План за непрекъсваемост на дейността по NIS2: как да свържете BCP, анализа на риска и кризисните учения

Планът за непрекъсваемост на дейността, разработен във връзка с изискванията на NIS2, не може да бъде самостоятелна процедура, поддържана единствено от ИТ отдела. Той трябва да произтича от анализа на въздействието върху дейността и анализа на риска, да определя приоритетите за възстановяване на процесите и да се проверява чрез редовни учения. Ефективността му не се доказва с декларации, а със способността на организацията да взема решения, да задейства резервен режим, да достигне минимално приемливо ниво на работа и безопасно да се върне към нормална дейност.

Непрекъсваемостта на дейността е управленско решение

Планът за непрекъсваемост не започва с шаблон на процедура или списък на информационните системи. Отправната точка са услугите, продуктите и процесите, чието прекъсване може да застраши изпълнението на ангажименти, безопасността, съответствието с приложимите изисквания или финансовата стабилност на предприятието. Обхватът на плана следва да се основава на анализ на въздействието върху дейността. Необходимо е да се установи как последствията нарастват във времето, кога надхвърлят нивото, приемливо за ръководството, и в каква последователност трябва да бъдат възстановени оперативните способности.

Допустимото време на прекъсване и приемливото ниво на загубите не бива да се определят еднолично от ИТ отдела. Тези параметри се утвърждават от ръководството въз основа на информация от собствениците на процеси и функциите по финанси, съответствие, сигурност и технологии. Собственикът на процеса определя изискванията за непрекъсваемост, а собственикът на плана координира разработването и поддържането на решението. Ако тези роли не са свързани чрез общ механизъм за вземане на решения, ИТ защитава инфраструктурата, оперативните звена отговарят за предоставянето на услугите, а висшето ръководство не получава единна картина на приоритетите за възстановяване и допустимите прекъсвания.

В производствено предприятие възстановяването на системата за планиране или управление само по себе си не означава възобновяване на експедицията. Производството може да остане спряно поради недостъпни технологични данни, липса на оторизирани оператори, електрозахранване, свързаност, осигурявана от доставчик, или утвърдена процедура за работа в резервен режим. Оперативна устойчивост се постига едва когато планът обхваща цялата верига от зависимости на процеса, а не само ресурсите под контрола на ИТ отдела.

Необходимо е също ясно да се разграничат непрекъсваемостта на дейността, възстановяването на ИТ ресурсите, реакцията при инциденти и управлението при кризи. Първата област е насочена към поддържането или възобновяването на процесите, втората — към възстановяването на технологиите и данните, третата — към ограничаването на последствията и овладяването на събитието, а четвъртата — към вземането на решения при сериозно нарушение на дейността. Тези механизми трябва да използват общи сценарии, прагове за ескалация и правила за отговорност, но не са взаимозаменяеми.

Едва след като този модел бъде определен, той може да се съпостави със задълженията по NIS2 и приложимото национално законодателство относно управлението на риска, непрекъсваемостта на дейността, обработването на инциденти и отговорността на ръководството, като се отчита дали организацията попада в съответния обхват. По-широк контекст е представен в материала NIS2 за производствени предприятия: за кого се отнася, какви задължения въвежда и как организацията да се подготви, без темата да се свежда единствено до ИТ.

Рискът трябва да води до конкретен сценарий

Регистърът на рисковете управлява плана за непрекъсваемост само когато показва връзката между заплахата, уязвимостта, ресурса, процеса и бизнес последствията. Самият списък с киберзаплахи не обяснява как дейността да бъде поддържана. Затова сценариите следва да се изграждат около последствията от прекъсването — например недостъпност на система за управление, загуба на данни, прекъсване на свързаността, липса на персонал или недостъпност на доставчик. Различни причини могат да доведат до едно и също оперативно състояние и да изискват една и съща стратегия за непрекъсваемост.

Анализът на въздействието върху дейността и анализът на риска имат различни, но взаимно допълващи се функции. Първият определя значимостта на прекъсването, темпа на нарастване на загубите и момента, в който се надхвърля нивото, приемливо за ръководството. Вторият позволява да се установят възможните източници на събитието, уязвимостите и ефективността на съществуващите мерки за контрол. Избраните метод и скала за оценяване трябва да позволяват сравнение между сценариите и информирано приемане на остатъчния риск в съответствие с рисковия апетит.

