На этот раз мне понравилось подавляющее большинство докладов. Хорошо и по делу выступил Николай Пучков из Сити Банка с рассказом о том, как строить оптимальную стратегию непрерывности бизнеса. Виктория Голубева из МегаФона системно прошлась по рискам, связанным с непрерывностью бизнеса.

Очень ярким и запоминающимся получился доклад Антона Жбанкова, человека, широко известного в мире виртуализации, который прошелся по основным «достоинствам» облачных технологий, немного приземлив их на грешную землю

Я в своем докладе постарался  сфокусироваться на основных способах повышения эффективности системы обеспечения непрерывности бизнеса, и вот, что получилось.

Спасибо всем участникам и организаторам за отличное мероприятие!

С декабря прошлого года линейка SunGard CMS заметно расширилась, и про все решения  в комплексе мы  еще ни разу не рассказывали.

Из новых решений речь пройдет про три  продукта, дополнивших BIA Professional:

• Risk Assessment
• Vendor Assessment
• Work Force Assesment

Кроме того, будет рассказано и про функциональность, появившуюся в новых версиях продуктов LDRPS и BIA Professional.

Как всегда, Вебинар проходит на русском языке и абсолютно бесплатен

Update 1: Запись Вебинара доступна здесь.

Но сначала – небольшой экскурс в события недавних  дней – пожар у украинского хостинг-провайдера hosting.ua. Как правило, выбирая внешний хостинг, мы подразумеваем, что наш провайдер уделяет серьезное внимание безопасности своей (и нашей) инфраструктуры, обеспечивает надежное резервное копирование и т.п. – волшебная формула  »аутсорсинг – теперь ваши проблемы становятся нашими». Человеку вообще по природе своей свойственно надеяться на лучшее и верить в сказки .  27 марта случилось то, чего точно не ожидали клиенты провайдера – ЦОД сгорел. Не дотла, но сильно.  При этом система газового пожаротушения не сработала (оставим этот факт на совести строителей ЦОДа), а приехавшие пожарные водой довершили то, что не успел сделать огонь.

Информация о происшедшем имеется крайне обрывочная. Вечером 27 марта в ЦОДе случился «крупный пожар и серьезные повреждения».  Фотографии с места пожара можно посмотреть тут. С 31 марта на сайте провайдера стали появляться отрывочные сообщения о происходящем, в которых произошедший пожар был объявлен форс-мажором, по поводу наличия резервных копий была дана довольно противоречивая информация – от «все данные виртуального хостинга остались на не поврежденных бэкап серверах» до «Информация с серверов, индексы которых начинаются на E и F восстановлению не подлежит».

Это еще одна тема, достойная отдельного обсуждения – как коммуницировать с внешним миром после ЧС, оставим ее пока за кадром.

А поговорим мы о том, как добавить уровень обеспечения непрерывности бизнеса ваших поставщиков в перечень критериев выбора поставщиков, чтобы не оказаться потом у разбитого корыта по чужой вине.  Ведь является абсолютно нормальной, и почти повсеместной для крупных компаний, практика контроля надежности поставщиков службами экономической безопасности, так почему же непрерывность бизнеса остается в стороне? Давайте посмотрим, какой подход практикуется крупными западными компаниями.

1. Оценка системы обеспечения непрерывности бизнеса поставщика.

На этом этапе поставщиков просят предоставить необходимые материалы, касающиеся обеспечения непрерывности бизнеса. В зависимости от глубины анализа может запрашиваться различный объем материалов из следующих областей:

• Общая информация о системе обеспечения непрерывности бизнеса
• Управление рисками в организации
• Кризисное управление/оповещение
• Основные бизнес-процессы
• Основные технологии
• Тестирование системы обеспечения непрерывности бизнеса/учения
• Возможность доступа к документации системы обеспечения непрерывности бизнеса/участия в тестах.

Полученная информация оценивается, и на ее основе определяется уровень обеспечения НБ в организации. Как строить скоринговую модель – дело тонкое. Можно разработать свою систему оценки в зависимости от важности определенных параметров, можно взять готовую систему, как например SunGard Vendor Assessment, можно выбрать компромиссный вариант – подстроить существующую скоринговую модель под себя.

При анализе данных важно  обращать внимание на два момента.

1. Верификация данных. У вас должна быть возможность и процедура верификации предоставляемых вам данных, полностью (что вряд ли целесообразно), либо выборочно.

