СОИБ. Обеспечение непрерывности бизнеса и восстановления деятельности (Часть 2)
В
продолжение предыдущей заметки об обеспечении непрерывности бизнеса и учебном курсе “Стандарт АРБ. Обеспечение непрерывности бизнеса и восстановлениядеятельности для Банков в соответствии с требованиями ЦБ РФ”, проведенном в
учебном центре Микротест,
привожу интервью с автором курса - Алексеем Бореалисом,
руководителем группы разработчиков стандарта АРБ.
Почему нужна непрерывность бизнеса?
В условиях больших мегаполисов существует большое число
чрезвычайных ситуаций, происходящих в любом районе города - от элементарного
пожара до блокировки здания правоохранительными органами. Риски могут быть как
технологического характера (просадка здания, обрыв кабеля из-за строительных
работ, сбой в серверной из-за прорвавшейся водопроводной трубы или
отключившегося в непредвиденно жаркую погоду кондиционера и т.д.), природного
характера (подмыв грунтовыми водами, сильнейшие морозы и т.д.), юридического
характера (неправильно оформленный договор аренды с последующим вынужденным
выселением), так и социального характера (беспорядки в районе, эпидемия и
т.д.). Не важно в чем именно риск, важно, что последствие риска – недоступность:
·
здания;
·
персонала;
·
ИТ и телекоммуникаций;
·
информации;
·
прочих технологий;
·
резерва ликвидных средств (для финансовых организаций);
·
внешних ключевых провайдеров, без которых немыслима деятельность
организации
Как следствие работа всего или существенной части офиса
(филиала) компании прерывается. На ликвидацию последствий ЧС и восстановления
деятельности обычно уходит от нескольких недель до нескольких месяцев. Именно в
этот период существует серьезная вероятность не выполнить минимальный объем обязательств
(перед клиентами, регуляторами, иными заинтересованными сторонами) и, как
следствие, потерять ключевые позиции на рынке, потерять ключевых клиентов,
потерять лицензию на деятельность, понести потери, после которых просто
невозможно восстановить деятельность и т.д. То есть в этот период существует
риск потери всего или существенной части нормального бизнеса. По статистике
DRII 93% компаний, не имевших систему непрерывности бизнеса, не продержались и
5 лет на рынке после ЧС, а 50% компаний, которые восстанавливали свою
деятельность более 10 дней, уже не смогли восстановить ее вовсе.
Непрерывность бизнеса позволяет заранее спланировать и
отрепетировать работы по аварийному восстановлению и продолжению ключевой
деятельности бизнеса вне зоны поражения на время ликвидации последствий ЧС. То
есть, фактически, спасти бизнес в кризисной ситуации. Это по-военному
отлаженная методология, пришедшая к нам с Запада.
Чем стандарт АРБ может помочь в вопросах обеспечения непрерывности и восстановления деятельности?
Существующие рекомендации, содержащиеся в положении 242-П
касательно ОНиВД носят весьма общий характер. Стандарт четко структурирует
требования к системе обеспечения непрерывности, включая все этапы ее создания,
иерархию документов и т.д. Это сильно облегчает жизнь банкам, следующим
рекомендациям ЦБ.
Какое обучение проводится на базе учебного центра компании Микротест по этой теме?
Компания Регул совместно с УЦ Микротест проводит
ряд семинаров именно по теме обеспечение непрерывности бизнеса. 21-го и 22-го
февраля прошел первый семинар из этого цикла - знакомство со стандартом Ассоциации
Российских Банков в области обеспечения непрерывности и восстановления
деятельности (ОНиВД), который был создан в поддержку инициативы ЦБ о вводе
планов ОНиВД (положение 242-П) на территории всех кредитных организаций
Российской Федерации.
В чем ценность семинара “Стандарт АРБ. Обеспечение непрерывности бизнеса и восстановления деятельности для Банков в соответствии с требованиями ЦБ РФ” по сравнению с самостоятельным прочтением стандарта?
Стандарт,
в общем-то, сухой и скучный документ. Более того, многие пункты могут
потребовать устного разъяснения. Его самостоятельное прочтение дает определенную
картину, но оставляет массу вопросов, в особенности в области практической
реализации требования стандарта. В будущем, в рамках АРБ будут создаваться
методические пособия - приложения к стандарту. Но даже они не заменят живого
диалога и практических упражнений, проходящих в рамках семинара.
От себя добавлю,
что это наиболее быстрый способ войти в тему, по сравнению с самостоятельным
изучением.
Каким вы видите участие подразделений ИБ в обеспечении непрерывности бизнеса?
Во-первых,
задача ИБ и непрерывности бизнеса полностью пересекаются в области обеспечения
доступности данных в условиях ЧС. СТО БР, равно как и 27001 ссылаются на планы
обеспечения непрерывности бизнеса (обеспечения доступности в кризисной
ситуации).
Какое подразделение обычно руководит или курирует систему управления непрерывностью?
У всех
по-разному. В России этим часто занимаются департамент ИТ или департамент ИБ,
но это малоэффективно, хотя бы потому, что у этих отделов не хватает полномочий
для формирования и тестирования планов, касаемо восстановления бизнес-процессов
и поведения сотрудников в других департаментах. В западных организациях часто
создается специальная структура - орган управления, состоящий из руководителей
бизнес и ИТ подразделений, курируемый непосредственно высшим руководством
организации. И это эффективный подход. В частности, именно такой подход описан
в стандарте АРБ.
Сколько времени в среднем занимает внедрение системы управления непрерывностью?
От 4 до
6 месяцев в одном отделении (офисе), если двигаться в очень хорошем темпе, то
есть быстро согласовывать промежуточные результаты.
Комментарии