ПОЛЕЗНЫЕ ПУБЛИКАЦИИ

Автор: Сергей Гриняев
Источник: Connect!

Если пришла беда...

Последние несколько лет характеризуются динамичной перестройкой восприятия окружающего мира не только у специалистов, занятых в области информационных технологий, но и у тысяч простых пользователей этих самых информационных технологий. Поскольку чрезвычайные ситуации различной природы стали практически нормой сегодняшнего дня, то, соответственно, возникла и необходимость по формализации деятельности персонала информационных и телекоммуникационных систем в условиях таких ситуаций. В комплекте нормативной документации появился документ – "План восстановления функционирования системы в условиях чрезвычайных ситуаций". Что же он собой представляет? Как его разработать? Какая информация должна быть в нем отражена? Ответы на эти и другие вопросы мы постарались дать в статье.

Общие положения

Один из наиболее полных и логичных образцов подобного документа был разработан Национальным институтом стандартов США (NIST) в 2001 году (http://www.anykeynow.com/services/white_papers/bcp1.htm).

План восстановления функционирования системы (далее План) устанавливает перечень и последовательность процедур, необходимых для восстановления нормального функционирования системы после наступлении чрезвычайных обстоятельств, повлекших отказ в доступности ресурсов системы в результате выхода из строя отдельных элементов системы, физического разрушения помещений, пожара, наводнения, террористических атак и др.

Основная цель реализации Плана заключается в обеспечении быстрого и полного восстановления устойчивого функционирования информационной системы.

Поставленная цель достигается решением следующих задач:

• определение порядка действий, процедур и ресурсов, необходимых для восстановления функционирования системы или обеспечения ее устойчивого функционирования в резервном варианте размещения технических средств и персонала;
• определение штатного состава и основных обязанностей персонала оперативного штаба и аварийных групп из числа сотрудников банка по реализации мероприятий Плана восстановления, а также порядка организации эффективного взаимодействия между аварийными группами и управления ими в течение всего времени активности Плана восстановления;
• определение порядка взаимодействия и координации действий оперативного штаба по реализации Плана с другими организациями и структурами (пожарные, медперсонал, милиция, спасатели и др.), которые, возможно, будут привлекаться к ликвидации последствий чрезвычайных событий, вызвавших нарушение нормального функционирования системы.

К примеру, специалисты NIST все мероприятия по выполнению Плана распределяют по трем этапам:

• этап уведомления/активации Плана. Основные задачи, решаемые на данном этапе, – своевременная идентификация наступления чрезвычайных условий, обнаружение нанесенных системе повреждений, оценка ущерба, прогноз возможности восстановления функционирования системы и принятие решения о необходимости активации Плана восстановления системы;
• этап восстановления. Основные задачи – восстановление функционирования системы по временной схеме (с использованием резервных средств и помещений), проведение комплекса работ по полному восстановлению работоспособности системы в объеме обычных условий;
• этап воссоздания системы/деактивации Плана. Основные задачи – полное восстановление нормальной работы системы и деактивация Плана восстановления, возврат к нормальному функционированию.

Согласно исследованию компании McKinseyQuarterly, за последний год в США значительно возросло число компьютерных атак на корпоративные IT-системы. В исследовании McKinseyQuarterly сообщается, что число компьютерных атак (действия хакеров, вирусов, червей, недобросовестных работников и др.) возросло на 150% по сравнению с 2000 годом, составив в общей сложности 53000 случаев взлома систем информационной безопасности компаний.

Такой рост произошел в первую очередь из-за отношения к IT-безопасности как к области сугубо технологической. Это означает, что многими организационными и стратегическими решениями в компаниях попросту пренебрегали.

Принципы планирования восстановления

Реализуемость Плана основана на двух предположениях:

• нормальное функционирование системы нарушено в результате наступления некоторого чрезвычайного события или цепи подобных событий. В результате система не способна реализовывать свои функции в объеме, требуемом для качественного обслуживания абонентов;
• существует подготовленное помещение, которое выполняет функции резервного центра размещения технических средств системы. Персонал системы формирует необходимую информационно-вычислительную среду на основе технических средств резервного центра для восстановления функционирования системы по резервному варианту размещения в период действия Плана восстановления. Кроме того, резервный вариант размещения используется в течение всего времени, необходимого для восстановления функционирования системы по прежнему (либо новому) месту размещения.

