Разработка и реализация процесса управления инцидентами иб в со­ответствии с лучшими практиками обеспечивает следующее

План восстановления бизнеса
План восстановления бизнеса регламентирует процесс восстановле­ния деятельности организации после ЧС, в результате чего процесс ста­новится управляемым, прогнозируемым и контролируемым [9-13].
Различие между планом ОНБ и планом восстановления бизнеса за­ключается в том, что первый направлен на поддержку бизнес- активности и выполнение бизнес-функций организации, в то время как второй - на поддержание бесперебойной работы ИС и сохранность дан­ных. План ОНБ ориентирован на предупреждение проблем, а план вос­становления бизнеса - на их решение.
План восстановления бизнеса определяет следующие важные мо­менты:

• 
  формирование группы (групп) восстановления;
  
• 
  принятие решения о реализации плана восстановления деятельности;
  
• 
  ввод в действие процедур восстановления деятельности;
  
• 
  восстановление функционирования критически важных бизнес- процессов, оборудования, приложений, основного рабочего помеще­ния и т. д.
  

План восстановления бизнеса может состоять из многих отдельных документов или подразделов, определяющих способ восстановления каждого бизнес-процесса и поддерживающей их инфраструктуры орга­низации. Очень часто составляется совместный план обеспечения не­прерывности и восстановления деятельности (ОНиВД) или план восста­новления бизнеса оформляется как приложение к общему плану ОНБ.
В качестве примера далее приведена примерная структура плана восстановления сети подразделения организации после инцидента [28].

1. 
   Основные положения плана. Цель. Краткое описание целей со­ставления плана и сети, для которой он предназначен.
   
2. 
   Общие стратегии. В этом разделе приводятся общее описание плана, а также:
   

• 
  процедуры первоначальной оценки ситуации и ввода плана в действие;
  
• 
  перечень обязанностей сотрудников при восстановлении сети;
  
• 
  общий перечень действий, выполняемых координатором восста­новления сети и другими ведущими сотрудниками;
  
• 
  общий перечень восстановительных работ, обеспечивающих ли­бо организацию работы сети в резервном центре, либо восстанов­ление её функционирования в производственном помещении, по­терпевшем ущерб;
  
• 
  сводная оценка ущерба и сведения о необходимых работах по ремонту оборудования сети;
  
• 
  время, требуемое на восстановление функционирования.
  

3. 
   Учётная информация. Она состоит из различных типов учётных данных. Например, стандартных конфигураций серверов и рабочих станций, структур каталогов, прочие данных о конфигурации, списков идентификаторов, связанных с сервером, копий системных файлов для каждой рабочей станции, а также любых других типов учётных данных, помогающих осуществить восстановление сети.
   
4. 
   Состав группы восстановления. Список всех лиц, которые будут принимать участие в восстановлении сети, с указанием имени, домаш­него адреса, домашнего телефона, рабочего телефона, номера сотового телефона, если он есть. В этот же список включаются наименования, адреса и номера телефонов компаний-поставщиков и, возможно, адреса и номера телефонов руководителя и другие полезные номера.
   
5. 
   Заблаговременные мероприятия. Список мероприятий, которые проводятся задолго до возникновения ЧС, что уменьшает опасность ее возникновения и возможные последствия. Одним из таких важнейших мероприятий является создание резервных копий. В плане указывается, когда осуществляется создание резервных копий, куда и когда они пе­ресылаются, как выглядит этикетка на носителях резервных копий и всё то, что может потребоваться при реальном создании резервных копий. Стандартизация этикеток и носителей облегчит работу тем, кто будет хранить копии, и тем, кому придётся восстанавливать по ним информа­цию. Данные на этикетках должны гарантировать, что носитель может быть легко доставлен из помещения создания в место внешнего хране­ния и обратно и что им можно будет легко пользоваться.
   
6. 
   Процедуры восстановления сети. В этом разделе указываются тре­буемые действия в непредвиденных обстоятельствах и мероприятия по восстановлению функционирования сети в различных ситуациях. Дают­ся рекомендации по правильному использованию материалов плана. Оставляется место для отметки о выполнении каждого этапа с указани­ем имени ответственного, даты и, возможно, времени выполнения. Это гарантирует, что ни один этап не будет упущен.
   
7. 
   Ведение плана. Этот раздел устанавливает процедуры ведения плана, в частности частоту корректировки соответствующей докумен­тации плана, и лицо, ответственное за данное действие. Кроме того, да­ются рекомендации по составлению плановых документов, их рассылке и обучению методам составления и ведения плана. Если процедуры ве­дения определяются общими процедурами, установленными в компа­нии, на них может быть сделана ссылка.
   
8. 
   Испытания плана. В этом разделе описывается, что должно испы­тываться при проверке реализуемости плана, кто должен проводить ис­пытания, когда должны осуществляться испытания и каковы их резуль­таты. План испытаний может быть общим или состоять из отдельных частей. Некоторые разделы этого плана могут являться разделами дру­гих общих планов.
   
9. 
   Показатели восстановления (критерии успешного завершения), в том числе такие, как срок восстановления, допустимый размер матери­альных затрат, допустимый размер потерь информации.
   
10. 
    Требования ко всем ресурсам, необходимым для восстановления.
    
11. 
    Поддержка (сопровождение, развитие, совершенствование) плана.
    
12. 
    Приложения. Содержат информацию, которая подвержена час­тым изменениям, то есть информацию о персонале, поставщиках услуг, копии важных договоров и соглашений, процедуры проверки и восста­новления процессов в системе, требования к оборудованию и ПО, опи­сание резервного помещения, различные формы и т. д.
    