Броят на сценариите е разумно да се ограничи до различими последствия, които изискват различни решения, ресурси или последователност на възстановяване. Отделният анализ на всеки технически вариант обикновено не повишава практическата стойност на плана, а затруднява неговото поддържане и прилагане под напрежение.

За всеки сценарий трябва да бъдат определени допустимото време на прекъсване, минималното ниво на работа, необходимите ресурси, последователността на възстановяване и лицето, оправомощено да задейства плана. Параметрите следва да се основават на действителните времена на престой и възстановяване при инциденти, аварии и учения, както и на договорните изисквания за наличност, срокове за изпълнение и уведомяване за нарушения. На тази основа могат да се измерват времето за вземане на решение, достигането на минималното ниво и пълното възстановяване.

Анализът трябва да отчита реалните зависимости на процеса от приложения, данни, инфраструктура, местоположения, комунални услуги, ключови компетентности, ИТ доставчици, интегратори и подизпълнители. Ако стратегията разчита на подкрепа от трета страна, трябва да бъдат проверени нейната наличност, времето за реакция, каналите за ескалация и резервните решения, вместо да се разчита само на договорните клаузи. Темата е развита по-подробно в материала NIS2 и сигурността на веригата за доставки: как да оценявате ИТ доставчици, интегратори и подизпълнители.

Планът трябва да води организацията през прекъсването

Практически приложимият план за непрекъсваемост не описва всички възможни събития, а насочва отговорните лица през поредицата от необходими решения. Той трябва да определя кой установява ситуацията, кой обявява режим на непрекъсваемост, кои процеси трябва да се поддържат на минимално ниво, в какъв ред да се възстановяват способностите, как се управлява кризисната комуникация и на какво основание се прекратява извънредният режим.

Нивото на детайлност е достатъчно, когато планът ограничава необходимостта от тълкуване под натиск, без да замества техническите и процесните инструкции. В по-голяма организация практично решение е общ план, който определя командването, ескалацията и съвместната работа, допълнен с планове за отделните процеси.

Процедурата за задействане изисква измерими предпоставки. Формулировката „при сериозна авария“ прехвърля спора за значението на думата „сериозна“ към най-неподходящия момент. Критерият може да бъде надхвърляне на допустимото време на прекъсване, загуба на надеждност на данните, невъзможност за безопасна работа, недостъпност на ключови лица или очакван спад под минималното ниво на работа, одобрено от собственика на процеса. Всяко отклонение трябва да бъде свързано с действие, оправомощено за решение лице, срок за ескалация и изискван запис. Подобна логика, макар и на друго оперативно ниво, е структурирана в материала План за реакция в контролния план — как да се опишат действията, когато процесът излезе извън границите.

Ролите трябва да се възлагат на функции, а не само на конкретни имена. Матрицата на отговорностите следва да обхваща заместници, обхват на правомощията, наличност, както и основен и авариен канал за контакт. Поименният списък с контакти може да бъде контролиран като приложение, така че промяна в персонала да не изисква преработване на целия план.

Висшето ръководство трябва да взема решенията, които надхвърлят одобрения оперативен обхват, включително решения за приемане на съществен риск за дейността, задействане на извънредни мерки или комуникация със стратегическо значение. Решението за преминаване към предварително одобрен резервен режим обаче трябва да се взема възможно най-близо до процеса.

При отпадане на системата за поръчки дежурното лице може да потвърди недостъпността и очакваната продължителност на прекъсването, собственикът на процеса да задейства резервната отчетност, а координаторът по непрекъсваемост да ескалира събитието при достигане на определения праг. Планът трябва да определя ограниченията на този обходен режим: капацитет, максимална продължителност на използване, правила за защита и цялост на данните, необходимите ръчни съгласувания и начина за последващо въвеждане на записите в системата.

Връщането към нормална работа може да се извърши едва след потвърждаване на стабилността на решението, пълнотата на данните и приключването на операциите, изпълнени ръчно. Създадените записи трябва да позволяват оценяване на времето за вземане на решение, достигането на минималното ниво и пълното възстановяване.