2. Периодическое обновление информации. Высокий уровень обеспечения НБ год назад еще не означает, что это качество автоматически перенеслось и на новые услуги организации.

2. Документально закрепленный перенос рисков на сторону поставщика.

Одна из привлекательных сторон аутсорсинга заключается как раз в том, что вместе с бизнес-функциями вы передаете вовне и все ассоциированные с ними риски. Логично ожидать, что в случае внезапной неспособности самостоятельно выполнять возложенные на него функции, ваш поставщик либо сможет в кратчайшие сроки привлечь дополнительные ресурсы для выполнения этих функций (с соблюдением требований безопасности и конфиденциальности, что достаточно важно), либо будет вынужден выплачивать вам серьезную неустойку. Соответственно, в ваших договорах вы должны очень четко ограничивать круг «форс-мажорных ситуаций», и во всех остальных ситуациях требовать выполнения своих обязательств.

Резюме:  как правило, если ваша организация достаточно велика, чтобы быть важным клиентом для поставщиков, то получить от поставщиков все то, о чем говорилось выше – вполне реально, а выстроить процесс оценки поставщиков в области непрерывности бизнеса – не такая уж неподъемная задача.

• Сбор информации о происходящем из всех доступных источников
• Консолидация, верификация и анализ информации
• Управление командами восстановления
• Информирование всех вовлеченных сторон – прессы, официальных органов, родственников потерпевших и т.п.

Теперь немного о технологиях. В течение долгого времени неизменными атрибутами такого центра были:

• Телефоны (много)
• Доски (whiteboards), на которых записывалась вся информация
• Карты, в которые втыкались разнообразные флажки.

В принципе, как и любая проверенная десятилетиями, если не веками, технология, она работает. Надежно? Да. Эффективно? Не очень. Давайте посмотрим, какие основные проблемы возникают.

1. Передача информации. Для того, чтобы получить любую информацию, находящуюся в ЦУИ, туда надо дозвониться, и получить информацию по телефону. При большом числе участников информационного обмена дозвониться до ЦУИ будет тяжело, информация может искажаться, а сотрудники ЦУИ будут отвлекаться от выполнения своей основной задачи.
2. Анализ действий после завершения инцидента. Очевидно, что все силы в момент инцидента будут брошены на его устранения, и протоколирование действий будет вестись настолько, насколько это будут позволять ресурсы. Тем не менее, последующий «разбор полетов» является важнейшим действием как для минимизации потерь при подобных ситуациях в будущем, так и при работе силовых структур, страховых компаний и т.п. по изучению деталей произошедшего инцидента.
3. Выполнение плана управления инцидентом. Даже если такой план существует (что можно только приветствовать), классический ЦУИ не предоставляет возможностей по отслеживанию выполнения плана/формализации выполняемых действий. В данном случае мы имеем только возможность работы с бумажной версией плана и проставления галочек по выполненным шагам. В принципе, не так уж мало, но в жизни проявляются все проблемы, связанные с подобного рода планами – отсутствие под рукой (или вообще в природе) актуализированной версии, наличие сотрудников, неосведомленных о такого рода плане,  и т.п.

Итак, что же придумало человечество для улучшения этой ситуации? Решение данной задачи, в принципе, достаточно очевидное и простое. Кстати, это важный момент – в момент чрезвычайной ситуации сложные решения работают плохо, людям не до того. Поэтому с точки зрения конечного пользователя все должно быть максимально просто.

Существует целый класс систем, предназначенных для автоматизации деятельности ЦУИ. Функционально – они позволяют делать примерно то же, что делают люди на маркером на досках и флажками на карте – собирают информацию. Даже терминология используется та же – для экранов, предназначенных для сбора и отображения информации, используется термин «доски» (boards). Но процесс проходит уже на качественно новом уровне, в результате чего:

• Вся информация четко структурирована
• Добавляются новые каналы сбора и передачи информации, в первую очередь Интернет. Благодаря этому с одной стороны информация гораздо быстрее стекается в ЦУИ, а с другой, все, кто должен иметь к ней доступ, получают ее в необходимом формате в режиме реального времени, не отвлекая сотрудников ЦУИ. Кроме того, не возникает искажения информации.
• Система интегрируется с другими информационными системами – геоинформационными (и у вас появляется актуальная карта местности, где произошел инцидент), кадровыми (и у вас есть полный список сотрудников, которые могли находится на объекте), планирования (и у вас есть актуальный план управления инцидентом, с четким перечнем действий и ответственными), и т.п.
• Все действия четко протоколируются, существенно облегчая последующий анализ произошедшего.

