BCP и DRP: планирование непрерывности и восстановления

Планирование непрерывности бизнеса (BCP) и планирование аварийного восстановления (DRP) — связанные, но различные направления. BCP сосредоточено на поддержании работы бизнеса во время сбоя с помощью ручных процессов, резервных площадок или режимов работы с ограниченной функциональностью. DRP посвящено именно восстановлению ИТ-систем и инфраструктуры после灾ствия. BCP — более широкая концепция: DRP является её компонентом, отвечающим за технологическое восстановление. Оба плана должны быть документированы, протестированы и поддерживаться в актуальном состоянии.

BCP и DRP активируются деструктивными событиями, выходящими за рамки обычного реагирования на эксплуатационные инциденты. К таким событиям относятся: атаки программ-вымогателей, шифрующие критически важные системы; стихийные бедствия (наводнение, землетрясение или торнадо, повредившие основной центр обработки данных); сбои инфраструктуры (продолжительное отключение электропитания или сбой ISP); пандемии или чрезвычайные ситуации в области общественного здравоохранения (COVID-19 показал важность планов обеспечения непрерывности удалённой работы); а также перебои в цепочках поставок, препятствующие получению оборудования для замены.

Анализ воздействия на бизнес (BIA) — это основополагающий документ как для BCP, так и для DRP. Он определяет: какие бизнес-процессы являются критическими и должны продолжаться любой ценой, какие процессы важны, но допускают задержку, каковы финансовые и операционные последствия простоя каждого процесса (потеря дохода за час, регуляторные штрафы, ущерб репутации), а также каков максимально допустимый простой для каждого процесса. Результаты BIA напрямую определяют целевые значения RTO и RPO, на которых основываются требования к восстановлению технологий.

После объявления бедствия активируется Команда кризисного управления (Crisis Management Team, CMT), которая берет на себя руководство реагированием организации. В состав CMT входят представители высшего руководства, IT, юридической службы, отдела коммуникаций, HR и службы эксплуатации объектов. CMT действует в соответствии с заранее определенной структурой командования при инцидентах (Incident Command Structure, ICS), в которой четко распределены роли: кто принимает решения о восстановлении, кто взаимодействует с клиентами и СМИ, кто координирует работу с поставщиками и регулирующими органами, а кто отвечает за благополучие сотрудников. Четкая структура командования предотвращает хаос и недопонимание, усиливающие последствия бедствия.

BCP обычно предусматривает использование альтернативных площадок для возобновления работы, если основная площадка недоступна. Hot-площадка — это полностью оборудованный дубликат объекта, данные на котором постоянно синхронизируются, поэтому он может принять нагрузку в течение нескольких минут. На Warm-площадке есть оборудование и электропитание, но для загрузки данных и настройки систем требуются часы или Days. Cold-площадка представляет собой пустой объект с электропитанием и сетевым подключением: оборудование необходимо доставить и установить, что занимает от нескольких Days до нескольких недель. Hot-площадки значительно дороже, но сводят к минимуму downtime критических процессов.

Соглашения о взаимопомощи — это договоры между организациями о предоставлении помощи во время бедствий. К распространенным формам относятся: взаимные соглашения (две организации договариваются размещать операции друг друга, если одна из них пострадает от бедствия), сторонние поставщики услуг DR (компании, такие как Sungard или IBM, предоставляют объекты для аварийного восстановления как услугу) и отраслевые организации взаимопомощи (коммунальные службы, банки и медицинские системы создают официальные сети для совместного использования ресурсов во время региональных бедствий). Соглашения о взаимопомощи необходимо пересматривать ежегодно и активировать во время учений.

Планы связи — важнейшая составляющая BCP. Во время бедствия обычные каналы связи могут быть недоступны (почтовые серверы не работают, офисные телефоны недоступны). Планы должны включать: списки экстренных контактов с личными номерами мобильных телефонов, резервные каналы связи (Slack, резервный экземпляр Teams, личная электронная почта), процедуры уведомления клиентов (страницы состояния сервисов, социальные сети, прямые сообщения по электронной почте), требования к уведомлению регулирующих органов (законы об уведомлении об утечках данных, требования финансовых регуляторов) и взаимодействие со СМИ для управления публичными заявлениями.

Эффективная документация BCP включает несколько ключевых компонентов: BIA (определяет критические процессы и максимально допустимый простой), сам BCP (пошаговые процедуры поддержания работы), DRP (процедуры восстановления IT), справочники экстренных контактов, списки контактов поставщиков (поставщики Cloud, интернет-провайдеры, ключевые поставщики), страховую документацию и процедуры уведомления регулирующих органов. Все документы необходимо хранить в местах, доступных при недоступности основных систем: в печатном виде, в защищенном облачном хранилище с автономным доступом или на USB-накопителях, которыми располагают ключевые сотрудники.

COVID показал, что большинство планов BCP недостаточно учитывали сценарии пандемии, при которых бедствие не ограничивается одной территорией, а одновременно затрагивает все площадки. Основные выводы: необходимо обеспечить, чтобы инфраструктура VPN масштабировалась для поддержки 100% сотрудников в удаленном режиме (а не только 20–30%, как предполагали допандемийные проекты), внедрить инструменты совместной работы на базе Cloud, функционирующие без локальной инфраструктуры, проверить возможность полного удаленного выполнения критических процессов и обеспечить непрерывность цепочки поставок оборудования, когда офисы приходится быстро организовывать в домах сотрудников.

BCP, который ни разу не тестировался, не сработает во время настоящего бедствия. Регулярные подходы к тестированию включают: настольные учения (обсуждение и пошаговый разбор сценария с ключевыми сотрудниками без активации систем), функциональные учения (фактическая активация цепочек оповещения и частичных процедур восстановления), полномасштабные испытания (переключение операций на альтернативную площадку и работа с нее в течение определенного периода) и разборы после инцидентов, по итогам которых план обновляется с учетом реального опыта. Планы следует пересматривать ежегодно и обновлять после любых значительных изменений инфраструктуры.

Во многих регулируемых отраслях наличие BCP и DRP является обязательным. HIPAA требует от подпадающих под действие закона организаций иметь планы обеспечения непрерывности, включая резервное копирование данных, DR и процедуры работы в аварийном режиме. PCI-DSS требует планов реагирования на инциденты и процедур обеспечения непрерывности бизнеса для систем, входящих в область действия стандарта. FINRA и банковские регуляторы требуют подробных планов BCP с ежегодным тестированием и представлением отчетности регулирующим органам. Страховщики киберрисков все чаще требуют документированный и протестированный BCP как условие страхового покрытия и могут отказать в выплате, если на момент страхового события план отсутствовал или не был протестирован.

Проверьте свое понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали: BCP поддерживает работу бизнеса во время сбоев, а DRP восстанавливает IT-системы; анализ воздействия на бизнес определяет критические процессы и максимально допустимый простой, на которых основываются требования к восстановлению; альтернативные площадки (Hot/Warm/Cold) обеспечивают разные уровни скорости и стоимости восстановления работы при недоступности основной площадки. Далее мы рассмотрим RTO, RPO и MTTR — конкретные метрики, количественно описывающие цели восстановления.