторон. Например, оно дает владельцам и акционерам гарантии сохранности вложенных средств. Более того, речь может идти не просто о сохранности. Согласно исследованию «The Impact of Catastrophes on Shareholder Value» Rory J. Knight и Deborah J. Pretty, кумулятивный доход сверх нормы (Cumulative Abnormal Return — сумма различий между ожидаемой и реальной стоимостью акций) компаний, успешно восстановивших деятельность после крупномасштабной аварии, спустя год составляет примерно 10% (Рис. 2).

Рисунок 2. Диаграмма, иллюстрирующая превышение кумулятивного дохода сверх нормы компаний относительно расчетного

Менеджерам процесс обеспечения непрерывности выгоден тем, что повышает управляемость организации, сотрудникам — обеспечивает надежность и уверенность в будущем, поскольку снижается вероятность внезапного исчезновения компании-работодателя. Но следует отметить еще и то, что преимущества получает не только сама организация. При наличии этого процесса в компании ее клиенты и партнеры приобретают уверенность в том, что продукты или услуги будут получены ими в срок вне зависимости от обстоятельств. Это становится важным конкурентным преимуществом на современном рынке. Еще одним преимуществом является то, что страховые компании будут назначать цену страхования бизнеса в зависимости от того, есть ли в организации планы аварийного восстановления или нет. Подобная практика широко распространена на Западе и без сомнения в скором времени начнет применяться и в России.

Преимуществом может стать соблюдение рекомендаций ЦБ РФ по обеспечению непрерывности бизнеса и аварийного восстановления деятельности кредитных организаций после прерываний; эти рекомендации описаны в представленных ниже документах.

Стандарт Банка России СТО БР ИББС-1.0-2006 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации», вступивший в действие 1.1.2006, пункт 9.6. «Обеспечение непрерывности бизнеса (деятельности) и восстановление после прерываний». Организации следует разработать и внедрить план обеспечения непрерывности бизнеса (деятельности) и восстановления после прерываний. Данный план и соответствующие процессы восстановления должны пересматриваться на регулярной основе и своевременно обновляться (например, при существенных изменениях в операционной деятельности, организационной структуре, бизнес-процессах и автоматизированных банковских системах). Эффективность документированных процедур восстановления необходимо периодически проверять и тестировать (как минимум на полугодовой основе). С планом должны быть ознакомлены все сотрудники, отвечающие за его выполнение и вовлеченные в процессы восстановления.

Положение ЦБР от 16 декабря 2003 г. N 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах», пункт 3.7. «Кредитная организация должна иметь разработанные планы действий на случай непредвиденных обстоятельств с использованием дублирующих (резервных) автоматизированных систем и (или) устройств, включая восстановление критических для деятельности кредитной организации систем, поддерживаемых внешним поставщиком (провайдером) услуг. Внутренними документами должен быть определен порядок проверки этих планов в части их выполнимости в случаях возникновения непредвиденных обстоятельств, а также перечень непредвиденных обстоятельств, в отношении которых разрабатываются планы действий».

Наличие планов BCP/DRP является обязательным условием в случаях, когда:

• организация, заботясь о повышении уровня информационной безопасности (ИБ), планирует получить сертификат соответствия собственной системы управления ИБ требованиям стандарта BS ISO/IEC 27001:2005;
• организация стремится повысить уровень управления ИТ-сервисами и планирует получить сертификат соответствия процесса управления ИТ-сервисами требованиям стандарта ISO/IEC 20000:2005, одной из неотъемлемых частей которого является управление непрерывностью ИТ-сервисов.

Наличие планов BCP/DRP важно для создания репутации надежной организации, что имеет значение для выхода на зарубежные фондовые рынки.

В процессе создания и обновления планов появляется возможность:

• оценить угрозы/чрезвычайные ситуации, с которыми может столкнуться банк, и детально изучить их возможные последствия;
• оценить существующие уязвимости ИТ-инфраструктуры (управление рисками);
• формализовать и перенести на бумагу существующие неформальные процедуры и процессы (управление знаниями);
• повысить осведомленность сотрудников и руководства о проблеме обеспечения непрерывности деятельности за счет их вовлечения в процесс поддержания планов в актуальном состоянии;
• сократить время неразберихи и хаоса в случае наступления ЧС, тем самым уменьшить размер ущерба и ускорить процесс восстановления;
• внушать уверенность заинтересованным сторонам (особенно персоналу и заказчикам) в своей способности справиться с нештатной ситуацией;
• повышать устойчивость компании с течением времени, обеспечивая учет результатов процесса при принятии решений на всех уровнях;
• минимизировать вероятность нештатных ситуаций и их воздействие на деятельность организации.

Почему организация должна реализовать процесс управления непрерывностью деятельности?

Процесс управления непрерывностью деятельности представляет собой важный элемент надлежащего управления деятельностью организации, предоставления услуг и предпринимательской расчетливости.

Менеджеры и владельцы несут ответственность за поддержание способности организации к бесперебойному функционированию. Организации постоянно должны поставлять продукты и услуги, т.е. они заключают контракты и иным способом повышают ожидания заказчиков. Все организации имеют моральные и социальные обязательства, особенно если они обеспечивают помощь в чрезвычайных ситуациях или занимаются предоставлением общественных или добровольных услуг. В некоторых случаях обязанность организации реализовать процесс управления непрерывностью деятельности устанавливается в законодательном или нормативном порядке.

Деятельность всех организаций подвержена угрозе возникновения нештатных ситуаций, например, в случае, террористических актов, технологической аварии, наводнения, отключения электропитания и др. Наряду с обеспечением благополучия и безопасности, процесс управления непрерывностью деятельности обеспечивает способность адекватно реагировать на подобные нештатные ситуации.

В настоящее время управление непрерывностью деятельности необходимо рассматривать не как дорогостоящий процесс планирования, а как процесс, который повышает стоимость организации.

Преимущества эффективной программы управления непрерывностью деятельности

Преимущества эффективной программы управления непрерывностью деятельности состоят в том, что организация:

• имеет возможность проактивно идентифицировать возможные последствия нештатной ситуации;
• имеет разработанную процедуру эффективного реагирования на нештатные ситуации, позволяющую минимизировать воздействие таких ситуаций на организацию;
• имеет возможность управлять рисками, не подлежащими страхованию;
• содействует совместной работе различных групп;
• способна продемонстрировать эффективность процедур реагирования посредством их тестирования;
• может улучшить свою репутацию;
• может получить конкурентное преимущество, которое дает продемонстрированная способность обеспечивать непрерывность поставок.

