Кибербезопасность стала одной из ключевых проблем, волнующих специалистов по обеспечению непрерывности бизнеса. Нет сомнений, что предприятия должны включать задачи кибербезопасности в свои планы обеспечения непрерывности бизнеса наряду с традиционными угрозами. Однако, они требуют особого внимания, поскольку кибератака или утечка данных могут иметь масштабные последствия для всей организации, а также для ее партнеров и клиентов. Один единственный инцидент, может привести к снижению производительности, доходов и потере репутации.
Кибербезопасность и непрерывность бизнеса — две стороны одной медали. Они должны работать вместе, чтобы свести к минимуму затраты, защитить данные и упорядочить своевременное и эффективное реагирование на любые атаки или утечку данных.
Рассмотрим ситуацию, когда ИТ-инфраструктура скомпрометирована или недоступна (например, DDoS-атака). Чтобы обеспечить бесперебойное функционирование бизнеса, все больше организаций начинают объединять команды по ИТ-безопасности, управлению рисками и обеспечению непрерывности бизнеса с целью создания и согласования общей структуры и процессов антикризисного управления. Например, риск от программ-вымогателей может привести к тому, что в вашей организации появится некое «облачное» резервирование определенных критически важных данных/систем, которое будет доступно и масштабируемо для бесперебойного продолжения бизнеса.
Непрерывность бизнеса. Ответы на вопросы #1
Для обеспечения бесперебойного функционирования и кибербезопасности необходим комплексный подход к таким ключевым областям, как безопасность сети и приложений, управление доступом и защита данных, реагирование на инциденты и аварийное восстановление.
Источник: www.evraas.ru
Руководство по обеспечению непрерывности и аварийному восстановлению малого бизнеса
Кибератаки и катастрофы — это печальная реальность, с которой сталкивается каждая компания в той или иной форме. Оппортунистический злоумышленник может использовать только одну уязвимость, чтобы разрушить сеть или веб-сайт, или стихийное бедствие, такое как пожар, приведший компанию в тупик. Оставаться защищенным недостаточно; вам нужен план действий в чрезвычайных ситуациях, чтобы защитить себя от вирусов и других бедствий. Вам нужна стратегия непрерывности бизнеса.
Короче говоря, стратегия обеспечения непрерывности бизнеса — это план действий в чрезвычайных ситуациях, разработанный для того, чтобы помочь вам обеспечить нормальную работу после стихийного бедствия, такого как атака вредоносного ПО или стихийное бедствие..
1 2 Что такое непрерывность бизнеса
Любой бизнес, у которого нет стратегии обеспечения непрерывности бизнеса, бросает вызов своему будущему. Сорок-шестьдесят процентов малых предприятий, которые теряют доступ к операционным системам и данным без плана аварийного восстановления, навсегда закрывают свои двери. Предприятия, у которых нет плана аварийного восстановления или плана резервного копирования данных, рискуют быть разоренными.
У многих предприятий сложилось впечатление, что План обеспечения непрерывности бизнеса (BCP) слишком сложен и не предпринимает шагов, чтобы защитить себя. Хотя разработка плана обеспечения непрерывности бизнеса может показаться сложной, в действительности реализация мер по восстановлению после аварии проста. Вам просто нужно время, чтобы собрать.
- 1 Что такое непрерывность бизнеса?
- 2 Что такое аварийное восстановление?
- 3 Основы ППГ
- 4 Анализ воздействия на бизнес (BIA)
- 5 Найдите свой потенциал наибольшего риска
- 6 Создать план общения
- 7 Проверьте страховое покрытие
- 8 Резервное копирование ваших данных в облаке
- 9 Проверьте свой план
- 10 Установите Cyber Security Tools — антивирусное, антивирусное и DDOS программное обеспечение для защиты
- 11 Создайте физические копии вашего плана
- 12 Непрерывность бизнеса: действовать сейчас!
Что такое непрерывность бизнеса?
Непрерывность бизнеса — это термин, используемый для описания плана действий в чрезвычайных ситуациях, который позволит бизнесу оставаться в рабочем состоянии во время бедствия. План должен включать ряд мер по предотвращению и восстановлению, чтобы свести к минимуму ущерб, вызванный стихийным бедствием. ППГ обозначен в одном документе, чтобы сотрудники знали, как реагировать на сбои.
ППГ должен иметь ряд основных компонентов:
- Используйте анализ влияния на бизнес для определения ключевых бизнес-функций и ресурсов
- Документирование ключевых функций и реализация плана восстановления этих функций после события
- Соберите план непрерывности бизнеса, чтобы управлять планом непрерывности бизнеса и любыми сбоями
- Подробно, куда сотрудники должны идти во время бедствия (альтернативный физический сайт)
- Определить контактную информацию руководства и других лиц
- Документирование информации о решениях для резервного копирования данных
- Обучение и тестирование, чтобы убедиться, что сотрудники знают, как применять стратегию восстановления
Что такое аварийное восстановление?
Термины непрерывности бизнеса и аварийного восстановления часто используются взаимозаменяемо. Тем не менее, есть большая разница между ними. Аварийное восстановление является компонентом плана обеспечения непрерывности бизнеса, который заключается в поддержании бизнеса в целом.
План аварийного восстановления о восстановление критически важных функций после катастрофического события. Предприятия создадут план аварийного восстановления, чтобы определить, как реагировать в случае простоя.
План аварийного восстановления должен включать следующую информацию:
- Подготовьте заявление и наметьте цели плана
- Опишите действия по реагированию на чрезвычайные ситуации, которые необходимо выполнить после события
- Определите важные ИТ-активы и установите максимальное время простоя
- Каталог любого программного обеспечения или систем, которые будут использоваться в процессе восстановления
- Создайте команду аварийного восстановления и запишите их контактную информацию
- Сбор документации от поставщиков технологий по мерам восстановления и программного обеспечения
Az Nmap végleges útmutatója: a szkennelés alapjai
Основы ППГ
В этом разделе мы рассмотрим основные части реализации ППГ. Это включает:
- Создать анализ воздействия на бизнес (BIA)
- Найдите свой самый большой риск
- Создать план общения
- Проверьте страховое покрытие
- Резервное копирование ваших данных в облаке
- Проверьте свой план
- Установите Cyber Security Tools — антивирусное, антивирусное и DDOS программное обеспечение для защиты
- Создайте физические копии вашего плана
Анализ воздействия на бизнес (BIA)
BIA это первый шаг, который вы должны предпринять при внедрении ППГ. BIA — это инвентаризация ваших текущих систем, выделение ключевых ресурсов, на которые вы полагаетесь, и разработка стратегии восстановления этих ресурсов в случае сбоя..
Оценка должна измерять важность систем, чтобы вы могли установить приоритетность восстановления этих критически важных систем как можно скорее. Для проведения тщательного анализа необходимо указать следующую информацию;
- Определите, какие подразделения, службы и ресурсы подвергаются наибольшему риску и каковы их роли
- Определите критические функции, которые контролируют работу этих устройств
- Укажите приемлемый уровень простоя
- Момент времени, в который необходимо восстановить (файлы, которые необходимо восстановить и т. Д.)
- Выделите влияние, которое неудачи будут иметь на бизнес
- Создайте диаграммы и диаграммы, чтобы показать потенциальные потери в случае отказа этих блоков
- Создайте свою методологию для данных, собранных в анализе
- Определить или назначить сотрудников, ответственных за реагирование в чрезвычайных ситуациях и способы связи с ними
Помните, что цель BIA состоит в том, чтобы определить ключевые системы, которые необходимо восстановить, и выделить потенциальный ущерб / стоимость отказа. Оценка должна повысить осведомленность о том, какие системы или функции следует расставить по приоритетам, чтобы быстро поставить бизнес на ноги..
Найдите свой потенциал наибольшего риска
Каталогизация наибольших рисков, с которыми сталкивается ваша организация, поможет снизить вероятность того, что вы будете застигнуты врасплох. Хотя вы не можете контролировать будущее, вы можете понять проблемы, с которыми вы, скорее всего, столкнетесь. Вы должны учитывать физические риски на месте и технологические риски, такие как неисправности или кибератаки.
