Альфапедия

Планирование непрерывности бизнеса

редактировать
Жизненный цикл планирования непрерывности бизнеса Предотвращение и восстановление после угроз, которые могут затронуть компанию

Планирование непрерывности бизнеса (или планирование непрерывности и отказоустойчивости бизнеса ) - это процесс создания систем предотвращения и восстановления для борьбы с потенциальными угрозами для компании. Помимо предотвращения, цель состоит в том, чтобы обеспечить выполнение текущих операций до и во время выполнения аварийного восстановления.

Устойчивость организации к сбоям - это «способность... противостоять изменениям в своей среде и при этом продолжать функционировать». Часто называемая устойчивостью, это способность, которая позволяет организациям либо выдерживать изменения окружающей среды без постоянной адаптации, либо организация вынуждена адаптировать новый способ работы, который лучше подходит к новым условиям окружающей среды.

Содержание
  • 1 Обзор
    • 1.1 Устойчивость
    • 1.2 Непрерывность бизнеса
  • 2 Инвентаризация
  • 3 Анализ
    • 3.1 Анализ влияния на бизнес (BIA)
      • 3.1.1 Максимальное RTO
      • 3.1.2 Согласованность
    • 3.2 Анализ угроз и рисков (TRA)
    • 3.3 Сценарии воздействия
  • 4 уровня готовности
  • 5 Разработка решения
  • 6 Британские стандарты
    • 6.1 Закон о гражданских непредвиденных обстоятельствах
  • 7 Австралия и Новая Зеландия
  • 8 Внедрение и тестирование
    • 8.1 Тестирование и принятие в организации
  • 9 Техническое обслуживание
    • 9.1 Информация / цели
    • 9.2 Технические
    • 9.3 Тестирование и проверка процедур восстановления
  • 10 Стандарты
  • 11 См. также
  • 12 Ссылки
  • 13 Дополнительная литература
    • 13.1 США
    • 13.2 Библиография
    • 13.3 International Organization for St andardization
    • 13.4 Британский институт стандартов
    • 13.5 Австралийские стандарты
    • 13.6 Другое
  • 14 Внешние ссылки
Обзор

Любое событие, которое может негативно повлиять на работу, должно быть включено в план, например как цепочка поставок прерывание, потеря или повреждение критически важной инфраструктуры (основного оборудования или вычислительных / сетевых ресурсов). Таким образом, BCP является подмножеством управления рисками. В США государственные учреждения называют этот процесс непрерывным операционным планированием (COOP). План обеспечения непрерывности бизнеса описывает ряд сценариев бедствий и шаги, которые бизнес предпримет в каждом конкретном сценарии, чтобы вернуться к обычной торговле. BCP записываются заранее и могут также включать меры предосторожности, которые необходимо принять. Обычно созданный при участии ключевого персонала, а также заинтересованных сторон, BCP представляет собой набор непредвиденных обстоятельств для минимизации потенциального вреда для бизнеса во время неблагоприятных сценариев.

Устойчивость

Анализ 2005 года того, как сбои могут отрицательно повлиять на деятельность корпораций и как инвестиции в устойчивость могут дать конкурентное преимущество перед организациями, не подготовленными к различным непредвиденным обстоятельствам, расширяют распространенные тогда практики планирования непрерывности бизнеса. Деловые организации, такие как Совет по конкурентоспособности, приняли эту цель устойчивости.

Адаптация к изменениям явно более медленным, более эволюционным образом - иногда в течение многих лет или десятилетий - была описана как более эффективная. устойчивый, а термин «стратегическая устойчивость» теперь используется для того, чтобы выйти за рамки противодействия однократному кризису, а вместо того, чтобы постоянно предвидеть и приспосабливаться, «прежде чем необходимость изменений станет отчаянно очевидной».

Этот подход иногда резюмируется как: готовность, защита, реагирование и восстановление.

Теория устойчивости может быть связана с областью связей с общественностью. Устойчивость - это коммуникативный процесс, который создается гражданами, семьями, медиа-системой, организациями и правительствами посредством повседневного разговора и опосредованного разговора.

