Все больше российских компаний задумывается о разработке плана обеспечения непрерывности бизнеса. Чтобы выбрать оптимальные средства резервирования и восстановления информационной системы, необходимо помнить прежде всего о требованиях своего бизнеса.

Современный бизнес и ИТ неразрывно связаны, поскольку такой союз помогает увеличить доходность предприятия. Однако идеальных технологий пока не создано и с увеличением сложности систем растет количество сбоев, потерь данных и т.п. (см. таблицу). Выход из кризисных ситуаций по заранее разработанному плану, с помощью эффективной системы безопасности обходится компаниям, как правило, дешевле, чем решение проблем по мере их возникновения.

Директивное время восстановления

В современных стандартах, таких как ISO 17999, COBIT и других рассматривается задача обеспечения непрерывности бизнеса, которую можно определить как многогранную деятельность, направленную на снижение рисков прерывания бизнеса, негативных последствий таких сбоев, восстановление бизнеса до приемлемого уровня в определенной последовательности и установленные сроки, начиная с момента прерывания. Кроме того, в стандарте Банка России «Обеспечение информационной безопасности организаций банковской системы РФ» декларируется следующее: «Организации следует разработать и внедрить план обеспечения непрерывности бизнеса (деятельности) и восстановления после прерываний».

Планирование непрерывности бизнеса (Business Continuity Planning, BCP) давно вызывает интерес у ИТ-специалистов и менеджеров компаний. В вышедшем в 2006 и 2007 годах стандарте BS 25999 («Общие требования к качеству управления непрерывностью бизнеса» и «Спецификация управления непрерывностью бизнеса») определены понятия директивного времени восстановления системы (Recovery Time Objective, RTO) и максимальной длительности чрезвычайного режима функционирования системы. Директивное время восстановления, то есть время, в течение которого бизнес-процессы фирмы должны быть полностью восстановлены (в противном случае предприятие потеряет платежеспособность), должно превышать время восстановления, требуемое для данного приложения, относительно которого была совершена атака. Именно эти показатели являются основой для построения плана обеспечения непрерывности бизнеса, поскольку они определяют меры, которые будут предприняты для восстановления.

В настоящее время показатели директивного времени восстановления основаны либо на статистических данных, либо на экспертных оценках. Однако для современного бизнеса необходимо точное и полное понимание требований к восстановлению, а следовательно, и понимание обоснованности затрат на средства защиты информации. Необходимо учитывать зависимость директивного времени восстановления от специфики бизнес-процессов фирмы.

Экономика и безопасность

Часто компании тратят слишком много средств на информационную защиту при небольшом ИТ-риске. С другой стороны, вложение средств в неэффективную защиту приводит к огромным убыткам. До 22% компаний тратят 1—5 млн. долл. на системы обеспечения непрерывности бизнеса, а некоторые готовы тратить до 50 млн. долл. Подобные затраты необходимо обосновывать.

Именно точная оценка директивного времени восстановления позволяет определить, насколько средство защиты отвечает требованиям бизнеса. Если для восстановления системы требуется больше времени, чем это допустимо, то компания может оказаться на грани банкротства.

По принятой методологии планирования непрерывности бизнеса директивное время восстановления определяется на стадии анализа последствий для бизнеса (Business Impact Analysis, BIA). Имеется в виду время восстановления бизнес-процессов, а не ресурсов, которые нужны для их поддержки. Директивное время восстановления и результаты анализа последствий для бизнеса представляют собой основу для определения и анализа рентабельной стратегии обеспечения непрерывности бизнеса. Стратегия подразумевает не только действия относительно компьютерных систем для достижения директивного времени восстановления, но и ряд дополнительных или ручных процедур.

Как добиться результата?

Для определения директивного времени восстановления важно ответить на следующие вопросы для каждого процесса (или, например, для бизнес-функции или компьютерной прикладной системы):

  1. Как долго процесс может не функционировать до тех пор, пока в организации не начнутся финансовые и операционные процессы, которые могут привести к потере ее устойчивости?
  2. Какой минимальный уровень обслуживания необходим? Другими словами, нужен ли при восстановлении процесса нормальный уровень обслуживания или он может быть немного ниже в течение первых нескольких дней?
  3. Как много времени потребуется, чтобы восстановить процесс до начального приемлемого уровня обслуживания?

После определения директивного времени восстановления необходимо учесть такие дополнительные факторы, как директивный срок восстановления для выбора оборудования и программного обеспечения, наиболее отвечающих требованиям компании и соответствующих бюджету. Это позволит создать наиболее адекватную систему защиты информации.