Риски могут включать в себя:
- Наводнение и повреждение водой
- Перебои в подаче электроэнергии
- Пожароопасность
- Суровые погодные условия
- Стихийные бедствия, такие как землетрясения
- DDoS-атаки
- Вирусы или вредоносные программы
- Кража / саботаж
- терроризм
Все эти риски могут привести к тому, что вам придется отключиться на несколько дней или дольше. Учет этих факторов риска заранее позволяет реализовать меры по их устранению.
Например, если вы находитесь в регионе, где часто происходят землетрясения, хранение ваших данных в облаке может помочь сохранить ваши данные доступными. Аналогично, для защиты от киберугроз вы можете развернуть антивирусное или антивирусное ПО.
Создать план общения
Успех вашего ППГ зависит от сотрудников, которые его внедряют. Если нет ясности в том, кто за что отвечает, ваша способность реагировать во время кризиса будет серьезно ограничена. Создание плана коммуникации и выделение сотрудников, участвующих в реагировании на атаки, приведет к более эффективному реагированию.
10 legjobb ingyenes TFTP-kiszolgáló Windows, Linux és Mac rendszerekhez
Для обеспечения долгосрочной безопасности вы хотите составить план для передачи обновлений процесса восстановления и другой информации. Существует много эффективных способов общения, но то, что лучше, будет зависеть от культуры и предпочтений ваших сотрудников. Все перечисленные ниже являются эффективными способами общения:
- Через телефон и текстовые сообщения
- Используйте систему оповещений по электронной почте для предоставления обновлений
- Используйте инструмент для совместной работы, такой как Slack, чтобы сотрудники могли общаться в одном чате
- Используйте приложение типа WhatsApp и создайте групповой чат для удаленного общения сотрудников.
Чтобы вы могли общаться во время бедствия, вы должны обеспечить удаленный доступ к своему веб-сайту и учетным записям в социальных сетях. Таким образом, вы можете выпустить обновление для сотрудников (или клиентов), если есть проблема с сервисом.
Проверьте страховое покрытие
Даже если вы готовы, вы не сможете смягчить весь ущерб. Страхование имеет решающее значение для предоставления вам финансовой страховки, на которую вы можете рассчитывать, если вас выведут из строя. Страховой полис прерывания бизнеса покроет вас, если вы пострадали от катастрофического события.
Этот вид страхования покрывает пожар, штормы, воровство и другие вопросы, которые могут заставить вас закрыть свои двери. Ваша политика может покрывать прибыль, которую вы бы получили, если бы вы оставались в рабочем состоянии, операционные расходы, такие как заработная плата сотрудников, расходы на временное перемещение (расходы на переезд и аренду) и т. Д..
Однако есть некоторые ограничения, о которых следует знать. Как правило, страхование не распространяется на коммунальные услуги, недокументированный доход, частичное закрытие или не покрываемые бедствия, такие как землетрясения и закрытия из-за линий электропередачи..
Резервное копирование ваших данных в облаке
Один из самых простых способов защитить ваши данные от потери или повреждения — переместить их в облачную службу.. Хранение важных данных вне помещения означает, что если что-то случится с вашей локальной средой, ваши данные будут в безопасности. Вы также сможете получить доступ к этим данным удаленно, пока ваш бизнес-сайт не будет в рабочем состоянии.
Преимущества использования облачных решений для резервного копирования заключаются в том, что вам не нужно платить за создание и обслуживание собственного центра обработки данных. Вы можете просто заплатить облачному провайдеру за доступ к хранилищу за часть стоимости, которую вы заплатили бы за эксплуатацию собственного центра обработки данных. Существует также возможность дальнейшего сокращения расходов за счет резервного копирования только важных данных..
