Размещено на http://www.allbest.ru/

52

3

ФГБОУ ВО «Магнитогорский государственный технический университет им. Г.И. Носова»

Управление непрерывностью бизнеса в ит-компании

Скокова И.К.



Содержание

Введение

1. Определение процесса управления непрерывностью бизнеса в деятельности организаций

2. Анализ непрерывности бизнеса в ИТ-компании

3. Стратегия управления непрерывностью бизнеса

Заключение

Список использованных источников

Приложение



Введение

Современный бизнес отличают динамичность и стремительность, поэтому нарушение нормального ритма работы даже на несколько часов может иметь катастрофические последствия для прибыльности и репутации компании. Приостановка или остановка деятельности несет серьезную угрозу для множества заинтересованных сторон - государственные, коммерческие структуры, граждане. Поэтому необходимо решать, как устранить риски. Организациям для управления непрерывностью бизнес-процессов необходимо заранее разрабатывать план. Управление непрерывностью бизнеса обеспечивает эффективный контроль внезапных нарушений рабочего режима, кризисных и чрезвычайных ситуаций и позволяет организациям оперативно восстановить обычный деловой ритм в случае наступления таких событий. Как только план по непрерывности бизнеса подготовлен, его необходимо протестировать, чтобы удостовериться, что процедуры работают так, как и планировалось.

К настоящему времени в практике разработано достаточное количество нормативных документов, регламентирующих вопросы управления непрерывностью бизнеса. К таким документам можно отнести NFPA 1600 Standard on Disaster/Emergency Management and Business Continuity Programs, ISO/IEC 27001 (14 раздел), СоbiТ, ITIL, BS ISO/IEC 27031:2011 и др [24, 26, 30]

Целью работы является разработка стратегии обеспечения непрерывности бизнес-процессов компания, занимающейся реализацией и управлением ИТ-проектами.

Объект: деятельность ИТ-компания

Предмет: процесс управления непрерывностью бизнеса в ИТ-компании

В соответствии с поставленной целью исследования определены следующие основные задачи:

1. Проанализировать процесс управления непрерывностью бизнеса в организациях.

2. Рассмотреть ИТ-компанию с позиции выявления критически важных бизнес-процессов.

3. Разработать стратегию управления непрерывностью бизнеса для ИТ-компании.

Теоретической и методологической основой послужили научные труды отечественных и зарубежных авторов - Петренко С., Беляев А., Качуров Е., Джинн Р., Джоунс Е.Д., Тойго Дж.У., Уолланс М., Веббер Л.; законодательные и нормативные акты, стандарты управления непрерывностью бизнеса, Интернет источники.

Практическая значимость курсовой работы заключается в том, что представленные рекомендации по обеспечению непрерывности бизнеспроцессов в компании послужат теоретико-методологической базой для дальнейшего исследования.



1. Определение процесса управления непрерывностью бизнеса в деятельности организаций

Деятельность любой организации подвержена к возникновению неблагоприятных ситуаций, в результате которых бизнес процесс приостанавливается на время выяснение обстоятельств. Сбои в процессах снижают производительность, а иногда приносят убытки в деятельности организации. Не только новые технологии создают риски для осуществления бизнеса в инновационной деятельности. С подобной ситуацией сталкиваются и промышленные предприятия, которым приходится иметь дело с различными факторами, угрожающими стабильной деятельностью. Приостановка или остановка деятельности несет серьезную угрозу для множества заинтересованных сторон - государственные, коммерческие структуры, граждане. Поэтому необходимо решать, как устранить риски. Организациям для управления непрерывностью бизнес-процессов необходимо заранее разрабатывать план [12, 17].

Управление непрерывностью бизнеса обеспечивает эффективную контроль внезапных нарушений рабочего режима, кризисных и чрезвычайных ситуаций и позволяет организациям оперативно восстановить обычный рабочий процесс. Как только план по непрерывности бизнеса подготовлен, его необходимо протестировать, чтобы удостовериться, что процедуры работают так, как и планировалось [17].

Управлением непрерывностью услуг (IT Service Continuity Management или ITSCM) называется «процесс, ответственный за управление рисками, которые влияют на услуги» [30]. ITSCM обеспечивает возможность поставщику услуг постоянно предоставлять минимально согласованный уровень услуг, через снижение рисков до приемлемого уровня и планирование восстановления услуг.

Основная цель управления непрерывностью - поддерживать процесс управления непрерывностью бизнеса (BCM). BCM защищает интересы ключевых заинтересованных сторон, репутацию, бренд и деятельность по созданию ценности. Процесс BCM включает в себя снижение рисков до приемлемого уровня и планирование способов восстановления бизнеспроцессов в случае нарушения бизнеса. BCM устанавливает цели, охват и требования по отношению к управлению непрерывности ИТ-услуг [30].

Предусмотреть все возможные сценарии и подготовиться к ним невозможно, но четкий и ясный план управления непрерывностью бизнеса в обязательном порядке предусматривает последовательность действий, объем ресурсов и процедуры, которые необходимы для профилактики кризисных ситуаций, принятия контрмер и устранения последствий в случае их наступления. При отсутствии плана действий в непредвиденных ситуациях и поддерживающих реализацию этого плана технологии, восстановление бизнеса для нормальной деятельности сильно затрудняется.

Основные выгоды от составления плана по обеспечению бесперебойной деятельности состоят в следующем: минимизация потенциальных финансовых потерь, уменьшение юридической ответственности, сокращение времени нарушения нормальной работы, обеспечение стабильности деятельности организации, организованное восстановление деятельности, сведение к минимуму суммы страховых взносов, уменьшение нагрузки на ведущих сотрудников, обеспечение безопасности персонала и заказчиков, соблюдение требований законов и инструкций.

