Отчет целиком можно загрузить с сайта SunGard.

Для тех слушателей, которые не знакомы с возможностями продукта, я кратко пробегусь по основным функциям.

И наконец, чтобы сделать рассказ максимально приближеным  к нашим реалиям, постараюсь на некоторых примерах из жизни проиллюстрировать, как CMS мог бы сделать вашу работу более эффективной.

UPD: Запись вебинара доступна здесь.

Посмотрим на происходящее с точки зрения управления непрерывностью бизнеса.  Сотрудники не могут добраться до работы. Ситуация в Лондоне еще относительно хороша тем, что о забастовке было известно заблаговременно. Гораздо чаще проблемы с транспортной доступностью возникают неожиданно, как результат серьезных аварий, терактов, или природных явлений (встречаем грядущий снегопад ).  Итак, что делать организациям?

Во-первых, оценить масштаб бедствия. В этом заметно помогает  наличие актуальной структурированной информации о том, где проживают сотрудники и как добираются до офиса. В сочетание с прогнозами восстановления транспортного сообщения можно принять решение о необходимости активации тех или иных планов обеспечения непрерывности бизнеса.

Во-вторых, оповестить сотрудников о том, что им необходимо делать. Своевременное указание сотрудникам, без которых можно обойтись в офисе, остаться дома или вернуться с полпути домой поможет как избежать потерь человеческого времени, так и снизить нагрузку на транспортную систему города.

В третьих, проводить периодические учения. Не надо ждать полного коллапса – воспользуйтесь ближайшим серьезным снегопадом и отработайте возможность работы из дома.

Очевидно, все это должна сопровождать серьезная технологическая подготовка. Ключевым моментом является обеспечение  возможности удаленной работы. По мере расширения использования технологий виртуализации рабочих станций данная задача становится технологически все более простой, но важно не забывать обеспечить возможность одновременной удаленной работы значительного числа сотрудников. Не стоит забывать и про организацию самого процесса принятия решений и информирования персонала. В зависимости от масштаба организации, задачи сбора необходимой информации о сотрудниках и массового оповещения могут быть выполнена как с использованием специализированных решений, так и вручную, но главное – процесс должен быть спланирован и отработан.

Во-первых, это Recovery Workflow.

Кстати, объявляется конкурс на лучший перевод термина workflow. Победителю – всеобщее признание и моя личная благодарность .

Если раньше план непрерывности или аварийного восстановления мог содержать в себе только «плоские» списки задач, то начиная с 10.7 в LDRPS появилась возможность определять деревья принятия решений, зависимости, и альтернативные сценарии.

Теперь для построения workflow, кроме традиционных задач (tasks), можно использовать такие элементы, как точки принятия решений с последующим ветвлением, семафоры ожидания (для синхронизации различных потоков и т.п.), триггеры для запуска внешних workflow, и т.п.

Выглядит это все примерно вот так.

Проектируя Workflow, для любой задачи можно оценить, сколько времени (минимум и максимум) пройдет с момента активации плана до начала ее выполнения, а также сколько времени остается до завершения данного фрагмента плана (на рисунке в правом нижем углу). Эта возможность может оказаться очень полезной при проверке достижимости  RTO для процессов или крупных систем.

Вторая полезная функция – это возможность использования внутри полей Rich Text Formatting.  Благодаря этому результирующий план может приобрести гораздо более аккуратный и современный вид.

Остальные нововведения относятся к интеграции между собой компонентов CMS. Добавился интегрированный вход в систему оповещения NotiFind, раcширились возможности по обмену данными между LDRPS и Incident Manager.

Продукт доступен для заказа – можно успеть до конца года

На этот раз мне понравилось подавляющее большинство докладов. Хорошо и по делу выступил Николай Пучков из Сити Банка с рассказом о том, как строить оптимальную стратегию непрерывности бизнеса. Виктория Голубева из МегаФона системно прошлась по рискам, связанным с непрерывностью бизнеса.

