«Национальный проект «Здравоохранение». Федеральный проект «Создание единого цифрового контура в здравоохранении на основе единой государственной информационной системы в сфере здравоохранения (ЕГИСЗ)». Методические рекомендации по категорированию объектов критической информационной инфраструктуры сферы здравоохранения (Версия 1.0)» (утв. Минздрав России 05.04.2021)
2.4.3. Порядок оценки критичности бизнес-процессов
34. На этом этапе проводится оценка возможного негативного влияния последствий от нарушения бизнес-процесса организации сферы здравоохранения по показателям, определенным постановлением Правительства РФ от 08.02.2018 N 127.
35. Используя результаты определения и описания бизнес-процессов в деятельности организации сферы здравоохранения, зафиксированные в описательной части Реестра бизнес-процессов организации сферы здравоохранения проводятся обоснование критичности бизнес-процессов организации сферы здравоохранения, проводящей категорирование объектов КИИ и оценка возможного негативного влияния последствий от нарушения бизнес-процесса. Такая оценка проводится с использованием Алгоритмов оценки значимости бизнес-процесса, приведенных в разделе II Справочных материалов по оценке критичности бизнес-процессов организации сферы здравоохранения (Приложение 8), для следующих показателей, определенных постановлением Правительства РФ от 08.02.2018 N 127:
Как внедрить новые бизнес-процессы? | Олег Зубченок | Laba
— социальная значимость (способность причинить ущерб жизни и здоровью людей; способность привести к нарушению максимального времени отсутствия доступа в оказании государственных услуг);
— политическая значимость (способность оказывать влияние на функционирование органа государственной власти );
В контексте настоящих методических рекомендаций, если это специально не оговорено, под органом государственной власти подразумеваются федеральные органы государственной власти, органы государственной власти субъекта Российской Федерации или города федерального значения.
— экономическая значимость (способность оказывать влияние на возможность причинения прямого и косвенного ущерба государственному унитарному предприятию).
При этом бизнес-процесс организации сферы здравоохранения считается способным причинить ущерб жизни и здоровью людей, если он задействован (обеспечивает) в управлении или обеспечении работоспособности механизмов и устройств, нарушение функционирования которых может привести:
— к авариям, катастрофам с человеческими жертвами;
— к бактериологическому, радиационному или химическому заражению;
— к отключению приборов, обеспечивающих жизненно важные функции организма;
— к нарушению технологий производства и хранения фармацевтической и медицинской продукции;
— к иным последствиям, пагубно влияющим на жизнь и здоровье людей.
Бизнес-процесс организации сферы здравоохранения считается способным привести к отсутствию доступа в оказании государственных услуг, если он задействован:
— в управлении, контроле или мониторинге и поддержании бесперебойного функционирования элементов инфраструктуры доступа к государственной услуге;
— в аналитической, экспертной, учетной деятельности, необходимой для обеспечения функционирования государственных органов власти, оказывающих государственные услуги;
— в обеспечении взаимодействия государственных органов власти, оказывающих государственные услуги.
Бизнес-процесс организации сферы здравоохранения считается оказывающим влияние на функционирование органа государственной власти, если он задействован:
— в аналитической, экспертной, учетной деятельности, необходимой для принятия управленческих решений органом государственной власти;
— в управлении, контроле или мониторинге и поддержании бесперебойного функционирования элементов инфраструктуры взаимодействия органов государственной власти;
— в управлении, контроле или мониторинге и поддержании бесперебойного функционирования элементов инфраструктуры оповещения населения о чрезвычайных ситуациях;
— в поддержании бесперебойного функционирования элементов системы управления, необходимой для реализации возложенных на орган государственной власти полномочий.
Бизнес-процесс организации сферы здравоохранения считается оказывающим влияние на возможность причинения прямого и косвенного ущерба государственному унитарному предприятию, если он задействован:
— в аналитической, экспертной, учетной деятельности, необходимой для принятия управленческих решений руководством государственного унитарного предприятия;
— в обеспечении взаимодействия с организациями кредитно-финансовой сферы, включая страховые компании, биржи, банки, казначейство, налоговые органы.