Результаты реализации эффективной программы управления непрерывностью деятельности

Реализация эффективной программы управления непрерывностью деятельности позволяет добиться следующих результатов:

• идентифицированы и защищены основные продукты и услуги, что гарантирует непрерывность их поставки;
• используются средства управления инцидентами, что позволяет обеспечить эффективное реагирование;
• надлежащим образом собраны, документированы и проанализированы основные сведения о самой организации и ее отношениях с другими организациями, необходимыми регулирующими органами или правительственными учреждениями, местными органами власти и аварийными службами;
• персонал обучен эффективно реагировать на инциденты или нештатные ситуации с помощью надлежащего тестирования;
• требования заинтересованных сторон проанализированы и могут быть выполнены;
• в случае нештатной ситуации персонал получает надлежащую поддержку и необходимые контакты;
• обеспечивается надежность цепочки поставок организации;
• обеспечивается защита репутации организации;
• обеспечивается выполнение организацией правовых и нормативных обязательств.

Что подразумевается под процессом управления непрерывностью деятельности (BCM)?

К настоящему моменту наибольшее распространение в мире получил стандарт BS 25999 Business Continuity Management. С высокой долей вероятности именно он послужит основой для международного стандарта управления непрерывностью деятельности, который, несомненно, появится в скором будущем. По этой причине дальнейшее изложение в данной статье будет опираться, в основном, именно на этот стандарт.

Рисунок 3. Жизненный цикл процесса управления непрерывностью деятельности согласно стандарту BS25999

В этом стандарте приведено следующее определение процесса управления непрерывностью деятельности: «Целостный процесс управления, в рамках которого идентифицируются потенциальные угрозы деятельности организации, оцениваются возможные воздействия на бизнес-операции в случае осуществления этих угроз, а также создается основа для обеспечения способности организации восстанавливать свою деятельность и эффективно реагировать на инциденты, что позволяет гарантировать соблюдение интересов заинтересованных сторон, обеспечить защиту репутации, бренда и создающих стоимость операций».

Этот процесс нельзя свести к аварийному восстановлению, или к кризисному управлению, или к управлению рисками, или восстановлению технической архитектуры. К нему нельзя относиться как к области деятельности узкой группы специалистов. Напротив, инициатором и движущей силой этого процесса должно быть высшее руководство организации. Управление непрерывностью деятельности охватывает все стороны деятельности организации и тесно связано с самым широким кругом дисциплин менеджмента.

Рисунок 4. Области деятельности организации, охватываемые процессом управления непрерывностью

Приведем описание жизненного цикла процесса управления непрерывностью деятельности. Цикл включает шесть элементов, которые могут быть реализованы организациями любого масштаба, функционирующими в любом секторе экономики: государственном, частном, некоммерческом, образовательном, производственном и т.д. Хотя область применения и структура программы построения процесса управления непрерывностью деятельности могут варьироваться, а объем затраченных усилий будет зависеть от потребностей конкретной организации, указанные шесть элементов всегда должны присутствовать.

Этап 1. Управление программой построения процесса обеспечения непрерывности деятельности

Согласно определению, программой называется план деятельности, совокупность действий и мероприятий для достижения намеченной цели.

В данном случае правильнее говорить не об отдельном проекте, а именно о программе, поскольку построение процесса обеспечения непрерывности деятельности является широкомасштабной задачей, охватывающей самые различные области деятельности организации, многие подразделения и разные уровни руководства. Управление программой абсолютно необходимо рассматривать как отдельную важную задачу. Недостаток внимания к вопросам управления приведет к тому, что действия в рамках программы окажутся нескоординированными, и в результате станет невозможно оценивать эффективность выполнения работ и значимость достигнутых результатов, достоверно проверять работоспособность реализованных мер, своевременно модернизировать используемые решения и проверять готовность сотрудников к действиям в чрезвычайной ситуации. Если руководители компании считают работу в рамках данной программы излишней обузой, то чего же тогда можно ожидать от рядовых сотрудников? Если процессом не руководить, участники быстро теряют интерес и всякое желание принимать участие в проектах, появившихся в рамках программы.

Опыт множества проектов свидетельствует, что одной из первых задач на этом этапе является формализация целей организации в области обеспечения деятельности и составление политики обеспечения непрерывности. В этом документе отражается степень важности, которую придает обеспечению непрерывности высшее руководство организации, и общие принципы, в соответствии с которыми должна обеспечиваться непрерывность деятельности.

Для того чтобы оценить качество управления программой обеспечения непрерывности деятельности в организации, следует ответить, например, на ряд следующих вопросов:

• чувствуют ли менеджеры организации собственную ответственность за обеспечение непрерывности своей деятельности?
• выделяется ли собственный бюджет на деятельность в рамках программы?
• отслеживается ли влияние происходящих в организации изменений на возможность обеспечения непрерывности деятельности?
• есть ли в компании налаженный процесс составления отчетов о состоянии дел с обеспечением непрерывности деятельности?
• есть ли информационная система, в которой фиксируется и хранится вся информация, относящаяся к внедрению, поддержанию и модернизации процесса обеспечения непрерывности деятельности?
• существуют ли процедуры, гарантирующие соответствие организации договорным обязательствам и требованиям законодательства и нормативных актов?
• участвует ли в программе внутренняя служба аудита?
• отражаются ли происходящие в организации изменения в планах аварийного восстановления?

Если положительный ответ можно дать не на все вопросы, значит, есть над чем работать.

Следует заметить, что в рамки управления входят как процесс восстановления деятельности в случае наступления чрезвычайной ситуации, так и процесс создания и постоянного обновления организационных и технических мер, обеспечивающих возможность этого восстановления.

Этап 2. Анализ организации

Действия, выполняемые на данном этапе, обеспечивают сбор информации, которая позволяет расставить приоритеты среди продуктов и услуг, предоставляемых клиентам организации, а также определить первоочередные действия, необходимые для предоставления этих продуктов и услуг.

Собираемая информация должна помочь ответить на следующие вопросы:

• какие бизнес-цели, стоящие перед организацией, расцениваются как самые важные?
• какие продукты, услуги появляются в результате достижения этих бизнес-целей?
• какие внешние и внутренние ресурсы, технологические или бизнес-процессы необходимы для достижения важных бизнес-целей?
• за какой период времени или с какой периодичностью требуется достигать выбранных бизнес-целей?
• какой уровень риска организация считает для себя приемлемым?

Решение о приемлемом уровне риска должно быть не интуитивным, а осознанным. Руководство организации должно четко осознать масштаб и серьезность существующих рисков перед тем, как документально подтвердить свою готовность рисковать.

Кроме того, для каждого бизнес-процесса организации, непрерывность которого должна быть обеспечена, определяются количественные параметры его восстановления. К таким параметрам относятся:

• RTO (Recovery Time Objective, целевое время восстановления) — промежуток времени с момента наступления чрезвычайной ситуации, за который выполнение критичного бизнес-процесса должно быть восстановлено. Сегодня уровень развития технологий позволяет обеспечить почти мгновенное восстановление, по крайней мере, технической инфраструктуры, поддерживающей данный бизнес-процесс. Однако надо принимать во внимание, что стоимость таких решений весьма высока и может превышать ценность самого бизнес-процесса;
• RPO (Recovery Point Objective, целевая точка восстановления) — промежуток времени, предшествующий наступлению чрезвычайной ситуации, данные за который могут быть утрачены. Например, если резервная копия данных создается один раз в сутки, то в случае наступления ЧС все данные, поступившие после последнего создания резервной копии, будут утрачены. Сегодня существуют технические возможности свести к нулю потери данных в случае возникновения критической ситуации. Как и в предыдущем пункте, необходимо тщательно изучить все сильные и слабые стороны применения таких технологий;
• LBC (Level of Business Continuity) — уровень непрерывности бизнеса. Этот параметр восстановления описывает, какую долю штатной нагрузки должен обеспечивать бизнес-процесс в случае ЧС. Возможен случай, когда в кризисной ситуации будет достаточно восстановить только 50% производительности в штатном режиме.

