Тестирование

Планы по восстановлению должны пройти тестирование. Тестирование является важной частью ITSCM. Именно оно гарантирует то, что принятые стратегия, соглашения, планы и процедуры будут действительно работать на практике.

Поставщик услуг ответственен за то, что в случае катастрофы услуги могут быть восстановлены в заданный временной интервал с требуемой функциональностью и производительностью. Тесты должны проводиться по максимально реалистичным сценариям. Тем не менее, необходимо понимать, что даже самое тщательное тестирование не может учесть все нюансы, которые могут возникнуть в реальности.

Стадия 4 - Непрерывная эксплуатация

Эта стадия состоит из следующего:

1. Обучение, готовность, тренинги - персонал должен быть готов к возникновению непредвиденных обстоятельств и знать, что необходимо делать при их возникновении;

2. Пересмотр - все выходы процесса ITSCM должны регулярно пересматриваться на предмет актуальности и корректироваться в случае необходимости;

3. Тестирование - помимо начального тестирования, необходимо предусмотреть регулярное тестирование стратегии, планов и других выходов ITSCM. Резервные копии и механизмы восстановления также должны тестироваться;

4. Управление изменениями - процесс, ответственный за оценку изменений с точки зрения их влияния на планы ITSCM.

Инициирование является заключительным тестом для Планов обеспечения непрерывности бизнеса и услуг. Этот процесс должен рассматривать процедуру запуска планов по восстановлению в случае непредвиденных обстоятельств. Необходимо помнить, что решение об инициации планов должно быть хорошо взвешенным, особенно в случае использования услуг восстановления третьих сторон. Сбой может произойти в любое время дня и ночи, поэтому важно иметь возможность незамедлительно инициировать планы по восстановлению.

Входами ITSCM являются:

1. информация от бизнеса - стратегия, планы и бюджет организации, текущие и будущие требования;

2. информация от IT - стратегия, планы и бюджет IT;

3. стратегия и планы обеспечения непрерывности бизнеса;

4. информация об услугах - информация от SLM, в частности из Портфеля услуг и Каталога услуг, SLA/SLR;

5. финансовая информация - информация от процесса Управления финансами о стоимости предоставления услуг, ресурсов и компонентов;

6. информация об изменениях - информация от процесса Управления изменениями, в частности расписание изменений и их влияние на Планы обеспечения непрерывности;

7. информация о взаимоотношениях бизнеса с услугами, вспомогательными услугами и технологиями.

8. расписания Управления непрерывностью бизнеса и Управления доступностью;

9. Планы обеспечения непрерывности услуг и отчеты тестирования партнеров, поставщиков.

Выходами ITSCM являются:

1. политика и стратегия ITSCM;

2. набор планов, в том числе планы Антикризисного управления, Срочных ответных действий, Восстановления после катастрофы, а также совокупность вспомогательных планов и контрактов с поставщиками услуг по восстановлению.

Антикризисное управление (Crisis Management) - процесс, отвечающий за управление непрерывностью бизнеса в самом широком смысле. Команда антикризисного управления отвечает за стратегические вопросы, такие как управление взаимодействием со средствами массовой информации и доверием акционеров, а также принимает решение об инициации планов обеспечения непрерывности бизнеса.

3. Анализ влияния на бизнес и соответствующие отчеты;

4. Анализ рисков и управленческие обзоры и отчеты;

5. расписание тестирования ITSCM;

6. сценарии для проведения тестирования;

7. обзоры и отчеты по тестированию ITSCM.

Ключевым показателем производительности ITSCM является то, что предоставляемые услуги могут быть восстановлены с целью поддержки бизнеса в достижении поставленных целей:

1. проводится регулярный аудит планов ITSCM с целью проверки того, что требования бизнеса к восстановлению могут быть удовлетворены;

2. все целевые показатели восстановления услуг документированы, согласованы в SLA и могут быть достигнуты с помощью планов ITSCM;

3. проводится регулярное и всеобъемлющее тестирование планов ITSCM;

4. заключены все необходимые для ITSCM контракты с третьими сторонами;

5. обеспечивается уменьшение рисков и негативного влияния сбоев услуг.

В качестве показателя эффективности может также выступать готовность организации к действиям в соответствии с планами ITSCM.

Основными рисками для ITSCM является недостаточность и некорректность информации, поступающей от бизнеса, IT и других процессов, а также нехватка ресурсов для обеспечения непрерывности.

6.10. Управление информационной безопасностью

Управление информационной безопасностью (Information Security Management или ISM) - процесс, который обеспечивает конфиденциальность, целостность и доступность активов, информации, данных и услуг организации. Управление информационной безопасностью обычно является частью Организационного подхода к Управлению безопасностью, который имеет более широкую область охвата, чем поставщик услуг, и включает обработку бумажных документов, доступ в здания, телефонные звонки и т.п., для всей организации.

