справочник юриста
» Учредительные документы
План непрерывности ведения бизнеса образец
Обеспечение непрерывности бизнеса
С развитием информационных технологий бизнес становится все более зависимым от информационных технологий, а основной задачей информационной инфраструктуры (ИТ-инфраструктуры) является обеспечение сотрудников предприятия всем необходимым для успешного ведения бизнеса. Степень соответствия ИТ-инфраструктуры этой задаче определяется такими параметрами как надежность, производительность, защищенность.
Одной из важнейших задач по поддержанию работоспособности предприятия является задача повышения надежности информационной инфраструктуры. Решение данной задачи находят в резервировании различных компонентов инфраструктуры, применении отказоустойчивого оборудования и технологий. Однако при построении системы обеспечения непрерывности бизнеса следует учитывать, что повышение надежности инфраструктуры приводит лишь к уменьшению вероятности отказов, которую полностью исключить невозможно.
Система обеспечения непрерывности бизнеса предназначена для снижения неблагоприятных последствий для бизнеса, связанных со стихийными бедствиями, несчастными случаями, нарушениями безопасности и другими чрезвычайными ситуациями и направлена на восстановление бизнес-процессов в этих условиях. Такая ситуация безусловно является чрезвычайной и для пользователей и для администраторов ИТ-инфраструктуры. Система обеспечения непрерывности бизнеса облегчает пути выхода из такого рода ситуаций. Ситуация в ИТ-инфраструктуре может считаться чрезвычайной, если она связана с отказом одного из критичных ИТ-ресурсов или привела к нарушению соглашений об обслуживанию. Система обеспечения непрерывности бизнеса предназначена для устранения влияния таких чрезвычайных ситуаций на ИТ-инфраструктуру.
Состав системы обеспечения непрерывности бизнеса
Система обеспечения непрерывности бизнеса включает в себя следующий комплекс документов и мероприятий:
План восстановления
План восстановления бизнеса после сбоев предусматривает проведение мероприятий по восстановлению работоспособности информационной инфраструктуры в условиях чрезвычайных ситуаций. Каждый ИТ ресурс имеет приоритет, который определяет требование по восстановлению данного сервиса в течение определенного периода.
План восстановления является основным документом, определяющим систему обеспечения непрерывности бизнеса компании, и описывает процедуры восстановления информационных ресурсов и сервисов при возникновении нештатных ситуаций.
План восстановления включает в себя следующую информацию:
Время восстановления функционирования зависит от приоритета ИТ компонентов. Например, работоспособность ИТ-компонента с высоким приоритетом должна быть восстановлена в течение 2 часов, со средним приоритетом - в течение 24 часов, с низким приоритетом - в течение 72 часов.
При невозможности осуществить полное восстановление функционирования ИТ компонента в течение требуемого периода, восстановление может проходить в два этапа:
Для того, чтобы план восстановления был выполнен, необходимо проводить мероприятия по обучению сотрудников работе в условиях чрезвычайных ситуаций, тестированию плана восстановления, а также обновлению плана восстановления с целью обеспечения его соответствия текущему состоянию ИТ-инфраструктуры.
План восстановления предусматривает следующие шаги по введению его в действие:
В условиях чрезвычайной ситуации ответственный за реализацию части плана восстановления обязан обеспечить скорейшее проведение работ по восстановлению работоспособности ИТ-сервисов.
Резервное копирование
Резервное копирование данных является традиционным методом повышения надежности систем хранения данных. Процедуры резервного копирования должны быть определены в рамках системы обеспечения информационной безопасности инфраструктуры. В процедурах резервного копирования должно быть предусмотрено хранение актуальных резервных копий всей критичной информации на двух территориально удаленных друг от друга объектах компании.
Резервный фонд оборудования
Резервный фонд оборудования необходим для восстановления функционирования ИТ-сервисов в условиях чрезвычайных ситуаций, перечисленных в плане восстановления. Резервный фонд оборудования используется в случаях невозможности восстановить работоспособность ИТ-сервиса в отведенный период в соответствии с его приоритетом.
Тестирование плана восстановления
Проведение тестирования плана восстановления необходимо для обеспечения готовности сотрудников к эффективным действиям в условиях чрезвычайной ситуации. Тестирование плана восстановления должно проводиться с определенной периодичностью, либо при изменении плана восстановления.
Обучение сотрудников
Обучение сотрудников необходимо для упорядочивания процесса восстановления и состоит в ознакомлении каждого пользователя с документом, регламентирующим использование ИТ-сервисов и содержащим основные сведения по поведению пользователя в условиях чрезвычайных ситуаций, а также в участии по тестированию плана восстановления.
Управление непрерывностью бизнеса
View this page in: English
Управление непрерывностью бизнеса
- неотъемлемая часть корпоративного управления
Современный бизнес отличают динамичность и стремительность, поэтому нарушение нормального ритма работы даже на несколько часов может иметь катастрофические последствия для прибыльности и репутации пострадавшей компании. Притом что такие негативные последствия наступают практически сразу же, они также могут подорвать жизнеспособность организации и в долгосрочной перспективе.
