ГОСТ Р ИСО/МЭК 17799—2005
бизнеса следует возлагать на орган, обладающий соответствующими полномочиями в организации,
например на управляющий совет по информационной безопасности (4.1.1).
11.1.2 Непрерывность бизнеса и анализ последствий
Необходимо, чтобы планированиенепрерывностибизнеса начиналосьсидентификациисобытий,
которые могут быть причиной прерывания бизнес-процессов, напримор отказ оборудования, наводне
ние или пожар. Планирование должно сопровождаться оценкой рисков с целью определения послед
ствий этих прерываний (как с точки зрения масштаба повреждения, так и периода восстановления).
Оценку рисков необходимоосуществлять при непосредственном участии владельцев бизнес-ресурсов и
участников бизнес-процессов. Оценка риска должна распространяться на все бизнес-процессы и не
ограничиваться только средствами обработки информации.
В зависимостиотрезультатовоценкирисковнеобходиморазработатьстратегиюдля определения
общего подхода к обеспечению непрерывности бизнеса. Разработанный пландолжен быть утвержден
руководством организации.
11.1.3 Разработка и внедрение планов обеспечения непрерывности бизнеса
Следует разрабатывать планы по поддержке или восстановлению бизнес-операций в требуемые
периоды времени после прерывания или отказа критических бизнес-процессов. Необходимо, чтобы
план обеспечения непрерывности бизнеса предусматривал следующие мероприятия по обеспечению
информационной безопасности:
- определение исогласование всех обязанностейдолжностныхлиц и процедур на случай чрезвы
чайных ситуаций:
- внедрение в случае чрезвычайных ситуаций процедур, обеспечивающих возможность восста
новления бизнес-процессов в течение требуемого времени. Особое внимание следует уделять оценке
зависимости бизнеса от внешних факторов и существующих контрактов:
- документирование согласованных процедур и процессов;
- соответствующее обучение сотрудников действиям при возникновении чрезвычайныхситуаций,
включая кризисное управление;
- тестирование и обновление планов обеспечения непрерывности бизнеса.
Необходимо, чтобы план обеспечения непрерывности бизнеса соответствовал требуемым целям
бизнеса, например восстановлению определенных сервисов для клиентов за приемлемый промежуток
времени. Следует учитывать потребности в необходимых для этого сервиса ресурсов, включая уком
плектование персоналом, альтернативными ресурсами для средств обработки информации, а также
меры по переходу на аварийный режим работы для этих средств .
11.1.4 Структура планов обеспечения непрерывности бизнеса
Следует поддерживать единую структуру планов обеспечения непрерывности бизнеса в целях
обеспечения непротиворечивости всех планов и определения приоритетов для тестирования и обслу
живания средств и систем обработки информации. Необходимо, чтобы каждый план обеспечения
непрерывности бизнеса четко определял условия его реализации, а также должностных лиц, ответ
ственных за выполнение каждого его пункта. При выявлении новых требований необходимо вносить
соответствующие корректировки в процедуры на случай чрезвычайных ситуаций, например в планы
эвакуации или в любые существующие планы по переходу на аварийный режим работы.
Необходимо, чтобы в структуре планов обеспечения непрерывности бизнеса предусматривалось
следующее:
- условия реализации планов, которые определяют порядокдействийдолжностныхлиц. которому
необходимо следовать (какоценивать ситуацию, ктодолжен приниматьучастие, ит. д.) перед введени
ем в действие каждого пункта плана;
- процедуры на случай чрезвычайных ситуаций, которые должны быть предприняты после инци
дента. подвергающего опасности бизнес-операции и/или человеческую жизнь. Необходимо, чтобы они
включали также меры по управлению связями с общественностью и эффективное взаимодействие с
соответствующими государственными органами, например с милицией, пожарной охраной и местными
органами власти.
- процедуры переходанааварийныйрежим работы, которыеописываютнеобходимыедействияпо
переносуважныхбизнес-операций или сервисов-поддержкив альтернативноевременноеместоразме
щения и по восстановлению бизнес-процессов в требуемые периоды времени;
- процедуры возобновленияработы, которыеописываютнеобходимыедействиядля возвращения
к нормальному режиму ведения бизнеса;
- график поддержки плана, который определяет сроки и методы тестирования, а также описание
процесса поддержки плана:
48