Допущения при разработке Плана

При разработке Плана восстановления, как правило, применяются следующие основные допущения и посылки:

• система неработоспособна, с учетом специфики реализации и технологии работы системы, технические средства могут быть восстановлены по прежнему месту размещения не ранее чем через 12 часов;
• заранее определен ключевой персонал, который осведомлен о действиях в чрезвычайных обстоятельствах и своих обязанностях в процессе восстановления работоспособности системы;
• системы контроля, аварийного оповещения и ликвидации последствий (противопожарные системы, контроль загазованности, контроль протечек водопровода и отопления и др.) исправны и находятся в работоспособном состоянии.
• все элементы системы (как в месте постоянного размещения, так и в резервном помещении) обеспечены непрерывным энергопитанием не менее чем на 30 минут с момента выхода из строя основной энергосистемы. В последующем все элементы системы подключаются к дизель-генератору, обеспеченному трехсуточным запасом топлива;
• аппаратно-программные средства, размещенные в центральном офисе, не доступны в результате чрезвычайных обстоятельств более 12 часов;
• актуальные резервные копии прикладного программного обеспечения и данных не повреждены и доступны в резервном офисе;
• необходимое для восстановления системы оборудование доступно в резервном офисе;
• договоры на техническое обслуживание аппаратных средств, обновление программного обеспечения и услуги провайдеров связи включают положения, необходимые для реализации Плана восстановления функционирования системы.

Целью хакерской атаки обычно является хищение коммерческой информации и финансовое мошенничество, однако в Москве, по опросам специалистов, эти позиции составляют лишь 3% и 6% от общего числа хакерских атак. Эксперты Ernst & Young полагают, что масштабы проблемы намного существеннее, а низкий процент объясняется тем, что современные хакеры искусно скрывают следы. Только в Москве ущерб от электронных мошенников оценивается столичными правоохранительными органами в 12 - 15 млн долларов в месяц.

Основные требования к политике организации

Эффективная реализация Плана требует учета основных его положений при планировании политики развития организации.

Прежде всего, организация должна развивать свои способности по восстановлению нормального функционирования информационной системы в случае ее недоступности в течение не более 12 часов. При недоступности аппаратно-программных средств системы, расположенных в центральном офисе организации, более 6 часов должно быть предусмотрено наличие резервного офиса, обладающего соответствующей инфраструктурой и ресурсами для восстановления нормального функционирования системы по резервному варианту.

Все процедуры, необходимые для выполнения Плана, должны быть изложены в соответствующих инструкциях в структурных подразделениях организации, привлекаемых к реализации Плана. Документы должны пересматриваться не реже одного раза в год и модифицироваться по мере необходимости.

Персонал, ответственный за систему, должен быть обучен выполнять процедуры Плана восстановления.
Все положения Плана и практические возможности персонала по его реализации в части восстановления функционирования системы должны проверяться в ходе учений и тренировок не реже одного раза в год.

Организация работ по восстановлению функционирования системы

Основным координирующим и управляющим органом по реализации Плана восстановления функционирования системы является оперативный штаб.

Возглавляет деятельность штаба координатор по вопросам восстановления. На эту должность назначается руководитель организации или его заместитель.

Штаб обычно размещается в рабочем кабинете координатора и оборудуется средствами связи и обмена информацией, способными обеспечить бесперебойное взаимодействие членов штаба с руководителями подразделений, руководителями аварийных групп, организациями и структурами, привлекаемыми для ликвидации последствий чрезвычайной ситуации.

В состав оперативного штаба, согласно рекомендациям NIST, входят:

• начальники структурных подразделений организации; 
• начальник отдела защиты информации;
• оперативный дежурный (секретарь).

Все члены штаба снабжаются средствами мобильной или пейджинговой связи. Список номеров телефонов членов штаба, руководителей аварийных групп и дежурных служб, а также городских аварийных служб находится у каждого члена штаба. В схеме оповещения персонала должны быть предусмотрены варианты их информирования для рабочего и нерабочего времени.

В задачу штаба входит оценка ущерба, необходимых для восстановления нормального функционирования ресурсов и времени, а также координация действий персонала.

