Наиболее ожидаемого события – выхода финальной версии преемника BS 25999, стандарта ISO 22301 «Societal security – Preparedness and continuity management systems - Requirements» не случилось, сроки плавно перенеслись [пока] на 2 квартал 2012 года, документ по состоянию на декабрь 2011 в статусе FDIS. Соответственно, вторая часть,  ISO 22313 «Societal security – Business continuity management systems — Guidance», дойдет до финала в лучшем случае в конце 2012 года, пока статус документа – DIS.

При этом, было бы неправдой сказать, что ISO плохо поработал, т.к. три новых документа мы все-таки получили – два стандарта:

ISO/IEC 27031:2011 «Information technology – Security techniques – Guidelines for information and communication technology readiness for business continuity».

ISO 22320:2011, «Societal security – Emergency management – Requirements for incident response».

И один небольшой документ ISO/TR 22312:2011 «Societal security – Technological capabilities».

BSI был еще более «плодовит», и разработал четыре документа.

В дополнение к выпущенным в 2010 году PD25111:2010 и PD 25666:2010 вышли два новых «PD»:

PD 25888:2011 «Business continuity management. Guidance on organization recovery following disruptive incidents»

PD 25222:2011 «Business continuity management. Guidance on supply chain continuity»

В статусе PAS вышел PAS 200 «Crisis Management – Guidance & Good Practice», нацеленный на то, чтобы дополнить BS 25999 в части, связанной с управлением ситуацией в момент кризиса.

И, наконец, стандарт по управлению рисками ISO 31100:2009 был дополнен стандартом BSI BS 31100:2011 «Risk management. Code of practice and guidance for the implementation of BS ISO 31000″.

Так что, желающим изучить матчасть вполне есть, чем занять новогодние каникулы

Презентации участников:

Chris Gould, PWC

Алексей Чеканов, Алмитек

Олег Михальский, Acronis

Презентация Acronis

Итак, на что стоит обратить внимание.

5 октября с 10:30 до 12:00 под руководством Алексея Бореалиса пройдет круглый стол «ОНиВД в стандарте АРБ – встреча с разработчиками стандарта» – интересно послушать текущее состояние и планы развития стандарта АРБ по обеспечению непрерывности. Как выяснилось в ходе конференции на Infosecurity, многие весьма уважаемые банки даже не в курсе существования этого стандарта. Надеюсь,  круглый стол поспособствует популяризации этой активности.

Практически сразу после этого круглого стола, с 12:50 до 14:20 (по-прежнему 5 октября) я буду вести секцию «Оптимизация инвестиций в непрерывность бизнеса – от правильных рамок системы до эффективных решений«. Алексей Грачев из EMC поделится своим воистину уникальным опытом подготовки российских компаний к сертификации по BS 25999, а в частности – как выбрать такую область действия, чтобы она была и реализуемой на практике, и удовлетворила требованиям сертификационного аудита. [Update: В связи с болезнью Алексея Грачева вместо него выступит Chris Gould из PWC с темой “Is There a Need to Invest in BCM?”]. Я расскажу о том, чего ждать от грядущего стандарта ISO 22301, который придет на смену BS 25999, и как заранее обеспечить максимальное соответствие. И в завершение секции будет немного практики – Олег Михальский из Acronis расскажет о резервном копировании в облака, какие есть проблемы на этом пути, и как их решать.

Документ потихоньку растет. Россия отмечена уже целыми двумя документами из финансовой сферы, СТО БР ИББС 1.0-2010 и 242-П.

Идея существования такого стандарта, наверное, правильная.

На сегодня это уже третий документ после 242-П и СТО БР ИББС-1.0-2010, претендующий на регулирование управления непрерывностью деятельности (или непрерывностью бизнеса, смотря какой из документов смотреть) в банковском мире. На мой взгляд, было бы логично, если бы этот стандарт учел существующие требования 242-П, СТО БР ИББС, плюс документы Базельского комитета и ЕЦБ, создав единый руководящий документ. Но не тут то было. Кроме 242-П, ничего из вышеперечисленного не попало в перечень «Связанные стандарты». Более того, область применения стандарта была ограничена только для «операционных рисков, связанных физической угрозой активам» (орфография сохранена), остальное осталось за кадром.

В результате получилось нечто немного странное. Стандарт построен в той же логике, что 25999, при этом местами расширен с учетом других стандартов (25777) и лучших практик. В этой части документ неплох (примерно настолько же, насколько неплох BS 25999), хотя идея делать нестандартные велосипеды на базе стандартных без особой на то нужды мне не очень нравится.

Несмотря на сохранявшуюся до последнего момента надежду, специфики предметной области я в стандарте не заметил, за исключением разве что раздела «Резерв денежных средств», и то весьма ограниченно.

Соответственно, на выходе получили универсальный документ, в котором к слову «организация»  добавлено «кредитная». Ни специфику отрасли, ни масштаб кредитной организации (а как следствие – ее влияние на платежную систему в целом) документ не учитывает. Стоило ли это года работы – не уверен.

По мелочам – несмотря на статус окончательного документа, в тексте присутствует изрядное количество орфографических ошибок. Кроме того, приложения местами получились забавные.  Со скромностью у авторов стандарта все отлично – уровни зрелости предлагается оценивать следующим образом:

1. Начальный (хаотический, спонтанный) уровень – соответствие рекомендациям, изложенным в положении 242-П Банка России.
2. Формализованный уровень – соответствие требованиям международного стандарта BS25999.
3. Оптимизированный – соответствие данному стандарту.

И да сопутствует удача в момент ЧС тем, кто не забыл положить в «тревожный чемоданчик» флипчарт

Из Российского регулирования  в документ попала инструкция Банка России 242-П, но не попал стандарт СТО БС ИББР-1.0-2010, о чем я уже написал автору документа Кстати, 22 июня Банк России официально опубликовал информацию о вводе в действие новых версий документов комплекта БР ИББС.

В тот же день аналогичный сертификат получила и PricewaterhouseCoopers LLP. Здесь примечательно то, что сертифицирован был 41 офис компании в Великобритании, и их перечень занял 6 из 7 страниц сертификата Органом по сертификации опять же выступил BSI, что, к моему удивлению, не было отражено в пресс-релизе компании.

Даже особенно нечего и добавить – молодцы коллеги, так держать.