Рисунок 5. Параметры, количественно описывающие процесс восстановления

Полученные ответы на следующем этапе позволят определить выбор такой стратегии обеспечения непрерывности деятельности, которая наилучшим образом будет соответствовать политике обеспечения непрерывности.

Этап 3. Определение стратегии обеспечения непрерывности деятельности

Стратегия обеспечения непрерывности должна предусматривать решение целого ряда задач:

• обеспечение безопасности сотрудников;
• обеспечение персонала рабочими помещениями;
• обеспечение техническими средствами;
• обеспечение доступа к необходимой информации;
• обеспечение необходимыми материалами;
• обеспечение взаимодействия с бизнес-партнерами, подрядчиками, поставщиками, клиентами и другими заинтересованными сторонами.

Для решения каждой из этих задач вырабатывается собственная стратегия, нацеленная на достижение параметров восстановления, определенных на предыдущем этапе.

Работы по обеспечению непрерывности в случае наступления чрезвычайной ситуации можно условно разбить на три фазы:

• реагирование на событие — эвакуация персонала и оборудования, вызов аварийных служб;
• обеспечение непрерывности критичных бизнес-процессов — продолжение выполнения наиболее важных бизнес-процессов в кризисных условиях, например, в новом помещении;
• восстановление штатного выполнения всех бизнес-процессов — возвращение в старое помещение или восстановление бизнеса на новом месте в полном объеме.

Для каждой из этих фаз может потребоваться разработка своего набора стратегий.

Рисунок 6. Этапы восстановительных работ в случае чрезвычайного происшествия

Этап 4. Разработка и внедрение процедур реагирования

Результатом разработки и внедрения процедур реагирования процесса управления непрерывностью деятельности является создание инфраструктуры управления и структуры управления инцидентами, планов обеспечения непрерывности деятельности и планов восстановления деятельности, в которых подробно определяются действия, которые необходимо предпринять во время или после инцидента для поддержки или восстановления функционирования.

Природа инцидента может оказаться столь неожиданной, что организация окажется неподготовленной именно к такому развитию событий, даже если она предусмотрела тщательно проверенные ответные меры против ожидаемого уровня ущерба. Поэтому крайне важно, чтобы руководство организации и вспомогательные структуры не следовали бездумно существующему плану, а принимали решения в зависимости от обстоятельств. План обеспечения непрерывности деятельности никогда не заменит решений квалифицированных и компетентных специалистов.

В качестве примера можно привести американскую корпорацию Merill Lynch, центральные офисы которой находились в непосредственной близости от башен Всемирного торгового центра. За несколько месяцев до 11 сентября 2001 года корпорация проводила масштабные учения, в ходе которых имитировалась недоступность зданий штаб-квартиры в результате аномальных снегопадов. Мысль о том, что здания могут быть полностью или частично разрушены, конечно, никому не могла прийти в голову. Однако благодаря тому, что процесс управления обеспечением непрерывности был внедрен в компании, а все, кто мог, участвовали в восстановительных работах, испытаниях и тестах, деятельность компании была восстановлена в течение недели, и перерыв оказал минимальное влияние на бизнес (Рис. 7).

Рисунок 7. Схема расположения зданий компании Merill Lynch и степень их разрушения

Этап 5. Тестирование, поддержка и пересмотр мероприятий процесса управления непрерывностью деятельности

Тестирование, поддержка, пересмотр и аудит системы управления непрерывностью деятельности обеспечивают для организации возможности, представленные в Таб. 1.

Таблица 1.

Настольная проверка проводится в виде диалога между автором и, как правило, еще одним участником. Она также может быть применена к техническим компонентам, таким как таблицы конфигурации, и индивидуальным планам восстановления.

Настольная проверка обычно выявляет в проверяемом документе серьезные дефекты или неверные допущения и является быстрой, простой и дешевой.

Из-за небольшого количества участников и отсутствия проверки на практике не могут быть выявлены более мелкие изъяны.

Сквозной анализ является более тщательной проверкой и выполняется большим количеством участников. Тестирование может иметь форму:

• чтения;
• рецензирования;
• диалога/проверочных вопросов;
• разбора определенного сценария (если это возможно).

Сквозной анализ является минимальным уровнем тестирования для документации и планов аварийного восстановления, предназначенных для групп.

Выявляет все серьезные дефекты или неверные допущения. Допускает введение сценария, т.е. принимается набор условий (сценарий) и содержание документа тестируется в предположении реализации этих условий.

В тестировании принимают участие не все, кто будет применять документ на практике, оно осуществляется виртуальным образом, поэтому не позволяет выявить мелкие недочеты и несогласованность действий большого количества людей.

Имитация предназначена для создания псевдоаварийной ситуации для одного конкретного элемента ИТ-инфраструктуры, например, путем отключения одного сервера. Именно так тестируются прикладные системы, ОС и физические компоненты ИС, а также документы, описывающие их восстановление. Данный тип тестирования позволяет доказать, что компоненты ИС могут действовать в соответствии с требованиями, предъявляемыми после возникновения аварии.

Позволяет использовать блочный подход, т.е., когда сначала могут быть протестированы базовые (небольшие) компоненты, которые затем будут встроены в более крупные, более сложные системы и среды.

Данный тип тестирования может послужить хорошей основой для тестирования управления в кризисной ситуации, т.е. когда планы и действия управляющих в кризисной ситуации тестируются в предположении реализации некоторого набора условий.

Данный тип тестирования не всегда полностью доказывает абсолютную работоспособность, т.к. отсутствуют стресс и жесткие временные рамки аварийной ситуации и, таким образом, он не позволяет протестировать человеческий фактор.

Функциональное тестирование При данном типе тестирования, как правило, одна из бизнес-функций целиком восстанавливается и выполняется на резервном оборудовании/резервной площадке.

Позволяет доказать работоспособность и достаточный уровень взаимодействия:

• команд аварийного восстановления ИТ-сервисов;
• компонентов ИС;
• сетевых соединений;
• процессов инициации;
• планов аварийного восстановления ИТ-сервисов;
• связей с процессом управления в кризисной ситуации.

Данный тип тестирования может быть дорогостоящим, а отделение одной бизнес-функции от остальных не всегда возможно. Связанные с функциональным тестированием проблемы могут иметь разрушительные последствия.

Полное тестирование Имитируется полная потеря вычислительного центра/здания/офиса и тестируется весь процесс восстановления. При данном типе тестирования, как правило, все бизнес-функции будут восстановлены на резервном оборудовании/в РВЦ. Также могут быть протестированы/натренированы связи процесса инициации и управления в кризисной ситуации.

