Партнерка на США и Канаду по недвижимости, выплаты в крипто
- 30% recurring commission
- Выплаты в USDT
- Вывод каждую неделю
- Комиссия до 5 лет за каждого referral
СТАНДАРТ БАНКА РОССИИ
ПРОГРАММА УПРАВЛЕНИЯ НЕПРЕРЫВНОСТЬЮ ДЕЯТЕЛЬНОСТИ ОРГАНИЗАЦИЙ БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ
СПЕЦИФИКАЦИЯ
ЧЕРНОВИК
для обсуждения рабочей группы
Разработан Развитие»
Состав рабочей группы:
№ | ФИО | Участие в группе | Компания | Должность | |
1 | Усачев Игорь | Апробация | Банк» | Заместитель начальника информационно-аналитического управления | *****@***ru |
2 | Авакян Алексей | Координация группы | Развитие» | Директор по консалтингу | *****@***su |
3 | Морозова Татьяна | Обсуждение | Центральный Банк РФ | Начальник управления методологии | *****@***ru |
4 | Романова Екатерина | Обсуждение | Центральный Банк РФ | Начальник управления методологии банковского регулирования | *****@***ru |
5 | Лившиц Илья | Обсуждение | Русский Регистр | Старший эксперт | *****@***ru |
6 | Розанова Елена | Наблюдение | Energy Consulting | Руководитель направления риск менеджмента | *****@***ru |
Последняя версия черновика 01.07.2010
ИЗМЕНЕНИЯ В ПРОЕКТЕ СТАНДАРТА
Версия | Дата | Редактор(ы) | Комментарии к изменению |
V 0.1 | 16.02.2010 | Подготовлена первая версия документа для представления на конференции АРБ в Уфе | |
V 0.2 | 7.05.2010 | Обновлен список членов рабочей группы (утвержден на заседании АРБ от 01.01.2001). Термин «непрерывность бизнеса» заменен на «непрерывность деятельности». Добавлены три приложения, изначально отсутствующие. Часть «Корректирующие и упреждающие меры» вынесена в отдельный пункт 6.6. | |
V 0.3 | 30.06.2010 | П. 6.4. "может" заменено на "должен". П. 5.1.1.2., 5.1.2.1., 5.2.1.3., 5.2.2., 5.2.3.1., 5.3.3.2.8) "могут" заменено на "должны". П. 5.2.4.2. "могут включать" заменено на " должны включать одно из нижеследующих" "Постоянное поддержание и улучшение" заменено на "контроль и улучшение" для согласованности названий с циклом PDCA. В п.1.2. добавлено явное упоминание этого цикла. Термины и определения: Определение "аудита" заменено на стандартное из ISO 19011:2002. Определение "инцидента" заменено на стандартное из BS25999 Исправлены стилистические неточности | |
V 0.4 | 1.07.2010 | Внесены незначительные исправления в стилистику и формулировки отдельных пунктов на совместном заседании от 1.07.2010 |
Оглавление
Предисловие. 4
Введение. 4
1.1. Непрерывность деятельности и рубежи обороны.. 4
1.2. Обзор программы управления непрерывностью деятельности. 5
2. Область применения стандарта. 7
3. Термины и определения. 7
4. Планирование программы.. 9
4.1. Корпоративная политика в области обеспечения НД.. 9
4.2. Выделение ресурсов для управления и исполнения программы.. 9
5. Исполнение программы.. 10
5.1. Исследование организации. 10
5.2. Определение стратегии НД.. 12
5.3. Разработка и внедрение мер реагирования программы УНД.. 15
5.4. Документация и записи программы.. 18
5.5. Контроль документации и записей программы.. 18
6. Контроль и улучшение программы.. 18
6.1. Повышение осведомленности сотрудников. 19
6.2. Пересмотр программы высшим руководством.. 19
6.3. Внутренний аудит. 20
6.4. Тестирование программы.. 21
6.5. Извлечение уроков и выявление лучших практик. 21
6.6. Упреждающие и корректирующие действия. 21
7. Приложения. 22
7.1. Соответствие с другими банковскими стандартами. 22
7.2. Ключевые вехи программы УНИКТ. 22
7.3. Примеры тестирования. 24
7.4. Пример содержимого «тревожного чемоданчика». 25
Предисловие
Данный банковский стандарт опубликован Ассоциацией Российских Банков и вступил в силу ХХХХ 2010 года. Он был разработан с участием:
1. Развитие» ()
2. Банк» ()
3. Центральный Банк РФ (, )
4. Регистр» ()
5. Россельхозбанк ()
Стандарт подготовлен с целью установления требований к программе управления непрерывностью деятельности (УНД) организаций Банковской системы (БС) Российской Федерации (РФ).
Данный стандарт содержит только те требования, соблюдение которых может быть объективно проверено. Демонстрация соответствия данному стандарту может быть использована организацией БС РФ в качестве гарантии наличия у нее надлежащей программы УНД.
Введение
1.2. Непрерывность деятельности и рубежи обороны
С точки зрения процесса управления инцидентами первичный контроль и управление внештатной ситуацией лежит в области ответственности структур экстренного реагирования. Существующие в кредитной организации меры экстренного реагирования на инцидент и/или его предотвращения представляют собой первый рубеж обороны. В случае, когда кредитная организация способна справиться с последствиями инцидента с определенными потерями, но без угрозы потери целого бизнеса, активация планов обеспечения непрерывности не происходит, и борьба с последствиями инцидента не выходит за рамки первого рубежа обороны.
В случае наступления инцидента, последствия которого ставят под угрозу существование кредитной организации БС РФ, то после оперативного подтверждения его природы и масштаба принимается решение об активации мер обеспечения непрерывности деятельности (НД), в задачу которых входит защита регламентированных ключевых продуктов и услуг кредитной организации. Мероприятия по срочному восстановлению и непрерывному предоставлению ключевых продуктов и услуг представляют собой второй рубеж обороны, позволяющий кредитной организации выполнить минимальный объем обязательств, необходимых исключительно для продолжения существования на время ликвидации последствий инцидента и восстановления оставшейся части разрушенного бизнеса.
