УПРАВЛЕНИЕ НЕПРЕРЫВНОСТЬЮ БИЗНЕСА В ИТ-КОМПАНИИ

Скокова И.К. 1, Чернова Е.В. 1

1ФГБОУ ВО "МГТУ им. Г.И. Носова"

Работа в формате PDF

299.4 KB

Сертификат участника

Комментарии

Текст работы размещён без изображений и формул.
Полная версия работы доступна во вкладке "Файлы работы" в формате PDF

ВВЕДЕНИЕ

Современный бизнес отличают динамичность и стремительность, поэтому нарушение нормального ритма работы даже на несколько часов может иметь катастрофические последствия для прибыльности и репутации компании. Приостановка или остановка деятельности несет серьезную угрозу для множества заинтересованных сторон – государственные, коммерческие структуры, граждане. Поэтому необходимо решать, как устранить риски. Организациям для управления непрерывностью бизнес-процессов необходимо заранее разрабатывать план. Управление непрерывностью бизнеса обеспечивает эффективный контроль внезапных нарушений рабочего режима, кризисных и чрезвычайных ситуаций и позволяет организациям оперативно восстановить обычный деловой ритм в случае наступления таких событий. Как только план по непрерывности бизнеса подготовлен, его необходимо протестировать, чтобы удостовериться, что процедуры работают так, как и планировалось.

К настоящему времени в практике разработано достаточное количество нормативных документов, регламентирующих вопросы управления непрерывностью бизнеса. К таким документам можно отнести NFPA 1600 Standard on Disaster/Emergency Management and Business Continuity Programs, ISO/IEC 27001 (14 раздел), СоbiТ, ITIL, BS ISO/IEC 27031:2011 и др [24, 26, 30]

Целью работы является разработка стратегии обеспечения непрерывности бизнес-процессов компания, занимающейся реализацией и управлением ИТ-проектами.

Объект: деятельность ИТ-компания

Предмет: процесс управления непрерывностью бизнеса в ИТ-компании

В соответствии с поставленной целью исследования определены следующие основные задачи:

Проанализировать процесс управления непрерывностью бизнеса в организациях.
Рассмотреть ИТ-компанию с позиции выявления критически важных бизнес-процессов.
Разработать стратегию управления непрерывностью бизнеса для ИТ-компании.

Теоретической и методологической основой послужили научные труды отечественных и зарубежных авторов – Петренко С., Беляев А., Качуров Е., Джинн Р., Джоунс Е.Д., Тойго Дж.У., Уолланс М., Веббер Л.; законодательные и нормативные акты, стандарты управления непрерывностью бизнеса, Интернет источники.

Практическая значимость курсовой работы заключается в том, что представленные рекомендации по обеспечению непрерывности бизнес-процессов в компании послужат теоретико-методологической базой для дальнейшего исследования.

§1 Определение процесса управления непрерывностью бизнесав деятельности организаций

Деятельность любой организации подвержена к возникновению неблагоприятных ситуаций, в результате которых бизнес процесс приостанавливается на время выяснение обстоятельств. Сбои в процессах снижают производительность, а иногда приносят убытки в деятельности организации. Не только новые технологии создают риски для осуществления бизнеса в инновационной деятельности. С подобной ситуацией сталкиваются и промышленные предприятия, которым приходится иметь дело с различными факторами, угрожающими стабильной деятельностью. Приостановка или остановка деятельности несет серьезную угрозу для множества заинтересованных сторон – государственные, коммерческие структуры, граждане. Поэтому необходимо решать, как устранить риски. Организациям для управления непрерывностью бизнес-процессов необходимо заранее разрабатывать план [12, 17].

Управление непрерывностью бизнеса обеспечивает эффективную контроль внезапных нарушений рабочего режима, кризисных и чрезвычайных ситуаций и позволяет организациям оперативно восстановить обычный рабочий процесс. Как только план по непрерывности бизнеса подготовлен, его необходимо протестировать, чтобы удостовериться, что процедуры работают так, как и планировалось [17].

Управлением непрерывностью услуг (IT Service Continuity Management или ITSCM) называется «процесс, ответственный за управление рисками, которые влияют на услуги» [30]. ITSCM обеспечивает возможность поставщику услуг постоянно предоставлять минимально согласованный уровень услуг, через снижение рисков до приемлемого уровня и планирование восстановления услуг.

Основная цель управления непрерывностью – поддерживать процесс управления непрерывностью бизнеса (BCM). BCM защищает интересы ключевых заинтересованных сторон, репутацию, бренд и деятельность по созданию ценности. Процесс BCM включает в себя снижение рисков до приемлемого уровня и планирование способов восстановления бизнес-процессов в случае нарушения бизнеса. BCM устанавливает цели, охват и требования по отношению к управлению непрерывности ИТ-услуг [30].

Предусмотреть все возможные сценарии и подготовиться к ним невозможно, но четкий и ясный план управления непрерывностью бизнеса в обязательном порядке предусматривает последовательность действий, объем ресурсов и процедуры, которые необходимы для профилактики кризисных ситуаций, принятия контрмер и устранения последствий в случае их наступления. При отсутствии плана действий в непредвиденных ситуациях и поддерживающих реализацию этого плана технологии, восстановление бизнеса для нормальной деятельности сильно затрудняется.

Основные выгоды от составления плана по обеспечению бесперебойной деятельности состоят в следующем: минимизация потенциальных финансовых потерь, уменьшение юридической ответственности, сокращение времени нарушения нормальной работы, обеспечение стабильности деятельности организации, организованное восстановление деятельности, сведение к минимуму суммы страховых взносов, уменьшение нагрузки на ведущих сотрудников, обеспечение безопасности персонала и заказчиков, соблюдение требований законов и инструкций.

Причины возникновения последствий в отсутствии плана было определено в исследовании Техасского университета, в котором были получены следующие данные:

85% организаций зависят от вычислительных систем;
в среднем на 6-й день перерыва в работе компания теряет 25% ежедневного дохода, а на 25-й день – 40%;
спустя две недели после прекращения работы вычислительных систем у 75% компаний потеря функционирования становится критической или полной;
43% компаний, испытавших бедствие и не имевших плана обеспечения бесперебойного функционирования, не возобновляют свою деятельность, а спустя два года продолжает функционировать лишь 10% компаний [10].

По полученным данным эксперты определили, что организации, которые составили план действий в непредвиденных обстоятельствах, имели существенно меньшие дополнительные затраты и потери доходов.

Процесс управления непрерывностью бизнеса обеспечивает для организации следующие возможности:

повышенная готовность персонала к обеспечению собственной безопасности и осуществлению компанией необходимых мероприятий в организованном порядке
выполнение требований законодательства и финансовых обязательств, что исключает возникновение штрафных санкций и судебных споров
восстановление бизнес-процессов организации в порядке установленных приоритетов с целью оптимального распределения ресурсов, необходимых для защиты доходов и снижения затрат
решения в области управления инфраструктурой/рабочим пространством, позволяющие уравновесить высокие издержки на недвижимость с необходимостью рассредоточения интеллектуального капитала организации;
стратегии реагирования, учитывающие особенности бизнеса организации, сфокусированные на сценариях высокой вероятности и обеспечивающие эффективное и результативное распределение бюджета, выделенного на осуществление плана управления непрерывностью бизнеса;
хорошо продуманная концепция реагирования на критические ситуации/информационного взаимодействия, разработанная с учетом как внутрикорпоративных, так и внешних требований;
информированность о планах управления непрерывностью бизнеса, разработанных бизнес-партнерами или третьими сторонами, которая позволяет обеспечить непрерывность бизнеса и защиту всей цепочки создания стоимости. [18]

Изначально непрерывность бизнеса направлялась на защиту от маловероятных, но серьезных событий, таких как пожар, наводнение и прочих стихийных бедствий. С появлений технологий программы по обеспечению непрерывности менялись:

начало 1990-х: восстановление после катастрофы, а также защиту от стихийных бедствий и масштабных отказов путем перехода в течение 72 часов на другой вычислительный центр;
середина 1990-х: план восстановления для телефонной поддержки клиентов;
2000 года: сокращение периодов восстановления до 4-24 часов, учет специфики электронного бизнеса на базе Интернет [17].

По данным исследования IBM и журнала The Economist по вопросам, связанных с рисками и устойчивости бизнеса, в мире около 37% крупных компаний имеют интегрированные решения и стратегию обеспечения устойчивости к внешним разрушающим факторам [25]. В отечественной практике, по мнению специалистов компании «АйТи», в России можно насчитать не более 15–20 проектов по реализации стратегии обеспечения непрерывности бизнеса и внедрению соответствующих технологических решений. Компании должны быть готовы к неожиданностям независимо от источников: экономических отклонений, чрезвычайных ситуаций техногенного характера, действий конкурентов или регуляторов, элементарных ошибок людей в процессе их повседневной работы, приводящих к выводу из строя жизненно важных для бизнеса систем. Значительная длительность остановки бизнеса характеризует финансовые потери, что становятся абсолютно неприемлемыми для многих категорий деятельности, учитывая высокую конкуренцию.