3.5. Готовность ИТТ к ОНБ
Информационная составляющая деятельности организации и про­цессов ее управления, представляемая совокупностью информации и информационных процессов (технологий), которые обеспечивают про­цесс деятельности организации и/или являются его частью, в значи­тельной степени подвержена воздействию различных деструктивных факторов внешней и внутренней среды организации. Поэтому значи­тельная часть ее рисков, включая риск прерывания деятельности, связа­на с информацией, а уровень и условия проявления этих рисков во мно­гом определены качеством информации и информационных сервисов (по подготовке, обработке, передаче, хранению и отображению инфор­мации), которые могут быть предоставлены ИТТ [29, 30]. Обеспечение непрерывности в информационной среде организации представляет со­бой совокупность политик, процессов деятельности и инструменталы ных средств, с помощью которых организация повышает не только свою потенциальную возможность реагирования на крупномасштабные отказы функционирующих систем, но также и устойчивость к крупным инцидентам ИБ в целях избежания отказа критических систем и серви­сов. Данная деятельность осуществляется в рамках управления органи­зации.
ГИТТ означает способность организации обеспечивать свои бизнес- операции посредством предотвращения, обнаружения и ответного реагирования на инциденты и восстановления сервисов ИТТ [8]. Эта способность является важнейшей составляющей в реализации УНБ и УИБ организации.
Как часть внедрения и функционирования СУИБ и управления го­товностью к инцидентам и НБ, определенным в ISO/IEC 27001:2005 ГОСТ Р ИСО/МЭК 27001-2006 [1, 2] и спецификации ISO/PAS 22399:2007 [17], важно разработать и внедрить сервисы ИТТ, помогаю­щие сохранить НБ. В результате действенность УНБ часто зависит от ГИТТ, обеспечивающих уверенность в том, что задачи организации мо­гут выполняться во время нарушения ее нормального функционирова­ния. Это особенно важно, поскольку последствия инцидентов для ИТТ часто остаются незаметными и/или трудно обнаруживаемыми.
ГИТТ поддерживает УНБ посредством того, что все необходимые сервисы ИТТ устойчивы и могут быть восстановлены до заранее задан­ных уровней в требуемые и согласованные с организацией сроки, а так­же позволяет решить следующие задачи:

• 
  оперативно откликаться на постоянно меняющиеся риски;
  
• 
  обеспечивать функционирование критически важных бизнес- операций, поддерживаемых соответствующими сервисами ИТТ;
  
• 
  обеспечивать оперативное реагирование до того, как случится нару­шение нормальной работы сервисов ИТТ, посредством обнаружения одного или серии связанных событий, становящихся инцидентом;
  
• 
  реагировать и восстанавливаться после инцидентов/бедствий и отказов.
  

Преимущества для организации эффективной ГИТТ заключаются в следующем:

• 
  понимании рисков для непрерывности сервисов ИТТ и их уязвимостей;
  
• 
  идентификации потенциальных последствий нарушения работы сер­висов ИТТ;
  
• 
  постоянном укреплении сотрудничества между бизнес-менеджерами и сервис-провайдерами сервисов ИТТ (внутренними и внешними);
  
• 
  развитии и повышении компетентности персонала ИТТ посредством демонстрации заслуживающего доверия ответного реагирования, приобретенного во время проведения учений по планам ОНБ и тес­тирования мероприятий ГИТТ;
  
• 
  обеспечении уверенности высшего руководства в том, что оно зави­сит от заранее определенного уровня сервисов ИТТ и имеет адекват­ную поддержку и средства связи в случае инцидентов;
  
• 
  обеспечении уверенности высшего руководства в том, что ИБ (кон­фиденциальность, целостность и доступность) поддерживается, а ПолИБ соблюдается должным образом;
  
• 
  предоставлении дополнительной уверенности в стратегии УНБ по­средством связывания инвестиций в ИТ-решения с потребностями бизнеса и обеспечении того, что сервисы ИТТ защищены на долж­ном уровне, учитывающем их важность для организации;
  
• 
  обладании сервисами ИТТ, которые рентабельны (не недофинанси­рованы или избыточно финансированы), посредством понимания уровня их зависимости от этих сервисов, а также природы, располо­жения, взаимосвязей и использования элементов, составляющих сер­висы ИТТ;
  
• 
  возможности повышения своей репутации за счет предусмотритель­ности и экономической эффективности;
  
• 
  потенциальном получении конкурентных преимуществ посредством демонстрируемой способности обеспечивать НБ и предоставлять продукцию и услуги во время инцидентов;
  
• 
  понимании и документировании ожиданий заинтересованных лиц и их связи и использования сервисов ИТТ.
  

Следовательно, ГИТТ обеспечивает адекватный способ определения состояния сервисов ИТТ организации в поддержке ее бизнес-целей НБ путем ответа на вопрос «способны ли наши ИТТ реагировать», а не «защищены ли наши ИТТ». Таким образом, деятельность по обеспече­нию ГИТТ к ОНБ имеет следующие цели:

• 
  улучшить способность организации обнаруживать инциденты;
  
• 
  предотвратить непредвиденный или резкий отказ;
  
• 
  допустить приемлемое изменение статуса функционирования, если отказ не может быть преодолен;
  
• 
  снизить время восстановления;
  
• 
  минимизировать последствия возможного возникновения инцидента. При этом при построении ГИТТ к ОНБ принимаются во внимание пять основных принципов: