Руководство каждого банка должно знать, как действовать в ситуации возникновения риска прерывания деятельности, как минимизировать его воздействие, как найти разумный баланс между инвестициями в превентивные меры и возможными потерями. Для решения данных вопросов предназначена технология управления непрерывностью бизнеса – Business Сontinuity Мanagement, BCM. 

когда наступает форс-мажор…

При возникновении кризисных ситуаций банки должны быть способны восстановить свои операции как можно скорее. Здесь им на помощь приходят процедуры обеспечения непрерывности и восстановления деятельности. Обязательное наличие у игрока этих процедур – не только требование регулятора, но и сильное конкурентное преимущество. Ведь финансово-кредитная организация, которая обладает подтвержденным и протестированным планом обеспечения непрерывности бизнеса, может проинформировать своих клиентов о том, что в случае наступления форс-мажора банк будет гарантировать непрерывность предоставления продуктов и услуг. Поэтому можно с уверенностью сказать, что Вusiness Сontinuity Мanagement – не только дополнительные расходы, но и создание добавочной стоимости банка. 

Кредитные учреждения развитых стран мира занимаются проблемами непрерывности бизнеса. Исторически американские, западноевропейские и британские банки лидируют в восприятии операционных рисков и вопросов обеспечения непрерывности бизнеса.

Конечно, мощным толчком к обязательному наличию плана обеспечения непрерывности бизнеса в финансово-кредитных организациях послужили события 11 сентября 2001 года в США.

Внимание этому вопросу уделяют также в некоторых странах Азии, где высока вероятность реализации рисков природных катаклизмов и стихийных бедствий.

И все же статистика говорит о том, что данной проблеме следует уделять больше внимания. Согласно информации совместного исследования IBM и журнала The Economist по проблемам рисков и устойчивости бизнеса, в мире только 37% крупных компаний имеют сегодня интегрированные решения и стратегию обеспечения устойчивости к внешним разрушающим факторам. 

Управлением непрерывностью бизнеса несколько лет назад всерьез заинтересовались и в России. Следует отметить, что на территории нашей страны непрерывность бизнеса банков чаще всего подвергается испытаниям лишь в связи с техногенными катастрофами. Яркими примерами могут служить масштабные отключения электричества из-за ледяного дождя в декабре 2010 года в Подмосковье и в августе 2010 года в Санкт-Петербурге. Причем авария на одной из петербургских подстанций повлекла за собой цепную реакцию: отключились светофоры, остановился весь городской транспорт, движение метро и т.д. Понятно, что через какой-то промежуток времени, достаточно краткосрочный, перестали работать банкоматы и отделения финансово-кредитных организаций. Данная ситуация послужила наглядным примером того, что существует реальная угроза непрерывности бизнеса банков по причине возрастания нагрузки и изношенности электросетей.

рекомендации и стандарты

Международная организация Business Continuity Institute (BCI) на протяжении двух десятилетий занимается обобщением мирового опыта BCM, выработкой рекомендаций и развитием профессиональных компетенций в этой области. 

BCM определяется как базовая структура для выявления потенциальных угроз компании и выстраивания организационных мер и средств с целью защиты интересов собственников и акционеров, ее репутации, бренда и основных направлений деятельности. Причем под угрозами понимаются не только аварийные ситуации, которые возникли в результате сбоя работы оборудования, ошибок в ключевых бизнес-приложениях или из-за природных катаклизмов. В качестве угроз рассматриваются также болезнь или увольнение ключевых сотрудников, серьезные нарушения логистической цепочки или угрозы информационной безопасности.

В настоящее время основные стандарты в области ИТ и ИБ, включая CobiT, ITIL, ISO-27001, содержат разделы, связанные с обеспечением непрерывности бизнеса: первые два стандарта предназначены для ИТ, третий – для ИБ. 

Для BCM существует стандарт, разработанный такой признанной во всем мире организацией, как British Standards Institution (BSI ISO 25999). Кстати, именно британский стандарт BS 25999-1:2006 дает следующее определение понятию Business Continuity Management – это «целостный процесс управления, в рамках которого идентифицируются потенциальные угрозы деятельности организации, оцениваются возможные воздействия на бизнес-операции в случае осуществления этих угроз, создается основа для обеспечения способности организации восстанавливать свою деятельность и эффективно реагировать на инциденты».

Наряду с этими стандартами действует ряд регулятивных норм, например Базель (I, II, III) в финансовой сфере. 

Стандарты и регламенты обязывают организации гарантировать определенный уровень защиты данных и непрерывности бизнес-процессов. Эксперты, приводя пример такого регулирования для российского бизнеса, говорят о положении Банка России, о необходимости для финансово-кредитных организаций иметь планы действий на случай непредвиденных ситуаций.