Очень ярким и запоминающимся получился доклад Антона Жбанкова, человека, широко известного в мире виртуализации, который прошелся по основным «достоинствам» облачных технологий, немного приземлив их на грешную землю

Я в своем докладе постарался  сфокусироваться на основных способах повышения эффективности системы обеспечения непрерывности бизнеса, и вот, что получилось.

Спасибо всем участникам и организаторам за отличное мероприятие!

С декабря прошлого года линейка SunGard CMS заметно расширилась, и про все решения  в комплексе мы  еще ни разу не рассказывали.

Из новых решений речь пройдет про три  продукта, дополнивших BIA Professional:

• Risk Assessment
• Vendor Assessment
• Work Force Assesment

Кроме того, будет рассказано и про функциональность, появившуюся в новых версиях продуктов LDRPS и BIA Professional.

Как всегда, Вебинар проходит на русском языке и абсолютно бесплатен

Update 1: Запись Вебинара доступна здесь.

Но сначала – небольшой экскурс в события недавних  дней – пожар у украинского хостинг-провайдера hosting.ua. Как правило, выбирая внешний хостинг, мы подразумеваем, что наш провайдер уделяет серьезное внимание безопасности своей (и нашей) инфраструктуры, обеспечивает надежное резервное копирование и т.п. – волшебная формула  »аутсорсинг – теперь ваши проблемы становятся нашими». Человеку вообще по природе своей свойственно надеяться на лучшее и верить в сказки .  27 марта случилось то, чего точно не ожидали клиенты провайдера – ЦОД сгорел. Не дотла, но сильно.  При этом система газового пожаротушения не сработала (оставим этот факт на совести строителей ЦОДа), а приехавшие пожарные водой довершили то, что не успел сделать огонь.

Информация о происшедшем имеется крайне обрывочная. Вечером 27 марта в ЦОДе случился «крупный пожар и серьезные повреждения».  Фотографии с места пожара можно посмотреть тут. С 31 марта на сайте провайдера стали появляться отрывочные сообщения о происходящем, в которых произошедший пожар был объявлен форс-мажором, по поводу наличия резервных копий была дана довольно противоречивая информация – от «все данные виртуального хостинга остались на не поврежденных бэкап серверах» до «Информация с серверов, индексы которых начинаются на E и F восстановлению не подлежит».

Это еще одна тема, достойная отдельного обсуждения – как коммуницировать с внешним миром после ЧС, оставим ее пока за кадром.

А поговорим мы о том, как добавить уровень обеспечения непрерывности бизнеса ваших поставщиков в перечень критериев выбора поставщиков, чтобы не оказаться потом у разбитого корыта по чужой вине.  Ведь является абсолютно нормальной, и почти повсеместной для крупных компаний, практика контроля надежности поставщиков службами экономической безопасности, так почему же непрерывность бизнеса остается в стороне? Давайте посмотрим, какой подход практикуется крупными западными компаниями.

1. Оценка системы обеспечения непрерывности бизнеса поставщика.

На этом этапе поставщиков просят предоставить необходимые материалы, касающиеся обеспечения непрерывности бизнеса. В зависимости от глубины анализа может запрашиваться различный объем материалов из следующих областей:

• Общая информация о системе обеспечения непрерывности бизнеса
• Управление рисками в организации
• Кризисное управление/оповещение
• Основные бизнес-процессы
• Основные технологии
• Тестирование системы обеспечения непрерывности бизнеса/учения
• Возможность доступа к документации системы обеспечения непрерывности бизнеса/участия в тестах.

Полученная информация оценивается, и на ее основе определяется уровень обеспечения НБ в организации. Как строить скоринговую модель – дело тонкое. Можно разработать свою систему оценки в зависимости от важности определенных параметров, можно взять готовую систему, как например SunGard Vendor Assessment, можно выбрать компромиссный вариант – подстроить существующую скоринговую модель под себя.

При анализе данных важно  обращать внимание на два момента.

1. Верификация данных. У вас должна быть возможность и процедура верификации предоставляемых вам данных, полностью (что вряд ли целесообразно), либо выборочно.

2. Периодическое обновление информации. Высокий уровень обеспечения НБ год назад еще не означает, что это качество автоматически перенеслось и на новые услуги организации.

2. Документально закрепленный перенос рисков на сторону поставщика.

Одна из привлекательных сторон аутсорсинга заключается как раз в том, что вместе с бизнес-функциями вы передаете вовне и все ассоциированные с ними риски. Логично ожидать, что в случае внезапной неспособности самостоятельно выполнять возложенные на него функции, ваш поставщик либо сможет в кратчайшие сроки привлечь дополнительные ресурсы для выполнения этих функций (с соблюдением требований безопасности и конфиденциальности, что достаточно важно), либо будет вынужден выплачивать вам серьезную неустойку. Соответственно, в ваших договорах вы должны очень четко ограничивать круг «форс-мажорных ситуаций», и во всех остальных ситуациях требовать выполнения своих обязательств.

Резюме:  как правило, если ваша организация достаточно велика, чтобы быть важным клиентом для поставщиков, то получить от поставщиков все то, о чем говорилось выше – вполне реально, а выстроить процесс оценки поставщиков в области непрерывности бизнеса – не такая уж неподъемная задача.

• Сбор информации о происходящем из всех доступных источников
• Консолидация, верификация и анализ информации
• Управление командами восстановления
• Информирование всех вовлеченных сторон – прессы, официальных органов, родственников потерпевших и т.п.

Теперь немного о технологиях. В течение долгого времени неизменными атрибутами такого центра были:

• Телефоны (много)
• Доски (whiteboards), на которых записывалась вся информация
• Карты, в которые втыкались разнообразные флажки.

В принципе, как и любая проверенная десятилетиями, если не веками, технология, она работает. Надежно? Да. Эффективно? Не очень. Давайте посмотрим, какие основные проблемы возникают.

1. Передача информации. Для того, чтобы получить любую информацию, находящуюся в ЦУИ, туда надо дозвониться, и получить информацию по телефону. При большом числе участников информационного обмена дозвониться до ЦУИ будет тяжело, информация может искажаться, а сотрудники ЦУИ будут отвлекаться от выполнения своей основной задачи.
2. Анализ действий после завершения инцидента. Очевидно, что все силы в момент инцидента будут брошены на его устранения, и протоколирование действий будет вестись настолько, насколько это будут позволять ресурсы. Тем не менее, последующий «разбор полетов» является важнейшим действием как для минимизации потерь при подобных ситуациях в будущем, так и при работе силовых структур, страховых компаний и т.п. по изучению деталей произошедшего инцидента.
3. Выполнение плана управления инцидентом. Даже если такой план существует (что можно только приветствовать), классический ЦУИ не предоставляет возможностей по отслеживанию выполнения плана/формализации выполняемых действий. В данном случае мы имеем только возможность работы с бумажной версией плана и проставления галочек по выполненным шагам. В принципе, не так уж мало, но в жизни проявляются все проблемы, связанные с подобного рода планами – отсутствие под рукой (или вообще в природе) актуализированной версии, наличие сотрудников, неосведомленных о такого рода плане,  и т.п.

Итак, что же придумало человечество для улучшения этой ситуации? Решение данной задачи, в принципе, достаточно очевидное и простое. Кстати, это важный момент – в момент чрезвычайной ситуации сложные решения работают плохо, людям не до того. Поэтому с точки зрения конечного пользователя все должно быть максимально просто.

Существует целый класс систем, предназначенных для автоматизации деятельности ЦУИ. Функционально – они позволяют делать примерно то же, что делают люди на маркером на досках и флажками на карте – собирают информацию. Даже терминология используется та же – для экранов, предназначенных для сбора и отображения информации, используется термин «доски» (boards). Но процесс проходит уже на качественно новом уровне, в результате чего:

• Вся информация четко структурирована
• Добавляются новые каналы сбора и передачи информации, в первую очередь Интернет. Благодаря этому с одной стороны информация гораздо быстрее стекается в ЦУИ, а с другой, все, кто должен иметь к ней доступ, получают ее в необходимом формате в режиме реального времени, не отвлекая сотрудников ЦУИ. Кроме того, не возникает искажения информации.
• Система интегрируется с другими информационными системами – геоинформационными (и у вас появляется актуальная карта местности, где произошел инцидент), кадровыми (и у вас есть полный список сотрудников, которые могли находится на объекте), планирования (и у вас есть актуальный план управления инцидентом, с четким перечнем действий и ответственными), и т.п.
• Все действия четко протоколируются, существенно облегчая последующий анализ произошедшего.