Для обоснования неприменимости для таких бизнес-процессов остальных показателей, определенных постановлением Правительства РФ от 08.02.2018 N 127, используется раздел «Допущения и ограничения» настоящих методических рекомендаций.
36. В случае если осуществление критического бизнес-процесса организации сферы здравоохранения зависит от осуществления иных критических бизнес-процессов, оценка проводится исходя из совокупного масштаба возможных последствий от нарушения или прекращения функционирования всех выполняемых критических бизнес-процессов.
37. Результаты оценки критичности бизнес-процессов в деятельности организации сферы здравоохранения фиксируются в разделе оценки критичности Реестра бизнес-процессов организации сферы здравоохранения (Приложение 7).
Источник: e-ecolog.ru
Критичность бизнес-задач в управлении облаком
В каждом бизнесе существует небольшое количество важнейших рабочих нагрузок, сбой которых недопустим. Такие рабочие нагрузки считаются критически важными. В случае простоя или снижения производительности этих рабочих нагрузок неблагоприятное воздействие на прибыль и рентабельность может быть заметным для всей компании.
На другом конце спектра находятся рабочие нагрузки, которые иногда не используются по несколько месяцев. Низкая производительность таких рабочих нагрузок или перебои в работе также нежелательны, но их последствия будут изолированными и ограниченными.
Понимание критичности каждой рабочей нагрузки в ИТ-портфеле станет первым шагом к определению взаимных обязательств по управлению облаком. На следующей схеме показано типичное сопоставление между уровнем критичности и стандартными обязательствами бизнеса.
Шкала критичности
Первым шагом в любой деятельности по сопоставлению критичности бизнес-процессов является создание шкалы критичности. В следующей таблице представлен пример такой шкалы, который мы применим ка базовый шаблон для создания собственной шкалы.
| Критически важные интеграции | Такие рабочие нагрузки оказывают влияние на деятельность компании и могут значительно повлиять на данные отчета о прибыли и убытках. |
| Критически важные для отдела | Влияют на деятельность конкретного отдела и данные отчета о прибыли и убытках такого отдела. |
| Высокий | Может не затронуть основную задачу, но влияет на процессы с высоким уровнем важности. В случае простоев возможны заметные убытки. |
| Средний | Влияние на процессы вполне вероятно. Сбой такой рабочей нагрузки приведет к незначительным или незаметным убыткам, однако может нанести урон торговой марке или послужить причиной последующих потерь. |
| Низкий | Влияние на бизнес-процессы невозможно оценить. Урон для торговой марки или убытки на более высоком уровне маловероятны. Ожидается локальное воздействие на одну команду. |
| Не поддерживается | Владелец предприятия, команда или процесс, связанные с этой рабочей нагрузкой, не смогут оправдать вложения в текущее управление рабочей нагрузкой. |
В организациях часто используются дополнительные классификации критичности, специфичные для отрасли, организационной вертикали или конкретных бизнес-процессов. Ниже приведены примеры дополнительных классификаций.
- Критически важные для обеспечения соответствия. В отраслях с высоким уровнем регулирования некоторые рабочие нагрузки могут быть критически важными, поскольку имеют отношение к усилиям по обеспечению соответствия требованиям.
- Критически важные для защиты. Некоторые рабочие нагрузки могут не считаться критически важными для основной задачи, но их сбои приводят к утрате данных или неавторизованному доступу к защищенным сведениям.
- Критически важные для безопасности. Если сбой рабочих нагрузок может создавать риск для жизни или физической безопасности сотрудников и клиентов, разумно классифицировать их как критически важные для безопасности.
- Критически важные для устойчивости: Если ваш бизнес фокусируется на устойчивости некоторых своих систем, рассмотрите это как классификацию.