Позволяет убедиться в полной интеграции всех ИТ-компонентов, команд аварийного восстановления, планов аварийного восстановления и услуг по поддержке/поставкам со стороны третьих компаний.

Данный тип тестирования может быть очень дорогостоящим и очень разрушительным. Кроме того, риск провала может значительно превышать преимущества выполнения полного тестирования.

Этап 6. Встраивание процесса управления непрерывностью деятельности в культуру организации

Внедрение процесса управления непрерывностью деятельности в культуру организации дает много положительных моментов. В ряде высокотехнологичных отраслей, таких как телекоммуникации, непрерывность деятельности является не просто потребностью бизнеса, но и требованием законодательства. Временное непредоставление услуг вне зависимости от причин, вызвавших этот перерыв, может привести к отзыву лицензии и, следовательно, полному прекращению деятельности. Изменение корпоративной культуры является длительным и сложным процессом. Написания стратегий и планов будет явно недостаточно.

Для достижения успеха на этом этапе действовать надо в нескольких направлениях. Во-первых, до сотрудников следует донести смысл и важность работ по обеспечению непрерывности. Причем это обучение необходимо проводить регулярно. Одновременно с этим необходимо тренировать навыки, которые потребуются сотрудникам в случае наступления ЧС.

Вторым важным компонентом успеха служит явная активная поддержка работ по внедрению и поддержанию этого процесса со стороны менеджмента всех уровней. Поддержка со стороны только высшего руководства — есть необходимое, но не достаточное условие успеха. Пассивное сопротивление со стороны руководителей среднего звена и рядовых сотрудников, на кого ляжет существенная доля нагрузки по внедрению процесса, может стать непреодолимым препятствием на пути к успешному внедрению.

Третьим важным соображением является то, что даже в технологических компаниях процесс обеспечения непрерывности деятельности не должен рассматриваться как задача исключительно ИТ- или других технических подразделений. Необходимо регулярно проводить работу по донесению до бизнес-подразделений мысли, что задача обеспечения непрерывности бизнеса не может быть решена без их участия.

Перед тем как принимать решение о внедрении в организации этого процесса, в числе прочего руководству придется подумать о том, следует ли привлечь к этой работе внешних консультантов, или постараться справиться собственными силами. Наличие ресурсов и опыт внедрения подобных программ, масштаб организации и сложность ее бизнес-процессов — эти и множество других факторов должны быть взвешены и учтены. Каждая ситуация уникальна, поэтому невозможно дать однозначную рекомендацию, которая подошла бы всем и каждому. Выскажем лишь несколько общих соображений, которые могут оказаться полезными.

Какие еще вопросы предстоит решать в ходе работ по обеспечению непрерывности деятельности организации?

Помощь консультантов может оказаться полезной в том случае, если:

• собственный опыт в нужной области отсутствует или является недостаточным;
• не хватает ресурсов, скорее всего — свободных рук, для выполнения работ самостоятельно;
• хочется организовать работу/ построить процесс в соответствии с лучшими отраслевыми или мировыми практиками.

Внешние консультанты могут:

• руководить командой, направлять и координировать усилия сотрудников заказчика в нужном направлении;
• тренировать, обучать, передавая свой опыт, полученный в сходных проектах;
• планировать дальнейшие шаги благодаря владению методикой и наличию опыта;
• выполнять все работы, которые не могут быть выполнены сотрудниками заказчика (здесь следует отметить, что речь не идет о том, чтобы «увиливать» от выполнения договорных обязательств или «перекладывать» работу на других участников проекта. Одна из задач проектов по внедрению процесса управления обеспечением непрерывности деятельности состоит в передаче консультантами знаний и навыков, необходимых для поддержания этого процесса, сотрудникам заказчика);
• проверять результаты выполненных работ;
• исправлять допущенные ошибки, неверные предположения и планы, которые могут привести к проблемам в будущем. Среди наиболее распространенных ошибок можно упомянуть переоценку или недооценку рисков, делегирование задачи управления проектом внедрения BCM руководителям без необходимых полномочий, недооценка скорости изменений, происходящих в компании.

Задача привлечения консультанта тесно связана с задачей построения команды. Тот, на кого падет выбор, должен усилить команду, если она уже существует, или обязан соответствовать представлению о том, как должна выглядеть такая команда. Необходимо четко сформулировать для себя, какие задачи необходимо решить консультантам, после чего удостовериться, что их понимание поставленных задач совпадает с вашим. Однако возможна ситуация, когда одной из задач, стоящих перед консультантами, окажется та самая формулировка целей. В таком случае, ваш взгляд на цели и пути их достижения, вероятно, изменится с учетом рекомендаций консультантов.

Желательно, чтобы консультант обладал большим и успешным опытом предоставления услуг, которые планирует оказывать. Совсем хорошо, если его квалификация подтверждена сертификатами международных организаций, специализирующихся в предоставлении услуг подобного рода.

Будьте реалистичны в своих ожиданиях. При всем желании консультанты не сделают за вас всю работу, как и тренер не будет выступать вместо спортсмена, режиссер не будет играть вместо актера, а учитель не будет решать задачи вместо ученика. Для достижения поставленных целей требуется совместная работа, поэтому консультант нуждается в кооперации с вашей стороны не меньше, чем вы в его помощи.

Опыт компании «Инфосистемы Джет»

Вот уже больше 15 лет компания «Инфосистемы Джет» предоставляет услуги системной интеграции. С годами клиенты компании стали проявлять все больший интерес к разнообразным консультационным услугам, в том числе к обеспечению отказоустойчивости информационных комплексов и непрерывности их деятельности, аварийному восстановлению функционирования и информационной безопасности. В пользе наличия процессов обеспечения непрерывности деятельности компания убедилась на собственном опыте, пережив в 2003-м году пожар и успешно пройдя все шаги восстановления бизнеса.

Рисунок 8. Кадры из ставшего уже историческим фильма о пожаре в компании «Инфосистемы Джет»

Приобретя практический опыт, специалисты компании «Инфосистемы Джет» занялись активным расширением теоретических и методических основ обеспечения непрерывности бизнеса. Работа в совместных проектах с западными консультантами, изучение специальной литературы, посещение международных выставок, участие в конференциях, посвященных аварийному восстановлению и обеспечению непрерывности, — все это гарантирует высокое качество работ по обеспечению непрерывности на уровне лучших международных образцов.

Усилия по повышению качества предоставляемых услуг закономерно привели к тому, что ряд сотрудников компании стал членами британского Института непрерывности бизнеса (Business Continuity Institute). На сегодня это учреждение является лидером в области BCM, членами этой организации являются более 4000 специалистов из более чем 85 стран мира. На момент написания статьи более четверти всех сертифицированных этим институтом российских специалистов являются сотрудниками компании «Инфосистемы Джет». На их счету много реализованных проектов в области обеспечения высокой доступности сервисов, аварийного восстановления, обеспечения непрерывности деятельности в крупных российских финансовых и телекоммуникационных компаниях. Ниже приведены описания некоторых из этих проектов.