Теория основана на работе Патриса М. Баззанелла, Профессор Школы коммуникации Брайана Лэмба при Университете Пердью. В своей статье 2010 года «Устойчивость: говорить, сопротивляться и воображать новые нормальные явления в жизни» Баззанелл обсуждала способность организаций к процветанию после кризиса путем создания сопротивления. Баззанелл отмечает, что существует пять различных процессов, которые люди используют, пытаясь поддерживать устойчивость: формирование нормального состояния, подтверждение якорей идентичности, поддержание и использование коммуникационных сетей, использование альтернативной логики и преуменьшение негативных чувств при одновременном выдвижении на первый план положительных эмоций.

Если смотреть на теорию устойчивости, теория кризисной коммуникации похожа, но не то же самое. Теория кризисной коммуникации основана на репутации компании, а теория устойчивости основана на процессе восстановления компании. Есть пять основных компонентов устойчивости. Они заключаются в следующем: создание нормальности, подтверждение якорей идентичности, поддержание и использование сетей коммуникации, использование альтернативных логик и преуменьшение негативных чувств при одновременном выводе негативных эмоций на первый план. Каждый из этих процессов может быть применим к бизнесу в кризисные времена, что делает устойчивость важного фактора, на котором компании должны сосредоточиться во время обучения.

Кризис затронул три основные группы. Это микро (индивидуальный), мезо (группа или организация) и макро (национальный или межорганизационный). Также существует два основных типа устойчивости: упреждающая и пост-устойчивость. Проактивная устойчивость - это подготовка к кризису и создание прочной основы для компании. Пост-устойчивость включает в себя поддержание связи и общение с сотрудниками. Проактивная устойчивость имеет дело с проблемами до того, как они вызовут возможный сдвиг в рабочей среде и пост-устойчивости, поддерживая общение и принимая шансы после того, как инцидент произошел. Устойчивость можно применить к любой организации.

Непрерывность бизнеса

Непрерывность бизнеса - это ожидаемый результат надлежащего выполнения планирования непрерывности бизнеса и аварийного восстановления. Это расплата за рентабельную покупку запасных машин и серверов, выполнение резервных копий и их перенос за пределы предприятия, распределение ответственности, выполнение учений, обучение сотрудников и проявление бдительности.

Основные затраты при планировании - это подготовка документов по управлению соблюдением требований аудита; Инструменты автоматизации доступны для сокращения времени и затрат, связанных с ручным созданием этой информации.

Несколько стандартов непрерывности бизнеса были опубликованы различными органами по стандартизации, чтобы помочь в составлении контрольных списков этих текущих задач.

Инвентаризация

Планировщики должны иметь информацию о:

  • Оборудование
  • Расходные материалы и поставщики
  • Местоположение, включая другие офисы и резервные / места восстановления рабочей области (WAR)
  • Документы и документация, в том числе с удаленными резервными копиями:
    • Деловые документы
    • Документация по процедурам
Анализ

Этап анализа состоит из

  • анализа воздействия
  • анализ угроз и
  • сценарии воздействия.

Количественная оценка коэффициентов убытков также должна включать «доллары на защиту судебного процесса». Было подсчитано, что доллар, потраченный на предотвращение убытков, может предотвратить «семь долларов экономических потерь, связанных с катастрофой».

Анализ воздействия на бизнес (BIA)

Анализ воздействия на бизнес (BIA) различает критические (срочные) и некритические (несрочные) функции / мероприятия организации. Функция может считаться критической, если это предписано законом.

Каждая функция / вид деятельности обычно зависит от комбинации составляющих компонентов для работы:

  • Человеческие ресурсы (штатный персонал, неполный рабочий день или подрядчики)
  • ИТ-системы
  • Физические активы (мобильные телефоны, ноутбуки / рабочие станции и т. Д.)
  • Документы (электронные или физические)

Каждой функции присваиваются два значения:

  • Целевая точка восстановления (RPO) - допустимая задержка данных, которые не будут восстановлены. Например, допустима ли потеря данных за 2 дня для компании? Цель точки восстановления должна гарантировать, что максимально допустимая потеря данных для каждого действия не будет превышена.
  • Целевое время восстановления (RTO) - приемлемое количество времени для восстановления функции

Максимальное RTO

Максимальные временные ограничения, в течение которых ключевые продукты или услуги предприятия могут быть недоступны или не могут быть доставлены, прежде чем заинтересованные стороны осознают неприемлемые последствия, были названы следующим образом:

  • Максимальный допустимый период нарушения работы (MTPoD )
  • Максимально допустимый Время простоя (MTD )
  • Максимально допустимое отключение (MTO )
  • Максимально допустимое отключение (MAO )

) Согласно ISO 22301 термины максимально допустимый сбой и Максимально допустимый период сбоя означает одно и то же и определяется с помощью одних и тех же слов.