Управление непрерывностью бизнеса обеспечивает эффективную "профилактику" внезапных нарушений рабочего режима, кризисных и чрезвычайных ситуаций и позволяет организациям оперативно восстановить обычный деловой ритм в случае наступления таких событий. Как только план по непрерывности бизнеса подготовлен, его необходимо протестировать, чтобы удостовериться, что процедуры работают так, как и планировалось.
Преимущества управления непрерывностью бизнеса
Предусмотреть все возможные сценарии и подготовиться к ним невозможно однако чем больше глубина и масштаб планирования и подготовительных мероприятий, тем эффективней организация сможет отреагировать на непредвиденные события. Четкий и ясный план управления непрерывностью бизнеса в обязательном порядке предусматривает последовательность действий, объем ресурсов и процедуры, которые необходимы для профилактики кризисных ситуаций, принятия контрмер и устранения последствий в случае их наступления. Эффективная функция управления непрерывностью бизнеса обеспечивает организации следующие возможности и преимущества:
Наши совместные проекты могут начинаться с любой фазы жизненного цикла управления непрерывностью бизнеса и будут учитывать организационную стратегию и бизнес-потребностям вашей организации.
Обеспечение непрерывности критично для бизнеса
Когда ударит кризис, банки должны быть способны восстановить свои операции как можно скорее. В этот момент первую скрипку играют планы обеспечения непрерывности и восстановления деятельности. Обязательное наличие у банка этих процедур - не только требование регулятора, но и мощное конкурентное преимущество.
Неважно насколько хорош риск-менеджмент в организации или сколько организация тратит на минимизацию рисков, всегда есть вероятность того, что ее операционная деятельность будет серьезно нарушена в течение некоторого времени вследствие событий, которые находятся вне сферы ее контроля. Проще говоря, наличие эффективного процесса обеспечения непрерывности и восстановления деятельности (от англ. business continuity & disaster recovery ) убавит эффект от таких событий, и позволит организации без существенных задержек и потерь обеспечить выполнение операций и критических функций.
Позитивным моментом является то, что банки Центральной и Восточной Европы стали серьезно относиться к вопросу непрерывности бизнеса. Исторически, американские, западноевропейские и британские банки лидируют в восприятии операционных рисков и вопросов обеспечения непрерывности бизнеса, поскольку США, Франция, Испания и Великобритания периодически сталкиваются с теми или иными проявлениями терроризма. Внимательно к этому вопросу относятся в Азии, где существуют высокая вероятность реализации рисков природных катаклизмов.
Управлением непрерывностью совсем недавно заинтересовались украинские и российские банки, где финансовый сектор строится с учетом лучших зарубежных практик и опыта. В частности, украинские банки ощущают проблемы с энергопотреблением и скачками в электросетях. Об этом писал и Национальный банк Украины в своем письме №25-211/2428-17415 от 07-10-2010, намекнув на необходимости закупки банками достаточного количества источников бесперебойного питания и дизель-генераторов.
В данный момент флагманами в вопросах внедрения программ управление непрерывностью являются крупные банки с иностранным капиталом: Укрсиббанк (BNP Paribas Group), Укрсоцбанк (UniCredit Group), Аваль (Raiffeisenbank Group). Современное управление непрерывностью - это не просто составление бюджетов затрат на внеурочную работу, аутсорсинг, консультационные услуги и пиар. Это длительная и кропотливая работа.
Среди основных инцидентов, которые стали катализатором чрезвычайных ситуаций в банках, чаще всего называются: потеря ИТ-систем (в том числе баз данных), потеря персонала, потеря инфраструктуры (телекоммуникаций), отсутствие доступа к центральному офису банка и потеря важных документов. При этом критично, чтобы бизнес мог восстановиться и продолжить функционировать как можно скорее, после того, как наступит какое-либо чрезвычайное происшествие.
Статистика, которую приводит исследовательская компания Gartner Research, говорит о том, что как правило, две из пяти компаний, ощутившие на себе влияние кризиса, уходят из бизнеса в течение следующих пяти лет. Если добавить к этому итоги исследования Hitachi Data Systems, по оценке которых средняя стоимость потери компьютерных данных составляет около 1,5 миллиона евро, то становится очевидным, что к вопросу обеспечения непрерывности стоит отнестись очень внимательно.
Но далеко не всегда банк может позволить себе приобрести необходимые ресурсы для подстраховки на случай чрезвычайных событий, а страховка не всегда покрывает все риски. В то же время, как много организаций готовы быстро среагировать во время кризиса, чтобы:
* Определить критичность бизнес-процессов
* Понять, какие ресурсы необходимы для поддержания этих процессов
* Решить, кто из сотрудников может понадобиться и когда
* Обеспечить логистику и транспорт
* Обеспечить наличие свободных помещений для людей
* Обеспечить оборудование и компьютерную технику
* Заменить и восстановить ИТ-системы
* Убедиться, что банк может легко быть на связи со своими клиентами?