ОАО «Вымпелком»

Зависимость бизнеса от качества и доступности ИТ-сервисов вызвала необходимость разработать и внедрить стратегию обеспечения непрерывности предоставления ИТ-услуг, которая является частью стратегии обеспечения непрерывности бизнеса.

Для решения этой задачи к проекту были подключены команда компании «Инфосистемы Джет» и специалисты Symantec Consulting Services, выделенного коллектива консультантов компании Symantec.

По масштабу и бюджету это одна из крупнейших в мире программ послеаварийного восстановления и обеспечения непрерывности ИТ-услуг, позволяющая ОАО «ВымпелКом» снизить уровень рисков для бизнеса, защитить активы и минимизировать последствия аварий.

На первом этапе проекта было проведено подробное обследование информационных систем ВымпелКома с точки зрения их влияния на бизнес. Разработана общая стратегия восстановления ИТ-услуг и высокоуровневый план реализации проекта.

Далее работы велись в двух направлениях.

Во-первых, специалисты компании «Инфосистемы Джет» спроектировали и внедрили технические решения, обеспечивающие реализацию разработанной стратегии восстановления ИТ-услуг: построили и оснастили резервный центр, за счет кластеризации обеспечили бесперебойность работы критических бизнес-приложений, с помощью синхронной репликации – высокую доступность данных, с помощью удаленного резервного копирования – сохранность данных. Во-вторых, совместными усилиями консультантов Symantec и «Инфосистем Джет» были разработаны методики и планы обеспечения непрерывности предоставления ИТ-услуг в соответствии со спецификацией PAS56.

Обеспечение непрерывности ИТ-услуг – это одна из важнейших задач, решаемых ИТ-дирекцией ВымпелКома. Проводится регулярное обновление планов и методик, тестирование компонентов, обеспечивающих непрерывность предоставления ИТ-услуг. Проект развивается, и в настоящее время идет разработка всеобъемлющей стратегии обеспечения непрерывности бизнеса. В этот процесс будут вовлечены техническая дирекция компании и ее бизнес-подразделения. Реализация проекта позволит гарантированно восстанавливать предоставление бизнес-услуг в согласованное время при наступлении чрезвычайной ситуации.

В главном вычислительном центре (ГВЦ) работают около 300 RISC-серверов Sun Microsystems, объединенных сетью хранения данных с дисковыми массивами. В этой среде емкостью более 300 ТБ работает большинство основных приложений ВымпелКома, включая такие критически важные, как система самообслуживания клиентов, системы биллинга и управления взаимоотношениями с клиентами и партнерами. Резервный вычислительный центр (РВЦ) спроектирован таким образом, чтобы обеспечить резервирование всех критичных для бизнеса систем и приложений.

В рамках проекта специалисты компании «Инфосистемы Джет» спроектировали и построили новую сеть хранения (SAN) ГВЦ с полным дублированием сетевого оборудования и магистралей (более 2000 портов) и распределенную сеть хранения ГВЦ-РВЦ, распределенную систему резервного копирования на более чем 300 серверов с общей емкостью копируемых данных более 1ПБ, высокоскоростную транспортную сеть между ГВЦ и РВЦ на основе технологии DWDM, обеспечивающую синхронную репликацию более 20ТБ данных; более 10 распределенных кластеров для бесперебойного функционирования наиболее критичных бизнес-приложений (биллинг, CRM и др.), инженерную и ИТ-инфраструктуру РВЦ.

Для обеспечения антикризисного управления для персонала ВымпелКома консультантами Symantec были разработаны практические процедуры, тренинги и документация, основывающиеся на спецификации PAS56 и передовом мировом опыте.

ОАО «Межрегиональный ТранзитТелеком»

Целью проекта в ОАО «МТТ» стала разработка стратегии обеспечения непрерывности и плана аварийного восстановления ИТ-сервисов центрального офиса ОАО «МТТ».

В соответствии с требованиями заказчика, организация должна была получить разработанные планы действий на случай непредвиденных обстоятельств, а также процедуры и политики, обеспечивающие восстановление критических для деятельности организации систем, поддерживаемых внешним поставщиком (провайдером) услуг. Внутренними документами должен был быть определен порядок проверки этих планов в части их выполнимости в случаях возникновения непредвиденных обстоятельств, а также перечень непредвиденных обстоятельств, в отношении которых разрабатываются планы действий.

В рамках данного проекта были выполнены следующие работы:

1. составлен перечень непредвиденных обстоятельств, которые могут вызвать длительный перерыв в деятельности;
2. составлен список критичных ИТ-сервисов центрального офиса ОАО «МТТ», необходимых для обеспечения деятельности заказчика, в предоставлении которых длительный перерыв недопустим;
3. представлено описание ИТ-инфраструктуры и дана оценка реальных значений показателей RTO/RPO для существующей ИТ-инфраструктуры;
4. описан порядок действий персонала заказчика при выходе из строя отдельных ИТ-сервисов и отдельных серверных помещений;
5. описана стратегия тестирования плана аварийного восстановления и элементов ИТ-инфраструктуры.

Результатами данного проекта стали разработанная стратегия и планы аварийного восстановления. Проведенные тренинги послужили начальным шагом по внедрению процесса обеспечения непрерывности в корпоративную культуру ОАО «МТТ».