Согласованность

Когда происходит сбой более чем одной системы, планы восстановления должны уравновешивать потребность в согласованности данных с другими целями, например RTO и RPO. Цель согласованности восстановления (RCO) - это название эта цель. Он применяет цели согласованности данных, чтобы определить измерение согласованности распределенных бизнес-данных в связанных системах после аварии. В этом контексте используются аналогичные термины: «Характеристики согласованности восстановления» (RCC) и «Гранулярность объекта восстановления» (ROG).

Хотя RTO и RPO являются абсолютными значениями для каждой системы, RCO выражается в процентах, которые измеряют расхождение между фактическим и целевым состоянием бизнес-данных в системах для групп процессов или отдельных бизнес-процессов.

Следующая формула вычисляет RCO, где «n» представляет количество бизнес-процессов, а «сущности» представляют абстрактное значение для бизнес-данных: RCO = 1 - (количество несовместимых сущностей) n (количество сущностей) n {\ displaystyle {\ text {RCO}} = 1 - {\ frac {({\ text {количество несовместимых сущностей}}) _ {n}} {({\ text {количество сущностей}}) _ {n}}}}{\ displaystyle {\ text {RCO}} = 1 - {\ frac {({\ text {количество несовместимых объектов}}) _ { n}} {({\ text {количество объектов}}) _ {n}}}}

100% RCO означает, что после восстановления не происходит отклонений бизнес-данных.

Анализ угроз и рисков (TRA)

После определения требований к восстановлению каждая потенциальная угроза могут потребоваться уникальные шаги восстановления. Распространенные угрозы:

Вышеуказанные области могут возникать каскадом: Ответчики могут споткнуться. Расходные материалы могут закончиться. Во время вспышки SARS 2002-2003 гг. Некоторые организации разделили и сменили команды, чтобы соответствовать инкубационному периоду болезни. Они также запретили личные контакты в рабочее и нерабочее время. Это повысило устойчивость к угрозе.

Сценарии воздействия

Сценарии воздействия определены и задокументированы:

  • потребность в медицинских расходных материалах
  • потребность в вариантах транспортировки
  • гражданское воздействие ядерных катастроф
  • потребность в расходных материалах для бизнеса и обработки данных

Они должны отражать максимально возможный ущерб.

Уровни готовности

SHARE : семь уровней аварийного восстановления, выпущенные в 1992 году, были обновлены в 2012 году IBM как восьмиуровневая модель:

