Апаттық жағдайларды басқару және қызмет үздірілімінің аудиті
Disaster recovery and business continuity auditing
Ұйымдардың үздіріліссіз жұмыс істеу жоспарлары мен апатты қалпына келтіруді аудиттеу – маңызды құжаттардың толықтығын тексеру, қаупін азайту жолы. IT, деректерді қорғау.
Ағылшыншамен салыстырыңыз: абзацты басыңыз — түпнұсқа терезеде ашылады. Абзац астындағы EN түймесі оны мәтін ішінде көрсетеді.
Мазмұны
Кіріспе
Ұйымдардың операцияларын жүргізу үшін ақпараттық технологияларға тәуелділігі артып келе жатқандықтан, бизнес-сабақтастық жоспарлау бүкіл ұйымды қамтиды, ал апатты жағдайдан қалпына келтіру ІТ-ге бағытталған. Ұйымның бизнес-сабақтастығы және апатты жағдайдан қалпына келтіру жоспарларын қамтитын құжаттарды аудиттеу, мүдделі тараптарға құжаттама толық екенін және маңызды бұрмалаушылықтарды қамтымайтынын үшінші тараптан растауды қамтамасыз етеді. Толық еместік екінші деңгейдегі салдарларды назардан тыс қалдыруға әкелуі мүмкін, мысалы, үйде жұмыс істейтін адамдардың күрт өсуі қалпына келтіру орталығының кіріс телекоммуникациялық сыйымдылығын арттырып жіберуі мүмкін, ал алғашқы 48 сағат ішінде маңызды емес болған екі апталық жалақы төлемі қазірде қалпына келтіру процесінде мәселе тудырып, үкіметтік және мүмкін кәсіби одақтардың реакциясымен күрделенуі мүмкін.
None
Given organizations' increasing dependency on information technology to run their operations, business continuity planning covers the entire organization, and disaster recovery focuses on IT. Auditing documents covering an organization's business continuity and disaster recovery plans provides a third party validation to stakeholders that the documentation is complete and does not contain material misrepresentations. Lack of completeness can result in overlooking secondary effects, such as when vastly increased work at home overloads incoming recovery site telecommunications capacity, and the bi weekly payroll that was not critical within the first 48 hours is now causing perceived problems in ever recovering, complicated by governmental and possibly union reaction.
Шолу
Көбінесе бірге қолданылатын бизнес үздіксіздігі және апаттан қалпына келтіру терминдері мүлдем әртүрлі. Бизнес үздіксіздігі – апат орын алғаннан кейін кәсіпорынның маңызды функциялары мен бизнес процестерін жалғастыру қабілеті, ал апаттан қалпына келтіру – кәсіпорынның ақпараттық технологиялар (АТ) және деректерге қатысты функцияларына арналған, және ол бизнес үздіксіздігінің бір бөлігі болып табылады.
Often used together, the terms Business Continuity and Disaster Recovery are very different. Business Continuity refers to the ability of a business to continue critical functions and business processes after the occurrence of a disaster, whereas Disaster Recovery refers specifically to the Information Technology (IT) and data centric functions of the business, and is a subset of Business Continuity.
Шешімдер мен стратегиялар
Орналасу таңдауы: жедел сайт (hot site) және резервтік сайт (cold site). Жедел сайт операцияларды қайта бастау үшін толық жабдықталған, ал резервтік сайтта мұндай мүмкіндік жоқ. Жылы сайт (warm site) кейбір, бірақ барлық операцияларды қайта бастауға қабілетті. Қолжеткілілік талдауы қажет. Периодтық сынақтар мен тестілеулер жоспардың қолданылуын және тиімділігін растайды. Аудитор ұйымның операцияларын жоспарда көзделген деңгейде сақтап қалу мүмкіндігін, сондай-ақ ұйымның нақты іс жүзінде операцияларды орналасқан жерде қалпына келтіру қабілетін тексереді. Аудитор бұл мәліметтерді құжаттар (қағаз және электрондық түрде) арқылы және физикалық тексерулер арқылы растай алады. Сақтау орнының қауіпсіздігі де тексеріледі. Деректерді сақтық көшірмелеу: сақтық көшірмелеу процестерін тексеру кезінде (а) олардың тиімділігі және (б) оларды тиісті қызметкерлердің іске асырып жатқаны анықталады. Апатты қалпына келтіру жоспарына көшірмеленбеген деректерді қалпына келтірудің ең тиімді жолдары туралы ақпарат та кіреді. Деректердің бұзылуына, өгерілуіне немесе жойылуына жол бермеу үшін қажетті бақылаулар мен қорғау шаралары қолданылады. Оқу-жаттығулар: жоспардың тиімділігін анықтау және қажетті өзгерістерді белгілеу үшін жүйелі түрде оқу-жаттығулар өткізіледі. Аудитордың басты назарында осы жаттығулардың дұрыс жүргізілуі және осы жаттығулар барысында анықталған мәселелердің шешілуіне көз жеткізу болады.