Ключевым элементом процесса обеспечения непрерывности является планирование, которое как раз и состоит в подготовке определенного плана действий для конкретного сценария аварийной ситуации, включающего в себя процедуры резервного копирования и подготовку резервного оборудования для преодоления чрезвычайных событий.
Финансовый вопрос
Решения, которые принимаются в первые несколько часов после события, которое повлекло за собой нарушение в операционной деятельности компании, являются особенно критичными, и все последующие шаги будут иметь значительные финансовые последствия. Иными словами, если что-то пойдет не так, это будет стоить значительную сумму денег.
Цель обеспечения непрерывности бизнеса состоит не только в поддержке минимального уровня обслуживания клиентов, но и в ограничении влияния на финансовую позицию банка с помощью гарантирования того, что критические функции будут продолжать функционировать в течение кризиса, а восстановление остальных функций будет находиться под контролем.
Организация, которая имеет эффективный и хорошо протестированный план обеспечения непрерывности имеет больше шансов принимать правильные решения в первые несколько часов и предпринять корректные действия, чтобы ограничить влияние на финансовую позицию. В таком случае банк имеет гораздо лучшие шансы понести меньше затрат во время каких-либо сбоев и прерываний.
Если коротко, то отказ от разработки и использования планов непрерывности означает принятие ненужного риска, который прямо повлияет на будущее компании, а также ее прибыльность.
Конкурентное преимущество
Банк, который обладает подтвержденным и протестированным планом обеспечения непрерывности бизнеса, может проинформировать своих клиентов о том, что в случае наступления каких-либо чрезвычайных событий он будет гарантировать непрерывность предоставления продуктов и услуг.
Это является значительным конкурентным преимуществом и подтверждает тот факт, что внедрение системы управления беспрерывностью (от англ. bcm - business continuity management ) - не просто дополнительные административные расходы. Такое заявление делает банк более привлекательным в глазах потенциальных клиентов, и таким образом создает добавочную стоимость.
Кроме этого, существование планов непрерывности становится необходимым условием для крупных компаний, которые также разрабатывают свои планы и оценивают потенциальных поставщиков услуг с точки зрения уязвимости их бизнеса. Крупные банки только начинают сталкиваться с тем, что мультинациональные корпорации осведомляются о наличии у них планов непрерывности и негативный ответ, как правило, приводит к отказу от подписания партнерских соглашений.
Если говорить о лояльности потребителей, что может случиться, если банк испытает воздействие нарушения нормального хода работы? Будут ли оставаться лояльными потребители, и как долго они смогут ждать, прежде чем уйти к банку-конкуренту? И если все-таки уйдут, то сможет ли банк когда-нибудь их вернуть?
Регулятивные требования
Базель 2 требует от банков раскрытие информации о том, как они управляют своими рисками и при расчете размера операционного риска разрешает частично покрывать его страховкой. С другой стороны, страховые компании требуют от банков наличия детальных планов обеспечения непрерывности и обеспечения деятельности при потенциальном наступлении кризисных ситуаций.
Выявление критичных процессов, которые имеют системную значимость, в значительной мере является задачей Центрального банка. К примеру, Национальный банк Украины требует от банков обеспечения непрерывности при работе в системе электронных платежей (СЭП НБУ). В случае невозможности возобновить работу в течение одного дня с момента сбоя в платежном узле, Национальный банк отключает участника от системы, что влечет за собой полный коллапс платежной функции и ставит существование банка под большое сомнение. А если этот банк является системообразующим, то тогда может пострадать и вся банковская система страны.
Одним из ключей к обеспечению непрерывности, по мнению центральных банков, является резервирование баз данных операционного дня и их правильное хранение. Это процесс, который требует не только архивирование информации, но и управление данными внутри цикла. Для того чтобы использовать базы данных во время кризиса, они должны храниться в отдаленном месте от основных офисов компании. Большинство европейских компаний в данный момент рассматривают 10-15 километров от центральных офисов как наиболее приемлемую дистанцию для расположения хранилища (дата-центра). Удаленный доступ к базам данных - только часть испытания: организация должна быть уверена в том, что операционные процессы работают. Это требует регулярного планирования и тестирования процессов для готовности восстановить деятельность в любой момент после аварийного отключения систем.
В данный момент НБУ прямо требует от банков обеспечить непрерывное функционирование автоматизированной банковской системы (АБС банка), канала связи с СЕП НБУ и формирование электронных архивов важных данных (Постановление № 265). Фактически, в большинстве банков вопрос восстановления деятельности лежит сугубо в ведении департамента информационных технологий, что является только частичным решением проблемы. Все остальные вопросы планирования на случай непредвиденных обстоятельств изложены в качестве рекомендаций весьма скудно (Постановление № 271). Однако если ощущение нестабильности в организации и в работе бизнес-процессов постепенно нарастает, тогда банк может также столкнуться с существенными проблемами.