Обычно после серьезного инцидента экономически эффективней построить новую структуру деятельности организации, чем полностью восстановить старую. Поэтому зачастую организации не создают заранее детальных планов постепенного восстановления бизнеса, ограничиваясь лишь последовательностью восстанавливаемых процессов кредитной организации. Непрерывность деятельности сосредотачивается только на поддержании жизнеспособности организации на время ликвидации последствий инцидента, а также на первичном реагировании на инцидент.
1.3. Обзор программы управления непрерывностью деятельности
Программа представляет собой контролируемый высшим руководством кредитной организации процесс начальной подготовки и дальнейшего поддержания и постоянного повышения готовности кредитной организации пережить последствия инцидента. Фокус программы сосредоточен на втором рубеже обороны, однако включает также поддержание и повышение готовности структур экстренного реагирования на первом рубеже. Ключевыми факторами успеха реализации программы являются:
1) Доведенная до автоматизма схема кризисной коммуникации, принятия решения и активации планов УНД;
2) Натренированный персонал;
3) Простота изложения планов обеспечения НД;
4) Применение цикла " Планируй", "Выполняй", "Контролируй", "Улучшай" на протяжении всей программы
Ключевые элементы программы представлены на рис. 1.
Элемент программы | Цели | Основные задачи |
Анализ кредитной организации. | Определить требования к восстановлению и поддержанию ключевых продуктов и услуг кредитной организации, а также выявить риски, которые могут нарушить их предоставление. | 1) Определить минимальный уровень предоставления ключевых продуктов и услуг (исходя из минимального объема обязательств, исполнение которых позволяет удерживать бизнес от крушения); 2) Определить максимально допустимое время простоя в предоставлении критичных продуктов и услуг, превышение которого влечет за собой неминуемый крах кредитной организации; 3) Выявить активы и виды деятельности, необходимые для восстановления и дальнейшего предоставления критичных продуктов и услуг на минимальном (аварийном), а также нормальном уровнях; 4) Определить риски, воздействующие на выявленные активы и виды деятельности и выделить те, от которых следует защищаться с учетом приоритетов. |
Создание стратегии УНД. | Разработать меры защиты предоставления ключевых продуктов и услуг. | 1) Определить способы упреждающей защиты ключевых активов и видов деятельности; 2) Определить альтернативные пути предоставления ключевых продуктов и услуг в случае недоступности ключевых активов; |
Принятие мер защиты жизнедеятельности кредитной организации. | Принять меры защиты. | 1) Принятие мер экстренного реагирования на первом рубеже обороны; 2) Принятие мер защиты на втором рубеже; 3) Создание схемы авторизованной активации мероприятий по обеспечению НД. |
Поддержание и повышение готовности к последствиям инцидента. | Поддерживать и постоянно повышать готовность кредитной организации пережить последствия инцидента. | 1) Постоянное поддержание и повышения готовности к обеспечению НД за счет: a. Тестирования принятых мер; b. Пересмотра мер высшим руководством; c. Внутреннего аудита; d. Извлечения уроков; e. Программ обучения и повышения осведомленности сотрудников; f. Применения упреждающих и корректирующих мер |
2. Область применения стандарта
Данный стандарт устанавливает требования к созданию, исполнению, поддержанию и постоянному улучшению документированной программы УНД кредитных организаций БС РФ.
Требования, приведенные в данном стандарте, имеют общий характер и применимы ко всем организациям банковской сферы, независимо от их вида, размера и условий деятельности.
3. Термины и определения
1.
2.
3.
3.1. Активность
Операционная деятельность кредитной организации.
3.2. Анализ влияния на бизнес Процесс определения критичных продуктов и услуг и негативного эффекта от их простоя.
3.3. Аудит Методичный, независимый и документированный процесс, целью которого служит сбор свидетельств и их объективный анализ для определения степени их соответствия критериям аудита.
3.4. Заинтересованные стороны Лица, непосредственно заинтересованные в успешной деятельности организации.
ПРИМЕЧАНИЕ: Этот термин охватывает широкий круг лиц, таких как организации-корреспонденты, контрагенты, сотрудники, поставщики, партнеры, клиенты, инвесторы, акционеры, владельцы, страховщики, органы государственной власти, регулирующие органы.
3.5. Записи Документированные свидетельства деятельности в рамках программы УНД, такие как протоколы заседаний, регистрационные формы, отчеты о проведении тестов.
3.6. Инцидент Событие или положение, которое может привести или приводит к прерыванию бизнеса кредитной организации.
3.7. ИКТ услуга Взаимосвязанный набор информационно-телекоммуникационных услуг (ИКТ) компонент, поддерживающих одну или несколько активностей кредитной организации. Компоненты ИТ услуги состоят из
1) ИТ персонала;
2) Помещений;
3) Технологий;
a. Оборудование;
b. Сетевая инфраструктура;
c. Приложения;
4) Данных;
5) Процессов поддержания и предоставления;
6) Внешних поставщиков;
3.8. Критичные активности Операционная деятельность кредитной организации, от выполнения которой напрямую зависит предоставление критичных продуктов и услуг кредитной организации.
3.9. Максимально допустимое время простоя (МДВП) Максимально допустимое время прерывания предоставления критичных продуктов и услуг кредитной организации, по истечению которого организация будет не в состоянии оправиться от последствий инцидента.
3.10. Непрерывность деятельности (НД) Способность кредитной организации пережить последствия инцидента за счет экстренного возобновления и непрерывного предоставления ключевых продуктов и услуг для исполнения минимально необходимого для продолжения существования объема обязательств на время планомерного восстановления всего банковского бизнеса до нормальной деятельности.
3.11. Целевая точка восстановления данных Период времени в течение которого накопился определенный объем хронологических данных, необходимый для немедленного использования в целях восстановления и предоставления критичных продуктов и услуг кредитной организации. Также обозначается аббревиатурой RPO (Recovery Point Objective).
3.12. План обеспечения НД Набор актуальных документированных процедур, готовых к использованию во время и после инцидента для экстренного возобновления и поддержания предоставления критичных продуктов и услуг кредитной организации на заранее согласованном минимальном (аварийном) уровне.
3.13. Планы реагирования на инцидент Набор актуальных документированных процедур, готовых к использованию во время инцидента для первичного контроля над ситуацией и сдерживания/подавления инцидента.
3.14. Программа УНД Контролируемый высшим руководством процесс постоянного поддержания и повышения готовности кредитной организации пережить последствия инцидента.
