Введение

Учитывая растущую зависимость организаций от информационных технологий в их операционной деятельности, планирование обеспечения непрерывности бизнеса охватывает всю организацию, а аварийное восстановление – исключительно ИТ-инфраструктуру. Аудит документации, касающейся планов обеспечения непрерывности бизнеса и аварийного восстановления, предоставляет независимое подтверждение заинтересованным сторонам о полноте документации и отсутствии в ней существенных неточностей. Неполнота может привести к упущению вторичных последствий, например, когда значительный рост числа сотрудников, работающих удаленно, перегружает телекоммуникационные мощности резервного центра, а выплаты заработной платы за две недели, не являвшиеся критичными в первые 48 часов, теперь создают проблемы с восстановлением, усугубляемые реакцией государственных органов и, возможно, профсоюзов.

Обзор

Часто используемые вместе, термины «непрерывность бизнеса» и «восстановление после аварий» (или «восстановление после катастроф») очень разные. Непрерывность бизнеса относится к способности организации продолжать выполнение критически важных функций и бизнес-процессов после наступления нештатной ситуации, в то время как восстановление после аварий (или «восстановление после катастроф») относится конкретно к информационным технологиям (ИТ) и функциям, связанным с данными, и является частью (подмножеством) обеспечения непрерывности бизнеса.

Решения и стратегии

Определение площадки: горячая площадка против холодной. Горячая площадка полностью оборудована для возобновления деятельности, в то время как холодная площадка такой возможности не имеет. Теплая площадка способна возобновить часть, но не все операции. Требуется анализ соотношения затрат и выгод. Периодические тесты и испытания подтверждают жизнеспособность и эффективность плана. Аудитор оценивает вероятность сохранения деятельности организации на уровне, предусмотренном планом, а также способность организации фактически развернуть деятельность на данной площадке. Аудитор может проверить это посредством бумажной и электронной документации, а также непосредственного физического осмотра. Также подтверждается безопасность площадки хранения. Резервное копирование данных: аудит процессов резервного копирования определяет, (а) эффективны ли они и (б) действительно ли они выполняются задействованным персоналом. План восстановления после аварий также содержит информацию о наилучшем способе восстановления данных, которые не были скопированы. Внедряются средства контроля и защиты для обеспечения сохранности данных от повреждений, изменений или уничтожения в процессе восстановления. Учения: периодически проводятся практические учения для оценки эффективности плана и определения необходимых изменений. Основная задача аудитора – удостовериться в правильности проведения учений и устранении проблем, выявленных в ходе их проведения.

Резервное копирование ключевого персонала, включая периодическое обучение, перекрестное обучение и дублирование персонала.

Страховые вопросы

Аудитор определяет достаточность страхового покрытия компании (в частности, страхования имущества и ответственности) путем анализа страховых полисов компании и проведения дополнительного исследования. Аудитор должен проверить следующие аспекты: объем страхового покрытия (включая любые оговорки и исключения), достаточность суммы покрытия для удовлетворения потребностей организации, а также актуальность и действительность полиса. Аудитор также оценивает финансовую устойчивость страховой компании (или компаний), предоставляющих покрытие, на основании рейтингов, присвоенных независимыми рейтинговыми агентствами, чтобы убедиться в ее способности выплатить страховое возмещение в случае наступления катастрофического события. Эффективные планы аварийного восстановления учитывают степень ответственности компании перед третьими сторонами и ее способность выполнять обязательства даже в условиях крупномасштабной катастрофы. Качественный аудит плана аварийного восстановления включает в себя анализ действующих соглашений (MOA) и контрактов для минимизации юридической ответственности организации за неисполнение обязательств в случае катастрофы или иных нештатных ситуаций. Также рассматриваются соглашения об оказании поддержки и содействии в восстановлении деятельности организации. Методы оценки включают в себя проверку обоснованности плана, определение полноты учета всех факторов, а также подтверждение разумности условий договоров и соглашений посредством документального анализа и внешних исследований.

Экстренные процедуры

Процедуры поддержки персонала в ходе круглосуточных работ по восстановлению после катастрофы должны быть включены в любой грамотный план восстановления после катастроф. Четко прописаны и протестированы процедуры обеспечения сотрудников продовольствием и водой, оказания сердечно-легочной реанимации и первой помощи, а также решения вопросов, связанных с семейными чрезвычайными ситуациями. Как правило, компания может обеспечить это посредством эффективных программ обучения и четкого определения должностных обязанностей. Оценка готовности плана часто включает в себя опрос персонала, непосредственный осмотр и проверку записей об обучении и сертификации.

Экологические вопросы

Аудитор должен проверить процедуры, учитывающие возможность отключений электроэнергии или других ситуаций, не связанных с ИТ. Могут потребоваться фонарики и свечи. Также могут понадобиться инструкции по технике безопасности в случае утечки газа, пожара или других подобных происшествий, а также средства индивидуальной защиты.