Так или иначе, указания регуляторов дают возможность сделать предположение, что банки являются критичным звеном для инфраструктуры всей страны, а в случае кризиса, если обрушится банковская система, страна может упасть на колени, если не окажется в наличии эффективных мер противодействия. К примеру, в одной из африканских стран, крупный государственный банк является ответственным за ежемесячное проведение платежей для армии. Если что-то пойдет не так и банк не сможет своевременно отправить платеж, то с большой долей уверенности можно говорить о новой гражданской войне, потому что армия откажется поддерживать порядок в стране. Этот простой пример наглядно демонстрирует степень важности обеспечения непрерывности работы в банковском секторе.
Понимание процессов
Одна из выгод, которые сулит внедрение системы управления непрерывностью бизнеса - это понимание того, что собственно представляет собой банк и что является для него важным. Такие выводы можно однозначно сделать сразу после проведения оценки влияния сбоев и прерываний на бизнес (от англ. business impact analysis ), мощного инструмента разработки планов непрерывности.
В процессе оценки менеджер проекта, как правило, проводит ревью всех бизнес-процессов и старается (с помощью собственников бизнес-процессов) наиболее достоверно определить влияние простоя данного процесса на бизнес банка в течение некоторого периода времени (временных интервалов), но, как правило, до одного месяца.
Получение этой информации дает возможность организации ранжировать процессы по степени их критичности и более эффективно распределить ресурсы для достижения основных целей и решения важных задач, чем когда некритичные второстепенные процессы могут какое-то время жить сами по себе, без необходимости их поддержания. К примеру, при условии функционирования ИТ-систем, некоторые подразделения центрального офиса банка, которые поддерживают продуктовый ряд, могут не работать больше месяца. Иными словами, организация должна быть способна найти то, что для нее критично, а что может быть передано на аутсорсинг (к примеру, мониторинг залогов) или оставлено без присмотра (к примеру, открытие и поддержка корреспондентских отношений).
Управление непрерывностью обеспечивает понимание цепочки поставщиков, а также то, в каком месте она пересекается с выполнением критических и некритических функций. Это помогает удостовериться, что критические процессы будут без каких-либо сбоев и прерываний обеспечены поставщиками и провайдерами ключевых услуг, а также дает базу для будущего ревью своих партнеров.
Некоторые банки стараются максимально подстраховаться на случай чрезвычайных событий, приобретая дорогостоящие страховые продукты, к примеру, полное имущественное страхование. Однако, с ростом страховых премий, банки не могут быть уверены, что они получат адекватную защиту. Кроме этого, страховка, как правило, не покрывает: утрату потенциальных доходов от привлечения новых клиентов потерю существующих клиентов (расчет делается исходя из дохода, который приносит клиент на всем сроке жизни в банке) потерю репутации потерю в стоимости бренда.
ОНиВД - вещь затратная
Конечно, имплементация планов обеспечения непрерывности и восстановления деятельности - весьма дорогое удовольствие для банка. Но не только это является камнем преткновения для разработчиков программ обеспечения непрерывности. Сложными для выполнения могут быть требования по оборудованию отдаленного резервного пункта для АРМ СЕП, АРМ НБУ и специалиста ИТ-безопасности. Проблему также составляет текущая процедура генерации и использования секретных ключей на резервной площадке в случае уничтожения или недоступности помещения банка.
Артем Румянцев, banki.ua
Обеспечение непрерывности деятельности организации в нештатных ситуациях
Б.Д. Альтерман, В.И. Дрожжинов, Г.Е. Моисеенко
Содержание
Введение План обеспечения бесперебойной деятельности организации в случае нештатных ситуаций: вопросы и ответы Зачем нужен план? Что представляет собой план и почему он так важен? Каковы выгоды от наличия плана? Каковы последствия отсутствия плана? Кто отвечает за разработку плана? Что требуется для разработки плана? Каковы этапы разработки плана? Что еще следует предусмотреть? Какие конкретные функциональные области следует включить в план? Способы составления плана Что можно сделать самостоятельно? Методология разработки и примерное содержание плана обеспечения бесперебойной деятельности организации Методология разработки Примерное содержание плана Этапы методологии планирования бесперебойной деятельности организации в случае бедствия Руководство по составлению плана, обеспечивающего бесперебойное функционирование и восстановление деятельности организации после бедствия Оценка риска и управление риском Анализ последствий бедствий для деятельности организации Разработка стратегий восстановления деятельности организации Реагирование на чрезвычайную ситуацию Разработка и внедрение плана, обеспечивающего бесперебойное функционирование организации Ознакомительные программы и практическое обучение персонала организации Испытания плана и проведение учений по реализации плана Ведение и обновление плана Примеры планов обеспечения бесперебойной работы систем обработки информации Восстановление локальной вычислительной сети после бедствия План создания резервных копий и восстановления информации в ЛВС Планирование действий в непредвиденных обстоятельствах для систем обработки банковской информации Заключение I. Источники информации по проблемам обеспечения бесперебойной деятельности организаций в случае бедствий
Концепция, методы и средства обеспечения непрерывности бизнеса (Business Continuity Planning - BCP) и восстановления деятельности после бедствий (Business Disaster Recovery - BDR) широко известны и апробированы на Западе.