Читайте также

это уже не магазин ;Татьяна Вандышева;https://www.jetinfo.ru/autor/tatiana-vanfysheva/;https://www.jetinfo.ru/laboratoriya-stoit-15-mln-rublej-i-ne-prinosit-siyuminutnoj-pribyli-no-dlya-kompanii-eto-shans-vyjti-na-ustojchivoe-razvitie/;;|Когда-то топ-менеджмент уделял инновациям 3% своего времени, а теперь 20-30% ;Василий Тарасевич;https://www.jetinfo.ru/speakers/vasilij-tarasevich/;https://www.jetinfo.ru/interviews/pyatiletnie-strategii-menyayutsya-na-ne-provalitsya-zdes-i-sejchas/;;|Решили самостоятельно внедрять iiot? не удивляйтесь, но вас могут посадить.;Сергей Андронов;https://www.jetinfo.ru/autor/sergej-andronov/;https://www.jetinfo.ru/interviews/reshili-samostoyatelno-vnedryat-iiot-ne-udivlyajtes-no-vas-mogut-posadit/;;| 11 млн запросов в час поступало на сайт «утконос» в марте 2020 г.;Антон Тарабрин;https://www.jetinfo.ru/speakers/anton-tarabrin/;https://www.jetinfo.ru/interviews/konkurencziya-drajvit-e-com-rynok/;;| 4 часа потребовалось «делимобиль», чтобы перейти на удаленную работу в марте 2020 г.;Дмитрий Рязанов;https://www.jetinfo.ru/speakers/dmitrij-ryazanov/;https://www.jetinfo.ru/interviews/karshering-eto-didzhital-produkt/;;| 150-200 млн руб может сэкономить за 5 лет крупный ритейлер благодаря омниканальным решениям;Александр Воронцов;https://www.jetinfo.ru/autor/aleksandr-voronczov/;https://www.jetinfo.ru/idealnyj-omniritejler-kakoj-on/;;|Мошенники могут монетизировать похищенные баллы программ лояльности и получить от 30 до 50% их номинальной стоимости.;Алексей Сизов;https://www.jetinfo.ru/autor/aleksei_sizov/;https://www.jetinfo.ru/moshennichestvo-v-programmah-loyalnosti/;;| Более 10% годового дохода инвестирует в исследования Huawei ;Алексей Емельянов;https://www.jetinfo.ru/speakers/aleksej-emelyanov/;https://www.jetinfo.ru/interviews/nelzya-prosto-vzyat-i-dokupit-ibp-no-esli-modulnyj-to-mozhno/;;| 57 видов личных данных будут храниться в «Цифровом профиле» клиента банка.;Денис Кузнецов;https://www.jetinfo.ru/speakers/denis-kuzneczov/;https://www.jetinfo.ru/interviews/skb-bank/;;| Людей можно мотивировать не только деньгами , но и задачами. Иначе войну рублями можно вести бесконечно ;Александр Сабуров;https://www.jetinfo.ru/speakers/aleksandr-saburov/;https://www.jetinfo.ru/interviews/data-sajentistov-u-kotoryh-est-dostup-k-ozeru-my-znaem-v-liczo/;;| Задача катастрофоустойчивости не решена ни в одной финансовой организации Казахстана, поэтому наш проект уникален ;Сергей Караханов;https://www.jetinfo.ru/speakers/sergej-karahanov/;https://www.jetinfo.ru/interviews/novye-servisy-my-vnedryaem-tolko-v-kontejnerah-kak-ustroena-it-infrastruktura-sberbanka-v-kazahstane/;;| Вместо «информационных систем» у нас появляется все больше «ИТ-сервисов» и «микросервисов» ;Сергей Караханов;https://www.jetinfo.ru/speakers/sergej-karahanov/;https://www.jetinfo.ru/interviews/novye-servisy-my-vnedryaem-tolko-v-kontejnerah-kak-ustroena-it-infrastruktura-sberbanka-v-kazahstane/;;| Сейчас инструменты DG легче «приземлить» на реальный бизнес, поэтому их используют в телекоме, логистике, на производстве ;Роман Шемпель;https://www.jetinfo.ru/speakers/roman-shempel/;https://www.jetinfo.ru/interviews/vnedryat-data-governance-pora-kogda-top-menedzhery-perestayut-doveryat-otchetam/;;| А что если ваш конкурент прямо сейчас заказывает сервер в облаке, пока вы обсуждаете, где взять ресурсы для проекта? ;Вячеслав Медведев;https://www.jetinfo.ru/autor/viacheslav-medvedev/;https://www.jetinfo.ru/kak-perejti-v-oblako-i-ne-oblazhatsya/;;| Все чаще в кабинете CIO дашборд «Количество дней без аварий» меняется на «Количество релизов за день» ;Илья Воронин;https://www.jetinfo.ru/autor/ilya_voronin/;https://www.jetinfo.ru/bolshoj-infrastrukturnyj-perehod/;;| 4 из 10 российских компаний хотя бы раз подвергались атакам программ-вымогателей;Роман Харыбин;https://www.jetinfo.ru/autor/roman-harybin/;https://www.jetinfo.ru/kak-nastroit-infrastrukturu-chtoby-zashhititsya-ot-virusov-shifrovalshhikov/;;| Более 400 млн руб. за три года выделила ОМК на научные разработки;Александр Мунтин;https://www.jetinfo.ru/speakers/aleksandr-muntin/;https://www.jetinfo.ru/interviews/samoe-vazhnoe-umenie-prizemlit-razrabotki-na-realnoe-proizvodstvo/;;| У 93% компаний есть выделенные эксперты для проактивного поиска угроз;Александр Ахремчик, Алла Крджоян;https://www.jetinfo.ru/autor/aleksandr-ahremcnik/;https://www.jetinfo.ru/kak-organizovat-threat-hunting/;Алла Крджоян;https://www.jetinfo.ru/autor/alla-krdzhoyan/| Чтобы эффективно реагировать на угрозы, нужно быть проактивным — этот принцип лежит в основе Threat Hunting. ;Александр Ахремчик;https://www.jetinfo.ru/autor/aleksandr-ahremcnik/;https://www.jetinfo.ru/kak-organizovat-threat-hunting/;Алла Крджоян;https://www.jetinfo.ru/autor/alla-krdzhoyan/| 53% сотрудников российских компаний считают биометрию удобнее других методов идентификации. ;Алексей Кузьмин;https://www.jetinfo.ru/autor/aleksej-kuzmin/;https://www.jetinfo.ru/kak-sotrudniki-kompanij-otnosyatsya-k-biometrii-issledovanie-infosistemy-dzhet/;;| 38% сотрудников российских компаний не готовы ни под каким предлогом предоставить работодателям свою биометрию. ;Алексей Кузьмин;https://www.jetinfo.ru/autor/aleksej-kuzmin/;https://www.jetinfo.ru/kak-sotrudniki-kompanij-otnosyatsya-k-biometrii-issledovanie-infosistemy-dzhet/;;|В 250 раз выросло количество противоправных действий в сфере высоких технологий за последние 10 лет. ;Алексей Сизов;https://www.jetinfo.ru/autor/aleksei_sizov/;https://www.jetinfo.ru/o-bankovskom-moshennichestve-v-czelom-i-mnogoobrazii-vnutrennego-v-chastnosti/;;|Всего 40% выданных прав доступа в среднем использует линейный сотрудник банка. ;Алексей Сизов;https://www.jetinfo.ru/autor/aleksei_sizov/;https://www.jetinfo.ru/o-bankovskom-moshennichestve-v-czelom-i-mnogoobrazii-vnutrennego-v-chastnosti/;;| Jet Detective агрегирует сотни тысяч операций в минуту из множества источников — от сетевых каналов до бизнес-систем — и оперативно проводит анализ каждого события. ;Алексей Сизов;https://www.jetinfo.ru/autor/aleksei_sizov/;https://www.jetinfo.ru/o-bankovskom-moshennichestve-v-czelom-i-mnogoobrazii-vnutrennego-v-chastnosti/;;|В 2,5 раза выросло количество атак на e-comm и сферу развлечений весной 2022 г. по сравнению с 2021-м. ;Александр Морковчин;https://www.jetinfo.ru/autor/aleksandr-morkovchin/;https://www.jetinfo.ru/ne-preryvaemsya-10-shagov-k-nepreryvnosti-biznesa/;Алексей Джураев;https://www.jetinfo.ru/autor/aleksej-dzhuraev/| В ближайшем будущем мы увидим реализацию ИБ-атак, подготовка к которым началась после 24 февраля. Вполне возможно, самое страшное уже позади, а самое сложное — впереди. ;Алексей Мальнев;https://www.jetinfo.ru/autor/aleksei-malnev/;https://www.jetinfo.ru/samoe-strashnoe-uzhe-pozadi-a-samoe-slozhnoe-vperedi-ugrozy-2022-glazami-jet-csirt/;;| Порядка 90% значимых ИБ-инцидентов сегодня приходится на социальную инженерию и атаки внешнего периметра компаний. ;Алексей Мальнев;https://www.jetinfo.ru/autor/aleksei-malnev/;https://www.jetinfo.ru/samoe-strashnoe-uzhe-pozadi-a-samoe-slozhnoe-vperedi-ugrozy-2022-glazami-jet-csirt/;;| На 50% дороже в среднем стоят сотрудники, которые умеют работать с открытым кодом.;Евгений Вызулин;https://www.jetinfo.ru/autor/evgenij-vyzulin/;https://www.jetinfo.ru/open-source-v-soc/;;| В SIEM-системе компании, где работают около 1000 сотрудников , в среднем регистрируется до 10 000 событий в секунду. Только за день в таком потоке будет выплывать более 100 подозрительных активностей. ;Гурген Цовян;https://www.jetinfo.ru/autor/gurgen-czovyan/;https://www.jetinfo.ru/para-slov-ob-xdr/; Ринат Сагиров;https://www.jetinfo.ru/autor/rinat-sagirov/| Внедрение DLP — это не разовый проект, а процесс , который нужно легализовать, поддерживать и модифицировать вместе с развитием компании ;Екатерина Краснова;https://www.jetinfo.ru/autor/ekaterina-krasnova/;https://www.jetinfo.ru/dlp-otnosheniya-ot-rabochej-rutiny-do-sudebnyh-proczessov/;;| Лучший ответ, который ИБ может дать на вопрос о приоритетах в защите, — это «мы не знаем и не можем знать». Приоритеты может расставить только руководство компании. ;Андрей Янкин;https://www.jetinfo.ru/autor/andrej-yankin/;https://www.jetinfo.ru/horoshaya-bezopasnost-rabotaet-s-lyudmi/;;|SOC можно запустить за 30 рабочих дней. ;Ринат Сагиров;https://www.jetinfo.ru/autor/rinat-sagirov/;https://www.jetinfo.ru/soc-za-chetyre-nedeli-a-chto-tak-mozhno-bylo/;;| «Меня это не касается» — очень распространенное заблуждение. Если вы еще не сталкивались с угрозой, это не значит, что от нее не нужно защищаться. ;Никита Ступак;https://www.jetinfo.ru/autor/nikita-stupak/;https://www.jetinfo.ru/zashhishhaemsya-ot-ddos-kejsy-i-sovety-infosistemy-dzhet/;;| Уже есть кейсы, когда российские компании заявляли о вредительских действиях зарубежным регуляторам и регистраторам, на что им приходил ответ: «Мы не рассматриваем заявления из России». ;Сергей Гук;https://www.jetinfo.ru/speakers/sergej-guk/;https://www.jetinfo.ru/interviews/sezon-ohoty-na-russkie-informsistemy/;;| С острой фазой