3.15. Меры реагирования программы УНД Элемент программы УНД, сосредоточенный на защите ключевых продуктов и услуг кредитной организации во время и после инцидента.
3.16. Активы Необходимые компоненты, такие как люди и навыки, данные, технологии, помещения, поставщики, которые использует кредитная организация для достижения своих целей.
3.17. Стратегия УНД Документированный подход организации к защите ключевых продуктов и услуг в случае инцидента.
3.18. Целевое время восстановления Время восстановления критичной активности (или ИКТ услуги) до согласованного минимального уровня предоставления.
4. Планирование программы
4.1. Корпоративная политика в области обеспечения НД
4.
4.1.
В кредитной организации должна быть установлена политика обеспечения НД.
4.1.1. Цели и охват программы
1.
2.
3.
4.
4.1.
4.1.1.
4.1.1.1. Кредитная организация должна определить область деятельности и цели программы УНД, учтя при этом:
1) Требования к непрерывности деятельности;
2) Задачи и обязательства кредитной организации перед вкладчиками и кредиторами;
3) Приемлемый уровень риска кредитной организации;
4) Обязательства по законодательству, нормативным актам, договорам;
5) Интересы основных заинтересованных сторон;
4.1.1.2. Кредитная организация должна определить критичные продукты и услуги в области охвата программы УНД.
4.1.2. Требования к политике
4.1.2.1. Высшее руководство должно быть привлечено к созданию политики непосредственно либо через своего представителя.
4.1.2.2. Политика должна включать или ссылаться на:
1) Цели программы;
2) Охват программы, включая ограничения и исключения;
3) Перечень мероприятий по созданию и поддержанию обеспечения НД;
4.1.2.3. Политика должна:
1) Быть утверждена высшим руководством;
2) Быть доведена до сведения всех сотрудников кредитной организации или работающих от ее имени;
3) Пересматриваться в запланированные интервалы и в случае крупных изменений в кредитной организации в установленном порядке;
4.2. Выделение ресурсов для управления и исполнения программы
4.2.1. Общие положения
4.2.1.1. Кредитная организация должна выделить ресурсы, необходимые для создания, управления и реализации программы УНД.
4.2.1.2. Роли, ответственности и компетенции персонала, участвующего в создании, управлении и реализации программы должны быть четко определены и документированы.
4.2.2. Руководство программой
4.2.2.1. Высшее руководство должно назначить сотрудника, ответственного за управление и продвижение программы.
4.2.2.2. Ответственный сотрудник должен обладать соответствующими полномочиями и влиянием.
4.2.3. Исполнение программы
Высшее руководство должно назначить одного или нескольких сотрудников, ответственных за реализацию и дальнейшее поддержание программы.
4.2.4. Управление компетентностью сотрудников
Кредитная организация должна убедиться в компетентности сотрудников, ответственных за управление, реализацию и поддержание программы. Для этого кредитная организация должна:
1) Выявить необходимые компетенции ответственных сотрудников;
2) Оценить необходимость обучения;
3) Провести обучение;
4) Убедиться, что необходимые компетенции достигнуты;
5) Сохранять записи об образовании, обучении, навыках, опыте и квалификации;
5. Исполнение программы
5.1. Исследование организации
В кредитной организации должен быть определен и документирован метод оценки влияния нарушения деятельности, необходимой для предоставления ключевых продуктов и услуг.
Влияние должно быть оценено как с точки зрения возможности выполнения обязательств кредитной организации, так и с точки зрения ущемления интересов заинтересованных сторон.
5.1.1. Анализ влияния на бизнес
5.1.1.1. Организация должна:
1) Оценить рост влияния простоя предоставления ключевых продуктов во времени
2) Установить максимально допустимое время простоя (МДВП) каждого из критичных продуктов и услуг;
3) Выявить активности, необходимые для предоставления ключевых продуктов и услуг;
4) Установить целевое время восстановления каждой из критических активностей. Целевое время восстановления должно быть меньше МДВП продукта или услуги;
5) Ранжировать активности по целевому времени восстановления, выделить критические
6) Выявить поставщиков, от которых зависят критические активности;
7) Выяснить какие меры УНД у них внедрены;
8) Установить минимальный (аварийный) уровень предоставления ключевых продуктов и услуг;
9) Установить минимальный объем активов, необходимый для поддержания критичных продуктов и услуг на аварийном уровне;
10) Определить активы, необходимые для восстановления продуктов и услуг на минимальном уровне;
5.1.1.2. Активы, необходимые для поддержания критических активностей должны включать следующие элементы:
1) Персонал
a. Оптимальное и минимальное количество сотрудников;
b. Необходимые навыки и компетенции для работы в аварийном режиме;
2) Помещения
a. Основные и альтернативные площадки;
b. Помещения, требующие повышенной защиты;
3) Технологии
a. ИТ услуги, поддерживающие критичные активности;
b. Телекоммуникационные услуги, поддерживающие критичные активности;
4) Информация
a. Данные, необходимые для выполнения критичных активностей;
b. Минимальный объем данных, требующих восстановления (целевая точка восстановления);
c. Метод хранения и защиты этих данных;
5) Партнеры и поставщики
a. Поставщики, от которых зависит выполнение критичных активностей;
b. Организации, с которыми заключены соглашения о взаимовыручке в критических ситуациях;
5.1.1.3. В части информационных технологий и телекоммуникаций (ИКТ) кредитная организация должна:
1) Выявить и документировать ИКТ услуги, поддерживающие критичные активности;
2) Установить целевое время восстановления для каждой такой услуги в рамках целевого времени восстановления критичной активности;
3) Согласовать список критичных ИКТ услуг и требования к их восстановлению с высшим руководством;
4) Определить и документировать компоненты ИКТ услуги при минимальном (аварийном) уровне предоставления;
5.1.2. Анализ рисков
5.1.2.1. В кредитной организации должен быть определен и документирован метод оценки рисков, который позволяет оценить угрозы и уязвимости в критических активностях и используемых ими активах.