И, наконец, при чем тут Гаити. Аналогичная система, построенная на базе решения WebEOC компании ESi, была сразу после землетрясения развернута в посольстве Гаити в Вашингтоне. За 5 дней, с 12 по 17 января, в посольстве был развернут ЦУИ – установлено 20 телефонных линий, развернута система WebEOC, проведено обучение персонала, доработаны дополнительные «доски» для отслеживания пропавших без вести, управления добровольцами, и учета пожертвований. Учитывая масштаб произошедшего, очевидно, что подобное решение смогло реально помочь в ликвидации последствий землетрясения.

Работают подобные решения и в гораздо меньшем масштабе. По опыту внедрения подобных систем (как мировому, так и собственному), эффективны и востребованы подобные решения могут быть для:

• компаний, имеющих опасное производство (нефтегаз, химическая промышленность, энергетика и т.п.);
• транспортных компаний (железные дороги, аэропорты и проч.);
• государственных органов, ответственных за управление чрезвычайными ситуациями.

Из промышленных западных решений на российском рынке представлено решение Incident Manager от компании Sungard, представляющее из себя упомянутую выше систему WebEOC, дополненную интеграцией с системой поддержки планирования управления инцидентами LDRPS. Федеральные структуры типа МЧС используют, насколько я знаю, специализированные отечественные разработки.

Для тех читателей, которые не знакомы с функциональностью предыдущих версий, несколько слов о том, для чего предназначен BIA Professional. Продукт позволяет автоматизировать рутинную часть работы по проведению анализа воздействия на бизнес, а именно - подготовку анкет/опросных листов, рассылку их анкетируемым сотрудникам, сбор, консолидацию и последующий анализ информации. Что немаловажно, продукт позволяет обеспечить повторное использование информации – при регулярном обновлении результатов BIA, пользователям не надо заново отвечать на те же самые вопросы,  а достаточно только проглядеть сохраненные старые ответы, и, при необходимости, внести корректировки.

Перед тем, как начать описывать возможности продукта, я бы хотел сделать акцент на том, в каких случаях организации действительно нужен BIA Professional, чтобы получить адекватную отдачу от сделанных инвестиций. Давайте рассмотрим три критерия, каждый из которых может послужить достаточным аргументом для приобретения продукта.

Основной экран системы теперь выглядит таким образом:

На сегодняшний день в CMS интегрировано 3 продукта - BIA, Risk Assessment и LDRPS. Оставшиеся Incident Manager и Notifind обладают механизмами интеграции, но пока функционируют на другой платформе.

Выбрав BIA Professional, мы «проваливаемся» в основное меню системы. То, что мы видим на экране системы, предназначено для администратора, интерфейс для конечного пользователя, анкетируемого сотрудника, значительно проще, до него мы дойдем чуть позже.

Итак, первый шаг – создание анкет. В разделе «Question Manager» мы получаем возможность создавать «кирпичики», из которых впоследствии будут строиться анкеты. Как это принято у SunGard, серьезным достоинством продуктов является не только механизм, позволяющий создавать анкеты «с чистого листа», но и богатый набор уже существующих шаблонов. Символичным является факт, что на первом месте в списке этих «кирпичиков» находится шаблон «CEO Risk Tolerance» – как бы призывающий проводить BIA, начиная с самого верха организации.

Для каждого из элементов анкеты BIA Professional предоставляет мощный инструмент для визуального дизайна, который позволяет не только формировать экранные формы, но и определять логику внутри этой формы – рассчитывать вычисляемые поля, задавать условия валидации, и т.п. Для создания внутренней логики используется собственный C#-подобный язык, а для общения с СУБД – механизмы маппинга полей форм на поля таблиц СУБД, и несколько способов определения критериев, по которым будут отбираться записи для каждого конкретного пользователя. В качестве примера – можно дать пользователю возможность видеть только те бизнес-процессы, которые относятся к его подразделению, и для них дать право определять целевые показатели восстановления.