кризиса ИБ-отрасль уже справилась. Но сможем ли мы добиться отмены сезона охоты на русские информсистемы? ;Сергей Гук;https://www.jetinfo.ru/speakers/sergej-guk/;https://www.jetinfo.ru/interviews/sezon-ohoty-na-russkie-informsistemy/;;| Российский ИБ-рынок гораздо более зрелый, чем рынок ИТ-продуктов. Да, не все средства защиты эффективны настолько, насколько бы хотелось, но они есть, и с этим можно работать. ;Сергей Барбашин;https://www.jetinfo.ru/speakers/sergej-barbashin/;https://www.jetinfo.ru/interviews/effekt-zarubezhnogo-banka-rosbank-v-novoj-ib-realnosti/;;|Не существует более или менее опасных атак — все угрозы равноценны. ;Сергей Барбашин;https://www.jetinfo.ru/speakers/sergej-barbashin/;https://www.jetinfo.ru/interviews/effekt-zarubezhnogo-banka-rosbank-v-novoj-ib-realnosti/;;|Главный вызов — развеять миф о том, что ИБ-угрозы как микробы: не вижу, значит, их нет. ;Дмитрий Балдин;https://www.jetinfo.ru/speakers/dmitrij-baldin/;https://www.jetinfo.ru/interviews/bez-pilotirovaniya-my-nichego-ne-vnedryaem-eto-vnutrennee-tabu-informaczionnaya-bezopasnost-v-rusgidro/;;| Российское ПО прошло уровень «сырых продуктов» — в основном это достаточно хорошие коробочные решения.;Дмитрий Балдин;https://www.jetinfo.ru/speakers/dmitrij-baldin/;https://www.jetinfo.ru/interviews/bez-pilotirovaniya-my-nichego-ne-vnedryaem-eto-vnutrennee-tabu-informaczionnaya-bezopasnost-v-rusgidro/;;| Мы допускаем, что злоумышленник сможет проникнуть в нашу инфраструктуру, но возможность развития атаки мы должны исключить. ;Дмитрий Балдин;https://www.jetinfo.ru/speakers/dmitrij-baldin/;https://www.jetinfo.ru/interviews/bez-pilotirovaniya-my-nichego-ne-vnedryaem-eto-vnutrennee-tabu-informaczionnaya-bezopasnost-v-rusgidro/;;| Злоумышленники не спят — они стучатся из разных часовых поясов, поэтому нам приходится круглосуточно отслеживать угрозы. ;Александр Данченков;https://www.jetinfo.ru/speakers/aleksandr-danchenkov/;https://www.jetinfo.ru/interviews/my-vozvrashhaemsya-no-v-parallelnoe-ruslo-informaczionnaya-bezopasnost-v-rusagro/;;’ data-object-img=’https://www.jetinfo.ru/wp-content/uploads/2021/06/l-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/06/l-2-3.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-2-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-2-1.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/06/l-3-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-3-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-3-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/06/l-4-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-4-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-4-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/06/l-5-3.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-5-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-5-1.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/06/l-6-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-6-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-6-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/06/l-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/08/l-7-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/08/l-7-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/06/l-6-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/08/l-8-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/06/l-6-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/06/l-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/08/l-9-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/08/l-9-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/11/l-10-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-10-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-10-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/11/l-11-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-11-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-11-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/11/l-11-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-12-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-12-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/11/l-13-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-13-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-13-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/11/l-10-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-14-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-14-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/11/l-15-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-15-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-15-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/11/l-15-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-16-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-16-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2021/11/l-17-1.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-17-2.png,https://www.jetinfo.ru/wp-content/uploads/2021/11/l-17-3.png;200,0,30;200,0,30|https://www.jetinfo.ru/wp-content/uploads/2023/01/1-1-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/1-2-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/1-3-3.png;200,,30;200,,30|https://www.jetinfo.ru/wp-content/uploads/2023/01/2-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/2-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/27-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/3-1-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/3-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/3-3-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/4-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/4-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/4-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/5-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/5-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/5-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/6-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/6-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/6-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/7-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/7-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/7-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/8-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/8-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/8-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/9-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/9-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/9-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/10-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/10-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/10-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/11-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/11-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/11-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/12-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/12-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/12-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/13-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/13-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/13-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/14-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/14-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/14-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/15-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/15-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/15-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/16-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/16-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/16-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/18-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/18-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/18-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/19-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/19-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/19-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/20-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/20-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/20-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/22-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/22-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/22-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/23-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/23-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/23-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/24-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/24-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/24-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/25-1.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/25-2.png,https://www.jetinfo.ru/wp-content/uploads/2023/01/25-3.png;200,,60;200,,60|https://www.jetinfo.ru/wp-content/uploads/2023/01/26-1.png;200;200’>