Основными рисками, вне зависимости от угрозы, их вызывающей, должны быть:
1) Потеря ключевых сотрудников;
2) Потеря технологий (ИТ и телекоммуникаций);
3) Потеря снабжения (воды, электричества);
4) Потеря или блокировка доступа к зданию/помещению;
5) Потеря ключевых поставщиков;
6) Потеря ключевой информации;
5.1.2.2. Кредитная организация должна ранжировать риски и выделить те, которыми она готова управлять самостоятельно:
5.1.3. Утверждение
Высшее руководство должно утвердить документированный список критичных продуктов и услуг, результаты анализа влияния и анализа рисков.
5.2. Определение стратегии НД
5.2.1. Общие положения
5.2.1.1. Для предотвращения потери ключевых активов, выявленных в ходе анализа влияния на бизнес и сбоя в предоставлении ключевых продуктов и услуг, кредитная организация должна разработать стратегические меры, предусматривающие:
1) Снижение вероятности потери и степени повреждения ключевых активов (защита ключевых активов);
2) Уменьшение времени недоступности основных активов (использование альтернативных активов);
3) Альтернативные способы предоставления ключевых продуктов и услуг (обходные пути);
5.2.1.2. При разработке стратегических мер кредитная организация должна определить:
1) Как она будет восстанавливать предоставление критичных продуктов и услуг в рамках целевого времени восстановления, включая:
a. активы, требуемые для восстановления потребления продуктов и услуг внешних поставщиков;
b. Объемы восстанавливаемых данных (целевые точки восстановления);
c. Восстановление необходимых информационно-телекоммуникационных (ИКТ) услуг в рамках целевого времени восстановления каждой ИКТ услуги;
2) Как она будет взаимодействовать с внешними поставщиками, участвующими в восстановительных работах;
5.2.1.3. Кредитная организация должна разработать стратегические меры обеспечения НД таким образом, чтобы применение этих мер не было затронуто тем же инцидентом, что вызвал сбой в работе самой организации.
ПРИМЕЧАНИЕ: Например, предусматривая защиту от отключения электричества в районе, кредитная организация может принять решение об активации дизельных автономных генераторов. По истечению срока выработки дизельного ресурса заправка генератора ни на одной ближайшей колонке не будет невозможна из-за отсутствия электричества в районе.
Стратегические меры УНД должны как минимум охватывать следующие ключевые активы:
1) Персонал (см. п.5.2.2);
2) Помещения (см. п.5.2.3);
3) Технологии (см. п.5.2.4);
4) Данные (см. п.5.2.5);
5) Поставщиков (см. п.5.2.6);
5.2.2. Персонал
Кредитная организация должна разработать стратегические меры по поддержанию ключевых знаний и компетенций для обеспечения непрерывности своего бизнеса. Эти меры должны включать в себя:
1) Территориальное распределение сотрудников с уникальными компетенциями;
2) Ведение списка дополнительных компетенций персонала, не использующихся в повседневной деятельности, для перераспределения функций в условиях нехватки сотрудников;
3) Привлечение персонала сторонней компании;
4) Проведение кросс-функциональных тренингов;
5) Документирование критичных активностей;
5.2.3. Помещения
5.2.3.1. Кредитная организация должна разработать стратегические меры по снижению влияния на предоставление ключевых продуктов и услуг в связи с отсутствием основных площадок: Эти меры должны включать:
1) Перевод персонала в другие помещения кредитной организации;
2) Использование рабочих мест сотрудников, выполняющих некритичную работу;
3) Удаленная работа из дома или другого помещения;
4) Использование помещений сторонней организации;
5.2.3.2. При выборе альтернативного помещения кредитная организация должна учесть:
1) Защищенность помещения;
2) Доступ к помещению;
3) Близость от основной площадки;
ПРИМЕЧАНИЕ 1. Различные типы инцидентов могут потребовать различные варианты или их комбинации. Выбор правильной стратегии зависит от типа кредитной организации, ее размеров, географического положения, имеющихся технологий и других ключевых факторов.
ПРИМЕЧАНИЕ 2. Для успешного выполнения функций ИТ кредитная организация должна учесть оснащенность сетевой и телекоммуникационной инфраструктурой, а также удаленность площадок друг от друга при выборе правильной стратегии.
5.2.4. Технологии
5.2.4.1. Кредитная организация должна разработать стратегические меры по поддержанию работоспособности в случае инцидента технологических компонент каждой ИТ и телекоммуникационной (ИКТ) услуги, необходимой для обеспечения НД.
ПРИМЕЧАНИЕ: Стратегия предоставления ИКТ услуг зависит от состава поддерживаемых ими ключевых продуктов и услуг кредитной организации и от требований к их восстановлению, но обычно сводится к комбинации следующих вариантов:
1) Предоставление ИКТ услуг внутри организации;
2) Предоставление ИКТ услуг из альтернативной площадки;
3) Предоставление ИКТ услуг из сторонней компании;
5.2.4.2. Стратегические меры по восстановлению технологических компонент ИКТ услуг должны согласовываться с целевым временем восстановления каждой из ИТ и телекоммуникационных услуг, обеспечивающих НД кредитной организации, и должны включать одно из нижеследующих:
1) «Горячий резерв» - распределение и репликация технологических решений, что обеспечивает непрерывное предоставление той же ИТ услуги на запасной площадке в случае крушения основной;
2) «Теплый резерв» - восстановление технологического решения на запасной площадке, частично оснащенной ИТ и телекоммуникационной инфраструктурой;
3) «Холодный резерв» - восстановление ИТ инфраструктуры «с нуля» на запасной площадке
4) «Срочные поставки» - заключение договора с внешним поставщиком на срочную поставку запасного оборудования;
5) «Комбинированная стратегия» - стратегия, состоящая из сочетания упомянутых вариантов;
ПРИМЕЧАНИЕ. В случае выбора «горячего резерва» в качестве стратегической меры следует уделить особое внимание защите сетевой связи между площадками от последствий инцидента.
5.2.5. Данные
5.2.5.1. Кредитная организация должна обеспечить целостность, доступность и конфиденциальность данных, необходимых для обеспечения НД, в случае инцидента.
5.2.5.2. Стратегия хранения и восстановления данных должна согласовываться с требованиями результатов анализа влияния на бизнес (п.5.1.1) и учитывать:
1) Требования к объему восстанавливаемых данных (целевые точки восстановления данных);
2) Защищенность хранения и передачи данных/перевоза на носителях;
3) Надежность механизма восстановления;
4) Частоту и объем резервируемых данных;
5) Сроки восстановления данных;
5.2.6. Поставщики
5.2.6.1. Кредитная организация должна определить перечень потребляемых продуктов и услуг, а также требования к ним.