  • Уровень 0 - Нет данных за пределами площадки • Компании с решением для аварийного восстановления уровня 0 не имеют плана аварийного восстановления. Нет сохраненной информации, документации, оборудования для резервного копирования и плана действий в чрезвычайных ситуациях. Типичное время восстановления: Продолжительность восстановления в этом случае непредсказуема . На самом деле, восстановление может быть невозможно вообще.
  • Уровень 1 - Резервное копирование данных без Hot Site • Предприятия, использующие решения для аварийного восстановления уровня 1, делают резервные копии своих данных при отключении -объект объекта. В зависимости от того, как часто выполняется резервное копирование, они готовы принять потерю данных от нескольких дней до недель, но их резервные копии находятся в безопасном удалении. Однако на этом уровне отсутствуют системы для восстановления данных. Метод доступа к пикапу (PTAM).
  • Уровень 2 - Резервное копирование данных с помощью Hot Site • Решения для аварийного восстановления уровня 2 делают регулярные резервные копии на ленте. Это сочетается с удаленным оборудованием и инфраструктурой (известной как «горячая» площадка) для восстановления систем с этих лент в случае аварии. Это многоуровневое решение по-прежнему приведет к необходимости воссоздавать данные за несколько часов или дней, но менее непредсказуемо по времени восстановления . Примеры включают: PTAM с доступным Hot Site, IBM Tivoli Storage Manager.
  • Уровень 3 - Электронное хранилище • Решения уровня 3 используют компоненты уровня 2. Кроме того, некоторые критически важные данные передаются в электронном виде. сводчатый. Эти данные, хранящиеся в электронном хранилище, обычно более актуальны, чем данные, передаваемые через PTAM. В результате происходит меньше воссоздания или потери данных после аварии .
  • Уровень 4 - Копии на определенный момент времени • Решения уровня 4 используются предприятиями, которым требуется как большая валюта данных, так и более быстрое восстановление, чем пользователи нижних уровней. Вместо того, чтобы в значительной степени полагаться на транспортировочную ленту, как это часто бывает на нижних уровнях, решения уровня 4 начинают включать больше дисковых решений. Потеря данных на несколько часов все еще возможна, но легче делать такие копии на определенный момент времени (PIT) с большей частотой, чем данные, которые можно реплицировать с помощью ленточных решений.
  • Уровень 5 - Целостность транзакций • Решения уровня 5 используются предприятиями, которым требуется согласованность данных между производственными центрами обработки данных и центрами обработки данных для восстановления. В таких решениях практически отсутствует потеря данных ; однако наличие этой функции полностью зависит от используемого приложения.
  • Уровень 6 - нулевая или небольшая потеря данных • Решения для аварийного восстановления уровня 6 поддерживают наивысшие уровни валюта данных . Они используются предприятиями, которые практически не терпят потери данных или не допускают ее и которым необходимо быстро восстанавливать данные в приложениях. Эти решения не зависят от приложений для обеспечения согласованности данных.
  • Уровень 7 - Высокоавтоматизированное, интегрированное для бизнеса решение • Решения уровня 7 включают в себя все основные компоненты, используемые для решения уровня 6, с дополнительной интеграцией автоматизация. Это позволяет решению уровня 7 обеспечивать согласованность данных выше той, которая предоставляется решениями уровня 6. Кроме того, восстановление приложений автоматизировано, что позволяет восстанавливать системы и приложения намного быстрее и надежнее, чем это было бы возможно с помощью ручных процедур аварийного восстановления.
Разработка решения

Два основных требования, предъявляемых на этапе анализа воздействия являются:

  • Для ИТ: минимальные требования к приложениям и данным, а также время, в течение которого они должны быть доступны.
  • За пределами ИТ: сохранение бумажных копий (например, контрактов). План процесса должен учитывать квалифицированный персонал и встроенные технологии.

Эта фаза пересекается с планированием аварийного восстановления.

Этап решения определяет:

Британские стандарты

Британский институт стандартов (BSI) выпустил серию стандартов:

  • 1995: BS 7799, ориентированных на периферийные процедуры защиты информации. (отозвано)
  • 2006: BCP - BS 25999 -1 Управление непрерывностью бизнеса. Свод правил (отозван)
  • 2007: BS 25999-2 «Спецификация для управления непрерывностью бизнеса», которая определяет требования для внедрения, эксплуатации и улучшения документированной системы управления непрерывностью бизнеса (BCMS). (отозвано)
  • 2008: BS 25777, в частности, чтобы согласовать непрерывность работы компьютеров с непрерывностью бизнеса. (отозван в марте 2011 г.)
  • 2011: ISO / IEC 27031 - Методы безопасности - Руководство по готовности информационных и коммуникационных технологий для обеспечения непрерывности бизнеса.
  • BS EN ISO 22301 : 2019 Безопасность и отказоустойчивость - Системы управления непрерывностью бизнеса - Требования, текущий стандарт для планирования непрерывности бизнеса.
  • BS EN ISO 22313 : 2020 Безопасность и отказоустойчивость - Системы управления непрерывностью бизнеса - Руководство по использованию ISO 22301

ITIL дал определение некоторых из этих терминов.