Важность точной оценки критичности
Далее в процессе внедрения облака группа управления облаком будет использовать эту классификацию для определения объема усилий, необходимых для обеспечения требований для согласованных уровней критичности. В локальных средах системы управления операциями часто приобретаются централизованно и считаются необходимой частью затрат на бизнес, при этом не требуют или почти не требуют дополнительных эксплуатационных расходов. Как и все облачные службы, система управления операциями приобретается отдельно для каждого ресурса и относится к ежемесячным эксплуатационными издержкам.
Так как в облаке есть четкая зависимость затрат от системы управления операциями, важно правильно сопоставить затраты и требуемые уровни критичности.
Выбор уровня критичности по умолчанию
Начальная оценка каждой рабочей нагрузки в портфеле может занять много времени. Чтобы эти усилия не блокировали всю облачную стратегию, мы рекомендуем согласовать между группами «стандартный» уровень критичности, который по умолчанию будет применяться ко всем рабочим нагрузкам.
На основе приведенной выше таблицы критичности мы рекомендуем выбрать в качестве стандартного средний уровень критичности. Это позволит команде облачной стратегии быстро выявить рабочие нагрузки, требующие более высокого уровня критичности.
Проверка требований по соответствию для эксплуатации
Первый важный шаг — понимание, определение и назначение уровней критичности для бизнеса. Следующий этап анализа управления заключается в том, чтобы обеспечить согласование требований по соответствию, особенно в отношении безопасности. Применение методологий, описанных выше в отношении критичности для бизнеса, к обеспечению соответствия требованиями безопасности позволит:
- выявить сложности бизнес-систем и требования к соответствию для них, например в отношении независимости данных, отраслевых требований или требований к конфиденциальности;
- определить все взаимозависимости между группами разработки, эксплуатации и безопасности, чтобы ключевые контактные лица и эксперты были идентифицированы и хорошо известны в вашей организации;
- убедиться, что соответствие требованиям обеспечивает соблюдение всех требований по аудиту и отчетности.
Примените содержимое по обеспечению соответствия для эксплуатации, чтобы обеспечить согласованность бизнес-требований, уровней критичности и требований по соответствию.
Затем ознакомьтесь с обзором теста производительности системы безопасности Azure и используйте его, чтобы идентифицировать разные домены управления и сопоставить их с требованиями по соответствию для эксплуатации.
Наконец, обеспечьте документирование содержимого по управлению и безопасности для всех эксплуатационных методик вашего бизнеса, как описано в документе Управление безопасностью, версия 2: управление и стратегия.
Использовать шаблон
Следующие шаги применяются, если вы используете книгу управления операциями для планирования управления облаком.
- Запишите уровень критичности в книге Scale .
- Обновите каждую рабочую нагрузку в книге Example или Clean Template , чтобы отразить уровень критичности по умолчанию в столбце Criticality .
- Организации важно вносить сюда правильные значения, отражая любые отклонения от уровня критичности по умолчанию.
Дальнейшие действия
После определения уровня критичности для бизнеса можно вычислить и зафиксировать влияние на бизнес.
Источник: learn.microsoft.com
2.4. «Национальный проект «Здравоохранение». Федеральный проект «Создание единого цифрового контура в здравоохранении на основе единой государственной информационной системы в сфере здравоохранения (ЕГИСЗ)». Методические рекомендации по категорированию объектов критической информационной инфраструктуры сферы здравоохранения (Версия 1.0)» (утв. Минздрав России 05.04.2021)
2.4. Оценка критичности бизнес-процессов
2.4.1. Допущения и ограничения
20. При проведении высокоуровневой оценки возможных последствий от нарушения бизнес-процесса организации сферы здравоохранения не оцениваются количественные показатели критериев значимости, а дается их качественная оценка.