5.2.6.2. Кредитная организации должна разработать стратегические меры по обеспечению наличия продуктов и услуг внешних поставщиков в случае инцидента, включающие:
1) Хранение дополнительных продуктов (в частности технологического и телекоммуникационного оборудования) в складских помещениях;
2) Соглашения с поставщиком о срочной доставке/замене продукта на складе;
3) Дублирование каналов поставки продуктов и услуг (например, сотовой связи, доступа в интернет);
5.2.7. Утверждение
5.2.7.1. Высшее руководство кредитной организации или его представитель должно рассмотреть предложенные ему варианты стратегических мер, выбрать и утвердить необходимые.
5.2.7.2. Выбранная стратегия должна:
1) Учитывать реалистичность рисков и величину их разрушения;
2) Согласовываться с установленными целями программы УНД;
5.3. Разработка и внедрение мер реагирования программы УНД
Кредитная организация должна опираться на меры, утвержденные согласно п. 5.2 для создания планов управления инцидентами и планов обеспечения НД.
5.3.1. Схема реагирования на инцидент
5.3.1.1. Кредитная организация должна определить простую и ясную схему реагирования на инцидент, которая позволит:
1) Подтвердить характер и масштаба инцидента;
2) Взять первичный контроль над ситуацией;
3) Сдерживать/подавлять инцидент;
4) Экстренно оповещать заинтересованные стороны;
5) Привлекать внешние экстренные службы;
6) Активировать соответствующий план обеспечения НД кредитной организации;
5.3.1.2. Кредитная организация должна назначить сотрудников, обладающих соответствующими компетенциями и полномочиями, ответственных за экстренное реагирование и первичный контроль над ситуацией.
5.3.2. Планы управления инцидентами
5.3.2.1. Ответственные сотрудники должны иметь на руках документированные планы управления инцидентами.
5.3.2.2. Любая связь с другими документами организации и метод доступа к указанным документам должны быть четко определены.
5.3.2.3. Каждый план должен:
1) Быть простым и сжатым;
2) Быть доступным ответственным лицам;
3) Иметь цели и область применения;
4) Содержать описание ролей и ответственности персонала, участвующего в управлении инцидентом;
5) Согласовываться с действиями внешних организаций;
6) Иметь схему активации, включая:
a. Схему раннего оповещения и тревог;
b. Схему мобилизации ответственного персонала в защищенных командных пунктах;
7) Содержать схему кризисных коммуникаций, уделяя внимание
a. Коммуникациям внутри команды сотрудников, участвующих в управлении инцидентом;
b. Коммуникациям с экстренными службами;
c. Коммуникациям с заинтересованными сторонами;
d. Методу коммуникации;
8) Содержать список необходимого оборудования для управления инцидентом (огнетушители, респираторы);
9) Содержать последовательность действий по управлению инцидентом, при этом:
a. Физическая безопасность сотрудников должна быть на первом месте (включая эвакуацию, оказание первой медицинской и психологической помощи);
b. Действия должны осуществляться в рамках утвержденных стратегических мер;
c. Быть направленными на предотвращение нарушения критических активностей, установленных в результате анализа влияния на бизнес (см. п.5.1.1);
10) Содержать все необходимые детали:
a. Экстренные контакты (например, аварийные и экстренные службы)
b. Контакты всех заинтересованных сторон (например, партнеры, ближайшие родственники сотрудников, акционеры, страховые агентства);
c. Дополнительные детали (например, план эвакуации, точки сбора);
11) При необходимости, содержать схему заявлений через СМИ, в том числе:
a. Выбор СМИ;
b. Шаблоны заявлений;
c. Необходимое число представительных и компетентных сотрудников кредитной организации;
d. Места для проведения пресс конференций;
12) Содержать метод регистрации ключевой информации об инциденте, принятых решениях и принятых мерах;
13) Иметь схему отмены тревоги и демобилизации ответственного персонала;
14) Иметь ответственного за поддержание и пересмотр единственного владельца плана;
ПРИМЕЧАНИЕ. При составлении элементов плана кредитная организация должна учесть природу и масштаб инцидента. Например, при взрыве близлежащей бензоколонки могут быть повреждены телекоммуникационные узлы (включая станции сотовых операторов). Схема кризисных коммуникаций в этом случае должна предусматривать альтернативные способы сообщения в ходе экстренных работ.
5.3.3. Планы обеспечения НД
5.3.3.1. В кредитной организации должны быть планы обеспечения НД.
5.3.3.2. Любая связь с другими документами организации и метод доступа к указанным документам должны быть четко определены.