Технология обеспечения непрерывности деятельности при чрезвычайных ситуациях является неотъемлемой частью производственной деятельности крупных компаний и государственных организаций, что позволяет им обеспечить практически бесперебойное функционирование в случае чрезвычайных происшествий малого и среднего масштаба и восстанавливать свою деятельность с минимальными, заранее просчитанными убытками в случае широкомасштабных бедствий.
Читатели статьи ознакомятся с терминологией и основными понятиями в рассматриваемой области знаний и методологией разработки планов обеспечения непрерывности бизнеса в нештатных ситуациях. Приводятся примеры конкретных планов.
Планирование непрерывности деятельности- это постоянная забота первых руководителей организаций и компаний, которые живут не одним днем и заинтересованы в сохранении и развитии своих предприятий. Именно им и лицам, отвечающим за безопасность и финансовое здоровье компаний и организаций, в первую очередь предназначена эта статья.
Один из авторов статьи, В.И. Дрожжинов, является сертифицированным cпециалистом по планированию непрерывности бизнеса (АВСР), он прошел обучение в Канаде в Институте по восстановлению после бедствия, сдал сертификационный экзамен. Сертификат выдан Международным институтом по восстановлению после бедствия (Нью-Йорк, США).
Введение
Под нештатными или чрезвычайными ситуациями понимаются внешние воздействия, приводящие к невозможности функционирования предприятия в обычном, регламентируемом соответствующими стандартами данного предприятия режиме.
К таким внешним воздействиям в первую очередь относятся:
Отключение электроэнергии Пикетирование и забастовки Прорывы водопровода или канализации Террористические акты или их угроза Выход из строя кондиционеров Гражданские беспорядки Пожары Локальные конфликты Природные катаклизмыКроме прямых потерь организации несут издержки, связанные с нарушением процедур производственного и финансового учета, потерей расположения заказчиков, ухудшением имиджа и снижением конкурентоспособности.
Концепция, методы и средства обеспечения непрерывности бизнеса и восстановления деятельности после бедствий (Business Continuity Planning - BCP и Business Disaster Recovery - BDR) широко известны и апробированы на Западе при возникновении официально объявленных бедствий и чрезвычайных происшествий более мелкого характера. Они являются неотъемлемой частью производственной деятельности многих крупных компаний, что позволяет им обеспечить практически бесперебойное функционирование в случае чрезвычайных происшествий малого и среднего масштаба и восстанавливать свою деятельность с минимальными, заранее просчитанными убытками в случае широкомасштабных бедствий.
Для того, чтобы обезопасить себя на случай возникновения нештатных ситуаций, нужно иметь:
План действий в нештатной ситуации, Хорошо обученные и тренированные "аварийные группы".План обеспечения бесперебойного функционирования организации в случае нештатной ситуации представляет собой детальный перечень мероприятий, которые должны быть выполнены до, во время и после чрезвычайного происшествия или бедствия. Этот план документируется и регулярно испытывается для того, чтобы убедиться, что в случае нештатной ситуации он обеспечит продолжение деятельности организации и наличие резерва критически важных ресурсов.
Наличие даже очень хорошего плана не гарантирует защиту компании от неприятностей, если у нее нет хорошо обученных групп сотрудников, знающих, что, когда и как они должны делать при возникновении любой нештатной ситуации.
Аналитики отмечают, что потери от террористической атаки 11 сентября могли быть значительно больше, если бы отсутствовали планы действий в чрезвычайных ситуациях, имеющиеся у большинства американских компаний. Заметим, что многие из этих планов появились в преддверии 2000 г. в связи с так называемой "Проблемой 2000" (Таб. 1 ).
Таблица 1. Действия компаний по повышению безопасности в преддверии 2000 г. и после 11 сентября 2001 г.
Понятие «планирование непрерывности бизнеса» (Business Continuity Planning, BCP).
РЕКЛАМА
Понятие «планирование непрерывности бизнеса» (Business Continuity Planning, BCP) появилось сравнительно недавно и сегодня вызывает большой интерес у топ-менеджеров отечественных компаний.
Понятие планирование непрерывности бизнеса (Business Continuity Planning, BCP) появилось сравнительно недавно и сегодня вызывает большой интерес у топ-менеджеров отечественных компаний. Насколько методики и технологии обеспечения непрерывности бизнеса могут быть полезны?
Oбеспечение непрерывности бизнеса является одним из важнейших стратегических направлений развития любой компании. Это обусловлено необходимостью сохранять устойчивость и стабильность функционирования компании и ее информационной системы в различных условиях неблагоприятного воздействия внешних и внутренних факторов техногенного и/или природного характера.
Сегодня известно довольно много угроз и разрушающих факторов, неблагоприятно влияющих на деятельность коммерческих и федеральных структур и организаций. Например, перевод на два и более часа корпоративной информационной системы в состояние отказ в обслуживании по причине инфицирования ранее неизвестными вирусами или враждебными апплетами может нанести серьезный ущерб бизнесу компании. Для парирования возникающих угроз любому предприятию жизненно важно разработать и поддерживать в актуальном состоянии план восстановления бизнеса в чрезвычайных ситуациях.
