ГОСТ Р 53647.3-2015

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                                      ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                                 НАЦИОНАЛЬНЫЙ                      ГОСТР
                                                     СТАНДАРТ
                                                   РОССИЙСКОЙ
                                                                                   53647. 3—
                                                    ФЕДЕРАЦИИ                      2015




                                           МЕНЕДЖМЕНТ
                                      НЕПРЕРЫВНОСТИ БИЗНЕСА

                                                      Ч а с т ь   3


                                 Руководство по обеспечению соответствия
                                      требованиям ГОСТ Р ИСО 22301


                                                  Издание официальное




                                                            у . . - - ,
                                                            М0СЖЖД
                                                         Стщцл1»фо1м
                                                              202*




услуги подлежащие сертификации

ГОСТ Р 53647.3—2015


                                        Предисловие

     1 ПОДГОТОВЛЕН Открытым акционерным обществом «Научно-исследовательский центр кон­
троля и диагностики технических систем» (АО «НИЦ КД») на основе собственного перевода на русский
язык англоязычной версии стандарта, указанного в пункте 4

     2 ВНЕСЕН Техническим комитетом по стандартизации ТК 010 «Менеджмент риска»

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому ре­
гулированию и метрологии от 18 ноября 2015 г. № 1857-ст

     4 Настоящий стандарт разработан с учетом основных нормативных положений национально­
го стандарта Великобритании BIP 2142:2012 «Маршрутная карта менеджмента непрерывности биз­
неса. Соответствие требованиям ИСО 22301» (BIP 2142:2012 «The route map to business continuity
management. Meeting the requirements of ISO 22301». NEQ)

     5 ВЗАМЕН ГОСТ P 53647.3-2010

     6 ПЕРЕИЗДАНИЕ. Август 2020 г.



     Правила применения настоящего стандарта установлены в статье 26 Федерального закона
от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об из­
менениях к настоящему стандарту публикуется в ежегод>юм (по состоянию на 1 января текущего
года) информационном указателе «Национальные стандарты», а официальный текст изменений
и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае
пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет
опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные
стандарты». Соответствующая информация, уведомление и тексты размещаются также в ин­
формационной системе общего пользования — на официальном сайте Федерального агентства по
техническому регулированию и метрологии в сети Интернет (www.gost.ru)




                                                     © Стандартинформ. оформление. 2016. 2020

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии
II

ГОСТ Р 53647.3—2015


                                                                       С одержание

1 Область применения........................................................................................................................................ 1
2 Нормативные ссылки....................................................................................................                                             4
3 Условия организации....................................................................................                                                            4
4 Лидерство.......................................................................................................................................................... 8
5 Планирование ................................................................................................................................................ 10
6 Обеспечение выполнения работ ......................................................                                                                              12
7 Деятельность........................................................................................                                                             18
8 Стратегия непрерывности бизнеса.............................................................................................................. 26
9 Разработка и внедрение процедур непрерывности б изнеса.................................................................. 29
10 Ответные меры на инцидент и планы непрерывности бизнеса........................................................... 35
11 Учения и проверки........................................................................................................................................40
12 Оценка результатов деятельности............................................................................................................ 44
13 Улучшение .................................................................................................................................................... 47
14 Заключение.................................................................................................................................................... 48
Приложение А (справочное) Основные заинтересованные стороны применения МНБ по видам
              деятельности .........................................................................................................................50
Приложение Б (справочное) Взаимосвязь ГОСТ Р 53647.2 и ГОСТ Р ИСО 22301 ................................51
Приложение В (справочное) Пример формы протокола заинтересованных сторон ............................53
Приложение Г (справочное) Пример документа «Область применения системы менеджмента
             непрерывности бизнеса» ......................................................................................................54
Приложение Д (справочное) Типовая политика в области непрерывности бизнеса ........................... 55
Приложение Е (справочное) Требования к компетентности персонала М Н Б ......................................... 57
Приложение Ж (справочное) Рекомендации по составлению программы о б уче ни я........................... 59
Приложение И (справочное) Матрица оценки воздействия на бизнес ....................................................61
Приложение К (справочное) Пример формы записей анализа воздействий на б изнес....................... 63
Приложение Л (справочное) Пример формы журнала записей о ресурсах .......................................... 64
Приложение М (справочное) Пример формы записей о мерах по снижению риска ........................... 65
Приложение Н (справочное) Пример формы требований к ресурсам.....................................................66
Приложение П (справочное) Стратегии, связанные с ключевыми ресурсами ...................................... 67
Приложение Р (справочное) Пример анализа плана непрерывности.....................................................70
Приложение С (справочное) Пример формы журнала регистрации данных об инциденте ............... 72
Приложение Т (справочное) Типовой план непрерывности бизнеса........................................................73
Приложение У (справочное) Типы учений по планам МНБ и методы их проведения ..........................76
Приложение Ф (справочное) Вопросы для самооценки организации ......................................................77
Библиография.................................................................................................................................................... 82