5.3.3.2. Каждый план должен:
1) Быть простым и сжатым;
2) Быть доступным ответственным лицам;
3) Иметь цели и область применения, включая;
a. Список критичных продуктов и услуг кредитной организации, а также МДВП их предоставления;
b. Минимальные (аварийные) уровни их предоставления;
c. Список критичных активностей, требующих восстановления;
d. Целевое время восстановления этих активностей;
e. Для ИТ и телекоммуникаций – список критичных ИКТ услуг, целевого времени их восстановления, минимального уровня предоставления;
4) Согласовываться с действиями внешних организаций;
5) Содержать описание ролей и ответственности персонала, участвующего в обеспечении НД
6) Иметь схему активации, в том числе:
a. Список сотрудников, ответственных за подтверждение активации;
b. Список сотрудников, информируемых перед активацией плана;
c. Список сотрудников, информируемых об активации плана;
d. Процедуру принятия решения об активации;
e. Обстоятельства, при которых кредитная организация не считает нужной активировать планы обеспечения НД (минорные сбои в ИТ, отсутствие небольшого числа сотрудников);
7) Содержать схему аварийных коммуникаций, уделяя внимание:
a. Коммуникации внутри команды сотрудников, участвующих в восстановлении и аварийном предоставлении критичных продуктов и услуг;
b. Коммуникации с внешними организациями, участвующими в обеспечении НД
c. Коммуникации с заинтересованными сторонами;
d. Методу коммуникации;
8) Содержать требования к минимальному объему активов, необходимому в различные моменты времени для восстановления и аварийного предоставления ключевых продуктов и услуг. Активы должны включать:
a. Персонал (а также его транспортировка и экстренные расходы);
b. Помещения;
c. ИКТ услуги (вместе с перечнем АБС, баз данных, серверов, обзором сетевой инфраструктуры, соглашения об уровне услуг);
d. Критичные данные (например, детали платежей, контрагентов, заинтересованных сторон, договоры, уставные документы кредитной организации);
e. Внешних поставщиков (на период восстановления и на период аварийной деятельности);
9) Содержать последовательность действий по восстановлению и непрерывному предоставлению ключевых продуктов и услуг, в том числе:
a. Схему подключения сторонних компаний;
b. Последовательность и места восстановления предоставления критичных продуктов и услуг кредитной организации;
c. Сроки и места восстановления критичных ИТ услуг, а также последовательность действий по их восстановлению (например, восстановление сетевой инфраструктуры в новом здании, восстановление базовой функциональности, приложений и баз данных, синхронизации, резервного копирования, телекоммуникаций);
10) Содержать все необходимые детали (например, расположение запасных площадок, маршруты следования, контакты организаций, участвующих в восстановлении бизнеса кредитной организации);
11) Содержать метод регистрации ключевой информации о ходе работ, принятых решениях и принятых мерах;
12) Иметь схему отмены аварийного режима работы и перехода к нормальному режиму;
13) Иметь ответственного за поддержание и пересмотр единственного владельца плана;
ПРИМЕЧАНИЕ. При планомерном восстановлении бизнеса после серьезного инцидента сложно определить понятие «нормального» уровня функционирования. Часто проще построить новую структуру деятельности организации, чем полностью восстановить старую. Поэтому на практике организации не создают заранее планов постепенного восстановления бизнеса. Однако кредитная организация может предусмотреть последовательность восстановления некритичных активностей и схему перевода их в обычный режим функционирования в качестве маршрутного листа при создании (после устранении инцидента) планов восстановления деятельности.
5.4. Документация и записи программы
Кредитная организация должна иметь документацию, покрывающую следующие аспекты программы:
1) Цели и охват программы УНД (см. п.4.1.1);
2) Политика программы (см. п.4.1, 4.1.2);
3) Выделение ресурсов для управления и исполнения программы (см. п.4.2);
4) Компетенция персонала и соответствующие записи (см. п.4.2.4);
5) Анализ влияния на бизнес (см. п.5.1.1);
6) Анализ рисков (см. п.5.1.2);
7) Стратегия НД (см. п.5.2);
8) Схему реагирования на инцидент (см. п.5.3.1);
9) Планы управления инцидентом (см. п.5.3.2);
10) Планы обеспечения НД (см. п.5.3.3);
11) Повышение осведомленности сотрудников (см. п.6.1);
12) Пересмотр программы высшим руководством (см. п.6.2);
13) Внутренний аудит (см. п.6.3);
14) Тестирование программы (см. п.6.4);
15) Извлечение уроков и выявление лучших практик (см. п.6.5);
5.5. Контроль документации и записей программы
5.5.1. Кредитная организация должна установить механизмы контроля документации и записей программы УНД.
5.5.2. Кредитная организация должна убедиться, что:
1) Записи остаются читаемыми, идентифицируемыми и восстанавливаемыми и хранятся защищенным образом;
2) Документы согласованы перед выпуском;
3) Документы пересматриваются, обновляются и утверждаются вновь по необходимости;
4) Изменения и текущий статус ревизии документов идентифицированы;
5) Соответствующие версии документов доступны в местах их назначений;
6) Документы из внешних источников выявлены и их распространение контролируемо;
7) Непреднамеренное использование устаревших документов предотвращено и эти документы выявлены в случае хранения для соответствующих целей;
6. Контроль и улучшение программы
Кредитная организация должна поддерживать и постоянно повышать результативность программы управления НД за счет:
1) Тестирования принятых мер (см. п.6.4);
2) Пересмотра мер высшим руководством (см. п.6.2);
3) Внутреннего аудита (см. п.6.3);
4) Извлечения уроков и выявления лучших практик (см. п.6.5);
5) Программ обучения и повышения осведомленности сотрудников (см. п.6.1);
6) Применения упреждающих и корректирующих мер (см. п.6.6)
6.1. Повышение осведомленности сотрудников
6.1.1. Кредитная организация должна повышать уровень осведомленности всех своих сотрудников в области поддержания НД за счет постоянного обучения и информационных программ, донося при этом:
1) Важность соответствия целям программы УНД;
2) Важность политики НД;
3) Важность постоянного повышения готовности УНД;
6.1.2. Кредитная организация должна оценивать эффективность донесения информации до сотрудников.
6.1.3. Кредитная организация должна убедиться, что каждый сотрудник осведомлен о своем вкладе в программу УНД.
6.2. Пересмотр программы высшим руководством
6.2.1. Общие положения
6.2.1.1. Высшее руководство кредитной организации должна пересматривать меры УНД для повышения их эффективности с установленной периодичностью и в случае значительных изменений в структуре деятельности.
6.2.1.2. Пересмотры должны включать выявление возможностей улучшения программы, включая политику и цели программы УНД.
6.2.1.3. Результаты пересмотра должны быть документированы, а записи сохранены.