Штаб взаимодействует и координирует свои действия с оперативными штабами других организаций и служб, связанных с ликвидацией последствий чрезвычайной ситуации.

В ходе реализации Плана выполняются мероприятия, сгруппированные по следующим категориям:

• мероприятия по анализу повреждений – оценка повреждений, подготовка прогноза восстановления и предложений по активизации Плана восстановления;
• мероприятия по подготовке аппаратно-программных средств – подготовка помещения и аппаратно-программных средств к развертыванию системы по резервному варианту (подготовка рабочих мест для прибывающего персонала, телефонной связи и компьютерной сети, обеспечение резервного электропитания подключаемой техники и др.);
• мероприятия по развертыванию системы по резервному варианту – развертывание аппаратно-программных средств системы с использованием резервных копий данных, находящихся в резервном центре;
• мероприятия по аварийному сопровождению системы – поддержание работы технических средств в здании организации, попавшем в зону чрезвычайной ситуации, возможно более долгое время, до момента задействования резервного варианта функционирования системы;
• мероприятия по восстановлению – проведение необходимых мероприятий, совместно с представителями других организаций (пожарные, милиция, спасатели и др.) по локализации и устранению последствий событий, повлекших выход из строя системы;
• мероприятия по эвакуации – эвакуация носителей информации ограниченного распространения, а также оборудования системы из здания, попавшего в зону чрезвычайной ситуации.

Порядок уведомления о чрезвычайных событиях. Активация Плана восстановления системы

Данный этап является первоначальной стадией в цикле работ по восстановлению функционирования системы. Именно в ходе его выполнения принимается решение о необходимости активации Плана восстановления.

Этап делится на следующие фазы:

• получение сигнала о чрезвычайной ситуации;
• развертывание оперативного штаба;
• принятие решения на активацию Плана восстановления;
• доведение решения до всех структур и подразделений, задействуемых в Плане восстановления.

Эксперты отмечают, что информация о чрезвычайной ситуации может быть как срочной (начавшийся пожар, прорыв системы водоснабжения, внезапное отключение электричества, теракт, нападение и т. д.), так и долгосрочной (приближение наводнения, радиационного или химического облака, штормовое предупреждение, оперативные данные о готовящемся террористическом нападении и т. п.).

В любом случае координатор должен уточнить источник информации и убедиться в ее истинности, прежде чем принимать решение о развертывании штаба и активации Плана.

При получении информации координатор (оперативный дежурный) должен в специальном журнале зафиксировать время поступления информации и ее источник (фамилию передавшего информацию, телефон или другой источник ее поступления).

При поступлении срочной информации координатор немедленно оповещает о ее получении руководство, членов оперативного штаба и руководителей подразделений.

Вся оперативная информация о чрезвычайной ситуации и ее развитии должна стекаться, как правило, в оперативный штаб.

Учитывая конфиденциальный характер, в полном объеме с данной информацией может быть ознакомлено руководство организации и члены оперативного штаба. Выдача кому-либо другому информации о чрезвычайной ситуации без разрешения координатора категорически запрещается.

Развертывание оперативного штаба

Приняв решение об активации Плана, координатор доводит необходимую информацию до членов оперативного штаба. В сообщении должны быть указаны время и место сбора его членов.

Должно быть предусмотрено несколько вариантов размещения оперативного штаба: основной – в рабочем кабинете координатора, запасной – вне помещений организации, резервный - в микроавтобусе, автофургоне и т. д.

Каждый член штаба должен знать, какие документы и технические средства он обязан иметь при себе на случай объявления чрезвычайной ситуации.

При созыве членов штаба в рабочее время они (или замещающие их лица) прибывают в указанное место незамедлительно.

При созыве членов штаба в нерабочее время должно учитываться время на их сбор и перемещение в указанное место.

В схеме оповещения членов оперативного штаба должны быть указаны точный адрес, телефон, наличие личного транспортного средства. В случае невозможности прибытия члена штаба на личном транспорте должен быть предусмотрен вариант его доставки служебным или частным автотранспортом.

По прибытии члены штаба вводятся в курс дела, им обеспечивается доступ ко всей необходимой информации.

Каждому члену штаба определяется его рабочее место, которое должно быть оснащено необходимыми средствами связи.