Самое популярное

Не существует более или менее опасных атак — все угрозы равноценны.

Уведомления об обновлении тем – в вашей почте

Коментарии

Другие материалы на эту тему

Непрерывность бизнеса в контексте импортозамещения

Когда мы говорим о непрерывности, то в первую очередь имеем ввиду непрерывность бизнеса, а не отдельных процессов.

«В обеспечении непрерывности бизнеса главное слово – «бизнес»!»

Виталий Задорожный, Сбербанк, поделился своим 10-летним опытом в области обеспечения непрерывности бизнеса

Доступность как элемент информационной безопасности

В соответствии с общепринятым современным подходом (см., например, ), выделяют следующие аспекты информационной безопасности: доступность (возможность за приемлемое время получить требуемую информационную услугу); целостность .

Непрерывность деятельности: синергия ИТ и бизнеса

Тезис о критической важности информационных технологий для современного бизнеса уже стал общим местом.

Руководство по составлению плана действий для Отдела информационных технологий. Непрерывность бизнеса в нештатных ситуациях

Целями чрезвычайного Плана Отдела Информационных технологий являются: Обеспечение бесперебойной работы Отдела. Защита служащих и имущества Отдела от возможных угроз. Обеспечение сохранности критически важной для организации .

Обзор технологий обеспечения непрерывности ИТ-сервисов в чрезвычайных ситуациях

Индустрия обеспечения непрерывности ИТ- cервисов в случае чрезвычайных ситуаций. 10–15 лет назад ведущие мировые компании, в первую очередь — финансовый сектор рынка, осознали степень зависимости бизнеса от информационных технологий. .

Управление непрерывностью бизнеса и управление операционными рисками. Где курица и где яйцо?

В настоящем обзоре представлен анализ взаимосвязи процессов управления непрерывностью бизнеса и управления рисками, выполненный известными специалистами в данной предметной области

Комментарии ко второй части стандарта «BS 25999: Управление непрерывностью бизнеса. Спецификации»

Используемая во второй части стандарта BS 25999 терминология расширилась по сравнению первой частью и стала больше соответствовать терминологии других стандартов по системам менеджмента.

Менеджмент непрерывности бизнеса, или Анализ ГОСТ Р 53647.4-2011/ISO/PAS 22399:2007

Несколько лет назад в подмосковном офисе одной из российских компаний произошла разгерметизация газовой системы пожаротушения. Ситуация создала серьезную угрозу для жизни и здоровья людей.

Спасибо!
Вы подписались на обновления наших статей
Предложить
авторский материал
Спасибо!
Вы подписались на обновления наших статей
Подписаться
на тему
Спасибо!
Вы подписались на обновления наших статей
Оформить
подписку на журнал
Спасибо!
Вы подписались на обновления наших статей
Оформить
подписку на новости
Спасибо!
Вы подписались на обновления наших статей
Задать вопрос
редактору

Чтобы подписаться на рассылки JETINFO, укажите ваш email, имя и темы, которые вам интересны:

Подписаться на рубрику Машинное обучение.
Укажите ваше имя и email для получения уведомлений:

Подписаться на рубрику Информационная безопасность.
Укажите ваше имя и email для получения уведомлений:

Какие принципы входят в высокоуровневые принципы обеспечения непрерывности деятельности базельского

Непрерывность и восстановление деятельности

Принцип 10: Банки должны разрабатывать планы обеспечения непрерывности и восстановления деятельности для сохранения возможности непрерывной работы и ограничения убытков в случае возникновения неблагоприятных обстоятельств, способных отрицательно повлиять на деятельность банка .

Принципы обеспечения непрерывности деятельности более подробно рассмотрены в документе Комитета «High-level principles for business continuity» (Руководящие принципы обеспечения непрерывности деятельности), август 2006 года.

57. Банки подвержены воздействию событий, нарушающих деловую активность, которые подчас могут являться серьезными и приводить к неспособности выполнения банками всех или части своих обязательств. Происшествия, в результате которых наносится вред или становятся недоступными оборудование, телекоммуникации или информационная инфраструктура банка, или заболевания, влияющие на кадровые ресурсы, могут приводить к значительным финансовым убыткам банка, а также к глобальным нарушениям в финансовой системе. Для обеспечения устойчивости к этому риску банк должен разрабатывать планы на случай возникновения непредвиденных обстоятельств, соответствующие характеру, масштабам и сложности операций банка. Такие планы должны учитывать различные виды вероятных или правдоподобных сценариев, которым может быть подвержен банк.

58. Управление непрерывностью деятельности должно включать анализ коммерческих последствий, стратегии восстановления, программы тестирования, профессиональной подготовки и обеспечения информированности, а также программы взаимодействия и антикризисного управления. Банк должен выявлять критические бизнес-операции , ключевые внутренние и внешние зависимости <**>и соответствующие уровни устойчивости. Должна проводиться оценка финансовых, операционных и репутационных последствий по возможным сценариям нарушения деловой активности, и полученная по результатам оценка риска должна являться основой для определения приоритетов и задач. Планы обеспечения непрерывности деятельности должны определять стратегии поведения в случае нарушений, процедуры восстановления и возобновления деятельности и планы по взаимодействию, обеспечивающие предоставление информации исполнительному органу, сотрудникам, надзорному органу, клиентам, контрагентам, а при необходимости и государственным органам.

Бизнес-операции банка включают средства, кадры и процессы предоставления продуктов и оказания услуг или осуществления основных видов деятельности, а также технологические системы и данные.

<**>Внешние зависимости включают связи со вспомогательными организациями, контрагентами, а также организациями, оказывающими сторонние услуги.

59. Банк должен периодически анализировать свои планы обеспечения непрерывности деятельности для того, чтобы стратегии поведения в случае нарушений были согласованы с его текущими операциями, рисками и угрозами, требованиями к устойчивости и приоритетами восстановления. При этом должны проводиться программы профессиональной подготовки и обеспечения информированности, чтобы сотрудники банка могли эффективно выполнять планы обеспечения непрерывности и восстановления деятельности. Планы должны периодически подвергаться тестированию для обеспечения достижения целей восстановления и возобновления деятельности. По возможности банки должны участвовать в стресс-тестировании совместно с основными контрагентами. Результаты официального тестирования должны доводиться до сведения исполнительного органа и совета директоров.