Существует ряд провайдеров, которых вы можете использовать для защиты своих данных в облаке:
- Dropbox для бизнеса
- Гугл драйв
- Карбонит Сейф
Рекомендуется выбирать центр обработки данных, который находится далеко от вашего основного помещения, в другом географическом районе. Если ваша резервная копия находится слишком близко к вашему локальному помещению, то одно событие потенциально может перевести их обоих в автономный режим! Сильный шторм или землетрясение могут легко повлиять на два местоположения, если не будет достаточного расстояния.
Обзор Symantec Endpoint Protection
Проверьте свой план
После того, как вы создали план, важно проверить это тщательно. Вы должны проверить план, чтобы увидеть, как он функционирует для каждого потенциального сценария. Во время тестов вы должны выяснить, сколько времени занимает выполнение плана, работают ли ваши меры реагирования на практике, насколько осведомлены первые контакты и сотрудники о своих обязанностях и сколько времени простоя позволит вам ваш план..
Протестировав план, вы сможете найти проблемы, которые вы пропустили на бумаге. Например, если ваша резервная копия не удалась или вы не можете связаться с важным сотрудником. Выявив эти проблемы заранее, вы сможете внести изменения, чтобы ваш ПП был готов к работе, когда придет время..
Во время тестирования вы захотите уделить особое внимание целевым показателям времени восстановления и точкам восстановления, чтобы измерить успех плана. Вы должны проводить учения по вашему плану с сотрудниками не реже одного раза в год, чтобы убедиться, что они ознакомились с процедурами реагирования; раньше, если у вас есть большое количество новых сотрудников.
Установите Cyber Security Tools — антивирусное, антивирусное и DDOS программное обеспечение для защиты
Кибератаки являются одним из наиболее распространенных рисков, с которыми сталкиваются предприятия. Вирусы, вредоносные программы и DDOS-атаки могут привести к остановке вашего бизнеса и нанести ущерб в десятки тысяч долларов.. Установка программных агентов На устройствах и серверах защита от вирусов и вредоносных программ необходима для сокращения точек входа в вашу сеть. Антивирусные решения обеспечивают оповещения, когда программа обнаруживает вирус.
Для предотвращения DDoS-атак можно использовать множество решений для защиты от DDoS, включая инструменты управления журналами, анализаторы сети, брандмауэры веб-приложений и управляемые службы защиты от DDoS. Например, инструмент управления журналом отправит вам уведомление, когда обнаружит вредоносный трафик. Принятие пошагового подхода к кибербезопасности позволит вам создать более комплексную защиту в долгосрочной перспективе.
Создайте физические копии вашего плана
наконец, храните физические копии вашего ППГ под рукой. Наличие отчета о мерах реагирования абсолютно неоценимо во время кризиса. Если ваш план доступен только в виде цифрового документа, вы не сможете получить к нему доступ в случае потери функциональности. Отсутствие плана означает, что если ваша команда не запомнит шаги наизусть, вы не сможете эффективно реагировать на бедствие!
Во избежание путаницы распечатайте текущие версии BCP и раздайте их всем соответствующим сотрудникам и партнерам. Наличие бумажной копии даст сотрудникам необходимое руководство для эффективного реагирования после события.
Непрерывность бизнеса: действовать сейчас!
ППГ является необходимым шагом для признания и защиты вашего бизнеса от любых недостатков. Наличие дальновидности для точного определения систем, на которые вы полагаетесь, позволяет вам расставлять приоритеты, когда наступает хаос.
Наличие документированного процесса обеспечения непрерывности, о котором сотрудники знают, может сократить ваше время отклика и предотвратить дальнейшее нарушение работы вашего сервиса. В конечном итоге, чем меньше времени у вашего сервиса, тем меньше денег вы потеряете.
Вам не обязательно составлять комплексный план обеспечения непрерывности, чтобы получить выгоду. Небольшой организованный план с хорошо продуманным ответом в сто раз лучше, чем импровизация после мероприятия. Заранее планируя, вы даете сотрудникам возможность продуктивно и быстро реагировать на перебои в обслуживании..