Причины возникновения последствий в отсутствии плана было определено в исследовании Техасского университета, в котором были получены следующие данные:

? 85% организаций зависят от вычислительных систем;

? в среднем на 6-й день перерыва в работе компания теряет 25% ежедневного дохода, а на 25-й день - 40%;

? спустя две недели после прекращения работы вычислительных систем у 75% компаний потеря функционирования становится критической или полной;

? 43% компаний, испытавших бедствие и не имевших плана обеспечения бесперебойного функционирования, не возобновляют свою деятельность, а спустя два года продолжает функционировать лишь 10% компаний [10].

По полученным данным эксперты определили, что организации, которые составили план действий в непредвиденных обстоятельствах, имели существенно меньшие дополнительные затраты и потери доходов.

Процесс управления непрерывностью бизнеса обеспечивает для организации следующие возможности:

? повышенная готовность персонала к обеспечению собственной безопасности и осуществлению компанией необходимых мероприятий в организованном порядке

? выполнение требований законодательства и финансовых обязательств, что исключает возникновение штрафных санкций и судебных споров

? восстановление бизнес-процессов организации в порядке установленных приоритетов с целью оптимального распределения ресурсов, необходимых для защиты доходов и снижения затрат

? решения в области управления инфраструктурой/рабочим пространством, позволяющие уравновесить высокие издержки на недвижимость с необходимостью рассредоточения интеллектуального капитала организации;

? стратегии реагирования, учитывающие особенности бизнеса организации, сфокусированные на сценариях высокой вероятности и обеспечивающие эффективное и результативное распределение бюджета, выделенного на осуществление плана управления непрерывностью бизнеса;

? хорошо продуманная концепция реагирования на критические ситуации/информационного взаимодействия, разработанная с учетом как внутрикорпоративных, так и внешних требований;

? информированность о планах управления непрерывностью бизнеса, разработанных бизнес-партнерами или третьими сторонами, которая позволяет обеспечить непрерывность бизнеса и защиту всей цепочки создания стоимости. [18]

Изначально непрерывность бизнеса направлялась на защиту от маловероятных, но серьезных событий, таких как пожар, наводнение и прочих стихийных бедствий. С появлений технологий программы по обеспечению непрерывности менялись:

? начало 1990-х: восстановление после катастрофы, а также защиту от стихийных бедствий и масштабных отказов путем перехода в течение 72 часов на другой вычислительный центр;

? середина 1990-х: план восстановления для телефонной поддержки клиентов;

? 2000 года: сокращение периодов восстановления до 4-24 часов, учет специфики электронного бизнеса на базе Интернет [17].

По данным исследования IBM и журнала The Economist по вопросам, связанных с рисками и устойчивости бизнеса, в мире около 37% крупных компаний имеют интегрированные решения и стратегию обеспечения устойчивости к внешним разрушающим факторам [25]. В отечественной практике, по мнению специалистов компании «АйТи», в России можно насчитать не более 15-20 проектов по реализации стратегии обеспечения непрерывности бизнеса и внедрению соответствующих технологических решений. Компании должны быть готовы к неожиданностям независимо от источников: экономических отклонений, чрезвычайных ситуаций техногенного характера, действий конкурентов или регуляторов, элементарных ошибок людей в процессе их повседневной работы, приводящих к выводу из строя жизненно важных для бизнеса систем. Значительная длительность остановки бизнеса характеризует финансовые потери, что становятся абсолютно неприемлемыми для многих категорий деятельности, учитывая высокую конкуренцию.

Для обеспечения непрерывностью бизнеса существует ряд стандартов, которые содержат практики управления процесса непрерывности, аварийного восстановления инфраструктуры компании в чрезвычайных ситуациях:

? NFPA 1600 Standard on Disaster/Emergency Management and Business Continuity Programs;

? ISO/IEC 27001 (14 раздел);

? СоbiТ;

? ITIL;

? ISO 22301:2014 - Общественную безопасность. Системы управления непрерывностью бизнеса. Требования;

? BS ISO/IEC 27031:2011 - Информационные технологии. Техники безопасности. Руководство по готовности информационно-коммуникационных технологий для обеспечения непрерывности бизнеса;

? BS 12999:2015 - Повреждение управления. Кодекс практики для организации и управления по стабилизации, ликвидации последствий и восстановлению свойств, содержания, средств и активов после происшествия повреждение [17].

Краткая характеристика технической документации представлена в Приложении А.

Кроме документов и стандартов, которые закреплены, также выделяют отраслевые внутренние корпоративные нормативные документы (для операторов связи, объектов ФОМС, энергетических компаний и пр.).

По мнению экспертов, чтобы управлять непрерывностью бизнеса, любое предприятие должно выйти на определенный уровень зрелости, понимать что такое риск и как им управлять. Некоторым организациям для развития бизнеса, достаточно получение прибыли, и на данный момент они не стремятся к дальнейшему развитию при текущем уровне зрелости. Но на каком уровне не находилось бы предприятие, необходимо контролировать риски. Нужно, чтобы руководители пришли к пониманию, что вести бизнес, игнорируя эти вопросы, непрофессионально. Решение о начале работ по BCM должно принимать именно высшее руководство, потому что управление непрерывностью касается любых бизнес-процессов, происходящих в организации.

Одним из наиболее важных факторов, влияющих на непрерывность бизнеса, являются информационные технологии. Это связано с тем, что информационные технологии охватывают большую область управления человеческой деятельности и их возможности и средства. Решение многих вопросов по обеспечение непрерывности бизнеса в большей степени можно решить организационно, но без соответствующей технологической возможности, вопросы могут остаться без ответа. Усиление зависимости бизнеса от информационных технологий и усложнение корпоративных ИТинфраструктур - основные факторы, которые определяют роль технологических составляющих в BCM. По опросу, проводившим IBM и The Economist, 40% респондентов считают технологии средствами управления непрерывностью бизнеса [4].

