Business Continuity Planning

Business Continuity Planning (BCP, планирование непрерывности бизнеса) — это управленческий процесс, направленный на создание и поддержание системы организационных, технических и административных мер, обеспечивающих способность организации продолжать свою деятельность (или быстро её восстанавливать) до приемлемого уровня в случае возникновения серьёзных сбоев, аварий, катастроф или иных инцидентов, нарушающих нормальное функционирование. BCP является частью более широкой дисциплины управления непрерывностью бизнеса (Business Continuity Management, BCM).

История и развитие

Истоки BCP восходят к 1970-м годам, когда крупные компании, особенно в сфере финансов и информационных технологий, начали разрабатывать планы восстановления после сбоев в работе компьютерных систем (Disaster Recovery Planning, DRP). Первоначально акцент делался исключительно на восстановлении ИТ-инфраструктуры и данных.

В 1980-1990-е годы, после ряда крупных техногенных и природных катастроф (например, землетрясения в Лома-Приета в 1989 году, взрыв Всемирного торгового центра в 1993 году), понимание непрерывности расширилось. Стало очевидно, что сбой может затронуть не только ИТ, но и персонал, производственные мощности, цепочки поставок и репутацию. Появились первые профессиональные ассоциации, такие как Business Continuity Institute (BCI) в Великобритании (1994 год) и Disaster Recovery Institute International (DRI International) в США (1988 год).

В 2000-е годы, особенно после терактов 11 сентября 2001 года в США и урагана «Катрина» в 2005 году, BCP стало обязательным требованием для многих отраслей, регулируемых государством (финансовый сектор, здравоохранение, энергетика). Были разработаны международные стандарты, такие как ISO 22301 (ранее BS 25999), формализующие требования к системам управления непрерывностью бизнеса.

В России развитие BCP активизировалось в 2010-е годы, в первую очередь в банковском секторе под влиянием требований Центрального банка РФ (Положение № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств», а также рекомендации по обеспечению непрерывности деятельности). Также значительную роль сыграли крупные энергетические и промышленные компании, внедряющие системы управления рисками.

Ключевые понятия и термины

BCP оперирует рядом специфических терминов, определённых в стандартах (например, ISO 22301):

• Инцидент (Incident): событие, которое может привести к нарушению деятельности (например, отключение электроэнергии, пожар, кибератака).
• Критическая бизнес-функция (Critical Business Function): процесс или деятельность, остановка которых наносит наибольший ущерб организации (например, обработка платежей, производство ключевого продукта).
• Максимально допустимый перерыв (Maximum Tolerable Period of Disruption, MTPD): максимальное время, в течение которого организация может функционировать без выполнения критической функции, прежде чем понесёт неприемлемый ущерб.
• Цель времени восстановления (Recovery Time Objective, RTO): целевое время, в течение которого критическая функция должна быть восстановлена после инцидента. RTO обычно меньше или равно MTPD.
• Цель точки восстановления (Recovery Point Objective, RPO): максимальный допустимый объём потери данных, измеряемый во времени. Например, RPO в 1 час означает, что организация готова потерять данные за последний час работы.
• План непрерывности бизнеса (Business Continuity Plan, BCP): документированный набор процедур и инструкций, которые организация использует для реагирования на инцидент и восстановления критических функций.
• План восстановления после аварии (Disaster Recovery Plan, DRP): специализированный план, ориентированный на восстановление ИТ-инфраструктуры, систем и данных.

Этапы разработки BCP

Процесс создания и поддержания BCP обычно включает несколько последовательных этапов:

1. Инициирование и управление проектом

Определение целей, объёма, ресурсов и ролей для разработки BCP. Назначение ответственного лица (руководителя программы непрерывности бизнеса).

2. Оценка рисков и анализ воздействия на бизнес (Business Impact Analysis, BIA)

Это центральный этап. BIA включает:

• Идентификацию критических бизнес-функций.
• Определение MTPD, RTO и RPO для каждой функции.
• Оценку последствий (финансовых, репутационных, юридических, операционных) от перерыва в работе каждой функции.
• Идентификацию ресурсов (персонал, оборудование, данные, поставщики), необходимых для выполнения критических функций.