6.2.2. Необходимые для пересмотра программы данные
Данные, необходимые для пересмотра программы, должны включать:
1) Результаты предыдущих аудитов и прошлых пересмотров программы;
2) Оценка способности внешних поставщиков предоставлять продукты и услуги на согласованном уровне;
3) Внутренние соглашения об уровне услуг в кредитной организации (в частности соглашения об уровне ИКТ услуг);
4) Отзывы заинтересованных сторон, включая независимых наблюдателей;
5) Техники, продукты или процедуры, которые могут повысить эффективность УНД;
6) Статусы упреждающих и корректирующих мер;
7) Уровень остаточного и приемлемого риска;
8) Уязвимости и угрозы, не охваченные вниманием в предыдущем анализе риска;
9) План действий из прошлого пересмотра программы;
10) Любые внутренние или внешние изменения, которые могут повлиять на эффективность программы УНД;
11) Рекомендации к улучшению;
12) Результаты прошедших тестов;
13) Выявленные лучшие практики и руководства;
14) Уроки, извлеченные из инцидентов, а также;
15) Результаты программы обучения и повышения осведомленности;
6.2.3. результаты пересмотра программы
Результаты пересмотра программы должны включать любые решения и меры касательно:
1) уточнения охвата программы УНД;
2) улучшения эффективности программы УНД;
3) модификации, по необходимости, стратегии и процедур программы в целях реагирования на внутренние и внешние ситуации, могущие повлиять на программу УНД, включая:
a. изменения требований бизнеса;
b. изменения требований к катастрофоустойчивости;
c. изменения в бизнес процессах, могущие повлиять на программу;
d. изменения требований регуляторов и контрагентов;
e. изменения уровня рисков/ уровня приемлемых рисков;
4) объема выделяемых ресурсов;
5) объема финансирования программы;
6.3. Внутренний аудит
6.3.1. Общие положения
6.3.1.1. Кредитная организация должна проводить внутренние аудиты программы УНД с установленной периодичностью на соответствие требованиям в области УНД.
6.3.1.2. Кредитная организация должна:
1) Определить, что
a. Программа УНД соответствует установленным мерам и требованиям, включая требования данного стандарта;
b. Программа УНД внедрена и поддерживается правильным образом;
c. Программа УНД соответствует требованиям политики и целям;
2) Предоставить руководству результаты аудитов;
6.3.1.3. Кредитная организация должна разработать и поддерживать программу аудитов, учитывая при этом результаты анализа влияния, оценки рисков, меры реагирования на инцидент, а также результаты предыдущих аудитов.
6.3.1.4. Кредитная организация должна разработать и поддерживать процедуру аудитов, которая определяет:
1) Ответственности, компетенции и требования к планированию и проведению аудитов;
2) Критерии, частоту, методы и области проведения аудита;
6.3.1.5. Выбор аудиторов и проведение аудитов должен обеспечить беспристрастность проверки.
6.4. Тестирование программы
6.4.1. Кредитная организация должна тестировать меры УНД, чтобы убедиться в том, что:
1) Критичные продукты и услуги защищены вне зависимости от серьезности инцидента;
2) Меры УНД должны удержать бизнес от крушения;
6.4.2. Кредитная организация должна:
1) Планировать тесты в согласии с охватом программы УНД;
2) Согласовать программу тестирования с высшим руководством, для обеспечения проведения тестов с установленной периодичностью и в случае крупных изменений в бизнесе;
3) Проводить тестирование отдельных элементов программы таким образом, что в совокупности тесты проверяли бы надежность программы в целом;
4) Планировать тесты таким образом, чтобы минимизировать влияние инцидентов, могущих возникнуть в ходе проведения испытаний;
5) Определять цели и задачи каждого теста;
6) Оценивать результаты каждого теста группой независимых наблюдателей (контролеров тестирования), чтобы убедиться в достижении заявленных целей;
7) Подготавливать письменный отчет о проведении тестов, его результатах и отзывах, включая необходимые действия;
6.5. Извлечение уроков и выявление лучших практик
6.5.1. В случае инцидента, повлекшего за собой активацию планов управления инцидентом или УНД, кредитная организация должна провести анализ после устранения последствий инцидента для:
1) Определения характера и причин инцидента;
2) Оценки достаточности мер реагирования, утвержденных высшим руководством;
3) Соблюдения сроков восстановления;
4) Уровня подготовки сотрудников;
6.5.2. Кредитная организация должна извлечь уроки из происшедшего инцидента и подготовить улучшения программы УНД.
6.6. Упреждающие и корректирующие действия
6.6.1. Механизмы упреждающих и корректирующих мер
6.6.1.1. Кредитная организация должна постоянно совершенствовать программу УНД путем применения упреждающих и корректирующих мер.
6.6.1.2. Любая принятая корректирующая или упреждающая мера должна соответствовать масштабу проблемы, а также политике и целям программы УНД.
6.6.1.3. Изменения, возникающие в результате применения этих мер, должны быть отражены в документации программы УНД (см. п.5.5).
6.6.2. Упреждающие меры
6.6.2.1. Кредитная организация должна применять упреждающие меры для предотвращения несоответствия требованиям в области УНД.
6.6.2.2. Упреждающие меры должны соответствовать уровню потенциальных проблем.
6.6.2.3. Документированная процедура упреждающих действий должна содержать требования к:
1) Выявлению возможных случаев несоответствия и их причин;
2) Оценки необходимости принятия превентивных мер для предотвращения возможного несоответствия;
3) Определению и исполнению соответствующих упреждающих мер;
4) Документированию достигнутых результатов;
5) Пересмотру принятых превентивных мер;
6) Отслеживанию изменения уровня рисков и сосредоточению на тех, чей уровень изменился существенно;
7) Информированию соответствующих лиц о выявленных несоответствиях и принимаемых мерах;
8) Установлению приоритета упреждающих мер на основе анализа влияния на бизнес и анализа рисков;
6.6.3. Корректирующие меры
6.6.3.1. Кредитная организация должна принимать меры по устранению причин несоответствий требованиям в области УНД для предотвращения их повторения.
6.6.3.2. Документированная процедура упреждающих действий должна содержать требования к:
1) Выявление фактических случаев несоответствия и их причин;
2) Оценки необходимости принятия корректирующих мер для предотвращения повторного несоответствия;
3) Определению и исполнению соответствующих корректирующих мер;
4) Документированию достигнутых результатов;
5) Пересмотру принятых корректирующих мер;
7. Приложения
7.1. Соответствие с другими банковскими стандартами
7.2. Ключевые вехи программы УНИКТ
Рисунок 1 содержит основные вехи программы управления непрерывностью ИТ и телекоммуникационных услуг с момента возникновения прерывания, обозначаемого нулевым временем.
Рисунок 1. Вехи программы УНД ИКТ
Целевая точка восстановления данных (RPO) показывает объем потерянных после инцидента данных, которые требуются для восстановления и оперирования ИКТ услуги в аварийном режиме. На рисунке эта точка отображена в виде интервала времени между последним успешным резервированием данных и началом инцидента.