В Великобритании BS 25999-2: 2007 и BS 25999-1: 2006 использовались для управления непрерывностью бизнеса во всех организациях., отрасли и отрасли. Эти документы содержат практический план действий в большинстве случаев - от экстремальных погодных условий до терроризма, отказа ИТ-системы и болезней персонала.

Закон о гражданских непредвиденных обстоятельствах

В 2004 году, после кризисов в предыдущем лет, правительство Великобритании приняло Закон о гражданских непредвиденных обстоятельствах 2004 года : компании должны иметь меры по непрерывному планированию, чтобы выжить и продолжать процветать, при этом работая над минимизацией инцидентов.

Закон был разделен на две части:

  • Часть 1: гражданская защита, охватывающая роли и обязанности местных спасателей
  • Часть 2: чрезвычайные полномочия
Австралия и Новая Зеландия

Великобритания и Австралия включили устойчивость в свои планы обеспечения непрерывности. В Соединенном Королевстве устойчивость к внешним воздействиям реализуется на местном уровне Местным форумом устойчивости.

. В Новой Зеландии в рамках программы по обеспечению устойчивости организаций Кентерберийского университета был разработан инструмент оценки устойчивости организаций. Он охватывает 11 категорий, каждая из которых содержит от 5 до 7 вопросов. Коэффициент устойчивости резюмирует эту оценку.

Внедрение и тестирование

Этап внедрения включает изменения политики, приобретение материалов, укомплектование персоналом и тестирование.

Тестирование и принятие в организации

В книге «Exercising for Excellence», опубликованной Британским институтом стандартов, в 2008 году определены три типа упражнений, которые можно использовать при тестировании планов обеспечения непрерывности бизнеса.

  • Настольные упражнения - небольшое количество людей сосредотачиваются на конкретном аспекте BCP. Другая форма включает одного представителя от каждой из нескольких команд.
  • Средние упражнения - Несколько отделов, команд или дисциплин концентрируются на нескольких аспектах BCP; сфера охвата может варьироваться от нескольких команд в одном здании до нескольких команд, работающих в разных местах. Добавлены заранее подготовленные "сюрпризы".
  • Комплексные упражнения - Все аспекты среднего упражнения сохраняются, но для максимальной реалистичности добавлены активация без уведомления, фактическая эвакуация и фактический вызов сайта аварийного восстановления.

Хотя время начала и окончания заранее согласовано, фактическая продолжительность может быть неизвестна, если событиям разрешено идти своим чередом.

Техническое обслуживание

Двухгодичное или ежегодное техническое обслуживание руководства BCP разбито на три периодических действия.

  • Подтверждение информации в руководстве, распространение среди персонала для ознакомления и специального обучения критически важных лиц.
  • Тестирование и проверка технических решений, разработанных для операций восстановления.
  • Тестирование и проверка процедуры восстановления организации.

Проблемы, обнаруженные на этапе тестирования, часто необходимо возвращать на этап анализа.

Информация / цели

Руководство BCP должно развиваться вместе с организацией и содержать информацию о, кто должен знать, что

  • серия контрольных списков
    • работа описания, необходимые наборы навыков, требования к обучению
    • документация и управление документами
  • определения терминологии для облегчения своевременного общения во время аварийного восстановления,
  • списки рассылки (сотрудники, важные клиенты, поставщики / поставщики)
  • информация о коммуникационной и транспортной инфраструктуре (дороги, мосты)

Техническая

Необходимо поддерживать специализированные технические ресурсы. Проверки включают:

  • Распространение определений вирусов
  • Безопасность приложений и распространение исправлений для служб
  • Работоспособность оборудования
  • Работоспособность приложений
  • Проверка данных
  • Приложение для обработки данных

Тестирование и проверка процедур восстановления

Изменения программного обеспечения и рабочих процессов должны быть задокументированы и подтверждены, включая проверку того, что задокументированные задачи восстановления рабочего процесса и поддерживающая инфраструктура аварийного восстановления позволяют персоналу восстанавливать заданное время восстановления.