Для обеспечения непрерывностью бизнеса существует ряд стандартов, которые содержат практики управления процесса непрерывности, аварийного восстановления инфраструктуры компании в чрезвычайных ситуациях:

NFPA 1600 Standard on Disaster/Emergency Management and Business Continuity Programs;
ISO/IEC 27001 (14 раздел);
СоbiТ;
ITIL;
ISO 22301:2014 – Общественную безопасность. Системы управления непрерывностью бизнеса. Требования;
BS ISO/IEC 27031:2011 – Информационные технологии. Техники безопасности. Руководство по готовности информационно-коммуникационных технологий для обеспечения непрерывности бизнеса;
BS 12999:2015 – Повреждение управления. Кодекс практики для организации и управления по стабилизации, ликвидации последствий и восстановлению свойств, содержания, средств и активов после происшествия повреждение [17].

Краткая характеристика технической документации представлена в Приложении А.

Кроме документов и стандартов, которые закреплены, также выделяют отраслевые внутренние корпоративные нормативные документы (для операторов связи, объектов ФОМС, энергетических компаний и пр.).

По мнению экспертов, чтобы управлять непрерывностью бизнеса, любое предприятие должно выйти на определенный уровень зрелости, понимать что такое риск и как им управлять. Некоторым организациям для развития бизнеса, достаточно получение прибыли, и на данный момент они не стремятся к дальнейшему развитию при текущем уровне зрелости. Но на каком уровне не находилось бы предприятие, необходимо контролировать риски. Нужно, чтобы руководители пришли к пониманию, что вести бизнес, игнорируя эти вопросы, непрофессионально. Решение о начале работ по BCM должно принимать именно высшее руководство, потому что управление непрерывностью касается любых бизнес-процессов, происходящих в организации.

Одним из наиболее важных факторов, влияющих на непрерывность бизнеса, являются информационные технологии. Это связано с тем, что информационные технологии охватывают большую область управления человеческой деятельности и их возможности и средства. Решение многих вопросов по обеспечение непрерывности бизнеса в большей степени можно решить организационно, но без соответствующей технологической возможности, вопросы могут остаться без ответа. Усиление зависимости бизнеса от информационных технологий и усложнение корпоративных ИТ-инфраструктур – основные факторы, которые определяют роль технологических составляющих в BCM. По опросу, проводившим IBM и The Economist, 40% респондентов считают технологии средствами управления непрерывностью бизнеса [4].

Процесс управления непрерывностью бизнеса состоит из следующих этапов, которые сопровождаются определенным результатом:

Инициация проекта. На данном этапе определяется содержание проекта обеспечения непрерывности бизнеса и разрабатывается план. В нем определяются вопросы, связанные с исполнением проекта, мониторингом и контролем, а также определяются границы проекта, роли членов проектной команды и цели проекта. Для многих компаний процесс управления непрерывности бизнеса воспринимается как обеспечение надежностью критических бизнес-процессов [1717]. Процесс инициации регламентируется стандартами по управлению проектами, а именно PMI и PRINCE2.
Анализ воздействия на бизнес – метод, который позволяет исследовать воздействие инцидентов на ключевые виды деятельности и процессы исследуемой организации. Данный этап предусматривает детальное изучение процессов с проведением анкетирование и интервью с руководством отделов. В перечень вопросника входят темы по деятельности отделов, характеристика процессов или функций, которые они выполняют. Для детальной характеристики процессов определяется тип воздействия на бизнес и степень зависимости процесса от информационных технологий и внешних сервисов. А затем определяется максимально допустимое время простоя (Maximum Allowable Outage). На основе данного показателя определяются такие показатели как [4]:

RTO – «время, в течение которого должно происходить восстановление бизнес-функции или ресурса при наступлении нештатных ситуаций» [11];
RPO – «целевая точка восстановления определяет объем допустимых потерь данных в случае прерывания операций» [11];
SDO–«уровень доступности сервиса в определенный момент времени» [11].

В результате проведенного обследования по этапу «Анализ воздействия на бизнес» должны быть получены следующие данные:

перечень ранжированных критических процессов и соответствующих взаимозависимостей;
зарегистрированные экономические и производственные воздействия, вызванные нарушением критических процессов;
вспомогательные ресурсы, необходимые для идентифицированных критических процессов;
возможные сроки простоя и восстановления критических процессов и взаимосвязанных информационных технологий [7, 17, 30].

Для более точной оценки восстановления бизнес-процессов, необходимо согласовывать ценность процесса, с точки зрения возникшего происшествия, с их владельцами, а также с заинтересованной стороной.

Целью этапа «Оценка рисков», является событие, которое приводит к нарушению деятельности компании, а также их последствий.

Для данного этапа эксперты различные методы идентификации и дальнейшей оценки рисков. Наиболее приемлемым методом, по мнению ИТ-подразделении компании, является метод CRAMM, разработанный Службой безопасности Великобритании (UK Security Service) в качестве государственного стандарта. В его основе лежит комплексный подход к оценке рисков, сочетающий количественные и качественные аналитические компоненты.

Преимущества этапа определяются в понимании потенциальных опасностей и воздействия их последствий на достижение установленных целей компании. Оценка рисков состоит из последовательных процессов, которые определяют дальнейшее развитие событий:

идентификации риска – процесс определения элементов риска, описания каждого из них, составления их перечня;
анализ риска – процесс исследования информации о риске;
сравнительная оценка риска – сопоставление его уровня с критериями, установленными при определении области применения менеджмента риска, для определения типа риска и его значимости.

Результатом этапа оценки рисков является оптимальный сценарий для разработки стратегии непрерывности бизнеса.

Разработка стратегии непрерывности бизнеса – процесс необходим для обоснования технических и организационных решений. В процессе выбора решения детально рассматриваются возможные действия в отношении помещений, технологий, информационных активов, контрагентов, а также партнеров. Целями выбора решений являются следующие направления:

защиты приоритетных видов деятельности компании;
их эффективного восстановления;
смягчения последствий инцидентов, разработки ответных и превентивных мер [11, 19].

Разработка и внедрение планов непрерывности бизнеса. Основной результат процесса – план, который определяет систему мероприятий, предусматривающая порядок, последовательность и сроки выполнения работ. Планы управления непрерывностью должны состоять из трёх компонентов: реагирование на чрезвычайные, управление инцидентами восстановление деятельности. Структура плана определяется разделами, которые характеризуют последовательность действий над управлением непрерывностью: Исходная информация, Границы действия плана, Предпосылки создания плана, Концепция, Активация плана, Контроль, Восстановление [7, 11, 20].
Тестирование и пересмотр планов осуществляется для проверки работоспособности планов при возникновении рисков, влияющих на деятельность компании. План тестирования выбирается с учетом типа компании и ее целей [1, 4].
Обслуживание и обновление планов определяет процесс непрерывности бизнеса цикличным процессом. Созданный план необходимо сопровождать, обновлять и совершенствовать через определенный промежуток времени [17]. Чтобы сохранить актуальность планов, необходимо выполнять следующие действия:

проводить внутренние аудиты, включающие проверку восстановления после аварий, документации по обеспечению непрерывности и соответствующих процедур;
проводить регулярные практические тренинги по выполнению плана;
интегрировать вопросы непрерывности бизнеса в процесс управления изменениями компании.

В результате мероприятий по обеспечению непрерывности бизнеса могут возникнуть события, которые являются возможностями при управлении деятельностью организации. Проработанная программа обеспечения непрерывности позволит ключевым лицам компании осознать структуру поддерживающих процессов и внутренних сервисов компании, степень их важности для бизнеса, значение существующих на текущий момент связей со сторонними организациями, степень зависимости бизнеса от них.

§2 Анализ непрерывности бизнеса в ИТ-компании

Для разработки стратегии управления непрерывности бизнеса необходимо сначала проанализировать исследуемую компанию: определить цели организации, обязательства перед заказчиками и партнерами, установленных законодательных и обязательных требований, особенности рабочей среды и условия функционирования организации.

В работе рассматривается компания, целью является: предлагать полный спектр услуг по проектированию, монтажу, пусконаладочным работам, поставке силового электрооборудования и оборудования АСУТП в соответствии с требованиями законодательства и Заказчика [8].

В рамках предметной области компания выполняет следующие задачи: Обследование объекта автоматизации, разработка Технического задания, проектирование, поставка оборудования и ПО, программирование, монтаж, шеф-монтаж, пусконаладочные работы, обучение, техническая поддержка, лаборатория неразрушающего контроля.

Для реализации проектной деятельности клиентами компании являются крупнейшие производственные предприятия металлургии, энергетики, машиностроения, горнодобывающей промышленности и другие [8].