И, наконец, при чем тут Гаити. Аналогичная система, построенная на базе решения WebEOC компании ESi, была сразу после землетрясения развернута в посольстве Гаити в Вашингтоне. За 5 дней, с 12 по 17 января, в посольстве был развернут ЦУИ – установлено 20 телефонных линий, развернута система WebEOC, проведено обучение персонала, доработаны дополнительные «доски» для отслеживания пропавших без вести, управления добровольцами, и учета пожертвований. Учитывая масштаб произошедшего, очевидно, что подобное решение смогло реально помочь в ликвидации последствий землетрясения.

Работают подобные решения и в гораздо меньшем масштабе. По опыту внедрения подобных систем (как мировому, так и собственному), эффективны и востребованы подобные решения могут быть для:

• компаний, имеющих опасное производство (нефтегаз, химическая промышленность, энергетика и т.п.);
• транспортных компаний (железные дороги, аэропорты и проч.);
• государственных органов, ответственных за управление чрезвычайными ситуациями.

Из промышленных западных решений на российском рынке представлено решение Incident Manager от компании Sungard, представляющее из себя упомянутую выше систему WebEOC, дополненную интеграцией с системой поддержки планирования управления инцидентами LDRPS. Федеральные структуры типа МЧС используют, насколько я знаю, специализированные отечественные разработки.

Для тех читателей, которые не знакомы с функциональностью предыдущих версий, несколько слов о том, для чего предназначен BIA Professional. Продукт позволяет автоматизировать рутинную часть работы по проведению анализа воздействия на бизнес, а именно - подготовку анкет/опросных листов, рассылку их анкетируемым сотрудникам, сбор, консолидацию и последующий анализ информации. Что немаловажно, продукт позволяет обеспечить повторное использование информации – при регулярном обновлении результатов BIA, пользователям не надо заново отвечать на те же самые вопросы,  а достаточно только проглядеть сохраненные старые ответы, и, при необходимости, внести корректировки.

Перед тем, как начать описывать возможности продукта, я бы хотел сделать акцент на том, в каких случаях организации действительно нужен BIA Professional, чтобы получить адекватную отдачу от сделанных инвестиций. Давайте рассмотрим три критерия, каждый из которых может послужить достаточным аргументом для приобретения продукта.

Основной экран системы теперь выглядит таким образом:

На сегодняшний день в CMS интегрировано 3 продукта - BIA, Risk Assessment и LDRPS. Оставшиеся Incident Manager и Notifind обладают механизмами интеграции, но пока функционируют на другой платформе.

Выбрав BIA Professional, мы «проваливаемся» в основное меню системы. То, что мы видим на экране системы, предназначено для администратора, интерфейс для конечного пользователя, анкетируемого сотрудника, значительно проще, до него мы дойдем чуть позже.

Итак, первый шаг – создание анкет. В разделе «Question Manager» мы получаем возможность создавать «кирпичики», из которых впоследствии будут строиться анкеты. Как это принято у SunGard, серьезным достоинством продуктов является не только механизм, позволяющий создавать анкеты «с чистого листа», но и богатый набор уже существующих шаблонов. Символичным является факт, что на первом месте в списке этих «кирпичиков» находится шаблон «CEO Risk Tolerance» – как бы призывающий проводить BIA, начиная с самого верха организации.