Зависимость бизнеса от критичных приложений

Интересно отметить, что усиление зависимости бизнеса от информационных технологий и усложнение корпоративных ИТ-инфраструктур – это основные факторы, которые определяют роль технологических составляющих в BCM. 

Среди респондентов исследования IBM и журнала The Economist значительное число (40%) признают обеспечение непрерывности бизнеса прежде всего задачей ИТ. Большинство опрошенных уверены, что руководители и сотрудники ИТ-департаментов являются ключевыми участниками реализации стратегии и планов BCM.

При этом нельзя всю ответственность за процессы управления непрерывностью деятельности возлагать исключительно на узкую группу специалистов. В действительности данный процесс охватывает все стороны работы организации и тесно связан со всеми видами управления банком. Нужно подчеркнуть, что инициатором и движущей силой процесса BCM должен быть топ-менеджмент организации, как, впрочем, и других важнейших ИТ-процессов в банке.

Сервисный подход к управлению ИТ дает банку возможность в упрощенной форме выявить зависимость деятельности бизнеса от ИТ-сервисов и конкретных элементов ИТ-инфраструктуры. В каждой организации определяется степень критичности тех или иных приложений для бизнеса. Существуют приложения, от которых напрямую зависят финансовые показатели банка, например банковские системы, поэтому они относятся к категории высококритичных. В зависимости от уровня критичности параметры восстановления приложений могут быть зафиксированы и могут контролироваться с помощью соглашений об уровне обслуживания для тех ИТ-сервисов, в реализации которых задействованы данные приложения.

Эксперты говорят, что количество приложений, которые организации относят к разряду критичных, постепенно увеличивается. 

Схема проекта

Схематично проект BCM одного из бизнес-процессов в ИТ можно описать следующим образом. 

Поначалу создается эскиз проекта: анализируются возможные сценарии и последствия чрезвычайных ситуаций в разделе ИТ, рассматривается степень важности ИТ-сервисов и стратегия их восстановления.

Эксперты составляют план-график реализации проекта, рассчитывают стоимость и время, необходимое для осуществления проекта. Согласно планам производится модернизация служб ИТ, составляются планы аварийного восстановления и тестирования для нескольких систем.

Затем начинается этап тестирования, в ходе которого выявляются и исправляются ошибки и вносятся правки.

Далее составляется иерархия реагирования со стороны бизнеса, включающая три компонента – штатный, управление инцидентами и уровень восстановления деятельности. 

 

мнение эксперта

Александр КУЗНЕЦОВ, 
CISM, руководитель отдела безопасности информационных систем ООО «НТЦ «Вулкан» 

Выбор решения класса Business Continuity Management (ВСМ) является нетривиальной задачей, требующей вовлечения специалистов по непрерывности, по защите информации, ИТ-специалистов, а также сотрудников, непосредственно «покрываемых зонтиком» BCM в случае активации BC-плана.

Агентство Gartner уже несколько лет ведет отдельный магический квадрант для BCM-систем, в котором нашли свое место многофункциональные платформенные решения уровня Enterprise и облачные сервисы, а также узкоспециализированные системы.

Каковы основные критерии выбора данных решений?

Очерчиваем рамки

В первую очередь необходимо определить объем и границы автоматизируемой деятельности:
- оценка влияния на бизнес (BIA);
- оценка рисков;
- описание стратегии;
- введение и использование планов;
- формирование уведомлений;
- введение и использование перечня контактов;
- обучение персонала;
- тестирование планов.

От этого зависит функционал, а в ряде случаев состав модулей конкретного BCM-решения.

Вопросы методологии, технологии и интеграции

Необходимо понимать, на какие методологии ориентируется банк в рамках BCM-процессов (ISO, PAS, ITIL, положения ЦБ РФ). От этого зависит бизнес-логика, реализованная в BCM-решении, и необходимость ее адаптации (в том числе вовлечение программистов в процесс внедрения).

С технической стороны необходимо учитывать, как должен быть обеспечен доступ к ВСМ-решению, и помнить при этом о возможности использования мобильных устройств. Зачастую предпочтителен веб-интерфейс. Важно, что вопросы управления доступом могут потребовать решения связанных задач, например интеграции с SSO или VPN, а также внедрения политики BYOD или закупки корпоративных мобильных устройств.

Отдельного рассмотрения требуют схемы информационного взаимодействия ВСМ-решения с другими ИС банка (экспорт/импорт файлов, автообновление данных из HR-систем, другие механизмы). Не стоит забывать и о вопросах обработки персональных данных.

Решение

Пройдя всю цепочку от предъявления бизнес-требований до уточнения технических параметров, банк выйдет именно на то решение, которое будет, с одной стороны, полезным и эффективным, а с другой – обладать свойством разумной достаточности.