Най-големите загуби възникват на границата между плановете

Размерът на загубите не се определя само от причината за аварията. Прекъсването се удължава и от изчакване на одобрение, нееднозначна класификация на събитието, несъгласувани приоритети за възстановяване и липса на информация за зависимостите между процеси, системи и доставчици. Планът за реакция при инциденти служи основно за откриване, оценяване, ограничаване и овладяване на събитието. Планът за непрекъсваемост трябва да поддържа дейността на приетото ниво. Двата механизма трябва да определят общи точки за предаване на информация и решения: кой установява заплахата за непрекъсваемостта, кой задейства резервния режим и кой одобрява връщането към нормална работа.

Приоритетът за техническо възстановяване трябва да произтича от приоритета на процеса, но не може да бъде негово механично копие. Система, която поддържа най-важния процес, може да изисква предварително възстановяване на услуги за идентичност, мрежови услуги, бази данни или интеграционни компоненти. Същевременно трябва да се запазят целостта на данните, правилната последователност на стартиране и механизмите за сигурност. Съгласуваността между бизнес и техническите приоритети се проверява чрез сравняване на изискваната наличност на процеса с действителните резултати от тестовете за възстановяване на резервни копия, допустимата загуба на данни и инфраструктурните зависимости.

Оперативното звено може да очаква приемането на заявки да бъде възстановено преди разплащанията, докато ИТ екипът планира първо да възстанови разплащанията, защото те съдържат централния регистър на контрагентите. Ако тази зависимост не е съгласувана предварително, решението се взема под натиск, а ръчният обходен режим може да създаде данни, които впоследствие не могат да бъдат безопасно съгласувани. Такъв случай трябва да се оценява чрез реалните времена за откриване, ескалация, вземане на решение и възстановяване, както и чрез резултатите от изпитванията, потвърждаващи пълнотата и целостта на данните.

Подобна празнина възниква и на границата на отговорността на доставчика. Договорната декларация за наличност на услугата не замества поименна или функционална процедура за ескалация, съгласувани параметри за възстановяване, достъп до информация за развитието на прекъсването и задължение за участие в учения. Изискванията на критичните процеси трябва да се сравнят с договорните условия и действителните възможности на доставчика. Едва тогава може информирано да се реши дали да се поддържа резервно решение, да се приеме прекъсване, да се използват собствени ресурси или външна услуга.

Бюджетът трябва да отстранява пропуски в способностите, а не да финансира количество документи. Разходите могат да бъдат насочени към допълнителна резервираност, съкращаване на пътя за вземане на решения, по-чести тестове за възстановяване, промяна на договорните условия или осигуряване на алтернативен начин за изпълнение на процеса. Подходът към структурирането на тези разходи е развит в анализа Колко струва внедряването на NIS2 и uKSC — как да планирате бюджет за одит, документация, обучения и мерки за защита без скъпоструващи грешки.

Учението трябва да проверява решенията

Учението по непрекъсваемост на дейността не може да се свежда до прочитане на процедурата или потвърждаване на присъствието на участниците. То трябва да проверява ясно формулирана хипотеза, например дали организацията може да задейства резервен процес без основната система, да запази контрол върху въвежданите данни и безопасно да ги съгласува след възстановяването на услугата.

Програмата за учения е разумно да се развива поетапно: от преглед на ролите и настолно учение, през изпитване на избрана процедура или възстановяване, до техническо-оперативно учение с участието на бизнеса, ИТ, ръководството и доставчиците. Обхватът трябва да нараства съобразно риска, значимостта на процеса и готовността на организацията.

Сценарият трябва да изисква решения в условия, близки до реално прекъсване. За тази цел могат да се използват непълна информация, времеви натиск, конфликт между приоритети и недостъпност на съществена зависимост — например одобряващо лице, услуга на доставчик или актуален списък с контакти. Учението обаче не бива да бъде капан за участниците. Оценява се системата — разпределението на отговорностите, качеството на информацията, изпълнимостта на процедурите и способността за ескалация, а не индивидуалното представяне на служителите.

Участието на ръководството е необходимо, когато сценарият изисква приемане на риск, промяна на приоритети или задействане на скъпо резервно решение. Доставчикът трябва да бъде включен, когато неговата реакция е условие за непрекъсваемостта на процеса.