21. Оценка критичности бизнес-процессов организации сферы здравоохранения с точки зрения влияния на прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения , транспортной инфраструктуры , сетей связи , а также, в дальнейшем, расчет этих показателей значимости для объектов КИИ организации сферы здравоохранения не проводится, так как бизнес-процессы организаций сферы здравоохранения не задействованы:
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. 2, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. 3, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. 4, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
— в управлении объектами обеспечения жизнедеятельности населения, транспортной инфраструктуры, сетей связи, контроле или мониторинге и эксплуатации таких объектов;
— в обеспечении бесперебойного функционирования объектов обеспечения жизнедеятельности населения, транспортной инфраструктуры, сетей связи;
— в поддержании качества функционирования объектов обеспечения жизнедеятельности населения, транспортной инфраструктуры, сетей связи.
22. Оценка критичности бизнес-процессов организации сферы здравоохранения с точки зрения экономической значимости проводится исключительно для организаций сферы здравоохранения, имеющих организационно-правовую форму «государственное унитарное предприятие».
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. 8, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
23. Оценка критичности бизнес-процессов и дальнейший расчет показателей значимости для объектов КИИ с точки зрения экономической значимости для организаций сферы здравоохранения иных организационно-правовых форм не проводится, так как такие организации сферы здравоохранения не являются государственными корпорациями, государственными компаниями, стратегическими акционерными обществами , стратегическими предприятиями , у которых возможно снижение уровня дохода (с учетом налога на добавленную стоимость, акцизов и иных обязательных платежей).
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. 8, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
Указ Президента РФ от 04.08.2004 N 1009 «Об утверждении перечня стратегических предприятий и стратегических акционерных обществ».
Распоряжение Правительства РФ от 20.08.2009 N 1226-р «Об утверждении перечня стратегических предприятий и организаций».
24. Оценка критичности бизнес-процессов организации сферы здравоохранения с точки зрения возникновения ущерба бюджетам Российской Федерации, оцениваемого в снижении выплат (отчислений) в бюджеты Российской Федерации , а также, в дальнейшем, расчет таких показателей значимости для объектов КИИ организации сферы здравоохранения, не проводится, если организация сферы здравоохранения применяет нулевую ставку по налогу на прибыль и (или) оказывает медицинские услуги, освобождаемые от налогообложения .
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. 9, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
При выполнении условий, перечисленных в ст. 284.1 НК РФ.
25. Оценка критичности бизнес-процессов организации сферы здравоохранения с точки зрения влияния на прекращение или нарушение проведения клиентами операций по банковским счетам и (или) без открытия банковского счета , а также, в дальнейшем, расчет таких показателей значимости для объектов КИИ организации сферы здравоохранения, не проводится, так как организации сферы здравоохранения не осуществляют для клиентов операции по банковским счетам и (или) без открытия банковского счета и не являются в соответствии с законодательством Российской Федерации системно значимой кредитной организацией, оператором услуг платежной инфраструктуры системно и (или) социально значимых платежных систем или системно значимой инфраструктурной организацией финансового рынка .
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. 10, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
Федеральный закон «О национальной платежной системе» от 27.06.2011 N 161-ФЗ.
26. Оценка критичности бизнес-процессов организации сферы здравоохранения, за исключением организаций сферы здравоохранения, использующих в своей деятельности источники ионизирующего излучения, с точки зрения экологической значимости , а также, в дальнейшем, расчет таких показателей значимости для объектов КИИ организации сферы здравоохранения, не проводится, так как организации сферы здравоохранения, не использующие в своей деятельности источники ионизирующего излучения, не относятся к опасным производственным объектам , нарушение функционирования которых может привести к авариям, инцидентам или катастрофам, влияющим на ухудшение качества воды в поверхностных водоемах, обусловленное сбросами загрязняющих веществ, повышение уровня вредных загрязняющих веществ, в том числе радиоактивных веществ, в атмосфере, ухудшение состояния земель в результате выбросов или сбросов загрязняющих веществ или иных вредных воздействий .
