Тестирование и учения по ISO 22301

Почему учения ПНБ определяют успех аудита ISO 22301

Многие организации подходят к аудиту системы менеджмента непрерывности бизнеса с ложным чувством безопасности. Они тратят месяцы на разработку всеобъемлющего Плана непрерывности бизнеса (ПНБ), проведение Анализа воздействия на бизнес (BIA) и определение стратегий восстановления. Однако, когда приходит аудитор, организация получает значительное несоответствие. Причина почти всегда одна и та же: отсутствие задокументированного тестирования и учений по ISO 22301.

Наличие плана на бумаге — это только первый шаг. Стандарт ISO 22301 требует доказательств того, что ваши стратегии действительно работают на практике, а ваша команда знает, как их применять в стрессовых ситуациях. Без реальных доказательств, полученных в ходе реалистичных проверок, ваша система менеджмента непрерывности бизнеса считается теоретической и не соответствующей требованиям.

Аудиторы обучены смотреть глубже документации. Они хотят видеть, как ваша организация реагирует на неожиданные сбои, как осуществляется коммуникация во время кризиса и достижимо ли на практике установленное Целевое время восстановления (RTO). В этой статье мы подробно разберем, что именно ожидают увидеть аудиторы и как вы можете выстроить программу учений, гарантирующую успешную сертификацию.

Расшифровка требований пункта 8.5 стандарта ISO 22301

Чтобы успешно пройти аудит, вы должны глубоко понимать требования пункта 8.5 стандарта ISO 22301:2019, который регламентирует программу учений. Стандарт не требует проведения разовой проверки; он требует наличия структурированной, постоянно действующей программы учений, которая со временем подтверждает эффективность ваших мер по обеспечению непрерывности бизнеса.

Пункт 8.5 предписывает, что ваши учения должны соответствовать области применения и целям вашей Системы менеджмента непрерывности бизнеса. Они должны основываться на подходящих сценариях, быть хорошо спланированными и иметь четко определенные цели и задачи. Кроме того, стандарт требует, чтобы учения развивали командную работу, компетентность и уверенность у тех, кто играет роль в реагировании на сбои.

Важнейшим и часто упускаемым из виду требованием является то, что учения должны оцениваться. Вы не можете просто провести проверку и забыть о ней. Вы должны задокументировать формальный анализ после проведения учений, который выявляет возможности для улучшения. Аудиторы будут целенаправленно искать связь между результатами ваших учений и процессами постоянного улучшения. Если ваши учения всегда проходят идеально и вы никогда не находите областей для развития, аудитор, скорее всего, сделает вывод, что ваши сценарии недостаточно сложны или ваши оценки поверхностны.

Виды учений по непрерывности бизнеса

Одно из самых распространенных заблуждений относительно тестирования и учений по ISO 22301 заключается в том, что для подтверждения соответствия необходимо отключить всю ИТ-инфраструктуру или эвакуировать здание. На самом деле аудиторы ожидают увидеть сочетание различных видов учений, сложность которых со временем возрастает.

Командно-штабные учения

Это дискуссионные сессии, на которых члены команды собираются в переговорной комнате, чтобы разобрать гипотетический сценарий. Фасилитатор вводит новую информацию, а команда обсуждает, как бы она отреагировала на основе Плана непрерывности бизнеса. Командно-штабные учения отлично подходят для проверки протоколов связи и выявления очевидных пробелов в плане без прерывания повседневной деятельности.

Имитационные учения

Имитации носят более операционный характер. Они включают в себя реальное ролевое моделирование и мобилизацию ресурсов, хотя обычно в ограниченной среде. Например, ваша группа управления кризисными ситуациями может собраться в выделенном командном центре, используя реальные инструменты связи для управления смоделированной кибератакой, в то время как за пределами комнаты продолжается нормальная работа бизнеса.

Полномасштабные прерывания

Это самые сложные и рискованные учения, включающие фактическое отключение систем или объектов для проверки возможностей переключения на резервные мощности и физического восстановления. Хотя они очень эффективны, их следует проводить только после того, как командно-штабные и имитационные учения пройдут успешно. Аудиторы ищут многолетнюю программу учений, которая включает все эти виды, а не рискованный полномасштабный тест, проведенный преждевременно.

Пошаговое руководство по разработке учений

Разработка учений, соответствующих требованиям стандарта, требует тщательного планирования. Вы не можете просто собрать команду, объявить о гипотетическом пожаре и назвать это проверкой. Аудиторы ожидают увидеть задокументированный план учений, в котором изложены параметры теста до его начала.

Сначала определите область применения и цели. Что именно вы тестируете? Цели должны быть измеримыми. Вместо того чтобы писать «протестировать план восстановления», правильной целью будет «убедиться, что резервный сервер может быть запущен и доступен финансовому отделу в течение четырехчасового Целевого времени восстановления».

Затем разработайте реалистичный сценарий. Сценарий должен быть правдоподобным и напрямую связанным с рисками, выявленными в вашей формальной оценке рисков. Если ваш объект находится в зоне затопления, сценарий наводнения весьма актуален. Составьте график «вводных» — конкретных фрагментов информации или событий, которые фасилитатор будет вводить во время учений, чтобы бросить вызов команде и заставить ее принимать решения.