Планирование восстановления после происшествия
Сегодня в России стремительно растут объемы передаваемой и обрабатываемой информации в корпоративных информационных системах. В этих условиях ИТ-службы отечественных компаний так заняты освоением новых технологий, что у них не хватает времени на обеспечение бесперебойной работы и безопасности систем. Это обычная проблема в циклах постоянного освоения новых технологий. Однако по мере взросления компаний и их систем все большее значение приобретают такие процессы, как резервное копирование данных и способность поддержания непрерывного доступа клиентов к приложениям.
Достаточно давно стало известно, что любой стремительно развивающийся вычислительный центр рано или поздно становится отдельной точкой сбоя. Одновременно пришло осознание того, что это может оказать значительное воздействие на непрерывность критичных вычислительных функций бизнеса. В результате непрерывность самого бизнеса может оказаться под угрозой.
План восстановления после происшествия (Disaster Recovery Plan, DRP) является частью плана непрерывности бизнеса и позволяет определить необходимые процедуры восстановления в случае возникновения инцидентов.
В методологии планирования восстановления происшествие определено как внезапное, незапланированное катастрофическое событие, которое не позволяет выполнять критичные процессы. Происшествие может привести к значительному ущербу по отдельным операциям, тотальной потере оборудования или невозможности персонала добраться до этого оборудования.
План восстановления после происшествия позволяет возобновлять нормальное функционирование и работоспособность информационной системы компании, обеспечивая максимально оперативное возвращение организации к нормальной деятельности. Так как многие критически важные бизнес-процессы зависят от технологической инфраструктуры, состоящей из приложений, данных и аппаратного обеспечения, план восстановления, как правило, концентрируется именно на бизнес-приложениях и разрабатывать его следует для всех критичных приложений.
Возобновление работоспособности информационных систем не обязательно осуществляется с помощью одних лишь технических решений в автоматическом режиме. План восстановления может использовать и некоторые процедуры, выполняемые вручную. Например, такие как анализ требований к непрерывности бизнеса, составление плана парирования внешних и внутренних воздействий, разработка регламентов восстановления и пр. Решение вернуться к ручным процедурам вместо того, чтобы создавать и поддерживать избыточную отказоустойчивую ИТ-инфраструктуру принимается на основе анализа предполагаемых затрат.
Время восстановления и критичность данных являются ключевыми моментами планирования восстановления после происшествия. Наличие плана восстановления уменьшает риск того, что время нарушения бизнес-процесса превысит допустимый для бизнеса компании интервал времени вынужденного простоя. Например, гарантируется восстановление после сбоя в течение двух часов, получаса и 15 минут.
Для качественного выполнения плана восстановления необходимо знать допустимое время восстановления (Recovery Time Objective), а также конечные цели восстановления (Recovery Point Objective). Стратегия технического восстановления после инцидента основывается на комбинации этих требований.
Процедура восстановления после происшествия состоит из определенных правил, процессов и дисциплин, гарантирующих, что критичные бизнес-процессы продолжат функционирование даже в случае, если произойдет сбой одного или более телекоммуникационных ресурсов или ресурсов обработки информации, от которых зависят операции. К ключевым элементам плана восстановления после происшествия относятся: формирование группы планирования оценка рисков и аудит определение приоритетов для приложений и сетей разработка стратегии восстановления подготовка оборудования и документирование плана разработка критериев и процедур верификации реализация плана.
В состав группы планирования входят сотрудники каждого бизнес-подразделения. Они должны понимать действующие в компании бизнес-процессы, иметь представление об используемых технологиях и участвовать во всех процедурах планирования восстановления после происшествия.
Анализ рисков и их воздействий на бизнес должен включать в себя анализ по крайней мере десяти наихудших потенциальных происшествий. Затем каждому бизнес-процессу и приложению/системе должен быть присвоен определенный уровень приоритетности. Цель создания такого списка - обеспечение жизнеспособного, эффективного и экономически целесообразного процесса восстановления во всех технологических областях. Важно поддерживать этот список актуальным, проводить полную инвентаризацию оборудования, помещений, поставщиков и контактных точек. Таблица 1, составленная согласно рекомендациям международного стандарта ISO 17799:2, может использоваться для классификации приложений и/или систем организации.
Классификация приложений/систем
В настоящее время подготовлено более десятка различных стандартов и спецификаций управления безопасностью, детально регламентирующих процедуры планирования и поддержки непрерывности бизнеса, среди которых наибольшую известность приобрели международные и национальные спецификации и стандарты, такие как ISO 17799-2002 (BS 7799), NIST, COOP, HIPAA Gramm-Leach-Bliley, The Expedited Funds Availability, SAS 78/94.
Определение приоритетов восстановления приложений
Приложения классифицируются как критически важные, критичные, существенные или некритичные - в соответствии с классификацией поддерживаемых ими бизнес-процессов. Кроме того, для названных приложений определяются показатели допустимого времени и цели восстановления.