Процесс управления непрерывностью бизнеса состоит из следующих этапов, которые сопровождаются определенным результатом:

1. Инициация проекта. На данном этапе определяется содержание проекта обеспечения непрерывности бизнеса и разрабатывается план. В нем определяются вопросы, связанные с исполнением проекта, мониторингом и контролем, а также определяются границы проекта, роли членов проектной команды и цели проекта. Для многих компаний процесс управления непрерывности бизнеса воспринимается как обеспечение надежностью критических бизнес-процессов [1717]. Процесс инициации регламентируется стандартами по управлению проектами, а именно PMI и PRINCE2.

2. Анализ воздействия на бизнес - метод, который позволяет исследовать воздействие инцидентов на ключевые виды деятельности и процессы исследуемой организации. Данный этап предусматривает детальное изучение процессов с проведением анкетирование и интервью с руководством отделов. В перечень вопросника входят темы по деятельности отделов, характеристика процессов или функций, которые они выполняют. Для детальной характеристики процессов определяется тип воздействия на бизнес и степень зависимости процесса от информационных технологий и внешних сервисов. А затем определяется максимально допустимое время простоя (Maximum Allowable Outage). На основе данного показателя определяются такие показатели как [4]:

? RTO - «время, в течение которого должно происходить восстановление бизнес-функции или ресурса при наступлении нештатных ситуаций» [11];

? RPO - «целевая точка восстановления определяет объем допустимых потерь данных в случае прерывания операций» [11];

?SDO-«уровень доступности сервиса в определенный момент времени» [11].

В результате проведенного обследования по этапу «Анализ воздействия на бизнес» должны быть получены следующие данные:

? перечень ранжированных критических процессов и соответствующих взаимозависимостей;

? зарегистрированные экономические и производственные воздействия, вызванные нарушением критических процессов;

? вспомогательные ресурсы, необходимые для идентифицированных критических процессов;

? возможные сроки простоя и восстановления критических процессов и взаимосвязанных информационных технологий [7, 17, 30].

Для более точной оценки восстановления бизнес-процессов, необходимо согласовывать ценность процесса, с точки зрения возникшего происшествия, с их владельцами, а также с заинтересованной стороной.

3. Целью этапа «Оценка рисков», является событие, которое приводит к нарушению деятельности компании, а также их последствий.

Для данного этапа эксперты различные методы идентификации и дальнейшей оценки рисков. Наиболее приемлемым методом, по мнению ИТподразделении компании, является метод CRAMM, разработанный Службой безопасности Великобритании (UK Security Service) в качестве государственного стандарта. В его основе лежит комплексный подход к оценке рисков, сочетающий количественные и качественные аналитические компоненты.

Преимущества этапа определяются в понимании потенциальных опасностей и воздействия их последствий на достижение установленных целей компании. Оценка рисков состоит из последовательных процессов, которые определяют дальнейшее развитие событий:

? идентификации риска - процесс определения элементов риска, описания каждого из них, составления их перечня;

? анализ риска - процесс исследования информации о риске;

? сравнительная оценка риска - сопоставление его уровня с критериями, установленными при определении области применения менеджмента риска, для определения типа риска и его значимости.

Результатом этапа оценки рисков является оптимальный сценарий для разработки стратегии непрерывности бизнеса.

4. Разработка стратегии непрерывности бизнеса - процесс необходим для обоснования технических и организационных решений. В процессе выбора решения детально рассматриваются возможные действия в отношении помещений, технологий, информационных активов, контрагентов, а также партнеров. Целями выбора решений являются следующие направления:

? защиты приоритетных видов деятельности компании;

? их эффективного восстановления;

? смягчения последствий инцидентов, разработки ответных и

превентивных мер [11, 19].

5. Разработка и внедрение планов непрерывности бизнеса. Основной результат процесса - план, который определяет систему мероприятий, предусматривающая порядок, последовательность и сроки выполнения работ. Планы управления непрерывностью должны состоять из трёх компонентов: реагирование на чрезвычайные, управление инцидентами восстановление деятельности. Структура плана определяется разделами, которые характеризуют последовательность действий над управлением непрерывностью: Исходная информация, Границы действия плана, Предпосылки создания плана, Концепция, Активация плана, Контроль, Восстановление [7, 11, 20].

6. Тестирование и пересмотр планов осуществляется для проверки работоспособности планов при возникновении рисков, влияющих на деятельность компании. План тестирования выбирается с учетом типа компании и ее целей [1, 4].

7. Обслуживание и обновление планов определяет процесс непрерывности бизнеса цикличным процессом. Созданный план необходимо сопровождать, обновлять и совершенствовать через определенный промежуток времени [17]. Чтобы сохранить актуальность планов, необходимо выполнять следующие действия:

? проводить внутренние аудиты, включающие проверку восстановления после аварий, документации по обеспечению непрерывности и соответствующих процедур;

? проводить регулярные практические тренинги по выполнению плана;

? интегрировать вопросы непрерывности бизнеса в процесс управления изменениями компании.

В результате мероприятий по обеспечению непрерывности бизнеса могут возникнуть события, которые являются возможностями при управлении деятельностью организации. Проработанная программа обеспечения непрерывности позволит ключевым лицам компании осознать структуру поддерживающих процессов и внутренних сервисов компании, степень их важности для бизнеса, значение существующих на текущий момент связей со сторонними организациями, степень зависимости бизнеса от них.

2. Анализ непрерывности бизнеса в ИТ-компании

Для разработки стратегии управления непрерывности бизнеса необходимо сначала проанализировать исследуемую компанию: определить цели организации, обязательства перед заказчиками и партнерами, установленных законодательных и обязательных требований, особенности рабочей среды и условия функционирования организации.

В работе рассматривается компания, целью является: предлагать полный спектр услуг по проектированию, монтажу, пусконаладочным работам, поставке силового электрооборудования и оборудования АСУТП в соответствии с требованиями законодательства и Заказчика [8].