Штат компании состоит из обученных и сертифицированных специалистов, имеющих опыт проектирования Автоматизированных Систем Управления Технологическими Процессами (АСУТП), АСУ «Производство», разработки программного обеспечения различного уровня и назначения, инженерных систем для промышленных предприятий, а также проведения монтажных и пусконаладочных работ в реальных производственных условиях предприятий горно-обогатительной, металлургической и нефтеперерабатывающей отраслей.

Определение основных бизнес-процессов и обеспечиваемых активов.

Каждый из отделов выполняет следующие задачи.

АСУ ТП. Целью деятельности отдела является разработка, внедрение современных систем управления технологическими процессами для предприятий металлургии, горной промышленности, энергетики, железнодорожного транспорта и других отраслей. Отдел АСУ ТП выполняет следующий комплекс работ:

обследование объектов и разработку технического задания на АСУ ТП;
разработку проектной документации по автоматизации объекта;
выбор комплекта необходимых технических средств АСУ ТП;
разработку программного обеспечения;
консультационная поддержка Заказчика на всех стадиях разработки АСУ ТП;
техническое обслуживание систем.

АСУ П-MES.Отдел, занимающийся разработкой и внедрением MES-систем, работающих в режиме реального времени, и обеспечивающий эффективное управление производственными процессами в масштабе цеха на основе целостного анализа производства.

АСУ П.Основными задачами отдела являются: обеспечение эффективного функционирования АСУП, совершенствование АСУП. Деятельность по отделу направлена на интеграционные решения, функции которых определяются в проведении исследований системы управления, порядка и методов планирования и регулирования производства с целью определения возможности их формализации и целесообразности перевода соответствующих процессов на автоматизированный режим, и в изучении проблем обслуживания автоматизированных систем управления организации и ее подразделений.

Производственный отделобеспечивает технический контроль эксплуатации средств связи, вычислительной техники, установку (монтаж, ввод, эксплуатация) и ремонт оборудования:

установка оборудования систем автоматизации (КИПиА, контроллеры, серверы, рабочие станции и др.);
монтаж шкафов, пультов и щитов управления;
прокладка и подключение сетей передачи данных (СКС, ВОЛС, Wi-Fi, телефонные сети, интернет и др.);
подключение кабелей электропитания и заземления;
шеф-монтаж по собственным проектам компании.

Отдел снабжениязанимается обеспечением материально-техническими ресурсами. Деятельность отдела определяется следующим функционалом: определение потребности в материальных ресурсах, определение источников покрытия потребности в материальных ресурсах, обеспечение предприятия всеми необходимыми для его деятельности ресурсами. Компания осуществляет поставку широкого спектра продукции от ведущих мировых производителей: датчики, исполнительные устройства, контроллеры; серверное оборудование, промышленные и персональные компьютеры, ноутбуки; активное и пассивное сетевое оборудование; инженерная инфраструктура; офисное оборудование; комплектующее оборудование и материалы; программное обеспечение.

Отдел пуско-наладочных работ. Целью является настройка установленного оборудования, выявление недостатков и несоответствий проекту, которые способны негативно повлиять на безопасность использования оборудования, а также проверка готовности функционирования системы. Пусконаладочные работы осуществляются специалистами компании в рамках внедрения систем автоматизации «под ключ».

Пуско-наладочные работы выполняются в следующем объеме и последовательности:

Подготовительные работы: анализ рабочей проектной документации, подбор измерительных средств и инструментов, подготовка рабочих мест, проверка соответствия основных технических характеристик аппаратуры требованиям, согласование форм отчетной документации и т.п..
Пусконаладочные работы, совмещенные с работами по монтажу средств контроля, управления и электротехнических устройств – работы выполняются до введения эксплуатационного режима и выполняются одновременно с работами по монтажу приборов и средств автоматизации, включая каналы связи ПТК с периферийными подсистемами.
Пусконаладочные работы третьего этапа предусматривают: проверка функционирования прикладного и системного программного обеспечения; предварительное определение характеристик объекта, расчет и настройка параметров аппаратуры автоматизируемых систем, наладка информационных измерительных каналов; наладка и проведение предпусковых испытаний подсистемы; доведение параметров настройки программно-технических средств, каналов связи и прикладного ПО до состояния, при которых автоматизированные системы могут быть использованы в эксплуатации.

Отдел инфраструктуры и связи. Построение сетей для объединения территориально-разрозненных зданий, цехов и отдельных производственных помещений предприятия на основе волоконно-оптических линий связи, обеспечивающих передачу всех видов сигналов, которые используются в мультисервисных информационных сетях АСУ П, АСУ ТП и телефонии.

Отдел ИТ реализует работы по обеспечению бесперебойного функционирования и развития программно-аппаратных комплексов, обеспечение информационной и технической поддержки средств вычислительной техники и программного обеспечения, а также проведение работ по оптимизации использования информационно-технических ресурсов.

Отдел инновационных разработок,деятельность которого направлена на разработку эффективных механизмов и координацию развития деятельности по осуществлению инноваций в компании, сопровождение мероприятий по внедрению научных и (или) научно-технических результатов.

Бухгалтерия осуществляет формирование полной и достоверной информации о деятельности компании и ее имущественном положении, обеспечивает информацией, необходимой внутренним и внешним пользователям бухгалтерской отчетности, отражает и контролирует затраты, которые связанны с деятельностью компании.

Начисление заработной платы
Начисление и выплата налогов
Подготовка к аудиторской проверке
Ведение бухгалтерской отчетности

Отдел кадров выполняет задачи, связанные с подбором кадров, учетом персонала и ведением кадровой документации, повышением квалификацией работников, проведением аттестации, формированием кадрового резерва.

Бюро технической документации. Осуществляет деятельностьв разработке и корректировке нормативной и технической документации, регистрации договоров, нормоконтроль технической документации.

Сметно-договорной отдел.Основной задачей отдела является подготовка и оформление договоров на реализацию услуг компании.

Так как организация занимается управлением проектами, выделим основные бизнес-процессы:

Инициация проекта.
Планирование проекта.
Исполнение проекта.
Мониторинг и контроль.
Завершение проекта.

Далее определим последовательность бизнес-процессов по степени критичности. Степень критичность определяется по значимости к выполняемым функциям [14]:

Исполнение.
Инициация проекта.
Планирование проекта.
Мониторинг и контроль.
Завершение проекта.

Таким образом, критичными бизнес-процессами являются процесс Исполнение и Инициация [14].

Риск – это возможность возникновения потерь (материальных, финансовых, трудовых, потери времени и т. п.), появляющихся в связи со случайным изменением условий экономической деятельности, неблагоприятными обстоятельствами, реальными или потенциально возможными действиями (или условиями), приводящими к нарушению процесса реализации предпринимательского проекта. Оценка риска определяется как вероятность потерь, получаемых в результате наступления такого неблагоприятного события (ситуации).

В Приложение Б представлен перечень угроз, которые могут произойти в деятельности любой организации. Определим наиболее важные угрозы, которые характеризуют исследуемое предприятие (таблица 1).

Таблица 1 – Описание угроз (рисков)

Описание риска (угрозы)	Уязвимости	Возможный источник угрозы	Вероятные последствия - результаты реализации угрозы (сценарии)
Сбои и отказы программных средств и технических средств	отсутствие механизма защиты от перегрузки канала связи; архитектура приложения, неоптимизированная для высоких нагрузок; отсутствие дополнительных программных средств; не согласованы сроки поставки	Персонал	изменение данных, необходимых для управления проектами; отклонение работ от плана
Социальный инжиниринг	система безопасности	Персонал любой человек	утрата информационных активов; нарушение непрерывности процессов снижение качества информационных услуг
Пожар	неисправность системы пожаротушения	Рабочий персонал	пожар
Зависимость от партнеров/клиентов	невыполнение условий договора; изменение условий договора	Партнеры Заказчики Руководство	срыв сроков проекта; не реализация проекта
Трудовые ресурсы	спецификация персонала; низкий уровень вовлеченности исполнителей в реализацию проектов	Руководство	срыв сроков проекта; отсутствие прибыли; клиенты и партнеры отказываются в дальнейшем работать
Финансовые	недостаточно средств; экономический кризис	Руководство	сокращение бюджета проекта; снижение качества проекта
Временные ресурсы	невыполнение проекта в срок	Персонал	срыв сроков проекта; под вопросом дальнейшая реализация проектов и программ

Все возникшие уязвимости можно разделить на 3основне группы

1. Обусловленные действиями субъекта (антропогенные источники) – субъекты, действия которых могут привести к нарушению безопасности информации, данные действия могут быть квалифицированны как умышленные или случайные преступления. Источники, действия которых могут привести к нарушению безопасности информации могут быть как внешними так и внутренними. Данные источники можно спрогнозировать, и принять адекватные меры.

Угрозы: потеря персонала; невыход персонала на работу; атаки хакеров; компьютерные вирусы; выход из строя обеспечивающих систем (халатность); угроза некорректности данных (ошибки персонала); угроза целостности данных (хищение).