ГОСТ Р 53647.3—2015


                                           Введение

      Менеджмент непрерывности деятельности или менеджмент непрерывности бизнеса <МНБ) пред­
ставляет собой методологию, которая сегодня становится достаточно популярной вследствие различий
во внешних условиях, в которых работает организация и в которых организации необходимо найти свое
место.
      Существуют три основных типа риска, с которыми сталкивается организация:
     - риск, который можно идентифицировать, определить его количественные характеристики и
спланировать действия по его снижению (например, риск отказа коммунальных сетей, риск возникно­
вения пожара и т.п.);
     - риск, воздействие которого не может быть полностью определено (например, пандемия гриппа
человека или заболеваний животных):
     - непредвиденный риск, который может оказать существенное воздействие на организацию.
      В 2007 году Нассим Николас Тэлеб выдвинул понятие «черные лебеди», чтобы описать непред­
виденные события, которые поражают организацию внезапно: например, японское землетрясение
2011 года, цунами и последующая авария на ядерном объекте.
      При реализации такой риск может вызвать серьезные нарушения в обществе и организациях из-
за невозможности доставки продукции и услуг, которые поддерживают экономику и благосостояние об­
щества в целом. Нарушить деятельность организации могут не только крупные аварии. Каждая пятая
британская организация раз в год страдает от событий более низкого уровня, таких как массовая за­
болеваемость персонала, повреждение или утрата техники, отсутствие доступа к официальному сайту
организации или потеря ключевого для организации поставщика. Подобные события, как правило, не
воздействуют на все общество, но могут привести к нарушению деятельности отдельной организации,
влияя на ее денежные потоки, или привести к утрате доверия и ухудшению репутации организации у
потребителей. Внедрение МНБ позволяет организации успешнее справляться с такими проблемами
независимо от вызвавших их причин и таким образом защищает организацию и. следовательно, обще­
ство. которому она служит.
      В 2003 году Британский институт стандартов (BSI) издал документ PAS 56 «Руководящие указания
по менеджменту непрерывности бизнеса», которые объединили передовые практики в МНБ и были
приняты многими организациями во всем мире.
      В 2006 году PAS 56 был заменен Британским стандартом BS 25999-1. включающим требования
МНБ.
      В 2012 году был введен стандарт ИСО 22301. устанавливающий новые требования к МНБ. Этот
стандарт был дополнен новым ИСО 22313.
      Настоящий стандарт обеспечивает помощь организациям по выполнению требований
ГОСТ Р ИСО 22301 и основывается на предположении, что организацией уже предприняты некоторые
действия по внедрению МНБ.
      Понятие непрерывности деятельности (бизнеса) было разработано в середине 1980-х годов как
новый способ управления деловыми рисками. Основанием для МНБ явилось то обстоятельство, что
ключевой обязанностью руководства организации является обеспечение продолжения деятельности
организации всегда и при любых обстоятельствах.
      Традиционно планирование деятельности концентрировалось на восстановлении деятельности
после аварий (например, таких, как потеря компьютерных данных), поэтому в начале 1970-х годов МНБ
был создан для обеспечения быстрого восстановления информационных систем, телекоммуникаций
или ликвидации пожара или наводнения. Ответственность за запланированные действия была распре­
делена по различным подразделениям организации. Как правило, это были отделы информационных
технологий и отделы безопасности. Планы аварийного восстановления, как правило, разрабатывали на
основе уже произошедших инцидентов.
      Неожиданные события довольно часто являются результатом деятельности самой организации.
У каждой организации существуют слабые места: недостатки информационных систем, использование
неофициальных каналов связи, недостаточное обучение операторов, нарушение связей в структуре
организации и отклонения от установленных процедур. Экспертиза обычно выявляет, что причиной
аварии послужила комбинация нескольких обстоятельств, которые и привели к катастрофе.
      МНБ объединяет не только «лечение», но и «профилактику». Это наука не только о том. как справ­
ляться с последствиями инцидента, как и когда происходит инцидент, и каким образом предотвращать
кризис и его последствия, но также и об установлении традиций организации, которые приводят к бы-
IV