Принятие решения на активацию Плана

Решение о необходимости активизации Плана восстановления системы принимает координатор лично, на основании результатов анализа, проведенного группой анализа повреждений, а также выводов и рекомендаций членов оперативного штаба.

С этой целью каждый член штаба дает ситуации оценку, в которой приводит свое видение проблемы (активировать или нет в складывающейся обстановке План восстановления) и кратко его аргументирует.

В докладах членов штаба и руководителя группы анализа повреждений должна быть отражена следующая информация:

• возможная причина инцидента;
• характер повреждений (затронутая физическая область и состояние физической инфраструктуры, состояние и функциональные возможности оборудования и инвентаря, включая перечень элементов, подлежащих восстановлению);
• прогноз развития инцидента, потенциал для возможного углубления (расширения) его последствий, могущих привести к увеличению разрушений или повреждений в системе; 
• примерное время на восстановление работоспособности системы;
• предложения по активизации Плана восстановления.

На принятие решения накладываются некоторые серьезные ограничения. Так, решение координатором об активизации Плана восстановления должно быть принято в течение не более 30 минут с момента получения им информации об инциденте. Принятое решение не обсуждается.

План восстановления системы должен быть активизирован в обязательном порядке, если анализ повреждений говорит о том, что на восстановление ее работоспособности необходимо более 6 часов, при этом существует опасность физического разрушения инфраструктуры и аппаратно-программных средств системы или реальная угроза жизни и здоровью персонала.

Если нанесенный системе ущерб может быть устранен за время не более 6 часов, то координатор вправе не активировать План восстановления, а поручить устранение неисправностей соответствующим специалистам в рабочем порядке.

Координатор также может принять решение о привлечении аварийно-спасательных служб города для локализации и ликвидации последствий чрезвычайного происшествия.

Как при положительном (активировать План), так и отрицательном (отбой) решении оно доводится до руководства и всех привлекаемых к реализации Плана восстановления структур.

Мероприятия по восстановлению работоспособности системы в резервном варианте размещения оборудования и персонала

Обеспечение готовности резервного помещения заключается в заблаговременном оснащении резервного центра необходимым количеством средств вычислительной техники, которые образуют автономную подсеть и имеют выход на резервный сервер, а также расходных материалов и канцтоваров.

К каждому средству вычислительной техники прилагается инструкция, в которой излагаются действия оператора данного средства при получении сигнала оповещения о чрезвычайной ситуации и команды на переход на резервный режим функционирования системы.

Для получения резервных копий программ и данных организуется процесс дублирования и актуализации баз данных, необходимых для работы клиентов системы.

Резервные копии программ хранятся как в центральном помещении организации, так и в резервном центре. Актуализация копий программ производится немедленно после их замены или модернизации в системе.

Возврат к нормальному функционированию системы

По завершении восстановительных мероприятий руководитель работ по анализу повреждений готовит отчет о готовности системы к возврату в первоначальное состояние и возможности деактивации Плана восстановления.

Решение о деактивации Плана восстановления принимается координатором на основании информации, полученной по результатам анализа ситуации. Принятое решение докладывается руководству организации.

После получения сигнала по деактивации Плана восстановления персонал аварийных групп выполняет мероприятия по приведению системы в исходное состояние.

Для этих целей, как правило, привлекается тот же персонал, что и для выполнения работ по активации Плана восстановления.

По результатам выполнения работ каждый сотрудник докладывает своему непосредственному начальнику, а тот – координатору.

После восстановления нормального функционирования системы по первоначальному варианту руководители структурных подразделений проводят подробный разбор и анализ действий подчиненных в ходе выполнения работ по Плану восстановления. Результаты разбора и анализа передаются координатору. На основании полученных материалов он составляет подробный отчет для руководства организации о произошедшем событии, принятых мерах и их эффективности, понесенных банком убыткам. При необходимости вырабатываются и докладываются предложения по совершенствованию инфраструктуры на случай повторения подобных ситуаций.

Изменившийся характер угроз заставляет обратить внимание на те сферы обеспечения устойчивого функционирования систем, которые еще несколько лет назад не были столь актуальными. Среди документов, регламентирующих работу системы в чрезвычайной ситуации, основное место занимает План восстановления функционирования. Сегодня наличие подобного документа стало обязательным для всех предприятий и организаций.