Системное время восстановления
Для оценки общего времени восстановления отдельного бизнес-процесса определяется системное время восстановления (System Recovery Time). С тем чтобы гарантировать восстановление бизнес-процесса в течение допустимого времени, необходимо планировать порядок приоритетов, в соответствии с которым и будет производиться восстановление аппаратных средств и компонентов систем. Например, согласно плану восстановления после происшествия, гарантированное восстановление хостов системы и соответствующих приложений должно начинаться в течение 15 минут. Хост-системы и связанные компоненты выполняют приложения, которые представляют бизнес-процессы. Должны быть определены компоненты инфраструктуры аппаратных средств, необходимые прикладным системам и данным, поддерживающим соответствующие бизнес-процессы. Также необходимо идентифицировать все прикладные зависимости, компоненты сетевой инфраструктуры и поддерживающий персонал.
Существует несколько способов определения системного времени восстановления. Для того чтобы обеспечить допустимое время восстановления бизнес-процесса, рассматривается несколько сценариев восстановления и выбирается лучший из них. В целом для успешного определения системного времени восстановления необходимо выбрать критичные для компании бизнес-процессы определить допустимое время и конечную цель восстановления. Это же необходимо предлагать и в отношении всех приложений, поддерживающих выбранные бизнес-процессы, хост-систем приложений и времени восстановления для хост-систем и приложений.
Использование резервного копирования
Достижение конечной цели восстановления происходит как в штатных, так и во внештатных ситуациях. Если в случае происшествия программы и данные потеряны, то следует обратиться к архиву для их восстановления. Для этого необходимо выполнить процедуру резервного копирования.
Состояние приложений и хост-систем, поддерживающих критичные бизнес-процессы, зависит от профессионализма и компетенции обслуживающего персонала. Таким образом, подготовка персонала, компетентного в вопросах восстановления инфраструктуры, поддерживающей бизнес-процессы, - ключевой момент планирования восстановления после происшествия.
Тестирование плана
Для того чтобы тестирование процедуры восстановления после происшествия было максимально эффективным, цели и критерии успеха должны быть четко определены. Их наличие - залог эффективности не только отдельных элементов плана восстановления, но и плана обеспечения непрерывности бизнеса в целом. Существует два основных критерия успешности восстановления.
- Время восстановления. Помимо теста восстановления, после системного сбоя тестируется и подтверждается временной промежуток для оповещения об аварии и оценки происшествия. Тестируются стандартные вычислительные процедуры и деревья вызовов для подтверждения точности процедур и контактной информации.
- Системное время восстановления. Задача восстановления подтверждает, что конечная цель восстановления может быть осуществлена в любое время за рамками теста восстановления после системного сбоя. Проверяются и подтверждаются стандартные вычислительные процедуры и действующие протоколы.
Тестирование плана восстановления после происшествия - непростая процедура. Общая задача плана обеспечения непрерывности бизнеса - продолжать бизнес-процессы, в то время как задача плана восстановления - моделировать по частям или целиком существующую промышленную ИТ-среду на альтернативном месте до того момента, как будут возобновлены обычные операции.
Применение плана восстановления после происшествия
Наличие плана восстановления критично для надежной защиты бизнеса компании. Планы должны отражать изменения в окружающей обстановке. Принципиальна проверка процессов управления на предмет их изменений с целью корректной эксплуатации плана. Если есть области, в которых не предусмотрена практика управления изменениями, ее следует ввести. Многие программные продукты по восстановлению рассматривают это как одно из требований.
Таким образом, план непрерывности бизнеса возобновляет бизнес-процессы в целом, а план восстановления после происшествия восстанавливает работоспособность ИТ-систем. Задача планирования восстановления после происшествия заключается в том, чтобы максимально оперативно возобновить работоспособность систем, поддерживающих как критичные бизнес-процессы, так и обычные операции.
Программа реагирования на инциденты
Для успешного восстановления непрерывности бизнеса необходимо разработать программу реагирования на инциденты (Incident Response Program). Под инцидентом безопасности понимается неблагоприятное событие в информационной системе и/или сети или угроза того, что такое событие может произойти. Инцидентами могут быть: неавторизованный доступ, атаки злоумышленников, вирусные атаки и пр. Независимо от вероятности инцидента важно, чтобы все шаги, предложенные программой, были осуществимы.
Для создания и поддержки программы реагирования на инциденты необходимо сформировать группу людей, ответственных за обработку инцидентов и соответствующим образом подготовленных - группу реагирования на компьютерные инциденты (Computer Incident Response Team). В зависимости от размера организации численность группы может варьироваться. Участники группы реагирования ответственны за документирование процессов разработки приложений, классификацию инцидентов, определение средств и технологий, используемых для обнаружения вторжения. Кроме того, они решают, должен ли быть исследован инцидент и каким образом (то есть юридические агентства, судебная работа и т. д.), а также поддерживают безопасность сети и обучают сотрудников в рамках всей организации.