Наконец, распределите четкие роли. Вам нужен фасилитатор для управления сценарием, участники, которые будут выполнять план, и наблюдатели, которые будут молча делать заметки о том, что работает, а что нет. Использование структурированных шаблонов или инструмента дорожной карты от KaliteGO может помочь вам напрямую связать цели этих учений с требованиями стандарта, гарантируя, что на этапе планирования ничего не будет упущено.

Проведение проверки и сбор доказательств

Когда наступает день учений, ваше основное внимание смещается с выполнения на сбор доказательств. Самая идеально проведенная проверка непрерывности бизнеса ничего не стоит на аудите ISO 22301, если вы не можете доказать, что она была.

Аудиторы работают по принципу объективных доказательств. Вы должны собирать данные на протяжении всех учений. Начните с подписанного листа посещаемости. Это доказывает, что необходимый персонал присутствовал и принимал активное участие. Во время учений наблюдатели должны вести подробные журналы предпринятых действий, принятых решений и точного времени этих событий.

Если вы проводите тест на переключение ИТ-систем, сохраните системные журналы и скриншоты, показывающие, что резервные системы были запущены в зафиксированное время. Если вы тестируете экстренную связь, сохраните квитанции о доставке из вашей системы массового оповещения.

Поощряйте участников использовать во время проверки реальные формы и чек-листы, содержащиеся в вашем Плане непрерывности бизнеса. Наличие этих заполненных документов с смоделированными данными из учений служит для аудитора невероятно сильным доказательством того, что ваша команда знакома с инструментами и процедурами плана.

Отчет по итогам учений и постоянное улучшение

Самый критический этап вашей программы тестирования и учений по ISO 22301 наступает после завершения проверки. Пункт 8.5 строго требует задокументированной оценки учений. Именно здесь многие организации терпят неудачу; они проводят проверку, но забывают написать отчет.

Сразу после учений проведите дебрифинг (или «горячий разбор») со всеми участниками. Обсудите, что прошло хорошо, что не удалось и чего не хватало в плане. Зафиксируйте эти выводы в формальном Отчете по итогам учений. В этом отчете должно быть четко оценено, были ли достигнуты первоначальные измеримые цели.

Отчет также должен включать план корректирующих действий. Когда во время учений выявляются пробелы или сбои, они должны быть включены в процесс постоянного улучшения вашей системы менеджмента в соответствии с Пунктом 10.1. Вы должны задокументировать конкретные действия, назначить ответственных лиц и установить сроки для обновления Плана непрерывности бизнеса или проведения дополнительного обучения. Во время вашего следующего аудита аудитор проверит, были ли эти корректирующие действия фактически реализованы и верифицированы.

Частые вопросы аудиторов и несоответствия

Понимание того, как мыслят аудиторы — ваша лучшая защита от несоответствий. При проверке вашей программы учений аудиторы будут искать слабые места в вашей документации и методологии.

Типичные вопросы аудитора

• Покажите мне график вашей программы учений. Как вы определяли частоту этих проверок?
• Как вы гарантируете, что учения не создают неприемлемых рисков для ваших реальных бизнес-операций?
• Можете ли вы показать мне отчет по итогам ваших последних учений? Какие улучшения были внесены в план в результате?
• Как вы подтверждаете компетентность лиц, назначенных в группу управления кризисными ситуациями во время этих учений?

Распространенные несоответствия

Частым значительным несоответствием является наличие программы учений, которая тестирует только аварийное восстановление ИТ, игнорируя бизнес-процессы, протоколы связи и человеческие ресурсы. Другая распространенная проблема — отсутствие измеримых целей; если аудитор не может определить, как вы измеряете успех, вы получите замечание. Наконец, аудиторы часто фиксируют несоответствия, когда корректирующие действия после учений задокументированы, но остаются открытыми и нерешенными в течение нескольких месяцев без какого-либо обоснования.

Практический чек-лист для ваших следующих учений

Чтобы убедиться, что вы полностью готовы к сертификационному или надзорному аудиту, используйте этот практический чек-лист для управления вашими следующими учениями по непрерывности бизнеса.

Планирование до начала учений

• Убедитесь, что сценарий учений соответствует вашей формальной оценке рисков.
• Задокументируйте измеримые цели, связанные с вашим Целевым временем восстановления (RTO).
• Составьте подробный график событий и вводных для фасилитатора.
• Назначьте и проинструктируйте фасилитатора, участников и выделенных наблюдателей.
• Убедитесь, что все необходимые документы для учений и инструменты связи готовы.

Во время учений

• Соберите подписи в официальном листе посещаемости.
• Убедитесь, что наблюдатели фиксируют точное время ключевых решений и действий.
• Сохраняйте системные журналы, скриншоты и квитанции о связи в качестве доказательств.
• Контролируйте учения, чтобы убедиться, что они не нарушают реальные бизнес-операции.

Действия после учений

• Проведите дебрифинг со всеми участниками сразу после проверки.
• Составьте формальный Отчет по итогам учений, оценивающий достижение целей.
• Выявите пробелы и зарегистрируйте их как формальные корректирующие действия.
• Обновите План непрерывности бизнеса на основе извлеченных уроков.