Источник: heritage-offshore.com
Аудит обеспечения непрерывности бизнеса
О необходимости планирования непрерывности бизнеса знают все. И пандемия показала, насколько эффективно этот инструмент антикризисного менеджмента работает в различных организациях. Михаил Чехлов, член ассоциации «Институт внутренних аудиторов», ведущий аудитор отдела методологии, финансового и операционного аудита департамента внутреннего аудита ПАО «Аэрофлот», рассказал о том, что обычно компании понимают под непрерывностью бизнеса и почему они ошибаются, а также о том, как спланировать соответствующие действия в условиях пандемии.
0 
4 25/08/2020
Быть готовыми ко всему
В ходе планирования деятельности компании оценивают эффективность планов обеспечения непрерывности бизнеса и аварийного восстановления. В свою очередь внутренние аудиторы проводят оценку эффективности этих планов.
На заметку
Непрерывность бизнеса — это способность организации к восстановлению критичных для ее деятельности процессов в течение заданного периода времени.
План обеспечения непрерывности бизнеса — это документ, который описывает, как организация предполагает функционировать во время и после возникновения кризисной ситуации. Он позволяет восстановить бизнес-процессы компании настолько скоро, насколько это необходимо для продолжения бизнеса.
В различных компаниях по-разному понимают то, каким должен быть процесс обеспечения непрерывности бизнеса:
- Некоторые считают, что он затрагивает только сегмент ИТ. Если восстановлены информационная инфраструктура и данные, значит непрерывность бизнеса компании обеспечена. Действительно, учитывая возросшую важность ИТ-обеспечения, скорейшее восстановление ИТ-процессов является критическим фактором выживания для многих видов бизнеса.
- Другие компании воспринимают непрерывность бизнеса как работу «пожарной команды». В рамках этого процесса они проводят учения. Моделируется некая неблагоприятная ситуация , которая может повлечь за собой разрушения или жертвы, и в плане предлагается сценарий реагирования на нее. Но упускается само понятие продолжения бизнеса. Например, не учитываются сроки, в течение которых необходимо восстановить критические бизнес-процессы.
Оба подхода являются лишь составными частями процесса обеспечения непрерывности бизнеса
В случае, если чрезвычайная ситуация затянется, организации придется находить решения по функционированию в долгосрочной перспективе. Текущая ситуация с пандемией — яркий пример. И преимущество здесь имеют организации, сумевшие адаптироваться к непростым условиям.
Пандемия и непрерывность бизнеса
В соответствии с докладом Международного торгового центра (Centre du commerce international (CCI)) от 22 июня 2020 года, из-за глобального сбоя производственно-сбытовых цепочек мировая экономика потеряла по меньшей мере 126 миллиардов долларов. Согласно ежегодному докладу бизнес-омбудсмена Бориса Титова, пандемия COVID-19 в России затронула более 4 млн компаний и ИП из общего числа 6 млн. То есть пострадали до 67% малых, средних и крупных предприятий, а также индивидуальных предпринимателей.
В отличие от природных явлений, техногенных катастроф, намеренного причинения вреда людьми, влияние пандемии определить гораздо труднее из-за ее масштабности и продолжительности. Представим, что перед вами — как перед внутренними аудиторами — стоит задача проанализировать план обеспечения непрерывности деятельности вашей организации в условиях нынешней ситуации.
У такого явления, как пандемия, существуют свои особенности, она отличается от иных сценариев угрозы непрерывности бизнесу. Традиционные планы обеспечения непрерывности деятельности делают акцент на повреждении зданий и сооружений, отказе оборудования, недоступности и потере информации, угрозе жизни людей. В то же время, анализируя сценарий потенциальной пандемии, мы в первую очередь говорим о недоступности персонала в течение продолжительного периода времени.
Следовательно, внутренний аудитор должен убедиться, что план обеспечения непрерывности бизнеса рассчитан на то, что ключевые бизнес-процессы организации будут продолжать эффективно функционировать в течение нескольких недель или месяцев в условиях отсутствия или ограниченного присутствия персонала на рабочих местах.
План должен включать:
- Создание рабочей группы для координации действий по обеспечению непрерывности деятельности.