В рамках предметной области компания выполняет следующие задачи: Обследование объекта автоматизации, разработка Технического задания, проектирование, поставка оборудования и ПО, программирование, монтаж, шеф-монтаж, пусконаладочные работы, обучение, техническая поддержка, лаборатория неразрушающего контроля.

Для реализации проектной деятельности клиентами компании являются крупнейшие производственные предприятия металлургии, энергетики, машиностроения, горнодобывающей промышленности и другие [8].

Штат компании состоит из обученных и сертифицированных специалистов, имеющих опыт проектирования Автоматизированных Систем Управления Технологическими Процессами (АСУТП), АСУ «Производство», разработки программного обеспечения различного уровня и назначения, инженерных систем для промышленных предприятий, а также проведения монтажных и пусконаладочных работ в реальных производственных условиях предприятий горно-обогатительной, металлургической и нефтеперерабатывающей отраслей.

Определение основных бизнес-процессов и обеспечиваемых активов.

Каждый из отделов выполняет следующие задачи.

АСУ ТП. Целью деятельности отдела является разработка, внедрение современных систем управления технологическими процессами для предприятий металлургии, горной промышленности, энергетики, железнодорожного транспорта и других отраслей. Отдел АСУ ТП выполняет следующий комплекс работ:

? обследование объектов и разработку технического задания на АСУ ТП;

? разработку проектной документации по автоматизации объекта;

? выбор комплекта необходимых технических средств АСУ ТП;

? разработку программного обеспечения;

? консультационная поддержка Заказчика на всех стадиях разработки АСУ ТП; ? техническое обслуживание систем.

АСУ П-MES. Отдел, занимающийся разработкой и внедрением MESсистем, работающих в режиме реального времени, и обеспечивающий эффективное управление производственными процессами в масштабе цеха на основе целостного анализа производства.

АСУ П. Основными задачами отдела являются: обеспечение эффективного функционирования АСУП, совершенствование АСУП. Деятельность по отделу направлена на интеграционные решения, функции которых определяются в проведении исследований системы управления, порядка и методов планирования и регулирования производства с целью определения возможности их формализации и целесообразности перевода соответствующих процессов на автоматизированный режим, и в изучении проблем обслуживания автоматизированных систем управления организации и ее подразделений.

Производственный отдел обеспечивает технический контроль эксплуатации средств связи, вычислительной техники, установку (монтаж, ввод, эксплуатация) и ремонт оборудования:

? установка оборудования систем автоматизации (КИПиА, контроллеры, серверы, рабочие станции и др.);

? монтаж шкафов, пультов и щитов управления;

? прокладка и подключение сетей передачи данных (СКС, ВОЛС, Wi-Fi, телефонные сети, интернет и др.);

? подключение кабелей электропитания и заземления;

? шеф-монтаж по собственным проектам компании.

Отдел снабжения занимается обеспечением материальнотехническими ресурсами. Деятельность отдела определяется следующим функционалом: определение потребности в материальных ресурсах, определение источников покрытия потребности в материальных ресурсах, обеспечение предприятия всеми необходимыми для его деятельности ресурсами. Компания осуществляет поставку широкого спектра продукции от ведущих мировых производителей: датчики, исполнительные устройства, контроллеры; серверное оборудование, промышленные и персональные компьютеры, ноутбуки; активное и пассивное сетевое оборудование; инженерная инфраструктура; офисное оборудование; комплектующее оборудование и материалы; программное обеспечение.

Отдел пуско-наладочных работ. Целью является настройка установленного оборудования, выявление недостатков и несоответствий проекту, которые способны негативно повлиять на безопасность использования оборудования, а также проверка готовности функционирования системы. Пусконаладочные работы осуществляются специалистами компании в рамках внедрения систем автоматизации «под ключ».

Пуско-наладочные работы выполняются в следующем объеме и последовательности:

1. Подготовительные работы: анализ рабочей проектной документации, подбор измерительных средств и инструментов, подготовка рабочих мест, проверка соответствия основных технических характеристик аппаратуры требованиям, согласование форм отчетной документации и т.п..

2. Пусконаладочные работы, совмещенные с работами по монтажу средств контроля, управления и электротехнических устройств - работы выполняются до введения эксплуатационного режима и выполняются одновременно с работами по монтажу приборов и средств автоматизации, включая каналы связи ПТК с периферийными подсистемами.

3. Пусконаладочные работы третьего этапа предусматривают: проверка функционирования прикладного и системного программного обеспечения; предварительное определение характеристик объекта, расчет и настройка параметров аппаратуры автоматизируемых систем, наладка информационных измерительных каналов; наладка и проведение предпусковых испытаний подсистемы; доведение параметров настройки программно-технических средств, каналов связи и прикладного ПО до состояния, при которых автоматизированные системы могут быть использованы в эксплуатации.

Отдел инфраструктуры и связи. Построение сетей для объединения территориально-разрозненных зданий, цехов и отдельных производственных помещений предприятия на основе волоконно-оптических линий связи, обеспечивающих передачу всех видов сигналов, которые используются в мультисервисных информационных сетях АСУ П, АСУ ТП и телефонии.

Отдел ИТ реализует работы по обеспечению бесперебойного функционирования и развития программно-аппаратных комплексов, обеспечение информационной и технической поддержки средств вычислительной техники и программного обеспечения, а также проведение работ по оптимизации использования информационно-технических ресурсов.

Отдел инновационных разработок, деятельность которого направлена на разработку эффективных механизмов и координацию развития деятельности по осуществлению инноваций в компании, сопровождение мероприятий по внедрению научных и (или) научно-технических результатов.

Бухгалтерия осуществляет формирование полной и достоверной информации о деятельности компании и ее имущественном положении, обеспечивает информацией, необходимой внутренним и внешним пользователям бухгалтерской отчетности, отражает и контролирует затраты, которые связанны с деятельностью компании.

