«Бизнес-непрерывность — это не про то, как быстро починить сервер после сбоя, а про то, как не сорвать социальные обязательства перед миллионами людей. Для организаций, входящих в КИИ, это превращает технический регламент в государственную политику устойчивости. Цель — сохранить ключевые общественные функции даже под целенаправленным ударом по инфраструктуре.»
Из чего состоит план непрерывности бизнеса?
План непрерывности бизнеса (ПНБ) — это официальный ответ организации на обязательный вопрос регулятора: что вы будете делать, когда штатная работа станет невозможной? Его суть не в том, чтобы в панике восстанавливать процессы, а в заранее разработанных и утверждённых мерах для удержания контроля над критически важными функциями. План выступает механизмом подотчётности, где каждое решение обосновано документально.
Ключевые компоненты плана
- Анализ влияния на бизнес (Business Impact Analysis, BIA) — процедура, которая делает план легитимным. Здесь формально фиксируется, какие процессы и данные нельзя остановить, а какие можно. Определяются не просто целевые RTO (допустимое время простоя) и RPO (допустимая потеря данных), а юридически значимые границы, выход за которые влечёт ответственность.
- Резервные системы и технологии — не схема на бумаге, а физически развёрнутая и проверяемая инфраструктура. Речь идёт об изолированных резервных ЦОДах, автономных узлах связи, а не о теоретической возможности арендовать мощности у провайдера. Их работоспособность регулярно тестируется.
- Команды реагирования и зоны ответственности — административный скелет для кризиса. Чёткое распределение ролей обеспечивает не столько скорость, сколько однозначность принятия решений и понимание, кто отвечает, когда обычная управленческая цепочка рушится.
- Процедуры и чек-листы — алгоритмы действий для работы в стрессе. Их задача — полностью исключить импровизацию, заменив её выполнением заранее согласованных шагов.
- Тестирование и актуализация — единственное доказательство, что план работает. Регулярные учения на реальной инфраструктуре становятся проверкой не техники, а персонала и регламентов. Без них план — фикция.
Связь с российской нормативной базой
Для объектов критической информационной инфраструктуры (КИИ) требования 152-ФЗ и документов ФСТЭК переводят ПНБ из разряда корпоративных практик в плоскость правового обязательства. Регулятор задаёт не ориентиры, а жёсткие нормативы выживаемости. Фокус смещён на три аспекта:
- Обеспечение доступа к услугам в «особых условиях». Система должна сохранять минимальную функциональность даже в ситуациях, которые могут быть квалифицированы как режим контртеррористической операции или иные чрезвычайные обстоятельства.
- Соблюдение жёстких временных рамок. Для объектов высшей категории значимости RTO в 4 часа — не рекомендация, а норма. Несоблюдение влечёт административную, а в ряде случаев и уголовную ответственность руководства.
- Обязательная интеграция с государственными системами. Процессы обработки инцидентов должны быть увязаны с такими системами, как ГосСОПКА. Отчётность о сбоях становится частью формального диалога с надзорными органами.
Как внедрить план на практике?
Главная сложность для поднадзорных организаций — не написать документ, а встроить ПНБ в живую систему корпоративного управления. План не может лежать в сейфе. Его положения должны быть интегрированы в Систему управления информационной безопасностью (СУИБ), регламенты по управлению изменениями и инцидентами, а также в процессы риск-менеджмента и внутреннего контроля.
Реальную эффективность плана определяет вовлечённость высшего руководства. Если топ-менеджмент не участвует в учениях и не считает ПНБ частью стратегии, он останется формальностью. Наиболее показательны внеплановые «слепые» проверки, когда команда поднимается по тревоге для отработки нестандартного сценария без предупреждения.
Примерная структура плана для объекта КИИ высшей категории
Для категории «А» задача выходит далеко за рамки ИТ-подготовки, становясь комплексной организационно-технической проблемой.
| Этап | Содержание | Ключевой результат |
|---|---|---|
| 1. Анализ (BIA) | Привлечение всех владельцев бизнес-процессов для формального закрепления их критичности и определения RPO/RTO. | Утверждённые на уровне правления цифры допустимого простоя и потери данных. |
| 2. Аудит рисков | Поиск единых точек отказа не только в технологиях, но и в кадрах, логистике, снабжении. | Карта критических уязвимостей организации. |
| 3. Разработка сценариев | Создание протоколов перехода на резервные режимы, включая взаимодействие с регуляторами, партнёрами и СМИ. | Набор утверждённых сценариев на различные типы инцидентов. |
| 4. Создание каналов управления | Организация низкотехнологичных, но надёжных каналов связи (выделенные радиочастоты, курьерская сеть) на случай отказа обычных сетей. | Гарантированная возможность отдавать приказы в любых условиях. |
| 5. Формирование команд | Создание географически разнесённых дублирующих команд с регулярной ротацией для поддержания готовности. | Наличие обученных и доступных кадров для управления кризисом. |
| 6. Проведение учений | Ежегодные комплексные учения с переключением на резервные мощности и привлечением внешних служб (МЧС). | Подтверждённая на практике работоспособность всех элементов плана. |
| 7. Документирование | Включение плана и всех его обновлений в систему управления документами с грифом ограничения доступа. | Контролируемый и актуальный документооборот по БНБ. |
Итог: Бизнес-непрерывность как стратегия, а не страховка
Сегодня план непрерывности бизнеса для объектов КИИ выполняет двойную роль. Он обеспечивает операционную устойчивость самой организации и одновременно является вкладом в национальную технологическую устойчивость. Наличие действующего плана — вопрос не просто корпоративного комплаенса, а выполнения обязательств перед государством как конечным гарантом общественно значимых услуг.
Это трансформирует ПНБ из набора инструкций в долгосрочную стратегию. Успех измеряется не тем, как быстро вы восстановились после сбоя, а тем, можете ли вы гарантировать минимально необходимый уровень сервиса в любых мыслимых условиях. Для руководства инвестиции в ПНБ — это не операционные расходы на «страховку», а капитальные вложения в легитимность продолжения деятельности. Отсутствие работоспособного плана для субъекта КИИ может быть расценено как угроза национальной безопасности, что повлечёт последствия, несопоставимые с любыми финансовыми потерями.