ГОСТ Р 53647.3— 2015
Планы должны быть внедрены путем проведения учений для подтверждения их всесторонности
и реалистичности. Первоначальные учения должны доказать работоспособность плана и должны на
зываться обучающими. До первоначальных учений по возможности следует провести анализ плана ли
цами, не участвующими в его внедрении. Предварительное ознакомление должно быть направлено на
проверку понятности плана. При необходимости план может быть передан другому персоналу для про
верки учета в плане всех вовлеченных лиц и определения в нем пробелов и неточностей.
Проведение учений направлено не только на поиск ошибок и недочетов, а также на проверку соот
ветствия плана своему назначению. Проверка дает возможность обучения специалистов, упомянутых в
плане. Ниже приведены основные правила, которые необходимо соблюдать при планировании учений.
Должны быть определены цели и задачи учений, которые могут включать в себя.
- подтверждение того, что все участники понимают свои функции и план в целом заслуживает по
ложительной оценки;
- проверку должного функционирования процедур инициирования работ и оповещения лиц, уста
новленных в соответствии с деревом звонков.
- проверку работоспособности и должного функционирования производственных площадок, обо
рудования, систем иуслуг;
- подтверждение того, что производство ключевых продукции и/или услуг может быть восстановле
но в пределах установленных приемлемых сроков и на приемлемом уровне.
Учения не должны подвергать организацию риску дополнительных разрушений. Они должны быть
практичными и рентабельными, соответствовать характеру и размеру организации, разработаны так.
чтобы создать атмосферу доверия этому плану.
Пример
—
Крупная государственная организация приняла решение о проверке бесперебойности
подачи электроэнергии к своим основным компьютерным системам.
Отказ в
подаче электроэнергии
привел к проблемам вкомпьютерной сети и в конечном итогек полной потере систем. При попытке вос
становить подачу электроэнергии был активирован дополнительный выключатель, однако это дей
ствие вызвало резкий скачок напряжения на компьютерах. При этом было выведено из строя несколько
ключевых компонентов компьютеров. Срочно была налажена работа альтернативных систем, однако
полное восстановление заняло несколько недель. В результате было признано, что проверка не была
должным образом подготовлена, и не был проведен необходимый предварительный анализ риска, что
и привело к печальным последствиям. Поэтому при проведении учений очень важно заранее проводить
анализ риска и воздействия возможных опасных событий.
Вывод: при проведенииучений важно планирование и оценка их воздействия на организацию и оцен
ка рисков.
Должна быть установлена и документирована регулярная программа проведения учений. Реализа
ция программы проведения учений должна проводиться либо в точно установленные высшим руковод
ством периоды времени, либо при существенных изменениях в организации или ее окружающей
среде. Всоответствии с ГОСТ Р ИСО 22301 высшее руководстводолжно приниматьактивное участие в
учениях и проверкахдля демонстрации приверженности СМНБ.
Должны быть назначены наблюдатели за ходом учений и работой группы обеспечения непрерывно
сти бизнеса. Следует обеспечить максимально полное участие в учениях вовлеченных лиц. Если у органи
зации существует служба внутреннего аудита, целесообразно пригласить для наблюдения и/или участия в
учениях квалифицированного аудитора иобеспечить сбор информации о фактическом выполнении планов.
Существуют различные формы учений: в виде обсуждения на совещаниях, на которых участники
проводят анализ плана, или в виде сплошного контроля, при котором проводят пошаговый анализ про
цедуры. процесса, операции и взаимодействий между участниками, и в виде полной проверки плана, при
проведении которой, например, закрывают участок или здание и предпринимаются действия по перево
ду работ на альтернативные места размещения. Полная проверка плана — единственный способ
обе спечения уверенности всех заинтересованных лиц в том, что управление в условиях инцидента и
меры по обеспечению непрерывности бизнеса работают как запланировано. В приложении У приведены
типы и методы учений по планам МНБ.
Для проведения учений по плану МНБ руководство организации должно утвердить соответству
ющий сценарий, наиболее подходящий для организации. Первоначально полезно провести учения по
отдельным элементам плана, устраняя найденные недостатки до проведения учений по всему плану
целиком. Целесообразно изменять сценарий учений каждый раз после проведения учений для обеспе
чения соответствия плана и работоспособности всех его компонентов.
41