- Разработку сценариев дальнейшего ведения бизнеса с учетом невозможности присутствия на рабочих местах. Например:
- продолжение бизнеса,
- переход на альтернативные варианты ведения бизнеса (в частности, удаленную работу),
- частичное или полное приостановление деятельности.
- Разработку ряда профилактических мероприятий для сотрудников, остающихся на рабочих местах: выявление признаков заболевания на входе в офис (например, измерение температуры), предоставление средств индивидуальной защиты и дезинфицирующих средств, периодическая обработка предметов и поверхностей.
- Актуальный список контактов сотрудников.
- Разработку методов альтернативной коммуникации, включая использование интернета, облачных рабочих мест, телефона, видеоконференций посредством Skype, Zoom, и т.д.
- Рассмотрение возможности увеличения дистанции между людьми в случае их совместного нахождения в офисе.
- Рассмотрение возможности предоставления транспорта для сотрудников, использующих общественный транспорт.
- Рассмотрение возможности проведения психологических тренингов с целью помощи в стрессовых ситуациях .
- Рассмотрение возможности переноса или отмены встреч, а также командировок, не являющихся критичными.
Также следует убедиться, что план своевременно обновлялся и был доведен до заинтересованных пользователей
Кейс
Узнаем, к чему может привести выполнение или невыполнение этих действий на примере. Аудиторы крупной производственной компании решили протестировать, как сработает план обеспечения непрерывности бизнеса в одном из подразделений, отвечающих за автоматизированный контроль производственных процессов.
Они изучили документ, в котором описывался порядок взаимодействия подразделений в случае возникновения инцидента на производстве. В этом же документе был приведен список ответственных лиц с необходимыми контактными данными, порядок развертывания ИТ-инфраструктуры, а также описывалось расположение резервных помещений, куда следовало перевести сотрудников в случае недоступности основных.
В назначенный момент один из аудиторов привел процесс в действие, позвонив менеджеру, отвечающему за инициацию процесса непрерывности деятельности, объявив «происшествие на объекте».
Менеджер немедленно связался с руководителем тестируемого подразделения и дал команду начать эвакуацию подразделения, после чего связался с менеджером по логистике. Точнее, попытался связаться, так как мобильный телефон, указанный в списке срочных контактов, был отключен. Как выяснилось впоследствии, данный номер принадлежал предыдущему менеджеру. Контактная информация не была своевременно актуализирована.
Около получаса ушло на то, чтобы найти менеджера по логистике. Еще какое-то время понадобилось на объяснение концепции : что от него требуется. В результате на подачу транспорта сотрудникам тестируемого подразделения было затрачено больше полутора часов рабочего времени. Еще минут сорок заняла дорога до резервного помещения. В итоге прошло более двух часов, прежде чем сотрудники приступили к своим обязанностям.
Надо отдать должное четко сработавшему ИТ-подразделению. В довольно короткий срок было установлено оборудование с необходимым набором информационных систем. Сотрудникам тестируемого подразделения осталось только сесть на рабочие места, организованные в резервном помещении, и авторизоваться под своими учетными записями. Результаты теста были задокументированы и отражены в аудиторском отчете, посвященном оценке эффективности процесса непрерывности.
В данной ситуации речь не шла о плохом или хорошем опыте. Когда дело касается непрерывности бизнеса, любой опыт ценен
Это можно назвать термином из английского языка — lessons learned — который следует интерпретировать как «приобретенный опыт», «усвоенные уроки».
Вероятность возникновения пандемии и необходимости разработки сценариев обеспечения непрерывности деятельности уже поднималась в прошлом в иностранных источниках. Сегодня мы видим, как подобная ситуация реализовалась на практике, когда свою готовность к работе в условиях жестких ограничений компаниям пришлось «обкатывать» практически в боевой обстановке. Это следует рассматривать именно как приобретенный опыт и сделать соответствующие выводы. Например, при разработке планов обеспечения непрерывности бизнеса рассматривать сценарии не с точки зрения «если произойдет событие», а задаваясь вопросом «когда?».
Материал опубликован в рамках спецпроекта «Начни с себя».
Нравится: 4 Была ли статья полезна? Да Нет
Источник: kachestvo.pro