Примерно учение може да започне с недостъпност на системата за обработване на заявки. След това ръководителят на учението предоставя информация за непълно резервно копие на данните и забавен отговор от доставчика на услугата. Екипът трябва да реши дали да задейства ръчна обработка, кои заявки да приема и как да обозначава записите, така че след възстановяването на услугата да се избегнат дублиране и загуба на целостта на данните.

По време на учението трябва да се измерват времето за установяване на прекъсването, ескалация, задействане на режима за непрекъсваемост, достигане на минималното ниво на работа и възстановяване. Успоредно с това се оценяват качеството на информационния поток и записите, случаите на използване на неактуални данни за контакт, неуспешните ескалации и стъпките от плана, които не могат да бъдат изпълнени. Постигнатите времена трябва да се сравнят с одобрените цели за непрекъсваемост.

Честотата и форматът на ученията следва да се определят от риска, промените в процесите, резултатите от предходните изпитвания и значимостта на зависимостите, а не само от годишен график. Предварително обявеното учение подпомага обучението и съгласуването на ролите. Необявеното позволява да се оцени реалната готовност, но изисква контрол върху оперативния риск. Използването на продукционна система е обосновано само когато обхватът, защитните мерки и възможността за прекратяване на изпитването са съзнателно одобрени; в останалите случаи е по-подходяща тестова среда.

Всяко учение трябва да завършва с констатации и действия, за които са определени собственик, срок за изпълнение, критерий за ефективност и решение за повторна проверка. Делът на действията, приключени в срок, е полезен показател, но статусът „изпълнено“ сам по себе си не доказва подобрение. Решаващ е резултатът от повторното изпитване. За структурирането на сценариите, протоколите, коригиращите действия и показателите може да се използва подходът, описан в материала Как да изградите библиотека от шаблони за качество: FMEA, Control Plan, 8D, одит, CAPA и KPI.

Затворете цикъла с доказателства и управленски преглед

Наличието на комплект процедури не доказва способност за поддържане на дейността. Надеждната верига от доказателства трябва да свързва одобрените допускания от анализа на риска и непрекъсваемостта, решенията на собствениците на процеси, записите от тестове, резултатите от ученията, установените несъответствия, коригиращите действия и оценката на тяхната ефективност. Регистърът на версиите на плана за непрекъсваемост трябва да посочва не само датата и автора на промяната, но и събитието, решението или резултата от анализа, който я обосновава.

Честотата на преглед на плана трябва да бъде съобразена с критичността на процесите и динамиката на риска. Периодичният срок сам по себе си не е достатъчен. Преглед следва да се задейства и след инцидент, учение или съществена промяна в процес, технология, местоположение, доставчик, организационна структура или рисков профил. Критериите за приемане на резултатите от учението трябва да бъдат определени предварително, за да не се свежда оценката до субективното заключение, че организацията „се е справила“.

Месечният мониторинг може да покаже, че програмата за учения е изпълнена по график, но един от процесите не е постигнал изискваното време за възстановяване, а за ключова услуга на доставчик все още няма резервно решение. Такъв резултат не трябва да остава скрит в технически протокол. До висшето ръководство трябва да достига информация за процесите, които не постигат изискваната способност, неприетите разминавания, съзнателно поетите рискове и необходимите инвестиции или организационни решения. Прегледът от ръководството трябва да завършва с документирани решения, а не само с приемане на информацията.

Вътрешният одит трябва да проверява съответствието между декларираното и практиката: дали процесът, определен като критичен, действително участва в ученията, дали техническите цели за възстановяване отговарят на оперативните потребности и дали действията след изпитванията са приключени и ефективността им е потвърдена. На одитор или надзорен орган следва да се представя последователна верига от записи, показваща пътя от идентифицирания риск, през решението и изпитването, до провереното подобрение. Подходящи допълнителни показатели са степента на изпълнение на одобрената програма за учения, спазването на сроковете за коригиращи действия и броят на неприетите разминавания между изискваната и потвърдената способност за непрекъсваемост.

Окончателният списък с действия може да бъде включен в по-широкия график, описан в материала Внедряване на NIS2 след вписване в списъка по KSC — план за действия до 3 април 2027 г.. Сроковете, обхватът на задълженията и подходящите мерки обаче трябва всеки път да се проверяват спрямо актуалното законодателство, статута на организацията в националната система за киберсигурност и действителния ѝ рисков профил.