1. Обусловленные техническими средствами (техногенные источники)– эти источники угроз менее прогнозируемы и напрямую зависят от свойств техники и поэтому требуют особого внимания. Данные источники угроз информационной безопасности, также могут быть как внутренними, так и внешними.

Угрозы: отказ компьютерных аппаратных средств; сбои в работе аппаратных и программных средств; выход из строя аппаратных средств.

1. Стихийные источники – данная группа объединяет обстоятельства, составляющие непреодолимую силу (стихийные бедствия, или др. обстоятельства, которые невозможно предусмотреть или предотвратить или возможно предусмотреть, но невозможно предотвратить), такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. Такие источники угроз совершенно не поддаются прогнозированию и, поэтому меры против них должны применяться всегда. Стихийные источники, как правило, являются внешними по отношению к защищаемому объекту и под ними, как правило, понимаются природные катаклизмы.

Угрозы: пожары, нарушение функционирования систем жизнеобеспечения, нарушение внутриклиматических условий, нарушение электропитания и др.

Бизнес-процессы исследовались точки зрения подверженности тем или иным объективным внешним и внутренним угрозам, выявлялись уязвимости каждого ресурса, поддерживающего данный бизнес-процесс, и определялось потенциальное воздействие при превращении угрозы в инцидент, нарушающий деятельность организации.

Для стратегии нам необходимо посчитать допустимое время восстановления (pRTO). Для расчета используем следующие сокращения:

TPD max (англ. Maximum tolerable period of disruption) – максимально приемлемый (допустимый) период восстановления бизнес процесса организации, можно выделить данный показатель для основного рабочего времени и дня не основного (например, ночное время) [13, 17, 19].
RTO (англ. Recovery time objective) – целевой срок (время) восстановления каждого вида деятельности организации.
LBC (англ. Level of business continuity) – «уровень непрерывности бизнеса», описывающий какую долю штатной нагрузки должен обеспечивать бизнес-процесс в случае чрезвычайной ситуации [17]

Расчеты показателей представлены в таблице 2

Таблица 2 – Расчет допустимого времени восстановления бизнес-процессов

Исполнение проекта
Реализация плана проекта	TPD max =5 дней; RTO max = 2 часа; LBC = 75%
Обеспечение качества проекта	TPD max =2 часа; RTO max = 30 минут; LBC = 50%
Управление командой проекта	TPD max =2 часа; RTO max = 4 часа; LBC = 75%
Учет исполнения проекта	TPD max=4 часа; RTO max = 1 час; LBC = 50%
Управление снабжением	TPD max = 2 дня; RTO = 6 часов; LBC = 70%
Инициация проекта
Разработка концепции проекта	TPD max = 2 часа; RTO = 3 часа; LBC = 70%
Рассмотрение и утверждение концепции.	TPD max = 30 минут; RTO = 1 час; LBC = 20%
Принятие решения о начале проекта	TPD max = 15 минут; RTO = 3 часа; LBC = 50%

Таким образом, наибольшую длительность на восстановление имеет процесс «Управление командой проекта». Высокий уровень «непрерывности бизнеса» – «Реализация плана проекта».

Далее рассчитаем оценку воздействий и долговременных последствий отказов, отсутствия активов и ресурсов. Показатель оценивается с помощью приоритетного коэффициента риска (1)

Кр = КпКнКо, (1)

где Кр показывает, какие возможные отказы являются наиболее существенными, а, следовательно, по каким из них следует принимать предупреждающие меры в первую очередь;

Кп – коэффициент, учитывающий значение последствий отказов для потребителя (таблица В.1.). Потребителем всегда является конечный потребитель (покупатель). При анализе процесса потребителем считают того, кто принимает результат предыдущего этапа.

Кн – коэффициент, учитывающий вероятность Рн, с которой отказ или его причина не могут быть обнаружены до возникновения последствий непосредственно у потребителя (таблица В.2.). Нужно отметить, что вероятность пропуска (необнаружения) причины численно равна среднему выходному уровню дефектности.

Ко– коэффициент, учитывающий вероятность Ро отказа. Обычно Ро=1- Рб, где Рб - вероятность отсутствия отказа (таблица В.3.). При определении Ро исходят из того, что отказ не обнаружится до тех пор, пока потребитель не начнет пользоваться изделием.

Таким образом, были получены следующие показатели (таблица 3)

Таблица 3 – Расчеты коэффициента риска

Исполнение проекта
Реализация плана проекта	854=160
Обеспечение качества проекта	868=384
Управление командой проекта	667=252
Учет исполнения проекта	858=320
Управление снабжением	853=120
Инициация проекта
Разработка концепции проекта	645=144
Рассмотрение и утверждение концепции.	846=192
Принятие решения о начале проекта	946=216

Наибольшие значения по расчетам были оценены процессы – Обеспечение качества проекта (384), Учет исполнения проекта (320), Управление командой проекта (252).

Важнейшим этапом анализа характера и последствий отказа является проведение целенаправленных мероприятий по предупреждению дефектов. Эти мероприятия должны вести к одному из следующих результатов:

избежанию причин отказов;
снижению вероятности появления отказа (что возможно вследствие изменения конструкции или процесса, например, включение в конструкцию запасных параллельных элементов, выбор другого материала или термообработки);
снижению влияния первопричины на появление отказа и тяжесть его последствий (что возможно благодаря изменению конструкции, например, снижение вибраций по отношению к предельному уровню возможно при включении упругого элемента в трансмиссию машины, что позволяет в несколько раз уменьшить динамические нагрузки);
повышению вероятности обнаружения отказа на предприятии до момента поставки продукции потребителю (обычно это достигается изменением конструкции и процесса, а также в результате совершенствования мероприятий по обнаружению дефектов).

§3 Стратегия управления непрерывностью бизнеса

На основе полученных данных разработаем стратегию управления непрерывности бизнеса, которая будет рекомендована для использования в случае инцидента, чтобы обеспечить компании возможность продолжить выполнение ее критических процессов [14, 19].

Цель и область применения

Целью документа является восстановление критичных важных организационных и технических процессов после их сбоя, определив четкую последовательность действий.

Обеспечение непрерывности бизнеса включает в себя такие цели:

поддержание способности компании выполнять принятые на себя обязательства перед клиентами и партнерами, предупреждение и предотвращение возможного нарушения режима повседневного функционирования компании;
сохранения уровня управления компании, позволяющего обеспечить условия для принятия обоснованных и оптимальных управленческих решений, своевременную полную реализацию;
снижение последствий нарушения режима повседневного функционирования;
обеспечение соответствия всех механизмов принципов непрерывности бизнеса требованиям нормативно-правовых актов, государственных стандартов, утвержденных в компании актов, планов, программ и т.п.

План обеспечения непрерывности включает поддержку процесса восстановления в штатный режим работы следующих сервисов: электронная почта, файловый сервис.

Рамки плана. Настоящий план предназначен для случаев сбоев в работе критически важных сервисов, вызванных сбоями оборудования/программного обеспечения (аварийный режим) более чем на 2 часа. План предназначен для использования в случае:

с неблагоприятными событиями природного, техногенного и социального характера (пожар, чрезвычайные ситуации и стихийные бедствия, техногенные катастрофы, нарушение электропитания, нарушение функционирования жизнеобеспечения);
серьезных инцидентов в области информационной безопасности (вирусные атаки, DOS атаки, приводящие к нарушению работоспособности всех информационных систем, социальный инжиниринг, ошибки персонала, недобросовестное исполнение обязанностей, использование информационных активов не по назначению, несанкционированный доступ).
связанные со сбоями, отказами, разрушениями/повреждениями программных и технических средств (выхода из строя аппаратных компонентов, выхода из строя оборудования кондиционирования в серверном помещении, сбои и отказы программных средств, нарушения функциональности криптографической системы, нарушения функциональности архивной системы).

Распределение функций, ответственности и полномочий

Для поддержания готовности к реагированию при реализации угроз, влияющих на непрерывность сервиса, необходимо создание восстановительной команды:

- - руководитель АВК;
  - координатор планирования обеспечения непрерывности;
  - ответственный за резервное копирование;
  - ответственный за выделение рабочих площадок;
  - ответственный за функционирование локальной сети;
  - ответственный за функционирование каналов передачи данных;
  - ответственный за резерв аппаратного обеспечения;
  - администратор;
специалист технической поддержки пользователей.

Целевые параметры восстановления

Задачей плана является восстановление сервис в течение 1-3 ч. На восстановление каждого сервиса отводится 1 час.

Допустимой потерей данных при восстановлении системы является потеря данных за интервал в 2 ч.

Стратегия выполнения

Общей стратегией выполнения плана является:

оповещение ответственного администратора;
диагностика неисправности;
переход работы сервисов на оборудование «холодного» резерва;
работа на оборудовании «холодного» резерва;
восстановление штатного способа предоставления сервиса;
возврат к штатному режиму функционирования.