1. Начисление заработной платы

2. Начисление и выплата налогов

3. Подготовка к аудиторской проверке

4. Ведение бухгалтерской отчетности

Отдел кадров выполняет задачи, связанные с подбором кадров, учетом персонала и ведением кадровой документации, повышением квалификацией работников, проведением аттестации, формированием кадрового резерва.

Бюро технической документации. Осуществляет деятельность в разработке и корректировке нормативной и технической документации, регистрации договоров, нормоконтроль технической документации.

Сметно-договорной отдел. Основной задачей отдела является подготовка и оформление договоров на реализацию услуг компании.

Так как организация занимается управлением проектами, выделим основные бизнес-процессы:

1. Инициация проекта.

2. Планирование проекта.

3. Исполнение проекта.

4. Мониторинг и контроль.

5. Завершение проекта.

Далее определим последовательность бизнес-процессов по степени критичности. Степень критичность определяется по значимости к выполняемым функциям [14]:

1. Исполнение.

2. Инициация проекта.

3. Планирование проекта.

4. Мониторинг и контроль.

5. Завершение проекта.

Таким образом, критичными бизнес-процессами являются процесс Исполнение и Инициация [14].

Риск - это возможность возникновения потерь (материальных, финансовых, трудовых, потери времени и т. п.), появляющихся в связи со случайным изменением условий экономической деятельности, неблагоприятными обстоятельствами, реальными или потенциально возможными действиями (или условиями), приводящими к нарушению процесса реализации предпринимательского проекта. Оценка риска определяется как вероятность потерь, получаемых в результате наступления такого неблагоприятного события (ситуации).

Таблица 1 - Описание угроз (рисков)

Описание риска (угрозы)	Уязвимости	Возможный источник угрозы	Вероятные последствия - результаты реализации угрозы (сценарии)
Сбои и отказы программных средств и технических средств		отсутствие механизма защиты от перегрузки канала связи; архитектура приложения, неоптимизированная для высоких нагрузок; отсутствие дополнительных программных средств; не согласованы сроки поставки	Персонал	изменение данных, необходимых для управления проектами; отклонение работ от плана
Социальный инжиниринг		система безопасности	Персонал любой человек	утрата информационных активов; нарушение непрерывности процессов снижение качества информационных услуг
Пожар		неисправность системы пожаротушения	Рабочий персонал	пожар
Зависимость от партнеров/клиент ов	? невыполнение условий договора; ? изменение условий договора	Партнеры Заказчики Руководство	срыв сроков проекта; не реализация проекта
Трудовые ресурсы	спецификация персонала; низкий уровень вовлеченности исполнителей в реализацию проектов	Руководство	срыв сроков проекта; отсутствие прибыли; клиенты и партнеры отказываются в дальнейшем работать
Финансовые	недостаточно средств; экономический кризис	Руководство	сокращение бюджета проекта; снижение качества проекта
Временные ресурсы	невыполнение проекта в срок	Персонал	срыв сроков проекта; под вопросом дальнейшая реализация проектов и программ

В Приложение Б представлен перечень угроз, которые могут произойти в деятельности любой организации. Определим наиболее важные угрозы, которые характеризуют исследуемое предприятие (таблица 1).

Все возникшие уязвимости можно разделить на 3основне группы Обусловленные действиями субъекта (антропогенные источники) - субъекты, действия которых могут привести к нарушению безопасности информации, данные действия могут быть квалифицированны как умышленные или случайные преступления. Источники, действия которых могут привести к нарушению безопасности информации могут быть как внешними так и внутренними. Данные источники можно спрогнозировать, и принять адекватные меры.

Угрозы: потеря персонала; невыход персонала на работу; атаки хакеров; компьютерные вирусы; выход из строя обеспечивающих систем (халатность); угроза некорректности данных (ошибки персонала); угроза целостности данных (хищение).

I. Обусловленные техническими средствами (техногенные источники) - эти источники угроз менее прогнозируемы и напрямую зависят от свойств техники и поэтому требуют особого внимания. Данные источники угроз информационной безопасности, также могут быть как внутренними, так и внешними.

Угрозы: отказ компьютерных аппаратных средств; сбои в работе аппаратных и программных средств; выход из строя аппаратных средств.

II. Стихийные источники - данная группа объединяет обстоятельства, составляющие непреодолимую силу (стихийные бедствия, или др. обстоятельства, которые невозможно предусмотреть или предотвратить или возможно предусмотреть, но невозможно предотвратить), такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. Такие источники угроз совершенно не поддаются прогнозированию и, поэтому меры против них должны применяться всегда. Стихийные источники, как правило, являются внешними по отношению к защищаемому объекту и под ними, как правило, понимаются природные катаклизмы.

Угрозы: пожары, нарушение функционирования систем жизнеобеспечения, нарушение внутриклиматических условий, нарушение электропитания и др.

Бизнес-процессы исследовались точки зрения подверженности тем или иным объективным внешним и внутренним угрозам, выявлялись уязвимости каждого ресурса, поддерживающего данный бизнес-процесс, и определялось потенциальное воздействие при превращении угрозы в инцидент, нарушающий деятельность организации.

Для стратегии нам необходимо посчитать допустимое время восстановления (pRTO). Для расчета используем следующие сокращения:

? TPD max (англ. Maximum tolerable period of disruption) - максимально приемлемый (допустимый) период восстановления бизнес процесса организации, можно выделить данный показатель для основного рабочего времени и дня не основного (например, ночное время) [13, 17, 19].

? RTO (англ. Recovery time objective) - целевой срок (время) восстановления каждого вида деятельности организации.