Site designation: hot site vs. cold site. A hot site is fully equipped to resume operations while a cold site does not have that capability. A warm site has the capability to resume some, but not all operations. A cost benefit analysis is needed. Occasional tests and trials verify the viability and effectiveness of the plan. An auditor looks into the probability that operations of the organization can be sustained at the level that is assumed in the plan, and the ability of the entity to actually establish operations at the site. The auditor can verify this through paper and paperless documentation and actual physical observation. The security of the storage site is also confirmed. Data backup: An audit of backup processes determines if (a) they are effective, and (b) if they are actually being implemented by the involved personnel. The disaster recovery plan also includes information on how best to recover any data that has not been copied. Controls and protections are put in place to ensure that data is not damaged, altered, or destroyed during this process. Drills: Practice drills conducted periodically to determine how effective the plan is and to determine what changes may be necessary. The auditor's primary concern here is verifying that these drills are being conducted properly and that problems uncovered during these drills are addressed
Негізгі қызметкерлердің резерві: мерзімді оқулар, өзара оқыту және қызметкерлердің қосымша саны.
Backup of key personnel including periodic training, cross training, and personnel redundancy.
Сақтандыру мәселелері
Аудитор компанияның сақтандыру полистерін және басқа да зерттеулерді қарап, компанияның сақтандыру жабуының (әсіресе мүлік және жазатайым оқиғалар сақтандыруы) жеткіліктілігін анықтайды. Аудитор тексеруі тиіс мәселелердің арасында: полистің қолданылу аясы (көрсетілген барлық ерекшеліктерді қоса алғанда), оның сомасы ұйымның қажеттіліктерін қамтамасыз етуге жететіні және полистің қолданыста екендігі. Аудитор сондай-ақ тәуелсіз рейтингтік агенттіктер берген рейтингтерді қарап, сақтандыру компаниясы немесе сақтандыруды ұсынатын компаниялардың апат жағдайындағы залалды өтеуге қаржылық мүмкіндігі бар екенін анықтайды. Тиімді дағдарыс жоспарлары (DR) компанияның басқа ұйымдарға қатысты жауапкершілігінің мөлшерін және үлкен апатқа қарамастан, осы міндеттемелерді орындау қабілетін ескереді. Сапалы DR аудиті апат немесе кез келген басқа да ерекше жағдай кезінде орындалмағандық үшін ұйымның заңдық жауапкершілігін азайту мақсатында қолданыстағы өзара келісім шарттарын (MOA) және келісімшарттарды қарауды қамтиды. Сондай-ақ, ұйымға қолдау көрсету және қалпына келтіруге көмектесу туралы келісімдер де қарастырылады. Бұл саланың бағалау әдістері жоспардың дұрыстығын тексеруді, жоспарда барлық факторлар ескерілгенін анықтауды және келісімдердің дұрыстығын құжаттар мен тәуелсіз зерттеулер арқылы растауды қамтиды.
The auditor determines the adequacy of the company's insurance coverage (particularly property and casualty insurance) through a review of the company's insurance policies and other research. Among the items that the auditor needs to verify are: the scope of the policy (including any stated exclusions), that the amount of coverage is sufficient to cover the organization's needs, and that the policy is current and in force. The auditor also ascertains, through a review of the ratings assigned by independent rating agencies, that the insurance company or companies providing the coverage have the financial viability to cover the losses in the event of a disaster. Effective DR plans take into account the extent of a company's responsibilities to other entities and its ability to fulfill those commitments despite a major disaster. A good DR audit will include a review of existing MOA and contracts to ensure that the organization's legal liability for lack of performance in the event of disaster or any other unusual circumstance is minimized. Agreements pertaining to establishing support and assisting with recovery for the entity are also outlined. Techniques used for evaluating this area include an examination of the reasonableness of the plan, a determination of whether or not the plan takes all factors into account, and a verification of the contracts and agreements reasonableness through documentation and outside research.
Төтенше жағдайлар бойынша рәсімдер
Апатты қалпына келтіру жұмысы кезінде қызметкерлерді қолдауға арналған процедуралар кез келген жақсы апатты қалпына келтіру жоспарының құрамына кіреді. Тамақ пен су қорына қатысты процедуралар, жүрек-өкпе реанимациясы (ЖӨР) / алғашқы медициналық көмек көрсету мүмкіндіктері және отбасылық төтенше жағдайларды шешу мәселелері нақты жазылып, сынақтан өткізіледі. Компания мұны тиімді оқу бағдарламалары мен қызметтік міндеттердің нақты айқындалуы арқылы іске асыруға мүмкіндік алады. Жоспардың дайындық деңгейін бағалау жиі персоналға сауалнама жүргізу, тікелей физикалық тексеру, оқу туралы мәліметтерді және сертификаттарды қарау сияқты шараларды қамтиды.
Procedures to sustain staff during a round the clock disaster recovery effort are included in any good disaster recovery plan. Procedures for the stocking of food and water, capabilities of administering CPR/first aid, and dealing with family emergencies are clearly written and tested. This can generally be accomplished by the company through good training programs and a clear definition of job responsibilities. A review of the readiness capacity of a plan often includes tasks such as inquires of personnel, direct physical observation, and examination of training records and any certifications.
Қоршаған орта мәселелері
Аудитор электр қуатының үзілуі немесе басқа да IT саласына жатпайтын жағдайлар мүмкіндігін ескеретін процедураларды қарап шығуы керек. Фонарьлар мен шамдар қажет болуы мүмкін. Газ ағып кетуі, өрт немесе басқа да осы сияқты жағдайларға қатысты қауіпсіздік шаралары және жеке қорғаныс құралдары қажет болуы мүмкін.
The auditor must review procedures that take into account the possibility of power failures or other situations that are of a non IT nature. Flashlights and candles may be needed. Safety procedures in case of gas leaks, fires or other such phenomena and PPE may be needed.