Активация плана

Активация настоящего плана производится: визуальный осмотр серверного помещения и определение невозможности запуска аппаратных средств, получение информации от энергокомпании о выключении электропитания в серверном помещении более чем на 2 часа, выход из строя аппаратных компонентов и невозможности их замены.

В случае наступления данного события, ответственный администратор системы должен быть незамедлительно уведомлен о необходимости активации плана.

Активацию данного плана не следует проводить в случаях: кратковременного (до 2 часов) выключения электропитания, проведения монтажных и других работ в серверном помещении, связанных с отключением электропитания в серверном помещении.

Актуализация плана

Настоящий план подлежит пересмотру каждые 6 месяцев. В рамках процедуры актуализации плана должна быть проверена актуальность конфигурации оборудования и ПО, контактной информации всех лиц, имеющих отношение к данному плану.

В процессе актуализации плана должна быть проведена проверка сроков действия всех договоров на поддержку (гарантийных договоров) систем, включенных в план. Срок действия вышеупомянутых договоров должен быть не менее даты следующего пересмотра настоящего плана (6 месяцев).

Процедура актуализации должна также быть выполнена до планового срока в случае, если в систему вносятся существенные изменения, например, происходит миграция на новое оборудование.

По завершении процедуры актуализации план должен быть заново опубликован и размещен в доступных для ответственных лиц местах.

Частота обновлений компонентов:

оценка рисков: 6 месяцев;
стратегия обеспечения непрерывности сервиса:12 мес;
роли и обязанности команды восстановления:12 мес;
состав команды восстановления и контактная информация: 3 мес.

Тестирование плана

Тестирование плана аварийного восстановление должно осуществляться на регулярной основе с интервалом не более 6 месяцев. Тестирование плана производится в нерабочее время или в выходные дни.

После получения информации о недоступности сервиса, ответственный администратор, получивший сигнал, должен проинформировать одного из представителей руководства компании о происшествии.

В случае наступления существенного (т.е. такого, который не смог быть оперативно устранен ответственным администратором) сбоя в предоставлении сервиса, служба технической поддержки должна быть незамедлительно проинформирована ответственным администратором.

В случае, если наблюдаются события, которые могут привести к сбою/существенной деградации сервиса в ближайшем будущем, ответственному администратору сначала необходимо провести первичную диагностику, оценить риски и требуемые действия по восстановлению, и потом, в случае существенной вероятности возникновения сбоев в предоставлении сервиса, проинформировать Службу заказчика. В любом случае, сообщение в службу технической поддержки должно содержать следующую информацию:

сервис(ы), предоставление которых полностью, либо частично, нарушено (может быть нарушено);
прогнозное время устранения проблемы (если может быть определено на данном этапе);
возможные альтернативные способы предоставления сервиса, если таковые существуют.

После наступления аварийной ситуации сервисы будут недоступны для пользователей. Службе технической поддержки необходимо проинформировать основных сотрудников, которые используют сервисы.

Мероприятия по обеспечению непрерывности

Фаза 0. Обнаружение инцидента

В течение фазы 0 происходит первичное обнаружение инцидента, возможно лицами, не являющимися специалистами в данном вопросе, первичная оценка степени серьезности повреждений и информирование руководителя АВК.

Любое лицо: если инцидент затрагивает безопасность людей, звонить в спец службы

Группа технической поддержки:

Оценить длительность выхода сервиса из строя (если превышает 1 ч, то информировать АВК)

Администратор сервиса: оценить длительность выхода сервиса из строя

Фаза 1. Идентификация инцидента, выбор стратегии

В течение фазы 1 происходит идентификация характера повреждений специалистами команды АВК, детальная оценка степени серьезности повреждений и производится выбор стратегии восстановления.

Руководитель АВК, специалист, ответственный за поврежденный компонент: проанализировать характер повреждения, оценить время восстановления, принять решение об объявлении аварии или передать инцидент специалисту.

Фазы 2 и 3. Частичное и полное восстановление сервиса

В течение фаз 2 и 3 выполняется процесс частичного и полного восстановления сервиса соответственно. При этом в ходе работ возможно выявления непредвиденных обстоятельств, которые могут привести к изменению уровня инцидента и возврата к этапу выбора стратегии, возможно, с переходом на план более высокого уровня.

Руководитель АВК: определить приоритеты восстановления;

Администратор АВК: проверить достаточность аппаратного обеспечения на момент восстановления.

Ответственный за резервное копирование: проверить достаточность материала резервных копий.

Фаза 4. Выход в штатный режим функционирования

Фаза 4 характеризуется обеспечением полного спектра услуг для бизнес-процессов со стороны ИТ-сервиса, однако, его внутренняя архитектура отличается от штатной (например, отсутствует дублирование компонент).

Руководитель АВК: определить компоненты восстановления системы, получить из резерва недостающие компоненты

Ответственные лица, администратор сервиса: привести архитектуру сервиса к штатной.

Документирование и анализ инцидента

По окончании процесса восстановления (возможно, до окончания фазы 4) необходимо проведение подробного документирования инцидента и процесса восстановления сервиса от его последствий. Кроме того, анализ процесса восстановления может привести к изменениям в стратегии и планах обеспечения непрерывности сервисов.

ЗАКЛЮЧЕНИЕ

Таким образом, для успешной деятельности компании необходимо контролировать бизнес-процессы от возникших инцидентов. Процесс управления непрерывностью бизнеса обеспечивает объединение всех применяемых на предприятии мер – целостный комплекс, позволяющий компании непрерывно предоставлять услуги, избежать влияния чрезвычайных ситуаций на деятельность и минимизировать возможный ущерб. Большинство компаний ставят следующие задачи развития деятельности:

минимизация рисков деятельности путем защиты своих интересов;
планирование т поддержка непрерывности бизнеса;
повышение качества деятельности по обеспечению информационной безопасности;
снижение издержек и повышение инвестиций в информационную безопасность;
повышение доверия со стороны партнеров, заказчиков и других заинтересованных сторон

Цель работы: разработка стратегии обеспечения непрерывности бизнес-процессов компания, занимающейся реализацией и управлением ИТ-проектами.

В рамках курсовой работы были решены следующие задачи:

проанализирован процесс управления непрерывностью бизнеса в организациях;
рассмотрена ИТ-компания с позиции выявления критически важных бизнес-процессов;
разработана стратегия управления непрерывностью бизнеса для ИТ-компании.

При написании курсовой работы по теме исследования была изучена специальная литература, включающая научные статьи, рассмотрен процесс управления непрерывностью в различных сферах деятельности.

Изначально был проанализирован процесс управления непрерывностью бизнеса, изучена история развития, а также основные нормативные документы и стандарты в области обеспечения непрерывности бизнеса. На примере специфической области была проанализирована ИТ-компания, определены критические бизнес-процессы. Для определения уровня риска были рассчитаны числовые значения приоритетного коэффициента риска. На основе полученных данных разрабатывалась стратегия управления непрерывностью бизнеса, цель которой обеспечить восстановление сервисов на резервном оборудовании, определив четкую последовательность действий, которые должны выполнить сотрудники компании.

Результаты анализа могут быть использованы в качестве рекомендаций по управлению непрерывности в практической деятельности.

СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ

Башнин А. Ситуативное управление и непрерывность бизнеса [Электронный ресурс]. URL: http://consulting.1c.ru/ejournalPdfs/Situativnoe_upravlenie_i_nepreryvnost__biznesa_part3-.pdf.
ГОСТ 7.1-2003. Библиографическая запись. Библиографическое описание. Общие требования и правила составления от 2 июля 2003.
Дорофеев А.В, Марков А.С. Планирование обеспечения непрерывности бизнеса и восстановления // Вопросы кибербезопасности.2015. №3(11). С. 68-73.
Дубова Н. BCM: быть или не быть? // Открытые системы. СУБД. 2012. №01 [Электронный ресурс]. URL: http://www.osp.ru/os/2012/01/13012921/.
Дяченко О. Business Continuity Management // Национальный банковский журнал. 2015 [Электронный ресурс]. URL: http://bankir.ru/publikacii/20150422/business-continuity-manag.
ИСО/МЭК 27001:2005 «Информационные технологии. Методы обеспечения безопасности. Системы менеджмента информационной безопасности. Требования».
Качуров Е. Семь шагов к непрерывности бизнеса [Электронный ресурс]. URL: https://habrahabr.ru/company/softline/blog/261053/.
КонсОМ СКС [Электронный ресурс]. URL: https://www.konsom.ru/.
Лаврушина Я. Н., Макарова А. А. Методологические подходы к анализу и оценке операционных рисков компании в статистически некорректной среде//Журнал «Бизнес-информатика», 2011. № 2 (16).
Непрерывность бизнеса. Подходы и решения [Электронный ресурс]. URL: http://www.iso27000.ru/chitalnyi-zai/upravlenie-nepreryvnostyu-biznesa/nepreryvnost-biznesa-podhody-i-resheniya.
Пономаренко К.В., Чернова Е.В. Разработка плана обеспечения непрерывной деятельности компании по предоставлению проектных услуг / Теоретические и прикладные аспекты современной науки: сборник научных трудов по материалам VIII Международной научно-практической конференции 27 февраля 2015 г.: в 7 ч. / Под общ. ред. М.Г. Петровой. – Белгород: ИП Петрова М.Г., 2015. – Часть VII. – 160 с. – с. 123-125 с.
Распопов В. М. Управление изменениями: учебное пособие [для студентов, обуч. по программам магистратуры, и слушателей программ MBA]. – М.: Магистр, 2013. – 336 с.
Салимова, Т.А. Стандартизация в области непрерывности бизнеса и устойчивого развития/Т.А. Салимова//Стандарты и качество. -2016. -№ 4. -С. 47-51.
Скокова И.К. Аналитический этап разработки стратегии управления непрерывностью бизнес-процессов для ИТ-компании / И.К. Скокова, Н.А. Романенко, Е.В. Чернова // Sworld. 2016 [Электронный ресурс]. URL: http://www.sworld.com.ua/index.php/ru/technical-sciences-416/informatics-computer-science-and-automation-416/28665-416-127.
СМК-СМГТУ-42-09. Система менеджмента качества. Стандарт организации. Курсовой проект (работа): структура, содержание, общие правила выполнения и оформления.
Управление изменениями [Электронный ресурс]. URL: http://qoo.by/Mh0.
Управление непрерывностью бизнеса. Ваш бизнес будет продолжаться. Информационные технологии для инженеров. – М.: ДМК Пресс; М.: Компания АйТи, 2011. - 400 с.: ил.
Управление непрерывностью бизнеса [Электронный ресурс]. URL: http://www.pwc.ru/ru/riskassurance/business-continuity.html.
Чернова Е.В. Профессиональные компетенции магистров бизнес-информатики в курсе «Управление непрерывностью бизнеса» / Научные труды SWorld. – Выпуск 3(44). Том 4. – Иваново: Научный мир, 2016 – 100 с. - С.22-27.
Чусавитина Г.Н., Давлеткиреева Л.З. Анализ и установление уровня зрелости информационной инфраструктуры организации для управления непрерывностью бизнеса//Современные информационные технологии и ИТ-образование/Сборник избранных трудов VII Международной научно-практической конференции. Под ред. проф. В.А. Сухомлина. -М.: ИНТУИТ.РУ, 2012. -1050 с.-С. 529-544.
Шермет М. А. Управление изменениями: учеб. пособие. - М.: Изд-во «Дело» АНХ, 2010. – 128 с.
APMGroup Official ITIL® Website [В Интернете]. - http://www.itil-officialsite.com/.
British Standard BS 25999-2:2007 Business continuity management – Part 2: Specification. (http://www.bsi-global.com/en/Shop/Publication-Detail/?pid=000000000030169700).
Business Continuity Management [Электронный ресурс]. URL: http://isqa.ru/bcp-ii/.
Business Continuity Management [Электронный ресурс]. URL: http://tadviser.ru/a/82143.
Cobit 4.1. Российское издание. IT Governance Institute, 2007.
Engemann, K.J., Henderson, D.M.: Business Continuity and Risk Management: Essentials of Organizational Resilience. Rothstein Associates, Brookfield (2012).
Gang, C.: Risk Evaluation of Business Continuity Management by Using Green Technology. In: Zaman, M., Liang, Y., Siddiqui, S.M., Wang, T., Liu, V., Lu, C. (eds.) CETS 2010. CCIS, vol. 113, pp. 86–92. Springer, Heidelberg (2010).
Henry A. Hornstein The integration of project management and organizational change management is now a necessity // International Journal of Project Management, Volume 33, Issue 2, February 2015, Pages 291-298.
ITIL. IT Service Management по стандартам V.3.1 [Электронный ресурс]. URL: http://www.intuit.ru/studies/courses/2323/623/lecture/13567?page=1.
Winkler U, Fritzsche M, Gilani W, Marshall M (2010) A model-driven framework for process-centric business continuity management. 7th International conference on the quality of information and communications technology, Porto, S 248–252.

ПРИЛОЖЕНИЕ А. Стандарты по управлению непрерывностью бизнеса

(рекомендуемое)

Практики и стандарты

Описание

Британский институт BCI

Некоммерческая организация Институт непрерывности бизнеса, основанная в Великобритании в 1994 г.

Характеристика деятельности: распространение и продвижение лучших практик управления непрерывностью бизнеса и аварийного восстановления в чрезвычайных ситуациях.

Проведение крупных международных мероприятий:

ВСІ International Symposium – международный форум специалистов в области управления непрерывностью бизнеса, в котором обсуждают актуальные вопросы и намечают дальнейшее развитие практик управления непрерывностью бизнеса;
Business Continuity EXPO – крупная международная выставка, на которой системные интеграторы, производители программного и аппаратного обеспечения и консалтинговые компании представляют свои достижения и делятся передовым опытом в области ВСМ;
Business Continuity Awareness Weeks – регулярно проводимые по всему миру мероприятия, в ходе которых через сайт института свободно распространяются презентации, методические рекомендации и справочная литература по вопросам ВСМ

Американский институт DRI

Международный институт восстановления после бедствия, создан при Вашингтонском университете в 1988.

К основным направлениям деятельности института DRII относятся:

подготовка и распространение знаний в области восстановления после бедствия;
начальное обучение специалистов в области обеспечения бесперебойной деятельности организации в случае бедствия;
повышение квалификации специалистов в области восстановления после бедствия;
экспертиза соответствующих стандартов и нормативных документов в области восстановления после бедствия

Модель включает семь этапов: инициация проекта, анализ требований, разработка плана, реализация плана, тестирование плана, сопровождение и поддержка плана, ввод плана в действие.

Практика SANS	Эксперты института системных администраторов и администраторов безопасности. Практика управления непрерывности подразделяется на непрерывности бизнеса (ВСР) и план аварийного восстановления (DRP). По мнению экспертов SANS, выделяют следующие этапы жизненного цикла управления непрерывностью: анализ рисков, анализ воздействия на бизнес, построение плана, тестирование и утверждение плана, модификация и обновление плана, утверждение и поддержание плана
Британский стандарт BS 25999	Стандарт содержит лучшие мировые практики непрерывности бизнеса. Опубликован в двух частях: Часть 1: Лучшая практика ВСМ; Часть 2: Спецификации системы ВСМ. Первая часть содержит общие рекомендации по управлению непрерывностью бизнеса в государственных и коммерческих организациях. Здесь под управлением непрерывностью бизнеса, ВСМ понимается системный процесс оценивания текущего уровня зрелости компании в области непрерывности бизнеса и его приведение к более зрелому уровню, в соответствии с целями и задачами бизнеса. Вторая часть разбита на четыре раздела, которые соответствуют циклу Деминга (Plan-Do-Check-Ad) и содержит сертификационные требования к системе управления непрерывностью бизнеса. Эта часть позволяет провести сертификационный аудит системы управления непрерывностью бизнеса организации на соответствии рекомендациям
NFPA 1600 Standard on Disaster/Emergency Management and Business Continuity Programs	Впервые стандарт был опубликован в 1995 году. Основное внимание уделялось вопросам, связанных с менеджментом стихийных бедствий. Начиная с 2000 года в стандарте рассматривалось планирование программы, которое включает элементы, методы и процессы общей программы обеспечения непрерывности деловой деятельности. В редакции стандарта 2007 года была введена концепция «системы менеджмента» в области обеспечения непрерывности деловой деятельности, которая быстро получила значительную поддержку в связи с успехом этой концепции в других областях деловой деятельности. Ассоциация NFPA работала над тем, чтобы лучше согласовать стандарт с моделью (Plan, Do, Check, Act, PDCA), лежащей в основе всех систем менеджмента. В январе 2010 года NFPA объявила о выпуске стандарта NFPA 1600 редакции 2010 года. Документ существенно изменился – как по структуре, так и по своему содержанию. На верхнем уровне, наиболее значительные изменения могут быть сгруппированы по трем направлениям: Переупорядочение глав в соответствие с моделью PDCA и расширение их содержания; Более ясное изложение ряда требований, а также Добавление полезного вспомогательного материала. Документ состоит из восьми глав: область применения, ссылки на публикации, определения терминов, управление программой (включающее управление документами), разработка плана, практическая реализация плана, тестирование и учения, совершенствование программы
ISO/IEC 27001 (14 раздел)	Рассматривается раздел вопросы информационной безопасности управления непрерывностью бизнеса Цель: На случай, если инцидент информационной безопасности может привести к судебному разбирательству (гражданскому или уголовному) против лица или организации, информация должна быть собрана, сохранена и представлена согласно правилам оформления доказательств, изложенным в соответствующих документах
СоbiТ	Процесс оценки и управления рисками включен в первую часть рекомендаций «Планирование». Метриками качества процесса управления рисками по версии СоbiТ являются: доля ИТ-бюджета, тратящегося на процедуры оценки и управления рисками; доля ИТ-целей компаний, охваченных процедурами управления рисками; доля потенциальных угроз, для которых оценка риска проведена полностью и выработан план по ограничению риска; доля инцидентов в сфере информационной безопасности, которые на момент возникновения оказались не учтенными процессом оценки риска и пр.
ITIL	Управление непрерывностью ИТ-услу г – поддержка принципов ITIL по управлению непрерывностью обслуживания Доступ к данным через CMDB с использованием всех необходимых ключевых функций ITIL, таких как: управление конфигурациями, служба технической поддержки и управление инцидентами, управление изменениями, управление доступностью и мощностями, управление уровнем обслуживания и управление информационно-коммуникационной инфраструктурой. Интеграция с программой управления уровнем обслуживания в целях обеспечения восстановления и возобновления доступа к договорным услугам в сроки, предусмотренные в SLA, соглашениях об эксплуатационном уровне (OLA) и договорах с внешними поставщиками услуг

