Наиболее ожидаемого события – выхода финальной версии преемника BS 25999, стандарта ISO 22301 «Societal security – Preparedness and continuity management systems - Requirements» не случилось, сроки плавно перенеслись [пока] на 2 квартал 2012 года, документ по состоянию на декабрь 2011 в статусе FDIS. Соответственно, вторая часть,  ISO 22313 «Societal security – Business continuity management systems — Guidance», дойдет до финала в лучшем случае в конце 2012 года, пока статус документа – DIS.

При этом, было бы неправдой сказать, что ISO плохо поработал, т.к. три новых документа мы все-таки получили – два стандарта:

ISO/IEC 27031:2011 «Information technology – Security techniques – Guidelines for information and communication technology readiness for business continuity».

ISO 22320:2011, «Societal security – Emergency management – Requirements for incident response».

И один небольшой документ ISO/TR 22312:2011 «Societal security – Technological capabilities».

BSI был еще более «плодовит», и разработал четыре документа.

В дополнение к выпущенным в 2010 году PD25111:2010 и PD 25666:2010 вышли два новых «PD»:

PD 25888:2011 «Business continuity management. Guidance on organization recovery following disruptive incidents»

PD 25222:2011 «Business continuity management. Guidance on supply chain continuity»

В статусе PAS вышел PAS 200 «Crisis Management – Guidance & Good Practice», нацеленный на то, чтобы дополнить BS 25999 в части, связанной с управлением ситуацией в момент кризиса.

И, наконец, стандарт по управлению рисками ISO 31100:2009 был дополнен стандартом BSI BS 31100:2011 «Risk management. Code of practice and guidance for the implementation of BS ISO 31000″.

Так что, желающим изучить матчасть вполне есть, чем занять новогодние каникулы

Стандарт доступен в статусе Draft for Public Comments, что позволяет всем желающим до конца лета бесплатно ознакомиться с документом и внести свою посильную лепту в его развитие.

Тоже риск-менеджмент, в какой-то степени…

Документ потихоньку растет. Россия отмечена уже целыми двумя документами из финансовой сферы, СТО БР ИББС 1.0-2010 и 242-П.

Идея существования такого стандарта, наверное, правильная.

На сегодня это уже третий документ после 242-П и СТО БР ИББС-1.0-2010, претендующий на регулирование управления непрерывностью деятельности (или непрерывностью бизнеса, смотря какой из документов смотреть) в банковском мире. На мой взгляд, было бы логично, если бы этот стандарт учел существующие требования 242-П, СТО БР ИББС, плюс документы Базельского комитета и ЕЦБ, создав единый руководящий документ. Но не тут то было. Кроме 242-П, ничего из вышеперечисленного не попало в перечень «Связанные стандарты». Более того, область применения стандарта была ограничена только для «операционных рисков, связанных физической угрозой активам» (орфография сохранена), остальное осталось за кадром.

В результате получилось нечто немного странное. Стандарт построен в той же логике, что 25999, при этом местами расширен с учетом других стандартов (25777) и лучших практик. В этой части документ неплох (примерно настолько же, насколько неплох BS 25999), хотя идея делать нестандартные велосипеды на базе стандартных без особой на то нужды мне не очень нравится.

Несмотря на сохранявшуюся до последнего момента надежду, специфики предметной области я в стандарте не заметил, за исключением разве что раздела «Резерв денежных средств», и то весьма ограниченно.

Соответственно, на выходе получили универсальный документ, в котором к слову «организация»  добавлено «кредитная». Ни специфику отрасли, ни масштаб кредитной организации (а как следствие – ее влияние на платежную систему в целом) документ не учитывает. Стоило ли это года работы – не уверен.

По мелочам – несмотря на статус окончательного документа, в тексте присутствует изрядное количество орфографических ошибок. Кроме того, приложения местами получились забавные.  Со скромностью у авторов стандарта все отлично – уровни зрелости предлагается оценивать следующим образом:

1. Начальный (хаотический, спонтанный) уровень – соответствие рекомендациям, изложенным в положении 242-П Банка России.
2. Формализованный уровень – соответствие требованиям международного стандарта BS25999.
3. Оптимизированный – соответствие данному стандарту.

И да сопутствует удача в момент ЧС тем, кто не забыл положить в «тревожный чемоданчик» флипчарт

На сегодняшний день основополагающим документом регулятора является приказ №32, с учетом Приказа №115. Ждем изменений.

Из Российского регулирования  в документ попала инструкция Банка России 242-П, но не попал стандарт СТО БС ИББР-1.0-2010, о чем я уже написал автору документа Кстати, 22 июня Банк России официально опубликовал информацию о вводе в действие новых версий документов комплекта БР ИББС.

Приказ, среди прочего, устанавливает целевые показатели восстановления для сайтов федеральных органов:

RTO – 4 часа

Суммарная длительность перерывов в работе официального сайта в информационно-телекоммуникационной сети Интернет (далее – сеть Интернет) не должна превышать 4 часов в месяц (за исключением перерывов, связанных с обстоятельствами непреодолимой силы). При необходимости проведения плановых технических работ, в ходе которых доступ пользователей информацией к информации, размещенной на официальном сайте, будет невозможен, уведомление об этом должно быть размещено на главной странице официального сайта не менее чем за сутки до начала работ.

RPO – 24 часа

В целях защиты информации, размещенной на официальном сайте, должно быть обеспечено:

[...]

в) ежедневное копирование всей размещенной на официальном сайте информации и электронных журналов учета операций на резервный материальный носитель, обеспечивающее возможность их восстановления.

Кроме того, определены некоторые требования к хранению резервных копий:

д) хранение резервных материальных носителей с ежедневными копиями всей размещенной на официальном сайте информации и электронных журналов учета операций – не менее одного года, с еженедельными копиями всей размещенной на официальном сайте информации – не менее двух лет, с ежемесячными копиями всей размещенной на официальном сайте информации – не менее трех лет.

К сожалению, ничего не было сказано про хранение резервных копий за пределами серверных помещений – это могло бы в перспективе помочь избежать пары неприятных историй (вспомним, например, историю с Комсомольской правдой)

Не знаю, предшествовал ли выбору этих целевых показателей BIA, но зато теперь федеральные власти смогут сэкономить на проведение анализа в каждом конкретном ведомстве, если, конечно, они не сочтут необходимым установить более жесткие показатели восстановления.