3. Разработка стратегий непрерывности

На основе результатов BIA выбираются способы обеспечения непрерывности. Стратегии делятся на три основные категории:

• Предотвращение: меры, снижающие вероятность наступления инцидента (например, резервирование оборудования, дублирование каналов связи, обучение персонала).
• Реагирование: действия, предпринимаемые немедленно после инцидента (эвакуация, оповещение, активация плана).
• Восстановление: процедуры по возвращению к нормальной работе (использование резервного офиса, восстановление данных из резервных копий, привлечение временного персонала).

4. Разработка и документирование планов

Создание конкретных документов (BCP, DRP, планы эвакуации, планы коммуникации). Планы должны быть чёткими, понятными, содержать контактные данные, роли и пошаговые инструкции.

5. Тестирование и обучение

Регулярное проведение учений и тренировок (настольные упражнения, симуляции, полномасштабные тесты) для проверки работоспособности планов и готовности персонала. Обучение сотрудников их ролям в случае инцидента.

6. Мониторинг и постоянное улучшение

BCP не является статичным документом. Он должен регулярно пересматриваться и обновляться с учётом изменений в организации (новые технологии, слияния, изменения в законодательстве), а также по результатам тестирований и анализа реальных инцидентов.

Стандарты и регулирование

Наиболее распространённым международным стандартом является ISO 22301:2019 «Безопасность и устойчивость — Системы управления непрерывностью бизнеса — Требования». Он задаёт структуру для внедрения, поддержания и улучшения BCM-системы. Сертификация по ISO 22301 является признанным подтверждением зрелости системы управления непрерывностью бизнеса.

В России регулирование BCP в первую очередь распространяется на:

• Кредитно-финансовую сферу: требования Банка России к обеспечению непрерывности деятельности (Положение № 382-П, Указание № 5349-У).
• Критическую информационную инфраструктуру (КИИ): Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» обязывает субъекты КИИ создавать системы безопасности, включающие в том числе планы восстановления после сбоев.
• Промышленную безопасность: требования Ростехнадзора к планам локализации и ликвидации аварий (ПЛА) на опасных производственных объектах.

Применение в различных отраслях

BCP применяется во всех секторах экономики, где возможны сбои с серьёзными последствиями:

• Финансовый сектор: банки, страховые компании, биржи. Сбой в обработке транзакций может привести к многомиллионным потерям и потере доверия клиентов.
• Здравоохранение: больницы, клиники, лаборатории. Непрерывность жизненно важна для оказания неотложной помощи и сохранения данных пациентов.
• Энергетика: электростанции, нефтегазовые компании. Сбой в энергоснабжении может парализовать целые регионы.
• Производство: заводы, фабрики. Остановка конвейера из-за поломки оборудования или отсутствия сырья ведёт к срыву поставок и убыткам.
• Информационные технологии: дата-центры, облачные провайдеры. Для них BCP и DRP являются основой бизнеса.
• Государственное управление: органы власти, экстренные службы. Непрерывность работы необходима для обеспечения безопасности и жизнедеятельности населения.

Критика и ограничения

Несмотря на очевидную пользу, BCP имеет ряд критических замечаний:

• Высокая стоимость: разработка, внедрение и поддержание полноценной системы BCP требуют значительных финансовых и временных затрат, что может быть непосильно для малого бизнеса.
• Бюрократизация: планы могут становиться слишком объёмными и сложными, что затрудняет их практическое применение в стрессовой ситуации.
• Недостаточная актуальность: планы часто устаревают, если не обновляются регулярно, особенно в быстро меняющихся компаниях.
• Человеческий фактор: даже самый лучший план бесполезен, если персонал не обучен или не готов действовать по нему.
• Сложность моделирования: BIA и оценка рисков основаны на предположениях, которые могут не соответствовать реальному сценарию инцидента.

Источники

1. ISO 22301:2019 «Security and resilience — Business continuity management systems — Requirements».
2. Положение Банка России от 1 июня 2020 года № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств».
3. Федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
4. Business Continuity Institute (BCI). «Good Practice Guidelines» (GPG).
5. Disaster Recovery Institute International (DRI International). «Professional Practices for Business Continuity Management».
6. Учебные пособия и публикации по управлению непрерывностью бизнеса (например, работы А.В. Козлова, В.А. Галатенко).