ПРИЛОЖЕНИЕ Б. Классификация источников угроз

(справочное)

Источник угрозы ИБ	Описание
Класс 1. Источники угроз ИБ, связанные с неблагоприятными событиями природного, техногенного и социального характера
Пожар	Неконтролируемый процесс горения, сопровождающийся уничтожением материальных ценностей и создающий опасность для жизни людей. Возможные причины: поджог, самовозгорание, природное явление
Природные катастрофы, чрезвычайные ситуации и стихийные бедствия	Природные явления разрушительного характера (наводнения, землетрясения, извержения вулканов, ураганы, смерчи, тайфуны, цунами и т.д.)
Техногенные катастрофы	Разрушительный процесс, развивающийся в результате нарушения нормального взаимодействия технологических объектов между собой или с компонентами окружающей природной среды, приводящий к гибели людей, разрушению и повреждению объектов экономики и компонентов окружающей природной среды
Нарушение внутриклиматических условий	Негативное изменение климатических условий в помещениях, где расположены технические средства и/или находится персонал: значительные изменения температуры и влажности, повышение содержания углекислого газа, пыли и т.п. Возможные последствия: сбои, отказы и аварии технических средств, снижение работоспособности и нанесение ущерба здоровью персонала, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Нарушение электропитания	Нарушение или снижение качества электропитания. Возможные причины: техногенная катастрофа, стихийное бедствие, природное явление, террористический акт, пожар и т.п. Возможные последствия: сбои и отказы технических средств
Нарушение функционирования систем жизнеобеспечения	Сбои и аварии в системах водоснабжения, канализации, отопления
Угроза здоровью персонала	Угроза здоровью персонала в результате радиационных, биологических, механических, термических, химических и иных воздействий со стороны окружающей среды, объектов инженерной инфраструктуры, технических средств, пищевые отравления, производственный травматизм. Возможные причины: техногенные или природные катастрофы, аварии объектов инженерной инфраструктуры, неисправность оборудования, несоблюдение правил техники безопасности и охраны труда, санитарных правил и т.д. Возможные последствия: нехватка персонала, денежные выплаты, судебные разбирательства
Класс 2. Источники угроз ИБ, связанные с деятельностью террористов и лиц, совершающих преступления и правонарушения
Нарушения общественного порядка, вандализм, массовые беспорядки, политическая нестабильность	Уничтожение или повреждение имущества организации БС РФ
Террористические действия	Совершение взрыва, поджога или иных действий, устрашающих население и создающих опасность гибели людей, причинения значительного имущественного ущерба либо наступления иных тяжких последствий, в целях воздействия на принятие решения организацией БС РФ, а также угроза совершения указанных действий в тех же целях
Промышленный шпионаж	Передача, собирание, похищение или хранение информационных активов организации БС РФ для использования их в ущерб организации БС РФ
Запугивание и шантаж	Принуждение персонала организации БС РФ к осуществлению несанкционированных действий, заключающееся в угрозе разоблачения, физической расправы или расправы с близкими
Социальный инжиниринг	Умышленные действия сторонних лиц, преследующих мошеннические цели, реализуемые посредством обмана, введения в заблуждение работников организации БС РФ. Возможные последствия: ошибки работников, нарушение свойств, утрата информационных активов, нарушение непрерывности процессов, снижение качества информационных услуг (сервисов)
Класс 3. Источники угроз ИБ, связанные с деятельностью поставщиков/провайдеров/партнеров
Зависимость от партнеров/клиентов	Зависимость от партнеров заставляет организацию полагаться на их информационную безопасность, организация должна быть уверена, что партнер сможет обеспечить должный уровень безопасности либо учитывать данный источник угроз
Ошибки, допущенные при заключении контрактов с провайдерами внешних услуг	Неточности и неопределенности в договоре с провайдером внешних услуг, которые могут создавать проблемы в работе заказчика
Нарушения договорных обязательств сторонними (третьими) лицами	Невыполнение со стороны третьих лиц взятых на себя обязательств по качеству, составу, содержанию и/или порядку оказания услуг, поставки продукции и т.д. Например, невыполнение требований разработчиками, поставщиками программно-технических средств и услуг или внешними пользователями
Ошибки в обеспечении безопасности информационных систем на стадиях жизненного цикла	Ошибки в обеспечении безопасности при разработке, эксплуатации, сопровождении и выводе из эксплуатации информационных систем
Разработка и использование некачественной документации	Некачественное выполнение документированного описания технологических процессов обработки, хранения, передачи данных, руководств для персонала, участвующего в этих технологических процессах, а также описания средств обеспечения ИБ и руководств по их использованию
Использование программных средств и информации без гарантии источника	Использование в информационной системе организации непроверенных данных или нелицензионного программного обеспечения
Класс 4. Источники угроз ИБ, связанные со сбоями, отказами, разрушениями/повреждениями программных и технических средств
Превышение допустимой нагрузки	Неумышленное превышение допустимой нагрузки на вычислительные, сетевые ресурсы системы. Выполнение работниками объема операций большего, чем это допускается психофизиологическими нормами. Возможные причины: малая вычислительная и/или пропускная мощность, неправильная организация бизнес-процессов. Возможные последствия: сбои и отказы технических средств, нарушение доступности технических средств, ошибки персонала, нанесение вреда здоровью
Разрушение/повреждение, аварии технических средств и каналов связи	Физическое разрушение/повреждение технических средств (канала связи) или определенное сочетание отказов его элементов, приводящее к нарушениям функционирования, сопряженным с особо значительными техническими потерями, делающее невозможным функционирование технического средства (канала связи) в целом в течение значительного периода времени. Возможные причины: действие внешних (физический несанкционированный доступ, террористический акт, техногенная катастрофа, стихийное бедствие, природное явление, массовые беспорядки) и/или внутренних (значительные отказы элементов технических средств) факторов. Возможные последствия: нарушение свойств информационных активов, их утрата, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Сбои и отказы программных средств	Нарушение работоспособности программных средств. Возможные причины: недопустимое изменение параметров или свойств программных средств под влиянием внутренних процессов (ошибок) и/или внешних воздействий со стороны вредоносных программ, оператора и технических средств. Возможные последствия: нарушение свойств информационных активов, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Сбои и отказы технических средств и каналов связи	Прерывание работоспособности технических средств или невозможность выполнения ими своих функций в заранее установленных границах. Возможные причины: недопустимое изменение характеристик технических средств под влиянием внутренних процессов, сложность технических средств, нехватка персонала, недостаточное техническое обслуживание. Возможные последствия: сбои, отказы программных средств, аварии систем, нарушение доступности информационных активов, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Нарушения функциональности криптографической системы	Случайное или намеренное неправильное управление криптографическими ключами, криптографическими протоколами и алгоритмами, программно-аппаратными средствами систем криптографической защиты информации, приводящее к потере конфиденциальности, целостности и доступности информации, нарушению неотказуемости приема-передачи информации, блокировке функционирования платежных и информационных систем организации БС РФ
Нарушения функциональности архивной системы	Нарушение конфиденциальности и целостности архивных данных и/или непредоставление услуг архивной системой (нарушение доступности) вследствие случайных ошибок пользователей или неправильного управления архивной системой, а также вследствие физических воздействий на компоненты архивной системы
Класс 5. Источники угроз ИБ, связанные с деятельностью внутренних нарушителей ИБ
Недобросовестное исполнение обязанностей	Сознательное неисполнение работниками определенных обязанностей или небрежное их исполнение
Халатность	Неисполнение или ненадлежащее исполнение должностным лицом своих обязанностей вследствие недобросовестного или небрежного отношения к службе
Причинение имущественного ущерба	Умышленное нанесение персоналом вреда информационным активам. В первую очередь вредительство может быть направлено на технические и программные средства, а также на информационные активы. Возможные последствия: ущерб, вызванный нарушением свойств активов, включая их разрушение и уничтожение
Ошибка персонала	Любые не соответствующие установленному регламенту или сложившимся практикам действия персонала, совершаемые без злого умысла. Возможные причины: недостаточно четко определенные обязанности, халатность, недостаточное обучение или квалификация персонала. Возникновению ошибок способствуют отсутствие дисциплинарного процесса и документирования процессов, предоставление избыточных полномочий, умышленное использование методов социального инжиниринга по отношению к персоналу. Возможные последствия: нарушение конфиденциальности и целостности информации, утрата информационных активов, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов), сбои и отказы технических и программных средств
Хищение	Совершенное с корыстной целью противоправное безвозмездное изъятие и/или обращение имущества организации БС РФ, причинившие ущерб собственнику или иному владельцу этого имущества
Выполнение вредоносных программ	Внедрение в систему и выполнение вредоносных программ: программных закладок, “троянских коней”, программных “вирусов” и “червей” и т.п. Возможные причины: беспечность, халатность, низкая квалификация персонала (пользователей), наличие уязвимостей используемых программных средств. Возможные последствия: несанкционированный доступ к информационным активам, нарушение их свойств, сбои, отказы и уничтожение программных средств, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Использование информационных активов не по назначению	Умышленное использование информационных активов организации в целях, отличных от целей организации. Возможные причины: отсутствие контроля персонала. Возможные последствия: нехватка вычислительных, сетевых или людских ресурсов, прямой ущерб организации
Нарушения персоналом организационных мер по обеспечению ИБ	Несоблюдение персоналом требований внутренних документов, регламентирующих деятельность по ИБ
Ошибки кадровой работы	Ошибки кадровой работы заключаются в приеме на работу неквалифицированных сотрудников, увольнении/перемещении сотрудников без проведения сопутствующих процедур по обеспечению ИБ, непроведении или нерегулярном проведении тренингов и проверок персонала
Класс 6. Источники угроз ИБ, связанные с деятельностью внешних нарушителей ИБ
Действия неавторизованного субъекта	Умышленные действия со стороны субъекта из внешней по отношению к области обеспечения ИБ среды. Возможные последствия: разрушение и уничтожение технических и программных средств, внедрение и выполнение вредоносных программ, нарушение свойств, утрата информационных активов и сервисов
Ложное сообщение об угрозе	Ложное сообщение об угрозе, такой как: пожар, террористический акт, техногенная катастрофа, гражданские беспорядки и т.д. Возможные последствия: нарушение свойств информационных активов, их утрата, нарушение непрерывности выполнения процессов, снижение качества информационных услуг (сервисов)
Неконтролируемое уничтожение информационного актива	Неумышленное уничтожение информационных активов. Возможные причины: сбои оборудования, природные факторы и техногенные катастрофы. Возможные последствия: прямой ущерб организации
Неконтролируемая модификация информационного актива	Неумышленное изменение информационных активов. Возможные причины: сбои оборудования, природные факторы и техногенные катастрофы. Возможные последствия: нарушение непрерывности выполнения процессов, прямой ущерб организации
Несанкционированный логический доступ	Несанкционированный логический доступ неавторизованных субъектов к компонентам подразделения и информационным активам. Возможные причины: компрометация пароля, предоставление пользователям/администраторам избыточных прав доступа, недостатки (отсутствие) механизмов аутентификации пользователей и администраторов, ошибки администрирования, оставление без присмотра программно-технических средств. Одним из путей получения несанкционированного доступа к системе является умышленное внедрение вредоносных программ с целью хищения пароля для входа в систему или получения прав доступа. Возможные последствия: нарушение свойств информационных активов, сбои, отказы и аварии программных и технических средств, нарушение непрерывности процессов и/или снижение качества информационных услуг (сервисов)
Несанкционированный физический доступ	Физический несанкционированный доступ неавторизованных лиц в контролируемую зону расположения технических средств и/или информационных активов. Возможные причины: может осуществляться путем обхода средств контроля физического доступа или использования утраченных/похищенных средств обеспечения доступа. Возможные последствия: разрушение и уничтожение технических и программных средств, нарушение конфиденциальности, целостности, доступности информационных активов, нарушение непрерывности процессов и/или снижение качества информационных услуг (сервисов)
Класс 7. Источники угроз ИБ, связанные с несоответствием требованиям надзорных и регулирующих органов, действующему законодательству
Несоответствие внутренних документов действующему законодательству	Несоответствие деятельности может привести к административным и уголовным санкциям со стороны судебных, надзорных и регулирующих органов в отношении должностных лиц подразделения, вызвать остановку отдельных видов деятельности
Изменчивость и несогласованность требований надзорных и регулирующих органов, вышестоящих инстанций	Непостоянство, различия и коллизии в содержании требований и/или порядке их выполнения способны дезорганизовать деятельность подразделения или его отдельных служб, снизить ее эффективность и качество, а при определенных обстоятельствах — затруднить ее осуществление. Способствует “размыванию” или пересечению зон ответственности исполнителей и служб, манипуляции со стороны ответственных лиц и служб своими правами и обязанностями в ущерб общей деятельности. Приводит к перераспределению ресурсов в пользу той деятельности (зачастую не основной), за несоблюдение требований к которой наказание наиболее ощутимо для организации (должностного лица)