? LBC (англ. Level of business continuity) - «уровень непрерывности бизнеса», описывающий какую долю штатной нагрузки должен обеспечивать бизнес-процесс в случае чрезвычайной ситуации [17]

Расчеты показателей представлены в таблице 2

Таблица 2 - Расчет допустимого времени восстановления бизнес-процессов

Исполнение проекта
Реализация плана проекта	TPD max =5 дней; RTO max = 2 часа; LBC = 75%
Обеспечение качества проекта	TPD max =2 часа; RTO max = 30 минут; LBC = 50%
Управление командой проекта	TPD max =2 часа; RTO max = 4 часа; LBC = 75%
Учет исполнения проекта	TPD max=4 часа; RTO max = 1 час; LBC = 50%
Управление снабжением	TPD max = 2 дня; RTO = 6 часов; LBC = 70%
Инициация проекта
Разработка концепции проекта	TPD max = 2 часа; RTO = 3 часа; LBC = 70%
Рассмотрение и утверждение концепции.	TPD max = 30 минут; RTO = 1 час; LBC = 20%
Принятие решения о начале проекта	TPD max = 15 минут; RTO = 3 часа; LBC = 50%

Таким образом, наибольшую длительность на восстановление имеет процесс «Управление командой проекта». Высокий уровень «непрерывности бизнеса» - «Реализация плана проекта».

Далее рассчитаем оценку воздействий и долговременных последствий отказов, отсутствия активов и ресурсов. Показатель оценивается с помощью приоритетного коэффициента риска (1)

Кр = КпКнКо,

где Кр показывает, какие возможные отказы являются наиболее существенными, а, следовательно, по каким из них следует принимать предупреждающие меры в первую очередь;

Кп - коэффициент, учитывающий значение последствий отказов для потребителя (таблица В.1.). Потребителем всегда является конечный потребитель (покупатель). При анализе процесса потребителем считают того, кто принимает результат предыдущего этапа.

Кн - коэффициент, учитывающий вероятность Рн, с которой отказ или его причина не могут быть обнаружены до возникновения последствий непосредственно у потребителя (таблица В.2.). Нужно отметить, что вероятность пропуска (необнаружения) причины численно равна среднему выходному уровню дефектности.

Ко- коэффициент, учитывающий вероятность Ро отказа. Обычно Ро=1- Рб, где Рб - вероятность отсутствия отказа (таблица В.3.). При определении Ро исходят из того, что отказ не обнаружится до тех пор, пока потребитель не начнет пользоваться изделием.

Таким образом, были получены следующие показатели (таблица 3)

Таблица 3 - Расчеты коэффициента риска

Исполнение проекта
Реализация плана проекта		8*5*4=160
Обеспечение качества проекта		8*6*8=384
Управление командой проекта		6*6*7=252
Учет исполнения проекта		8*5*8=320
Управление снабжением		8*5*3=120
Инициация проекта
Разработка концепции проекта		6*4*5=144
Рассмотрение и утверждение концепции.		8*4*6=192
Принятие решения о начале проекта		9*4*6=216

Наибольшие значения по расчетам были оценены процессы - Обеспечение качества проекта (384), Учет исполнения проекта (320), Управление командой проекта (252).

Важнейшим этапом анализа характера и последствий отказа является проведение целенаправленных мероприятий по предупреждению дефектов.

Эти мероприятия должны вести к одному из следующих результатов:

? избежанию причин отказов;

? снижению вероятности появления отказа (что возможно вследствие изменения конструкции или процесса, например, включение в конструкцию запасных параллельных элементов, выбор другого материала или термообработки);

? снижению влияния первопричины на появление отказа и тяжесть его последствий (что возможно благодаря изменению конструкции, например, снижение вибраций по отношению к предельному уровню возможно при включении упругого элемента в трансмиссию машины, что позволяет в несколько раз уменьшить динамические нагрузки);

? повышению вероятности обнаружения отказа на предприятии до момента поставки продукции потребителю (обычно это достигается изменением конструкции и процесса, а также в результате совершенствования мероприятий по обнаружению дефектов).

3. Стратегия управления непрерывностью бизнеса

На основе полученных данных разработаем стратегию управления непрерывности бизнеса, которая будет рекомендована для использования в случае инцидента, чтобы обеспечить компании возможность продолжить выполнение ее критических процессов [14, 19].

1. Цель и область применения

Целью документа является восстановление критичных важных организационных и технических процессов после их сбоя, определив четкую последовательность действий.

Обеспечение непрерывности бизнеса включает в себя такие цели:

? поддержание способности компании выполнять принятые на себя обязательства перед клиентами и партнерами, предупреждение и предотвращение возможного нарушения режима повседневного функционирования компании;

? сохранения уровня управления компании, позволяющего обеспечить условия для принятия обоснованных и оптимальных управленческих решений, своевременную полную реализацию;

? снижение последствий нарушения режима повседневного функционирования;

? обеспечение соответствия всех механизмов принципов непрерывности бизнеса требованиям нормативно-правовых актов, государственных стандартов, утвержденных в компании актов, планов, программ и т.п.

План обеспечения непрерывности включает поддержку процесса восстановления в штатный режим работы следующих сервисов: электронная почта, файловый сервис.

Рамки плана. Настоящий план предназначен для случаев сбоев в работе критически важных сервисов, вызванных сбоями оборудования/программного обеспечения (аварийный режим) более чем на 2 часа. План предназначен для использования в случае:

? с неблагоприятными событиями природного, техногенного и социального характера (пожар, чрезвычайные ситуации и стихийные бедствия, техногенные катастрофы, нарушение электропитания, нарушение функционирования жизнеобеспечения);

? серьезных инцидентов в области информационной безопасности (вирусные атаки, DOS атаки, приводящие к нарушению работоспособности всех информационных систем, социальный инжиниринг, ошибки персонала, недобросовестное исполнение обязанностей, использование информационных активов не по назначению, несанкционированный доступ).