В отличие от предыдущей версии, здесь мы можем полностью ощутить все прелести интеграции с LDRPS – названия таблиц и полей БД мы видим в бизнес-терминах, и все, что уже наработано в планах внутри LDRPS, доступно при исходном заполнении форм данными. Справедливо и обратное – данные, введенные сотрудниками в процессе проведения BIA могут быть помещены в соответствующие сущности LDRPS, и на их основе впоследствии и будут создаваться планы непрерывности бизнеса и аварийного восстановления.

Для конфликтных ситуаций, когда ответы разных пользователей противоречат друг другу, есть механизмы как автоматического разрешения противоречий, так и ручного вмешательства арбитра.

Выглядит все это примерно так:

Разработав отдельные экраны анкет, можно переходить к их компоновке. BIA Professional позволяет делать как последовательный перечень форм, так и условные ветвления в зависимости от значений полей/формул. Например, в зависимости от должности анкетируемого, какие-то экраны могут быть пропущены, а другие, наоборот, добавлены.

Завершив формирование анкеты, на следующем этапе мы определяем пользователей, которые должны ее заполнить (опять же, используется единый с LDRPS список пользователей). На этом подготовительная работа завершена, и, нажатием одной кнопки всем пользователям рассылаются письма с URL-ссылкой и реквизитами доступа к анкете.  Далее, пользователи в комфортном для себя режиме заполняют свои анкеты, при этом администратор имеет возможность отслеживать статус заполнения анкет сотрудниками.

Как видно из скриншота, пользователь имеет возможность перемещаться между различными экранами анкеты в произвольном порядке (за исключением тех экранов, которые зависят от условий ветвления).

После того, как все сотрудники завершат заполнение своих анкет, администратор системы инициирует  два основных события:

1. Генерация отчета с результатами анализа воздействия на бизнес.
2. Заполнение таблиц LDRPS данными, необходимыми для планов аварийного восстановления/непрерывности бизнеса.

Для проектирования итоговых отчетов используется, как и в LDRPS, генератор отчетов Crystal Reports, так что, если вас не устраивают отчеты, предлагаемые по умолчанию, то вы можете легко их поправить, либо разработать свои собственные.

Напоследок – немного о лицензировании решения.

BIA Professional лицензируется на организацию в целом, без ограничения количества анкетируемых сотрудников. По умолчанию лицензируется одно одновременное подключение (concurrent user) для администратора, занимающегося созданием, распространением и сбором анкет. В случае необходимости параллельной работы нескольких администраторов (что теоретически можно представить в очень большой компании), стоимость лицензии на каждого дополнительного администратора составит 12,5% от исходной цены. Новая версия BIA Professional будет стоить на $5000 дороже предыдущей, но до конца декабря 2009 года существует возможность приобрести предыдущую версию по старой цене, и в рамках техподдержки осуществить бесплатный переход на новую версию.

Дополнительную информацию по продукту, ценам, возможности тестирования и т.п. можно запросить по адресу bcp@almitech.ru.

Заинтересовавшиеся ВУЗы получают возможность развернуть у себя основной набор продуктов SunGard – Business Impact Professional и LDRPS 10, и обучать студентов создавать систему управления непрерывностью бизнеса с использованием лучших практик и эффективного инструментария.

Основной вопрос, ответ на который, я думаю, будет ясен ближе к сентябрю – как много в России и СНГ ВУЗов, которые в принципе планируют включать в учебный план такую дисциплину, как непрерывность бизнеса. В любом случае, тема становится все более востребованной,  и двигаться в этом направлении надо.

Первый день начался с серии официальных мероприятий – большое пленарное заседание, потом пресс-конференция в маленькой комнатке – о них и так напишут в прессе, поэтому пойдем дальше.

Первая тематическая секция была посвящена стандартизации. Как и следовало ожидать, хитом стали изменения в Положение Банка России 242-П. Эта тема не забылась и на последующих секциях, и в кулуарах мероприятия. Налицо было заметное расслоение общества – крупные банки были готовы не только к чрезвычайным ситуациям, но и к новым требованиям регулятора, а вот для небольших кредитных организаций вопросы «как быть» и «где взять дополнительный бюджет на новую задачу» так и остались открытыми. Мой следующий пост будет отдельно посвящен поиску пути решения для небольших организаций, и я очень надеюсь на участие читателей в обсуждении этой темы.