Для каждого из элементов анкеты BIA Professional предоставляет мощный инструмент для визуального дизайна, который позволяет не только формировать экранные формы, но и определять логику внутри этой формы – рассчитывать вычисляемые поля, задавать условия валидации, и т.п. Для создания внутренней логики используется собственный C#-подобный язык, а для общения с СУБД – механизмы маппинга полей форм на поля таблиц СУБД, и несколько способов определения критериев, по которым будут отбираться записи для каждого конкретного пользователя. В качестве примера – можно дать пользователю возможность видеть только те бизнес-процессы, которые относятся к его подразделению, и для них дать право определять целевые показатели восстановления.

В отличие от предыдущей версии, здесь мы можем полностью ощутить все прелести интеграции с LDRPS – названия таблиц и полей БД мы видим в бизнес-терминах, и все, что уже наработано в планах внутри LDRPS, доступно при исходном заполнении форм данными. Справедливо и обратное – данные, введенные сотрудниками в процессе проведения BIA могут быть помещены в соответствующие сущности LDRPS, и на их основе впоследствии и будут создаваться планы непрерывности бизнеса и аварийного восстановления.

Для конфликтных ситуаций, когда ответы разных пользователей противоречат друг другу, есть механизмы как автоматического разрешения противоречий, так и ручного вмешательства арбитра.

Выглядит все это примерно так:

Разработав отдельные экраны анкет, можно переходить к их компоновке. BIA Professional позволяет делать как последовательный перечень форм, так и условные ветвления в зависимости от значений полей/формул. Например, в зависимости от должности анкетируемого, какие-то экраны могут быть пропущены, а другие, наоборот, добавлены.

Завершив формирование анкеты, на следующем этапе мы определяем пользователей, которые должны ее заполнить (опять же, используется единый с LDRPS список пользователей). На этом подготовительная работа завершена, и, нажатием одной кнопки всем пользователям рассылаются письма с URL-ссылкой и реквизитами доступа к анкете.  Далее, пользователи в комфортном для себя режиме заполняют свои анкеты, при этом администратор имеет возможность отслеживать статус заполнения анкет сотрудниками.

Как видно из скриншота, пользователь имеет возможность перемещаться между различными экранами анкеты в произвольном порядке (за исключением тех экранов, которые зависят от условий ветвления).

После того, как все сотрудники завершат заполнение своих анкет, администратор системы инициирует  два основных события:

1. Генерация отчета с результатами анализа воздействия на бизнес.
2. Заполнение таблиц LDRPS данными, необходимыми для планов аварийного восстановления/непрерывности бизнеса.

Для проектирования итоговых отчетов используется, как и в LDRPS, генератор отчетов Crystal Reports, так что, если вас не устраивают отчеты, предлагаемые по умолчанию, то вы можете легко их поправить, либо разработать свои собственные.

Напоследок – немного о лицензировании решения.

BIA Professional лицензируется на организацию в целом, без ограничения количества анкетируемых сотрудников. По умолчанию лицензируется одно одновременное подключение (concurrent user) для администратора, занимающегося созданием, распространением и сбором анкет. В случае необходимости параллельной работы нескольких администраторов (что теоретически можно представить в очень большой компании), стоимость лицензии на каждого дополнительного администратора составит 12,5% от исходной цены. Новая версия BIA Professional будет стоить на $5000 дороже предыдущей, но до конца декабря 2009 года существует возможность приобрести предыдущую версию по старой цене, и в рамках техподдержки осуществить бесплатный переход на новую версию.

Дополнительную информацию по продукту, ценам, возможности тестирования и т.п. можно запросить по адресу bcp@almitech.ru.

Заинтересовавшиеся ВУЗы получают возможность развернуть у себя основной набор продуктов SunGard – Business Impact Professional и LDRPS 10, и обучать студентов создавать систему управления непрерывностью бизнеса с использованием лучших практик и эффективного инструментария.

Основной вопрос, ответ на который, я думаю, будет ясен ближе к сентябрю – как много в России и СНГ ВУЗов, которые в принципе планируют включать в учебный план такую дисциплину, как непрерывность бизнеса. В любом случае, тема становится все более востребованной,  и двигаться в этом направлении надо.