Основной целью ISM является обеспечение эффективного управления информационной безопасностью всех услуг и деятельностей в рамках Управления услуг. Информационная безопасность предназначена для защиты от нарушения конфиденциальности, доступности и целостности информации, информационных систем и коммуникаций.

1. Конфиденциальность - состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право.

2. Целостность - состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право;

3. Доступность - состояние информации, при котором субъекты, имеющие право доступа, могут реализовывать его беспрепятственно.

Цель обеспечения информационной безопасности достигнута, если:

1. Информация доступна тогда, когда это требуется, а информационные системы устойчивы к атакам, могут избегать их или быстро восстанавливаться.

2. Информация доступна только тем, кто имеет соответствующие права.

3. Информация корректна, полна и защищена от неавторизованных изменений.

4. Обмен информацией с партнерами и другими организациями надежно защищен.

Бизнес определяет, что и как должно быть защищено. При этом для эффективности и целостности обеспечения информационной безопасности необходимо рассматривать бизнес процессы от начала до конца, так как слабое место может сделать уязвимой всю систему.

Процесс ISM должен включать в себя:

• формирование, управление, распространение и соблюдение Политики информационной безопасности и других вспомогательных политик, которые имеют отношение к информационной безопасности. Политика информационной безопасности (Security Policy) - политика, определяющая подход организации к управлению информационной безопасностью.

• понимание согласованных текущих и будущих требований бизнеса к безопасности;

• использование контролей безопасности для выполнения Политики информационной безопасности и управления рисками, связанными с доступом к информации, системам и услугам. Термин "контроль безопасности" является заимствованным из английского языка и в данном контексте означает набор контрмер и мер предосторожности, применяемых для аннулирования, уменьшения рисков и противостояния им. То есть контроль безопасности состоит из проактивных и реактивных действий;

• документирование перечня контролей безопасности, действий по их эксплуатации и управлению, а также всех связанных с ними рисков;

• управление поставщиками и контрактами, требующими доступа к системам и услугам. Осуществляется при взаимодействии с процессом Управления поставщиками;

• контроль всех "брешей" безопасности и инцидентов, связанных с системами и услугами;

• проактивное улучшение контролей безопасности и уменьшение рисков нарушения информационной безопасности;

• интеграция аспектов информационной безопасности во все процессы Управления услуг.

Политика информационной безопасности должна включать в себя следующее:

• реализация аспектов Политики информационной безопасности;

• возможные злоупотребления аспектами Политики информационной безопасности;

• политика контроля доступа;

• политика использования паролей;

• политика электронной почты;

• политика интернета;

• политика антивирусной защиты;

• политика классификации информации;

• политика классификации документов;

• политика удаленного доступа;

• политика доступа поставщиков к услугам, информации и компонентам;

• политика размещения активов.

Перечисленные политики должны быть доступны пользователям и заказчикам, которые в свою очередь обязаны письменно подтвердить свое согласие с ними.

Политики утверждаются руководством бизнеса и IT и пересматриваются в зависимости от обстоятельств.

Чтобы обеспечивать информационную безопасность и управлять ею, необходимо поддерживать Систему управления информационной безопасностью. Система управления информационной безопасностью (Information Security Management System или ISMS) - система политик, процессов, стандартов, руководящих документов и средств, которые обеспечивают организации достижение целей управления информационной безопасностью. На рис. 19 показана структура ISMS, наиболее широко используемая организациями.

Рис. 19. ISMS

На рис. 19 представлены 5 элементов структуры ISMS:

1. Контроль. Цели контроля:

   • формирование системы управления информационной безопасностью в рамках организации;

   • формирование организационной структуры для подготовки, утверждения и реализации Политики информационной безопасности;

   • распределение ответственностей;

   • формирование документации по контролю.

2. Планирование. Цель планирования - разработать и рекомендовать подходящие метрики и способы измерения информационной безопасности. В первую очередь планирование должно учитывать требования и особенности конкретной организации. Источниками информации для формирования требований к информационной безопасности являются бизнес, риски, планы, стратегия, соглашения ( в первую очередь OLA и SLA). При этом важно учитывать моральную, законодательную и этическую ответственности в контексте информационной безопасности.

3. Реализация. Цель реализации - обеспечение подходящих процедур, инструментов и контролей безопасности для поддержки Политики информационной безопасности.

В рамках реализации проводятся следующие мероприятия:

• идентификация активов - совместно с Управлением конфигурациями;

• классификация информации - информация и информационные хранилища должны быть классифицированы в соответствии с их чувствительностью и значимостью по отношению к трем аспектам информационной безопасности (конфиденциальности, целостности, доступности).

Оценка. Цель оценки в рамках ISMS:

• проверка соответствия политики информационной безопасности требованиям к информационной безопасности из SLA и OLA;

• проведение регулярных проверок технической составляющей информационной безопасности для IT систем;

• предоставление информации для регуляторов и внешних аудиторов при необходимости;