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. 11, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
Федеральный закон от 21.07.1997 N 116-ФЗ «О промышленной безопасности опасных производственных объектов».
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. примечание 5, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
27. Оценка критичности бизнес-процессов организации сферы здравоохранения с точки зрения значимости для обеспечения обороны страны, безопасности государства и правопорядка , а также, в дальнейшем, расчет таких показателей значимости для объектов КИИ организации сферы здравоохранения, не проводится, так как бизнес-процессы организации сферы здравоохранения не могут повлиять на прекращение или нарушение функционирования пункта управления (ситуационного центра) государственных органов власти или государственной корпорации, информационных систем в области обеспечения обороны страны, безопасности государства и правопорядка, снижение показателей государственного оборонного заказа.
Перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений. п. п. 12, 13, 14, (утв. постановлением Правительства РФ от 08.02.2018 г. N 127).
28. Допущения и ограничения, приведенные в разделе 2.4.1 настоящих методических рекомендаций, могут быть использованы для обоснования неприменимости того или иного критерия значимости для бизнес-процесса организации сферы здравоохранения.
2.4.2. Критерии оценки критичности бизнес-процессов
29. При проведении оценки необходимо учитывать, что любой бизнес-процесс организации сферы здравоохранения может быть как полностью автоматизирован, так и частично . Неавтоматизированная (ручное управление) часть должна рассматриваться как составляющая оцениваемого бизнес-процесса, позволяющая исключить или снизить масштаб возможных негативных последствий, приводящих к нарушению или прекращению выполнения организацией сферы здравоохранения установленных функций (полномочий).
Полностью неавтоматизированные бизнес-процессы не рассматриваются, так как они выходят из-под юрисдикции Федерального закона N 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (ст. 1).
30. При оценке критичности бизнес-процесса с точки зрения социальной значимости оценивается влияние бизнес-процесса организации сферы здравоохранения на возможный ущерб, причиняемый жизни или здоровью людей, а также максимальное время отсутствия доступа к государственной услуге для получателей такой услуги.
31. При оценке критичности бизнес-процесса с точки зрения политической значимости оценивается влияние бизнес-процесса организации сферы здравоохранения на возможность причинения ущерба интересам Российской Федерации в вопросах внутренней и внешней политики.
32. При оценке критичности бизнес-процесса с точки зрения экономической значимости оценивается влияние бизнес-процесса организации сферы здравоохранения на возможность причинения прямого и косвенного ущерба государственному унитарному предприятию.
33. Бизнес-процесс организации сферы здравоохранения считается критическим, если в ходе оценки возможных последствий от его нарушения установлено, что он задействован и оказывает влияние хотя бы по одному критерию, определенному постановлением Правительства РФ от 08.02.2018 N 127.
Критерии влияния (задействованности) бизнес-процессов организации сферы здравоохранения на показатели возможных последствий приведены в разделе I Справочных материалов по оценке критичности бизнес-процессов организации сферы здравоохранения Приложения 8.
2.4.3. Порядок оценки критичности бизнес-процессов
34. На этом этапе проводится оценка возможного негативного влияния последствий от нарушения бизнес-процесса организации сферы здравоохранения по показателям, определенным постановлением Правительства РФ от 08.02.2018 N 127.
35. Используя результаты определения и описания бизнес-процессов в деятельности организации сферы здравоохранения, зафиксированные в описательной части Реестра бизнес-процессов организации сферы здравоохранения проводятся обоснование критичности бизнес-процессов организации сферы здравоохранения, проводящей категорирование объектов КИИ и оценка возможного негативного влияния последствий от нарушения бизнес-процесса. Такая оценка проводится с использованием Алгоритмов оценки значимости бизнес-процесса, приведенных в разделе II Справочных материалов по оценке критичности бизнес-процессов организации сферы здравоохранения (Приложение 8), для следующих показателей, определенных постановлением Правительства РФ от 08.02.2018 N 127:
— социальная значимость (способность причинить ущерб жизни и здоровью людей; способность привести к нарушению максимального времени отсутствия доступа в оказании государственных услуг);
— политическая значимость (способность оказывать влияние на функционирование органа государственной власти );
В контексте настоящих методических рекомендаций, если это специально не оговорено, под органом государственной власти подразумеваются федеральные органы государственной власти, органы государственной власти субъекта Российской Федерации или города федерального значения.
— экономическая значимость (способность оказывать влияние на возможность причинения прямого и косвенного ущерба государственному унитарному предприятию).
При этом бизнес-процесс организации сферы здравоохранения считается способным причинить ущерб жизни и здоровью людей, если он задействован (обеспечивает) в управлении или обеспечении работоспособности механизмов и устройств, нарушение функционирования которых может привести:
— к авариям, катастрофам с человеческими жертвами;
— к бактериологическому, радиационному или химическому заражению;
— к отключению приборов, обеспечивающих жизненно важные функции организма;
— к нарушению технологий производства и хранения фармацевтической и медицинской продукции;
— к иным последствиям, пагубно влияющим на жизнь и здоровье людей.
Бизнес-процесс организации сферы здравоохранения считается способным привести к отсутствию доступа в оказании государственных услуг, если он задействован:
— в управлении, контроле или мониторинге и поддержании бесперебойного функционирования элементов инфраструктуры доступа к государственной услуге;
— в аналитической, экспертной, учетной деятельности, необходимой для обеспечения функционирования государственных органов власти, оказывающих государственные услуги;
— в обеспечении взаимодействия государственных органов власти, оказывающих государственные услуги.
Бизнес-процесс организации сферы здравоохранения считается оказывающим влияние на функционирование органа государственной власти, если он задействован:
— в аналитической, экспертной, учетной деятельности, необходимой для принятия управленческих решений органом государственной власти;
— в управлении, контроле или мониторинге и поддержании бесперебойного функционирования элементов инфраструктуры взаимодействия органов государственной власти;
— в управлении, контроле или мониторинге и поддержании бесперебойного функционирования элементов инфраструктуры оповещения населения о чрезвычайных ситуациях;
— в поддержании бесперебойного функционирования элементов системы управления, необходимой для реализации возложенных на орган государственной власти полномочий.
Бизнес-процесс организации сферы здравоохранения считается оказывающим влияние на возможность причинения прямого и косвенного ущерба государственному унитарному предприятию, если он задействован:
— в аналитической, экспертной, учетной деятельности, необходимой для принятия управленческих решений руководством государственного унитарного предприятия;
— в обеспечении взаимодействия с организациями кредитно-финансовой сферы, включая страховые компании, биржи, банки, казначейство, налоговые органы.
Для обоснования неприменимости для таких бизнес-процессов остальных показателей, определенных постановлением Правительства РФ от 08.02.2018 N 127, используется раздел «Допущения и ограничения» настоящих методических рекомендаций.
36. В случае если осуществление критического бизнес-процесса организации сферы здравоохранения зависит от осуществления иных критических бизнес-процессов, оценка проводится исходя из совокупного масштаба возможных последствий от нарушения или прекращения функционирования всех выполняемых критических бизнес-процессов.
37. Результаты оценки критичности бизнес-процессов в деятельности организации сферы здравоохранения фиксируются в разделе оценки критичности Реестра бизнес-процессов организации сферы здравоохранения (Приложение 7).
2.4.4. Формирование Перечня критических бизнес-процессов
38. После оценки критичности бизнес-процессов в деятельности организации сферы здравоохранения, из Реестра исключаются бизнес-процессы, которые не являются критическими, и формируется описательная часть Перечня критических бизнес-процессов организации сферы здравоохранения. Форма Перечня критических бизнес-процессов организации сферы здравоохранения представлена в Приложении 9.
Источник: bazanpa.ru