Безопасность и устойчивость. Системы менеджмента непрерывности деятельности. Требования

Зачем вам этот стандарт

Стандарт отвечает на вопрос, который до первого серьёзного сбоя кажется теоретическим: как продолжать работать, когда что-то сломалось, и как вернуться в норму1.

Ключевое слово — «на приемлемом уровне». Стандарт не обещает, что ничего не упадёт. Он требует заранее договориться, что считается приемлемым: какие продукты и услугиУслугаСпособ дать потребителю нужный результат, не перекладывая на него управление затратами и рисками.ITIL 4, книга ITIL Foundation должны идти, в каком объёме и как быстро восстановиться1.

Нужен, если по вам есть регуляторные требования к непрерывности — в финансах, здравоохранении, критической инфраструктуре.

Нужен, если заказчик просит показать, что вы переживёте пожар, отказ площадки или уход подрядчика.

Не нужен как замена техническому резервированию. Это управленческая рамка над ним, а не вместо него.

Что внутри

Та же конструкция из семи разделов требований, что у стандарта на систему менеджмента качества, — с четвёртого по десятый2. Кто читал один, второй читает вдвое быстрее.

Своё содержание сосредоточено в разделе о деятельности: анализ влияния на деятельность и оценка риска, выбор стратегий и решений, планы и процедуры, программа учений, оценка документации и способностей2.

Именно эти шесть подразделов и отличают стандарт от остальных документов семейства. Всё прочее — общая рамка системы менеджмента.

Ключевые понятия

Анализ влияния на деятельность. Отправная точка всей конструкции2: какие процессы критичны, что происходит при их остановке и через какое время последствия становятся неприемлемыми.

Приемлемый уровень. Величина, которую задаёт организация, а не стандарт. Именно вокруг неё потом идут все споры с бизнесом.

Программа учений. Отдельный подраздел требований2. План, который ни разу не проверяли, стандартом за план не считается.

Как устроена ценность

ЦенностьЦенностьПольза и выгода, которые сторона получает от услуги; величина субъективная.ITIL 4, книга ITIL Foundation здесь появляется дважды и в разное время. Первый раз — на анализе влияния, когда бизнес впервые называет, сколько стоит час простоя, и цифры оказываются неожиданными для всех.

Второй раз — на учениях. Именно там выясняется, что список контактов устарел, резервная площадка не поднимается за обещанное время, а ключ от серверной у человека в отпуске.

Что покрывает из шестидесяти практик

Чем отличается от соседей

От ISO 9001 отличается предметом, но не устройством: разделы совпадают, различия — внутри деятельности.

От NIST CSF и ISO/IEC 27001 отличается поводом. Те про киберриск, этот — про нарушение деятельности от любой причины: пожар, авария, уход поставщика. Пересечение есть, и на восстановлении оно велико, но заменять одно другим не стоит.

Что обязательно, а что на выбор

Это стандарт требований — по нему сертифицируют, значит, обязательно всё, что записано как требование1. На выбор — охват и, главное, сами целевые величины: время восстановления и приемлемый уровень организация определяет сама2.

Отсюда практическое следствие для тендеров: сертификат отвечает на вопрос «есть ли система», а не на вопрос «за сколько часов вы поднимаетесь». Второе надо спрашивать отдельно.

В России

Действует ГОСТ Р ИСО 22301-2021, введённый 1 января 2022 года; он заменил адаптацию 2014 года3. Российский контур здесь синхронен международному — случай для нашего раздела нередкий, но приятный.

Одна деталь, важная при поиске и цитировании: при переводе поменялась терминология. «Непрерывность бизнеса» редакции 2014 года стала «непрерывностью деятельности», появилась аббревиатура СМНД3. Документы разных лет внутри одной компании нередко пользуются обоими наборами слов, и это путает.

Обозначение тоже своеобразное: российская адаптация отнесена к надёжности в технике3, а не к менеджменту, — по названию её легко не узнать.

Где взять первоисточник и сколько стоит

Международный стандарт платный, продаётся у владельца и национальных органов по стандартизации1.

Российская адаптация — двадцать четыре страницы, ищется в базе Росстандарта по обозначению3. Для большинства российских организаций разумнее начинать с неё: терминология совпадёт с той, на которой будут говорить аудиторы.

Сертификация

Сертифицируется организация. Как и в остальных стандартах на системы менеджмента, сертификат выдаёт орган по сертификации, и у него есть область применения — её и надо читать в первую очередь.

Чем это автоматизируют

Отдельного класса систем стандарт не называет — дальше наш взгляд. Под его требования ложатся инструменты ведения планов и контактов, системы оповещения, средства учёта критичных процессов и их зависимостей, журналы учений.

Наблюдение из работы: чаще всего подводит не инструмент, а актуальность данных в нём. План непрерывности стареет быстрее любого другого документа, потому что меняются люди, площадки и подрядчики.

Где ломается применение

Наблюдения, а не текст стандарта.

Пишут план и кладут на полку. Программа учений в стандарте не случайно вынесена в отдельное требование2: непроверенный план — это документ, а не способность.

Считают восстановление задачей ИТ. Анализ влияния показывает обратное: критичны обычно процессы, а не системы, и решения нужны организационные.

Берут чужие целевые времена. Приемлемый уровень заимствуют у отраслевых примеров вместо того, чтобы посчитать свой, — и получают либо непосильные обязательства, либо бесполезные.

С чего начать

Соберите руководителей и попросите назвать три процесса, остановка которых на сутки нанесёт наибольший ущерб. Дальше спросите, через сколько часов ущерб становится неприемлемым.

Обычно на этом разговор и начинается по-настоящему: цифры у всех разные, а до этого казалось, что все понимают одинаково.

Что читать дальше