Директивный срок восстановления (Recovery Point Objective, RPO) — это момент времени, к которому необходимо закончить восстановление системы. Этот показатель определяет допустимый объем потерь данных, измеряемый единицами времени. Иными словами, это время, которое проходит между моментами создания резервных копий. Сейчас нередко встречаются информационные системы, в которых этот параметр должен иметь порядок минут или даже секунд.

В настоящее время большинство компаний оценивает директивное время восстановления фирмы, основываясь на статистических сведениях. Часть компаний использует экспертные оценки, производя опрос конечных пользователей информационных систем. Однако данные виды оценок не позволяют точно определить директивное время восстановления для конкретного предприятия. Необходимо использовать модель, позволяющую выявить требования, предъявляемые бизнесом, а на основе расчетов получить оценку директивного времени восстановления, то есть времени, которое позволит компании сохранить финансовую устойчивость и избежать банкротства.

Екатерина Познякова — независимый эксперт; e.poznyakova@gmail.com

Если у вас нет плана

Информационный бюллетень, выпущенный Лондонской торговой палатой в 2003 году, приводит следующие статистические данные:

  • 80% компаний, не имевших надлежащего плана восстановления деятельности, закрываются в течение 12 месяцев после катастрофы;
  • 43% компаний, пострадавших от катастроф, не возобновляют свою деятельность, а 29% закрываются в течение двух лет;
  • каждый год на одном из каждых 500 центров хранения и обработки данных происходит серьезная катастрофа.

Пример расчета RTO

Одним из показателей, характеризующих финансовое положение предприятия, является его платежеспособность, то есть возможность своевременно погашать свои платежные обязательства наличными денежными ресурсами. Оценка платежеспособности по балансу осуществляется на основе характеристики ликвидности оборотных активов, которая определяется временем, необходимым для превращения их в денежные средства. Коэффициент текущей ликвидности (Ктл ) — отношение всей суммы оборотных активов, включая запасы, к общей сумме краткосрочных обязательств. Он показывает степень покрытия оборотными активами оборотных пассивов.

Рассмотрим модель телекоммуникационной компании и вычислим стоимость времени простоя, а также оценим период времени, за который фирма может потерять экономическую устойчивость.

Данный метод расчета является сильно упрощенным, он не учитывает всех особенностей финансового состояния фирмы. Однако он показывает, насколько критичным может быть простой информационной системы даже в течение нескольких часов.

Пусть сумма оборотных активов, включая запасы (оборот) фирмы, составляет 600 млн. у.е. Тогда если на начало рассматриваемого периода ее краткосрочные обязательства составляли 500 млн. у.е., то коэффициент текущей ликвидности был равен:

Ктл = 600 : 500 = 1,2 , что соответствует нормативному значению.

Пусть в фирме работает 3 тыс. сотрудников, тогда получаем:

  • оборот на сотрудника в год: 600 000 000 у.е. : 3000 = = 200 000 у.е.
  • рабочих часов в год: 8 часов х 5 дней х 52 недели = 2080 часов
  • оборот на сотрудника в час: 200 000 у.е. : 2080 = 95,9 у.е.

Итого потери в час при простое всей фирмы составят: 95,9 у.е. x 3000 = 287 770 у.е. Таким образом, за 24 часа простоя фирма потеряет 6 906 474 у.е.

Однако существуют еще потери, связанные с недополученной прибылью. Предположим, что у компании 30 млн. клиентов, которые совершают в среднем два звонка в час. Тогда, исходя из стоимости звонка 0,1 у.е., получаем:

Потери в час: 30 млн. x 2 x 0,1 = 6 млн. у.е. Итого за 24 часа: 144 млн. у.е. Таким образом, через 24 часа в связи с потерей прибыли от клиентов оборотные активы снизятся на 144 млн. у.е., а краткосрочные обязательства возрастут на сумму того, что фирма так или иначе тратит во время своего функционирования, например заработную плату. В результате коэффициент ликвидности фирмы будет равен: Ктл = (600 – 144) у.е. : (500 + + 6,9 ) у.е. = 0,89, то есть ниже нормативного значения.

Итак, через 24 часа фирма может потерять устойчивость, если не восстановит информационную систему. Данный пример доказывает, что чрезвычайно важно на начальном этапе оценивать все возможные риски и показатели, необходимые для обеспечения непрерывности бизнеса.