? связанные со сбоями, отказами, разрушениями/повреждениями программных и технических средств (выхода из строя аппаратных компонентов, выхода из строя оборудования кондиционирования в серверном помещении, сбои и отказы программных средств, нарушения функциональности криптографической системы, нарушения функциональности архивной системы).

2. Распределение функций, ответственности и полномочий

Для поддержания готовности к реагированию при реализации угроз, влияющих на непрерывность сервиса, необходимо создание восстановительной команды:

? руководитель АВК;

? координатор планирования обеспечения непрерывности;

? ответственный за резервное копирование;

? ответственный за выделение рабочих площадок;

? ответственный за функционирование локальной сети;

? ответственный за функционирование каналов передачи данных;

? ответственный за резерв аппаратного обеспечения;

? администратор;

? специалист технической поддержки пользователей.

Целевые параметры восстановления

Задачей плана является восстановление сервис в течение 1-3 ч. На восстановление каждого сервиса отводится 1 час.

Допустимой потерей данных при восстановлении системы является потеря данных за интервал в 2 ч.

Стратегия выполнения

Общей стратегией выполнения плана является:

- оповещение ответственного администратора;

- диагностика неисправности;

- переход работы сервисов на оборудование «холодного» резерва;

- работа на оборудовании «холодного» резерва;

- восстановление штатного способа предоставления сервиса; - возврат к штатному режиму функционирования.

3. Активация плана

Активация настоящего плана производится: визуальный осмотр серверного помещения и определение невозможности запуска аппаратных средств, получение информации от энергокомпании о выключении электропитания в серверном помещении более чем на 2 часа, выход из строя аппаратных компонентов и невозможности их замены.

В случае наступления данного события, ответственный администратор системы должен быть незамедлительно уведомлен о необходимости активации плана.

Активацию данного плана не следует проводить в случаях: кратковременного (до 2 часов) выключения электропитания, проведения монтажных и других работ в серверном помещении, связанных с отключением электропитания в серверном помещении.

4. Актуализация плана

Настоящий план подлежит пересмотру каждые 6 месяцев. В рамках процедуры актуализации плана должна быть проверена актуальность конфигурации оборудования и ПО, контактной информации всех лиц, имеющих отношение к данному плану.

В процессе актуализации плана должна быть проведена проверка сроков действия всех договоров на поддержку (гарантийных договоров) систем, включенных в план. Срок действия вышеупомянутых договоров должен быть не менее даты следующего пересмотра настоящего плана (6 месяцев).

Процедура актуализации должна также быть выполнена до планового срока в случае, если в систему вносятся существенные изменения, например, происходит миграция на новое оборудование.

По завершении процедуры актуализации план должен быть заново опубликован и размещен в доступных для ответственных лиц местах.

Частота обновлений компонентов:

? оценка рисков: 6 месяцев;

? стратегия обеспечения непрерывности сервиса:12 мес;

? роли и обязанности команды восстановления:12 мес;

? состав команды восстановления и контактная информация: 3 мес.

Тестирование плана

Тестирование плана аварийного восстановление должно осуществляться на регулярной основе с интервалом не более 6 месяцев. Тестирование плана производится в нерабочее время или в выходные дни.

После получения информации о недоступности сервиса, ответственный администратор, получивший сигнал, должен проинформировать одного из представителей руководства компании о происшествии.

В случае наступления существенного (т.е. такого, который не смог быть оперативно устранен ответственным администратором) сбоя в предоставлении сервиса, служба технической поддержки должна быть незамедлительно проинформирована ответственным администратором.

В случае, если наблюдаются события, которые могут привести к сбою/существенной деградации сервиса в ближайшем будущем, ответственному администратору сначала необходимо провести первичную диагностику, оценить риски и требуемые действия по восстановлению, и потом, в случае существенной вероятности возникновения сбоев в предоставлении сервиса, проинформировать Службу заказчика. В любом случае, сообщение в службу технической поддержки должно содержать следующую информацию: бизнес непрерывность актив

- сервис(ы), предоставление которых полностью, либо частично, нарушено (может быть нарушено);

- прогнозное время устранения проблемы (если может быть определено на данном этапе);

- возможные альтернативные способы предоставления сервиса, если таковые существуют.

После наступления аварийной ситуации сервисы будут недоступны для пользователей. Службе технической поддержки необходимо проинформировать основных сотрудников, которые используют сервисы.

Мероприятия по обеспечению непрерывности

Фаза 0. Обнаружение инцидента

В течение фазы 0 происходит первичное обнаружение инцидента, возможно лицами, не являющимися специалистами в данном вопросе, первичная оценка степени серьезности повреждений и информирование руководителя АВК.

Любое лицо: если инцидент затрагивает безопасность людей, звонить в спец службы

Группа технической поддержки:

Оценить длительность выхода сервиса из строя (если превышает 1 ч, то информировать АВК)

Администратор сервиса: оценить длительность выхода сервиса из строя

Фаза 1. Идентификация инцидента, выбор стратегии

В течение фазы 1 происходит идентификация характера повреждений специалистами команды АВК, детальная оценка степени серьезности повреждений и производится выбор стратегии восстановления.

Руководитель АВК, специалист, ответственный за поврежденный компонент: проанализировать характер повреждения, оценить время восстановления, принять решение об объявлении аварии или передать инцидент специалисту.

Фазы 2 и 3. Частичное и полное восстановление сервиса

В течение фаз 2 и 3 выполняется процесс частичного и полного восстановления сервиса соответственно. При этом в ходе работ возможно выявления непредвиденных обстоятельств, которые могут привести к изменению уровня инцидента и возврата к этапу выбора стратегии, возможно, с переходом на план более высокого уровня.

Руководитель АВК: определить приоритеты восстановления;

Администратор АВК: проверить достаточность аппаратного обеспечения на момент восстановления.

Ответственный за резервное копирование: проверить достаточность материала резервных копий.

