Аудит непрерывности бизнеса и аварийного восстановления

Учитывая организаций растущую зависимость от информационных технологий (ИТ) в своей деятельности, планирование непрерывности бизнеса охватывает всю организацию, а аварийное восстановление фокусируется на ИТ.

Аудит документов, охватывающих планы непрерывности бизнеса и аварийного восстановления (BCDR), обеспечивает стороннему подтверждению заинтересованным сторонам того, что документация является полной и не содержит существенных искажений.

Обзор

Часто используемые вместе термины «непрерывность бизнеса» (BC) и «аварийное восстановление» (DR) сильно различаются. BC относится к способности бизнеса продолжать критически важные функции и бизнес-процессы после возникновения катастрофы, тогда как аварийное восстановление относится конкретно к ИТ-функциям бизнеса, хотя и является подмножеством BC. ^[1]^[2]

Метрики

Основная цель — защитить организацию в случае, если все или часть ее операций и/или компьютерных услуг станут частично или полностью непригодными для использования .

План аварийного восстановления, иллюстрирующий хронологию **РПО** и **RTO** по отношению к **крупный инцидент (МИ)** .

Метрики аварийного восстановления

Минимизация простоев и потери данных во время аварийного восстановления обычно измеряется с точки зрения двух ключевых концепций:

Целевое время восстановления (RTO), время, пока система не будет полностью запущена и заработает.
Целевая точка восстановления (RPO) — мера возможности восстановления файлов путем указания момента времени, до которого будет восстанавливаться резервная копия.

Роль аудитора

Аудитор проверяет и оценивает

процедуры, указанные в плане BCP и DR, фактически соответствуют реальной практике
конкретный человек в организации, которого можно назвать специалистом по аварийному восстановлению, координатором по аварийному восстановлению или другим аналогичным должностным лицом, обладает техническими навыками, подготовкой, опытом и способностями для анализа возможностей члены команды для выполнения поставленных задач
более одного человека обучены и способны выполнять определенную функцию во время учений по DR. Тесты и опросы персонала могут помочь в достижении этой цели.

Документация

План аварийного восстановления

План аварийного восстановления ( DRP ) — это документированный процесс или набор процедур, позволяющих организации выполнять процессы аварийного восстановления инфраструктуру бизнеса , а также восстанавливать и защищать ИТ- в случае катастрофы . ^[3] Это «всеобъемлющее заявление о последовательных действиях, которые необходимо предпринять до, во время и после катастрофы». ^[4] Катастрофа может быть природной , экологической или техногенной . Техногенные катастрофы могут быть преднамеренными (например, террористический акт) или непреднамеренными (то есть случайными, например, прорыв искусственной плотины или даже «толстые пальцы» — или ошибочные команды, введенные — на компьютер). система).

Типы планов

Хотя единого плана, подходящего всем, не существует, ^[5] существуют три основные стратегии: ^[3]^[5]

профилактика, включая правильное резервное копирование, наличие сетевых фильтров и генераторов.
обнаружение, побочный продукт регулярных проверок, который может обнаружить новые (потенциальные) угрозы.
исправление ^[6]

Последнее может включать в себя обеспечение надлежащих страховых полисов и проведение мозгового штурма «извлеченных уроков». ^[3]^[7]

Лучшие практики

Чтобы максимизировать свою эффективность, DRP наиболее эффективны при частом обновлении и должны:

быть неотъемлемой частью всех бизнес-анализа , процессов
следует пересматривать при каждом крупном корпоративном приобретении , при каждом выпуске нового продукта и на каждом этапе разработки новой системы .
быть тщательно проверенным, а не просто непрактикованной бюрократической документацией

Организация должна вести соответствующие записи. Аудитор проверяет записи , счета и контракты , чтобы убедиться, что записи сохраняются. оборудования и программного обеспечения организации Одной из таких записей является текущий список поставщиков . Такой список составляется и периодически обновляется с учетом изменения деловой практики и как часть системы управления ИТ-активами . Его копии хранятся на сайте и за его пределами и предоставляются всем, кто в них нуждается. Аудитор тестирует процедуры, используемые для достижения этой цели, и определяет их эффективность.

Связь с ППГ

Аварийное восстановление — это часть обеспечения непрерывности бизнеса. В то время как DRP включает в себя политики, инструменты и процедуры, позволяющие восстановить данные после катастрофического события, BCP предполагает поддержание всех аспектов функционирования бизнеса независимо от потенциальных разрушительных событий. Таким образом, план обеспечения непрерывности бизнеса представляет собой комплексную организационную стратегию, которая включает в себя DRP, а также предотвращение, обнаружение, восстановление и возобновление операций в случае утечки данных или другого аварийного события. Таким образом, BCP состоит из пяти составных планов: ^[8]

План возобновления бизнеса
План действий жильцов в чрезвычайной ситуации
непрерывности операций План
управления инцидентами План
План аварийного восстановления

Первые три компонента (возобновление деятельности, чрезвычайные ситуации с арендаторами и планы обеспечения непрерывности деятельности) не связаны с ИТ-инфраструктурой. План управления инцидентами (IMP) касается ИТ-инфраструктуры, но, поскольку он устанавливает структуру и процедуры для противодействия кибератакам на ИТ-системы организации, он обычно не является агентом для активации DRP; таким образом, DRP является единственным компонентом BCP, представляющим активный интерес для ИТ. ^[8]

Тестирование

Общая категоризация тестов основана на функциональной и дискуссионной основе. Типы тестов включают в себя: настольные упражнения, ^[9] контрольные списки, моделирование, параллельная обработка (тестирование сайта восстановления во время работы основного сайта) и тесты полного прерывания (переключения при отказе). ^[10]^[11] Это относится как к BC, так и к DR.

Преимущества

Как и в случае с любым планом страхования, правильное планирование непрерывности бизнеса дает определенные преимущества, в том числе: ^[4] Исследования показали корреляцию между более высокими расходами на оплату аудита и более низким уровнем инцидентов . ^[12]

Минимизация риска задержек
Гарантия надежности резервных систем (даже автоматизация обнаружения сбоев и восстановления в определенных сценариях)
Предоставление стандарта для тестирования плана
Минимизация принятия решений во время стихийного бедствия
Сокращение потенциальных юридических обязательств
Снижение излишне напряженной рабочей среды

Методика планирования и тестирования

По словам Джеффри Х. Уолда из журнала Disaster Recovery Journal, весь процесс разработки плана аварийного восстановления состоит из 10 шагов: ^[4]

Проведение оценки рисков : Комитет по планированию готовит анализ рисков и анализ воздействия на бизнес (BIA), который включает ряд возможных бедствий. Каждая функциональная область организации анализируется для определения потенциальных последствий. Традиционно наибольшую угрозу представлял огонь. Тщательный план предусматривает «наихудшие» ситуации, такие как разрушение главного здания.
Установление приоритетов обработки и операций : критические потребности каждого отдела оцениваются и расставляются по приоритетам. письменные соглашения Подготавливаются для выбранных альтернатив с подробным указанием продолжительности, условий прекращения, тестирования системы , стоимости , любых специальных процедур безопасности, процедуры уведомления об изменениях в системе, часов работы, конкретного аппаратного и другого оборудования, необходимого для обработки, требований к персоналу. , определение обстоятельств, составляющих чрезвычайную ситуацию , процесс согласования расширений услуг, гарантия совместимости , доступность , требования к ресурсам, не относящимся к мэйнфреймам, приоритеты и другие договорные вопросы.
Сбор данных : сюда входят различные списки (список резервных должностей сотрудников, список важных телефонных номеров, основной список вызовов, главный список поставщиков, контрольный список уведомлений), инвентарные запасы (коммуникационное оборудование, документация, офисное оборудование, формы, страховые полисы , компьютер для рабочих групп и центров обработки данных). аппаратное обеспечение, микрокомпьютеров аппаратное и программное обеспечение , канцелярские товары , оборудование для хранения за пределами объекта, телефоны и т. д.), реестр распределения, графики резервного копирования/хранения программного обеспечения и файлов данных, спецификации временного местоположения, любые другие подобные списки, материалы, описи и документация. . Предварительно отформатированные формы часто используются для облегчения процесса сбора данных.
Организация и документирование письменного плана
Разработка критериев и процедур тестирования : причины тестирования включают:
- Определение возможности и совместимости средств и процедур резервного копирования.
- Выявление областей плана, которые нуждаются в доработке.
- Обучение руководителей и членов команды.
- Демонстрация способности организации к восстановлению.
- Обеспечение мотивации для поддержания и обновления плана аварийного восстановления.
Тестирование плана . Первоначальный « пробный прогон » плана выполняется путем структурированного пошагового тестирования. Необходимо провести реальный тестовый запуск. Проблемы исправлены.

Первоначальное тестирование можно планировать по частям и в нерабочее время, чтобы свести к минимуму сбои. Последующие тесты проводятся в обычное рабочее время.

Предостережения/споры

Из-за высокой стоимости различные планы не лишены критики. Dell выявила пять «распространенных ошибок», которые организации часто допускают при планировании BCP/DR: ^[13]

Отсутствие заинтересованности : когда высшее руководство рассматривает планирование аварийного восстановления как «просто еще одно фальшивое учение о землетрясении» или генеральные директора не делают планирование и подготовку аварийного восстановления приоритетом.
Неполные RTO и RPO : неспособность включить каждый важный бизнес-процесс или блок данных. Рябь может расширить воздействие стихийного бедствия. Расчет заработной платы может изначально не иметь решающего значения, но если оставить его в покое на несколько дней, он может стать более важным, чем любая из ваших первоначальных проблем.
Системная близорукость . Третья точка отказа предполагает сосредоточение внимания только на аварийном восстановлении без учета более широких потребностей в обеспечении непрерывности бизнеса. Потеря корпоративных офисных помещений в результате стихийного бедствия может привести к мгновенному появлению группы удаленных работников, которые, в свою очередь, могут в одночасье перегрузить VPN компании , перегрузить персонал ИТ-поддержки в мгновение ока и вызвать серьезные узкие места и монополию в АТС с коммутируемым доступом. система.
Слабая безопасность : в случае катастрофы данные и бизнес-процессы организации становятся уязвимыми. Таким образом, безопасность может быть более важной, чем чистая скорость, заложенная в RTO плана аварийного восстановления. Наиболее важным моментом становится обеспечение безопасности новых конвейеров данных: от новых VPN до соединений с удаленными службами резервного копирования.
- В случае стихийных бедствий планирование патологоанатомической экспертизы.
- Блокировка или удаленное удаление данных с потерянных портативных устройств

Решения и стратегии

Назначение площадки : выбор резервной площадки . Горячая площадка полностью оборудована для возобновления работы, тогда как холодная площадка не имеет такой возможности. Теплый сайт имеет возможность возобновить некоторые, но не все операции.

анализ затрат и выгод Необходим .

Периодические тесты и испытания проверяют жизнеспособность и эффективность плана. Аудитор изучает вероятность того, что деятельность организации может поддерживаться на том уровне, который предполагается в плане, а также способность организации фактически осуществлять деятельность на объекте.
Аудитор может проверить это с помощью бумажной и безбумажной документации и фактического физического наблюдения. Безопасность . места хранения также подтверждена

Резервное копирование данных . Аудит процессов резервного копирования определяет, (а) они эффективны и (б) действительно ли они выполняются задействованным персоналом. ^[14]^[15] План аварийного восстановления также включает информацию о том, как лучше всего восстановить любые нескопированные данные. Внедряются средства контроля и защиты, чтобы гарантировать, что данные не будут повреждены, изменены или уничтожены во время этого процесса.

Тренировки : периодические тренировки, проводимые с целью определить, насколько эффективен план, и определить, какие изменения могут потребоваться. Основной задачей аудитора здесь является проверка того, что эти тренировки проводятся должным образом и что проблемы, выявленные в ходе этих учений, решаются.

Резервное копирование ключевого персонала , включая периодическое обучение , перекрестное обучение и сокращение персонала.

Другие соображения

Вопросы страхования

покрытия компании Аудитор определяет адекватность страхового (в частности, страхования имущества и страхования от несчастных случаев компании ) путем проверки страховых полисов и других исследований. Среди пунктов, которые аудитор должен проверить, являются: объем политики (включая любые заявленные исключения), достаточная ли сумма покрытия для покрытия потребностей организации, а также то, что политика является актуальной и в силе. Аудитор также удостоверяется посредством проверки рейтингов, присвоенных независимыми рейтинговыми агентствами, что страховая компания или компании, предоставляющие страхование, обладают финансовой жизнеспособностью для покрытия убытков в случае стихийного бедствия.

Эффективные планы аварийного восстановления учитывают степень ответственности компании перед другими организациями и ее способность выполнить эти обязательства, несмотря на крупную катастрофу. Хороший аудит аварийного восстановления будет включать в себя анализ существующих MOA и контрактов , чтобы гарантировать, что юридическая ответственность организации за невыполнение обязательств в случае стихийного бедствия или любых других необычных обстоятельств сведена к минимуму. Также изложены соглашения, касающиеся оказания поддержки и помощи в восстановлении предприятия. Методы, используемые для оценки этой области, включают проверку разумности плана, определение того, учитывает ли план все факторы, а также проверку разумности контрактов и соглашений с помощью документации и внешних исследований.

Проблемы со связью

Аудитор должен убедиться, что планирование гарантирует, что и руководство , и команда восстановления имеют эффективное коммуникационное оборудование, контактную информацию как для внутренней связи, так и для внешних вопросов, например, о деловых партнерах и ключевых клиентах.

Методы аудита включают в себя

тестирование процедур, собеседование с сотрудниками, сравнение с планами другой компании и отраслевыми стандартами,
изучение руководств компании и других письменных процедур.
непосредственное наблюдение за тем, чтобы номера телефонов экстренных служб были указаны и были легко доступны в случае стихийного бедствия.

Экстренные процедуры

Процедуры поддержки персонала во время круглосуточного аварийного восстановления включены в любой хороший план аварийного восстановления. Процедуры запасания еды и воды, возможности проведения сердечно-легочной реанимации / первой помощи , а также действий в чрезвычайных ситуациях в семье четко описаны и проверены. Обычно компания может достичь этого посредством хороших программ обучения и четкого определения должностных обязанностей. Проверка готовности плана часто включает в себя такие задачи, как опрос персонала, прямое физическое наблюдение, а также изучение записей об обучении и любых сертификатов.

Экологические проблемы

Аудитор должен проверить процедуры, учитывающие возможность сбоев электропитания или других ситуаций, не связанных с ИТ.

фонарики и свечи . Могут понадобиться
меры безопасности в случае утечек газа, пожаров и других подобных явлений, а также средства индивидуальной защиты. Могут потребоваться

См. также

Ссылки

^ Сьюзан Снедакер (2013). Планирование непрерывности бизнеса и аварийного восстановления для ИТ-специалистов (2-е изд.). Берлингтон: Elsevier Science. ISBN 9780124114517 .
^ «В чем разница между аварийным восстановлением и непрерывностью бизнеса» . Облачный . 2019-11-25.
^ Перейти обратно: ^а ^б ^с Билл Абрам (14 июня 2012 г.). «5 советов по созданию эффективного плана аварийного восстановления» . Вычисления для малого бизнеса . Проверено 9 августа 2012 г.
^ Перейти обратно: ^а ^б ^с Уолд, Джеффри Х. (1997). «Процесс планирования аварийного восстановления» . Журнал аварийного восстановления . Адаптировано из тома 5 №1. Мир аварийного восстановления. Архивировано из оригинала 15 августа 2012 года . Проверено 8 августа 2012 г.
^ Перейти обратно: ^а ^б «Планирование аварийного восстановления – Пошаговое руководство» . Мичиганский государственный университет. Архивировано из оригинала 8 марта 2014 года . Проверено 9 мая 2014 г.
^ «Аварийное восстановление резервной копии» . Архивирование электронной почты и удаленное резервное копирование. 2010. Архивировано из оригинала 22 января 2013 года . Проверено 9 мая 2014 г.
^ «Аварийное восстановление и планы обеспечения непрерывности бизнеса» . Решения для перехода через камни. 2012. Архивировано из оригинала 23 августа 2012 года . Проверено 9 августа 2012 г.
^ Перейти обратно: ^а ^б Чад Бахан. (июнь 2003 г.). «План аварийного восстановления» . Проверено 24 августа 2012 г.
^ «Руководство по программам тестирования, обучения и упражнений для планов и возможностей ИТ» (PDF) . НИСТ . п. 21.
^ «В чем разница между штабными учениями, учениями, функциональными учениями и полномасштабными учениями?» .
^ «Программа учений и оценок внутренней безопасности (HSEEP)» (PDF) . Национальная безопасность. Январь 2020 г.
^ Ли, Он; Нет, Вон Гюн; Бориц, Дж. Ефрим (24 ноября 2021 г.). «Обеспокоены ли внешние аудиторы раскрытием информации о киберрисках» . Аудит: журнал практики и теории . дои : 10.2139/ssrn.2880928 . S2CID 168198159 .
^ Кормак Фостер; Корпорация Dell (25 октября 2010 г.). «Пять ошибок, которые могут свести на нет план аварийного восстановления» . Архивировано из оригинала 16 января 2013 г. Проверено 8 августа 2012 г.
^ Констанс Густке (7 октября 2015 г.). «Ураган Хоакин подчеркивает важность планов по продолжению работы» . Нью-Йорк Таймс .
^ Берман, Алан. : Построение успешного плана обеспечения непрерывности бизнеса. Журнал Business Insurance , 9 марта 2015 г. http://www.businessinsurance.com/article/20150309/ISSUE0401/303159991/constructing-a-successful-business-continuity-plan