Как водится, те, кому есть чем похвалиться – поделились своим опытом, как профессиональным, так и «личным», но относящимся к теме мероприятия - ВымпелКом, РайффайзенБанк, CitiBank и РосЕвроБанк. Очень наглядно тему осведомленности (awareness) раскрыл Юрий Лысенко на примере борьбы со стихийным бедствием в виде залива квартиры

Второй день собрал немного меньше народу, причем более разнородного. С утра на секции по безопасности был заметный перевес специалистов по ИБ, что было ожидаемо – программа была насыщенной. Презентацию Алексея Лукацкого можно посмотреть у него на блоге, остальные, надеюсь, появятся или на сайте организаторов, или на блогах выступающих.

К 12 собрались желающие послушать  именитого гостя – CTO VMware Стива Херрода. Стив своим выступлением открыл секцию «Виртуализация и непрерывность бизнеса», которая заметно заинтересовала аудиторию идеей того, что используя технологии виртуализации, можно и непрерывность бизнеса обеспечить, и при этом денег не то, чтобы потратить, а даже и сэкономить. Евгений Турчак из «Газпром Комплектации» подтвердил этот тезис, рассказав о внедрении у cебя решений VMware с конкретными цифрами. Продолжил тему Сергей Халяпин из Citrix с идеей виртуализации офиса – здесь одним выстрелом можно убить сразу толпу зайцев – и сэкономить на содержании офиса, и решить проблему восстановления рабочих мест после ЧС,  и подготовиться к борьбе с эпидемиями. Уже после выставки я общался с коллегами из английского Symantec, и получил еще одно подтверждение активного использования технологии виртуализации рабочих станций – рынок услуг по восстановлению рабочих мест путем аренды временных офисов заметно сокращается. По крайней мере в UK и Европе, где он был достаточно развит.

Следующая секция была посвящена подходам к созданию системы управления непрерывности бизнеса. Я немного рассказал про вопросы, связанные с разработкой стратегии, Стив Кокол из SunGard как всегда увлекательно рассказал про новую линейку решений по автоматизации процессов управления непрерывностью – Continuity Management Solution. Вообще, секция получилась сбалансированной – выступали и компании с рассказом о себе (г-жа Голубкова, «Фирма Август»), и интеграторы (Мария Акатьева из Джета), и провайдеры услуг (Денис Калинин из IBS DataFort). Отдельно хотелось бы поблагодарить Максима Малежина из Ernst&Young, которому выпала нелегкая задача вести секцию, и уместить все эти выступления в полтора часа, и с которой он успешно справился…ну или почти справился

Завершающей секцией стала секция по управлению рисками под чутким руководством Сергея Романовского. Мы и там отметились, в лице Константина Смирнова с весьма образной презентацией Управление рисками и непрерывность бизнеса-всё более тесная связь.

В целом – мероприятие мне понравилось. Да, можно к чему-то придираться, мало было компаний со стендами, иногда не хватало времени – но, на мой взгляд, для первого мероприятия получилось хорошо. За что большое спасибо и организаторам – компании Рестэк, и всем участникам.

Особенный колорит мероприятию добавляет то, что в этом году с одной стороны появилось обязательное регулирование (новая редакция постановления 242-П Банка России), а с другой – последствия кризиса еще в полной мере ощущаются, и компании стремятся экономить на всем, чем можно. Как найти компромисс – думаю, будет говориться довольно много.

Из выступлений, которые точно соберут большую аудиторию  - CTO VMware Steve Herrod выступит с докладом «How Virtualization Enables Practical, Affordable Business Continuity from the Desktop to the Datacenter». Виртуализация как раз является той технологией, которая может позволить и затраты снизить, и построить хорошее отказо- и катастрофоустойчивое решение. Другие игроки рынка виртуализации также не останутся в стороне – Citrix в лице Сергея Халяпина расскажет про построение виртуального офиса.

Еще из заморских людей приедет Steve Kokol из SunGard. Стив будет рассказывать про новую линейку решений по управлению непрерывностью бизнеса, часть из которых уже появилась на рынке, а часть будет выпущена в ближайшие месяцы. После приобретения SunGard’ом Strohl Systems, SunGard заметно укрепил свои лидерские позиции, а на Российском рынке это вообще единственное представленное решение.

Ну и, конечно, интересно послушать докладчиков из совершенно разных отраслей бизнеса (телко, банки, металлургия, и проч.) о том, что им уже удалось построить в своих компаниях.