Фаза 4. Выход в штатный режим функционирования

Фаза 4 характеризуется обеспечением полного спектра услуг для бизнес-процессов со стороны ИТ-сервиса, однако, его внутренняя архитектура отличается от штатной (например, отсутствует дублирование компонент).

Руководитель АВК: определить компоненты восстановления системы, получить из резерва недостающие компоненты

Ответственные лица, администратор сервиса: привести архитектуру сервиса к штатной.

Документирование и анализ инцидента

По окончании процесса восстановления (возможно, до окончания фазы 4) необходимо проведение подробного документирования инцидента и процесса восстановления сервиса от его последствий. Кроме того, анализ процесса восстановления может привести к изменениям в стратегии и планах обеспечения непрерывности сервисов.



Заключение

Таким образом, для успешной деятельности компании необходимо контролировать бизнес-процессы от возникших инцидентов. Процесс управления непрерывностью бизнеса обеспечивает объединение всех применяемых на предприятии мер - целостный комплекс, позволяющий компании непрерывно предоставлять услуги, избежать влияния чрезвычайных ситуаций на деятельность и минимизировать возможный ущерб. Большинство компаний ставят следующие задачи развития деятельности:

? минимизация рисков деятельности путем защиты своих интересов;

? планирование т поддержка непрерывности бизнеса;

? повышение качества деятельности по обеспечению информационной безопасности;

? снижение издержек и повышение инвестиций в информационную безопасность;

? повышение доверия со стороны партнеров, заказчиков и других заинтересованных сторон

Цель работы: разработка стратегии обеспечения непрерывности бизнеспроцессов компания, занимающейся реализацией и управлением ИТ-проектами.

В рамках курсовой работы были решены следующие задачи:

1) проанализирован процесс управления непрерывностью бизнеса в организациях;

2) рассмотрена ИТ-компания с позиции выявления критически важных бизнес-процессов;

3) разработана стратегия управления непрерывностью бизнеса для ИТкомпании.

При написании курсовой работы по теме исследования была изучена специальная литература, включающая научные статьи, рассмотрен процесс управления непрерывностью в различных сферах деятельности.

Изначально был проанализирован процесс управления непрерывностью бизнеса, изучена история развития, а также основные нормативные документы и стандарты в области обеспечения непрерывности бизнеса. На примере специфической области была проанализирована ИТкомпания, определены критические бизнес-процессы. Для определения уровня риска были рассчитаны числовые значения приоритетного коэффициента риска. На основе полученных данных разрабатывалась стратегия управления непрерывностью бизнеса, цель которой обеспечить восстановление сервисов на резервном оборудовании, определив четкую последовательность действий, которые должны выполнить сотрудники компании.

Результаты анализа могут быть использованы в качестве рекомендаций по управлению непрерывности в практической деятельности.



Список использованных источников

1 ГОСТ 7.1-2003. Библиографическая запись. Библиографическое описание. Общие требования и правила составления от 2 июля 2003.

2 Дорофеев А.В, Марков А.С. Планирование обеспечения непрерывности бизнеса и восстановления // Вопросы кибербезопасности.2015. №3(11). С. 68-73.

3 Дяченко О. Business Continuity Management // Национальный банковский журнал. 2015

4 ИСО/МЭК 27001:2005 «Информационные технологии. Методы обеспечения безопасности. Системы менеджмента информационной безопасности. Требования».

5 Лаврушина Я. Н., Макарова А. А. Методологические подходы к анализу и оценке операционных рисков компании в статистически некорректной среде//Журнал «Бизнес-информатика», 2011. № 2 (16).

6 Пономаренко К.В., Чернова Е.В. Разработка плана обеспечения непрерывной деятельности компании по предоставлению проектных услуг / Теоретические и прикладные аспекты современной науки: сборник научных трудов по материалам VIII Международной научно-практической конференции 27 февраля 2015 г.: в 7 ч. / Под общ. ред. М.Г. Петровой. - Белгород: ИП Петрова М.Г., 2015. - Часть VII. - 160 с. - с. 123-125 с.

7 Распопов В. М. Управление изменениями: учебное пособие [для студентов, обуч. по программам магистратуры, и слушателей программ MBA]. - М.: Магистр, 2013. - 336 с.

8 Салимова, Т.А. Стандартизация в области непрерывности бизнеса и устойчивого развития/Т.А. Салимова//Стандарты и качество. -2016. -№ 4. -С. 47-51.

9 Скокова И.К. Аналитический этап разработки стратегии управления непрерывностью бизнес-процессов для ИТ-компании / И.К. Скокова, Н.А. Романенко, Е.В. Чернова // Sworld. 2016

10 СМК-СМГТУ-42-09. Система менеджмента качества. Стандарт организации. Курсовой проект (работа): структура, содержание, общие правила выполнения и оформления.

11 Управление непрерывностью бизнеса. Ваш бизнес будет продолжаться. Информационные технологии для инженеров. - М.: ДМК Пресс; М.: Компания АйТи, 2011. - 400 с.: ил.

12 Чернова Е.В. Профессиональные компетенции магистров бизнесинформатики в курсе «Управление непрерывностью бизнеса» / Научные труды SWorld. - Выпуск 3(44). Том 4. - Иваново: Научный мир, 2016 - 100 с. - С.22-27.

13 Чусавитина Г.Н., Давлеткиреева Л.З. Анализ и установление уровня зрелости информационной инфраструктуры организации для управления непрерывностью бизнеса//Современные информационные технологии и ИТобразование/Сборник избранных трудов VII Международной научнопрактической конференции. Под ред. проф. В.А. Сухомлина. -М.: ИНТУИТ.РУ, 2012. -1050 с.-С. 529-544.

14 Шермет М. А. Управление изменениями: учеб. пособие. - М.: Издво «Дело» АНХ, 2010. - 128 с.

15 Cobit 4.1. Российское издание. IT Governance Institute, 2007.

...