Мессье, ВФ-младший (2011). Аудит и услуги по обеспечению качества: систематический подход (8-е изд.). Нью-Йорк: МакГроу-Хилл/Ирвин. ISBN 9780077520151 .
Гальегос, Ф.; Сенфт, С.; Дэвис, Алабама (2012). Контроль и аудит информационных технологий (4-е изд.). Бока-Ратон, Флорида: Публикации Ауэрбаха. ISBN 9781439893203 .

[1] Сьюзан Снедакер (2013). Планирование непрерывности бизнеса и аварийного восстановления для ИТ-специалистов (2-е изд.). Берлингтон: Elsevier Science. ISBN 9780124114517 .

[2] «В чем разница между аварийным восстановлением и непрерывностью бизнеса» . Облачный . 2019-11-25.

[5_tips-3] Перейти обратно: ^а ^б ^с Билл Абрам (14 июня 2012 г.). «5 советов по созданию эффективного плана аварийного восстановления» . Вычисления для малого бизнеса . Проверено 9 августа 2012 г.

[DR_journal-4] Перейти обратно: ^а ^б ^с Уолд, Джеффри Х. (1997). «Процесс планирования аварийного восстановления» . Журнал аварийного восстановления . Адаптировано из тома 5 №1. Мир аварийного восстановления. Архивировано из оригинала 15 августа 2012 года . Проверено 8 августа 2012 г.

[MSU-5] Перейти обратно: ^а ^б «Планирование аварийного восстановления – Пошаговое руководство» . Мичиганский государственный университет. Архивировано из оригинала 8 марта 2014 года . Проверено 9 мая 2014 г.

[6] «Аварийное восстановление резервной копии» . Архивирование электронной почты и удаленное резервное копирование. 2010. Архивировано из оригинала 22 января 2013 года . Проверено 9 мая 2014 г.

[7] «Аварийное восстановление и планы обеспечения непрерывности бизнеса» . Решения для перехода через камни. 2012. Архивировано из оригинала 23 августа 2012 года . Проверено 9 августа 2012 г.

[SANS-8] Перейти обратно: ^а ^б Чад Бахан. (июнь 2003 г.). «План аварийного восстановления» . Проверено 24 августа 2012 г.

[9] «Руководство по программам тестирования, обучения и упражнений для планов и возможностей ИТ» (PDF) . НИСТ . п. 21.

[10] «В чем разница между штабными учениями, учениями, функциональными учениями и полномасштабными учениями?» .

[11] «Программа учений и оценок внутренней безопасности (HSEEP)» (PDF) . Национальная безопасность. Январь 2020 г.

[12] Ли, Он; Нет, Вон Гюн; Бориц, Дж. Ефрим (24 ноября 2021 г.). «Обеспокоены ли внешние аудиторы раскрытием информации о киберрисках» . Аудит: журнал практики и теории . дои : 10.2139/ssrn.2880928 . S2CID 168198159 .

[13] Кормак Фостер; Корпорация Dell (25 октября 2010 г.). «Пять ошибок, которые могут свести на нет план аварийного восстановления» . Архивировано из оригинала 16 января 2013 г. Проверено 8 августа 2012 г.

[14] Констанс Густке (7 октября 2015 г.). «Ураган Хоакин подчеркивает важность планов по продолжению работы» . Нью-Йорк Таймс .

[15] Берман, Алан. : Построение успешного плана обеспечения непрерывности бизнеса. Журнал Business Insurance , 9 марта 2015 г. http://www.businessinsurance.com/article/20150309/ISSUE0401/303159991/constructing-a-successful-business-continuity-plan

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]