ПРИЛОЖЕНИЕ В.Значения показателей для расчетаприоритетного коэффициента риска

(справочное)

Таблица В.1. – Коэффициент Кп, учитывающий значение последствий отказов для заказчика (внутреннего/внешнего)

Значение последствий отказа	Показатель
Вероятность, близкая к нулю, что дефект может иметь какие - либо ощутимые последствия. Видимое воздействие на функцию или на дальнейшее выполнение операций процесса невозможно	1
Незначительное влияние на функции системы или дальнейшее выполнение операций процесса (второстепенное несоответствие). Потребитель, вероятно, заметит лишь незначительную неисправность системы.	2-3
Умеренное влияние. Вызывает недовольство потребителя. Функции системы или дальнейшему выполнению операций процесса нанесен ущерб (значительное несоответствие).	4-6
Существенное влияние. Существенные функции системы полностью выпадают, или промежуточный продукт не поддается дальнейшей обработке (значительное несоответствие). Несоответствие вызывает досаду потребителю, но безопасность или соответствие законам здесь не затрагиваются.	7-8
Очень существенное влияние. Тяжелые последствия отказа, ведущие к остановке производства.	9
Критическое. Отказ угрожает безопасности (опасность для жизни и здоровья людей) и противоречит законодательным предписаниям.	10

Таблица В.2. – Коэффициент Кн, учитывающий вероятность Рн, невыявления отказа или его причины

Значение последствий отказа	Вероятность невыявлениярн %	Показатель
Близкая к нулю. Возникающие отказы или причины отказов явно распознаются (например, отсутствие отверстия для сборки)	не более 0,01	1
Очень маленькая. Выявление возникающих отказов или причин отказов очень вероятно, например, с помощью большого количества независимых друг от друга испытаний/ технологических проверок (автоматический сортировочный контроль одного признака)	не более 0,01	2-3
Небольшая. Выявление возникающих отказов или причин отказов вероятно; проводимые испытания/ технологические проверки относительно достоверны	не более 0,3	4-5
Умеренная. Выявление возникающих отказов или причин отказов менее вероятно; проводимые испытания/ технологические проверки недостаточно достоверны (традиционный контроль - выборочный контроль, эксперименты, тесты)	не более 2	6-7

Продолжение таблицы В.2.

Высокая. Выявление возникающих отказов или причин отказов весьма затруднительно; проводимые испытания / технологические проверки очень неэффективны (например, контроль ручным способом, т.е. зависимость от персонала; признак распознается с трудом - неправильно выбран материал)	не более 10	8-9
Очень высокая. Возникающие отказы или причины отказов выявить нельзя: технологические проверки не проводятся (например: нет доступа, нет возможности для контроля, срок службы)	более 10	10

Таблица В.3. – Коэффициент Ко, учитывающий вероятность Ро возникновения причины отказа

Значение последствий отказа	Вероятность отказов/ дефектов ро %	Показатель
Вероятность близка к нулю	менее 0,00001	1
Очень незначительная вероятностью. Конструкция в общем соответствует прежним проектам, при применении которых наблюдалось сравнительно незначительное количество отказов. Процесс статистически стабилен при Ср(и Срк)=1-1,3. Доля дефектов при контроле качества составляет	0,00001

Просмотров работы: 1053

Код для цитирования:

IX Международная студенческая научная конференция Студенческий научный форум - 2017

УПРАВЛЕНИЕ НЕПРЕРЫВНОСТЬЮ БИЗНЕСА В ИТ-КОМПАНИИ

Студенческий научный форум - 2017
IX Международная студенческая научная конференция