Программа реагирования должна разрабатываться в соответствии с политикой и процедурами информационной безопасности и присутствовать как в электронном виде, так и в твердой копии. При каких-либо значительных исправлениях их коррекция должна происходить одновременно. Для облегчения этого процесса имеет смысл создать дистрибутивный список в корпоративной электронной почте для рассылки таких исправлений, чтобы все участники группы были осведомлены о любых изменениях или корректировках.
Инструментальные средства обеспечения непрерывности бизнеса
Сегодня на рынке представлен достаточно широкий спектр программного обеспечения для автоматизации процессов планирования и управления непрерывностью бизнеса. Такое программное обеспечение позволяет использовать универсальные архитектуры баз данных для упрощения процедур анализа рисков и развития планов по восстановлению и непрерывности бизнеса.
Кроме того, ПО способно упростить процессы поддержки текущих планов непрерывности бизнеса, синхронизировать и поддерживать актуальную информацию, используя интерфейсы других приложений, корректировать управление компанией с учетом планов непрерывности бизнеса.
В целом программное обеспечение планирования и управления непрерывностью бизнеса можно условно разделить на следующие категории.
- Автономные средства оценки воздействий на бизнес. Здесь ввод данных производится вручную менеджерами и затем экспортируется в поддерживаемые средства обеспечения непрерывности бизнеса.
- Генераторы планов непрерывности бизнеса. Эти средства представляют собой, по сути, экспертные системы с определенными базами знаний и позволяют сгенерировать актуальный план обеспечения непрерывности бизнеса компании.
- Базы данных планирования непрерывности бизнеса. Отображают необходимую информацию о планировании непрерывности бизнеса с учетом специфики деятельности компании.
- Средства совместного распределенного планирования непрерывности бизнеса. Эти средства позволяют реализовать некоторый корпоративный стандарт обеспечения непрерывности бизнеса в распределенной вычислительной среде.
В табл. 2 рассмотрены характерные особенности некоторых программных продуктов.
Так, например, RSM McGladrey основное внимание уделяет решениям по обеспечению непрерывности бизнеса в области бухгалтерской деятельности, а SunGard рассматривает вопросы планирования и управления непрерывностью бизнеса в контексте решений и услуг по обработке финансовой информации в корпоративных информационных системах. Типичные особенности программных продуктов обеспечения непрерывности бизнеса следующие:
В России вероятность техногенных и природных катастроф достаточно высока, чрезвычайные ситуации возникают чуть ли не ежедневно. При этом спектр угроз в области экономической, физической и информационной безопасности, а также перечень уязвимостей технической и информационной инфраструктуры в отечественном бизнесе постоянно растет. Понятно, что использование планов непрерывности бизнеса требует дополнительных затрат. Однако каждая компания получает ряд существенных преимуществ: быстрое и эффективное восстановление бизнеса в чрезвычайных ситуациях минимизация финансовых потерь, удовлетворение требований клиентов, акционеров, руководства, аудиторов и других заинтересованных структур уменьшение стоимости страховых контрактов и пр.
Таким образом, целесообразность планирования непрерывности бизнеса в каждой отечественной компании сегодня уже не вызывает сомнений.
Сергей Петренко - эксперт управления профессионального сервиса компании АйТи, SPetrenko@it.ru
Ольга Ремизова - консультант управления профессионального сервиса компании АйТи, info@it.ru
Поставщики решений и услуг
В настоящее время сложился достаточно развитый, структурированный рынок услуг и решений в области обеспечения непрерывности бизнеса. Характеристика некоторых предложений на этом рынке позволит составить представление о нем.
Состав работ
Стандартная схема планирования непрерывности бизнеса компании может включать в себя следующие работы:
Пример обеспечения непрерывности бизнеса
Как правило, под планированием непрерывности бизнеса понимается процесс создания и поддержания в актуальном состоянии плана мероприятий, позволяющих если не парировать, то по крайней мере минимизировать возможные потери компании (финансовые, юридические, имиджевые и др.) в условиях активного воздействия внутренней и внешней среды. Формально этот процесс заключается в подготовке и сопровождении пакета документов, в которых отражаются наиболее опасные для компании угрозы, регламентируются вопросы распределения обязанностей и ответственности между сотрудниками компании, содержатся планы оповещения и действий в чрезвычайных ситуациях и пр. Например, план обеспечения непрерывности бизнеса может содержать перечень мероприятий, позволяющих парировать такие угрозы, как отказы аппаратных средств разрушение блоков питания или элементов телекоммуникационной инфраструктуры компании сбой приложений и баз данных ошибки, связанные с человеческим фактором вирусы, черви, троянские кони и т.
Источники:
, , ,
Следующие статьи:
26 апреля 2024 года
Комментариев пока нет!
Характеристика на кадровика для награждения образец
Составить резюме на работу образец продавец консультант
Заявление о восстановлении пропущенного срока принятия наследства образец
Налоговые льготы при получении наследства
Образец расторжение договора купли продажи автомобиля
Письмо пожертвование образец
Вступление в наследство
Характеристика студента в школе образец
Отказ от части наследства не допускается
Сколько стоит оформление наследства по закону