Стандарты

Существует множество стандартов, которые доступны для поддержки планирования и управления непрерывностью бизнеса. Например, ISO разработала целую серию стандартов по системам управления непрерывностью бизнеса под руководством технического комитета ISO / TC 292 :

  • ISO 22300 : 2018 Безопасность и отказоустойчивость - Словарь
  • ISO 22301 : 2019 Безопасность и отказоустойчивость - Системы управления непрерывностью бизнеса - Требования
  • ISO 22313 : 2020 Безопасность и отказоустойчивость - Системы управления непрерывностью бизнеса - Руководство по использованию ISO 22301
  • : 2015 Социальная безопасность - Бизнес системы управления непрерывностью - Рекомендации по анализу воздействия на бизнес
  • : 2015 Социальная безопасность - Системы управления непрерывностью бизнеса - Рекомендации по непрерывности цепочки поставок
  • : 2018 Безопасность и отказоустойчивость - Системы управления непрерывностью бизнеса - Руководящие принципы для людей аспекты непрерывности бизнеса
  • : 2018 Безопасность и отказоустойчивость - Системы управления непрерывностью бизнеса - Руководящие принципы стратегии непрерывности бизнеса
  • : 2015 Оценка соответствия - Требования к органам обеспечение аудита и сертификации систем менеджмента - Часть 6: Требования к компетентности для аудита и сертификации систем управления непрерывностью бизнеса

.

См. также
Ссылки
Дополнительная литература

США

Библиография

International Организация по стандартизации

  • ISO 22300 : 2018 Безопасность и устойчивость - Словарь
  • ISO 22301 : 2019 Безопасность и устойчивость - Системы управления непрерывностью бизнеса - Требования
  • ISO 22313 : 2013 Безопасность и устойчивость - Системы управления непрерывностью бизнеса - Руководство по использованию ISO 22301
  • ISO / TS 22315: 2015 Социальная безопасность - Системы управления непрерывностью бизнеса - Руководство по анализу воздействия на бизнес (BIA)
  • ISO / PAS 22399: 2007 Руководство по обеспечению готовности к инцидентам и управлению непрерывностью работы (отозвано)
  • ISO / IEC 24762: 2008 Руководство по услугам аварийного восстановления информационных и коммуникационных технологий
  • ISO / IEC 27001: 2013 (ранее BS 7799-2: 2002) Информация Технология управления - Методы безопасности - Системы менеджмента информационной безопасности - Требования
  • ISO / IEC 27002: 2013 Информационные технологии - Методы безопасности - Свод правил для средств управления информационной безопасностью
  • ISO / IEC 27031: 2011 Информация технология - Методы безопасности - Руководящие принципы готовности информационных и коммуникационных технологий для обеспечения непрерывности бизнеса
  • IWA 5: 2006 Emergency Preparedness (отозван)

British Standards Institution

  • BS 25999 -1: 2006 Business Continuity Часть 1 управления: Свод правил (заменен, отозван)
  • BS 25999-2: 2007 Управление непрерывностью бизнеса, часть 2: Спецификация (заменена, отозвана)

Австралийские стандарты

  • HB 292-2006, " Практическое руководство по управлению непрерывностью бизнеса »
  • HB 293-2006,« Исполнительное руководство по управлению непрерывностью бизнеса »

Прочие

  • Джеймс С. Барнс (2008-06-08). Руководство по планированию непрерывности бизнеса. ISBN 978-0471530152.
  • Кеннет Л. Фулмер (2004-10-04). Планирование непрерывности бизнеса, пошаговое руководство. ISBN 978-1931332217.
  • Ричард Кепенах. Разработка плана обеспечения непрерывности бизнеса, 8 шагов для начала разработки.
  • Джуди Белл. Планирование выживания при стихийных бедствиях: Практическое руководство для бизнеса. ISBN 978-0963058003.
  • Диматтия, С. (15 ноября 2001 г.). «Планирование непрерывности». Библиотечный журнал. 126 (19): 32–34.
  • Эндрю Золли; Энн Мари Хили (2013). Устойчивость: почему все приходит в норму. Саймон и Шустер. ISBN 978-1451683813.
  • Международный глоссарий по устойчивости, DRI International.
Внешние ссылки
Последняя правка сделана 2021-05-13 06:47:15
Содержание доступно по лицензии CC BY-SA 3.0 (если не указано иное).
Обратная связь: support@alphapedia.ru
Соглашение
О проекте