Первая веха после прерывания ИКТ услуги – обнаружение снижения уровня или полной потери ИКТ услуги. В этот момент происходит первая нотификация об инциденте. Между прерыванием и обнаружением обычно проходит некоторое время, например, сигнал о потере ИКТ услуги может поступить от пользователя по телефону, который не сразу обнаружил неработоспособность ИКТ. Также дополнительно тратится время на первичную поддержку, исследование природы инцидента, эскалацию и принятие решения об активации плана обеспечения непрерывности ИКТ услуг. Принятие решения об активации плана должно быть принято с особой осторожностью в некоторых ситуациях, например, когда критическая ИКТ услуга потеряна не полностью или когда есть надежда на ее восстановление без привлечения плана, поскольку активация плана непрерывности почти всегда влияет на нормальную работу бизнес отделов. В большинстве случаев активация планов непрерывности ИКТ является неотъемлемой частью активации планов непрерывности бизнеса.
После принятия решения об активации плана непрерывности ИКТ начинается подготовка к работе в аварийном режиме. Это включает в себя подготовку инфраструктуры (сети, аппаратного обеспечения, операционных систем, приложений для восстановления резервных копий) и подготовку программного обеспечения (базы данных, банковские приложения, интерфейсы и т. д.)
После восстановления ИКТ услуги до минимального уровня необходимо провести тестирование услуг ключевыми сотрудниками, прежде чем восстановленные ИКТ услуги станут доступными для участников процесса обеспечения непрерывности банковской деятельности.
С точки зрения бизнес-функций кредитной организации для каждого ключевого отдела существует свое целевое время восстановления, которое начинается с момента начала инцидента и заканчивается моментом мобилизации для работы в аварийном режиме. Отделы кредитной организации могут использовать ИКТ услуги для аварийной работы, поэтому каждая ИКТ услуга должна иметь свое собственное целевое время восстановления которое не должно превышать время мобилизации отдела (исключение составляют ситуации, когда отделы кредитной организации могут работать некоторое время без ИКТ услуг в ручном режиме, например, работая с бумажными формами).
Восстановленные ИКТ услуги предоставляются на время аварийной работы отделов. Это может быть достаточно длительный период устранения последствий крупного инцидента (например, построение или аренда нового здания, переезд, наем новых сотрудников). С течением времени может понадобиться масштабирование ключевых ИКТ услуг в связи с ростом транзакционных потоков. В какой-то момент времени кредитной организации потребуется перейти с аварийного в нормальный режим работы. Серьезное крушение может вызвать существенных изменение в инфраструктуре кредитной организации, поэтому вместо перехода к старому нормальному уровню работы, часто требуется определить новый нормальный уровень деятельности. Задача ИТ персонала на этом этапе – тщательно спланировать миграцию на (новый) нормальный уровень работы.
7.3. Примеры тестирования
Таблица ниже содержит возможные виды тестирования и рекомендуемую частоту проведения теста. Помните, что чем сложнее тестирование, чем больше влияние на нормальную работу бизнеса и тем больше рисков, что что-то пойдет не так. Сложные виды тестирования рекомендуется проводить если у ваша программа непрерывности существует уже много лет и обладает высокой зрелостью. После первого внедрения программы управления рекомендуется ограничиться простыми тестами.
Таблица 1. Виды и частота тестирования
Сложность | Тип тестирования | Описание | Варианты | Рекомендуемая частота |
Простое | Настольный тест | Пересмотр/правка содержимого BCP | Актуализация схем, карт, телефонов | Не реже раза в год |
Средней сложности | «Пробежка» по плану | Проверка содержимого BCP | Включает проверку коммуникаций и знание ролей персоналом | Ежегодно |
Симуляция | Симуляция катастрофы для проверки актуальности и полноты информации в планах | Задействует все планы, связанные с данной угрозой | Раз-два в год | |
Тестирование критичных функций | Активация контролируемых работ без вреда для бизнеса | Ведение бизнес операций на альтернативной площадке в течение определенного периода | Ежегодно или реже | |
Сложное | Полный тест BCP | Проверка готовности здания/ персонала/ логистики/ коммуникаций/ поставщиков | Ежегодно или реже |
7.4. Пример содержимого «тревожного чемоданчика»
Одна из наиболее полезных вещей при столкновении с инцидентом – иметь в запасе «тревожный чемоданчик». Это набор вещей, которые помогут вам осуществить ваши планы. Вот список вещей, которые вы можете поместить в «чемоданчике»:
Документы:
· План непрерывности бизнеса – ваши планы восстановления ключевого бизнеса вашей кредитной организации;
· Список сотрудников с контактной информацией, включая домашние и мобильные телефоны и личные e-mail адреса. Возможно, вы захотите включить контакты родственников;
· Список контактов заказчиков и поставщиков;
· Список спасательных организаций (МЧС, МВД, неотложная помощь) и служб аварийной эксплуатации здания;
· План здания (он может помочь службам спасения), включая расположение газо-, электро- и водопровода;
· Актуальный инвентарь оборудования и складских помещений;
· Контактная информация страховых компаний;
· Инженерные планы и чертежи;
· Список продуктов и спецификации;
· Документированные «ноу хау» вашей кредитной организации;
· Контактная информация местных властей;
· Юридические документы компании, уставы, печати;
Оборудование:
· Компьютерные диски/ резервные копии/ USB диски и флэш-накопители;
· Радиосвязь, мобильные компьютеры;
· Закрытые ключи/ коды безопасности;
· Запасные батареи, фонари;
· Панель для объявлений, флипчарт;
· Маркеры (для нанесения временных указателей и знаков);
· Канцтовары (бумага, ручки, и т. д.);
· Мобильные телефоны с пополненным балансом, запасные батарейки;
· Биологические/ аптечные/ химические маски, противогазы;
· Одноразовые фотоаппараты (полезно для регистрации ущерба при заявлении о наступлении страхового случая)
Убедитесь, что вы способны восстановить любое оборудование, жизненно важное для бизнеса, в короткие сроки. Убедитесь также в наличии запасного оборудования вне основной площадки.
Примечания:
· Убедитесь, что «тревожные чемоданчики» находятся в безопасном месте, вне основной площадки
· Убедитесь, что вещи в наборе регулярно проверяются, обновлены и работают
· Помните, что кредитные и дебитовые карты могут быть быстро истрачены
Этот список не является исчерпывающим – вы можете включить иные предметы или документы в ваш набор.
