Управление непрерывностью бизнеса как конкурентное преимущество GameDev индустрии в условиях пандемии

Лебедев М. В.

Выпускник группы MBA CIO-59

Школа IT-менеджмента

РАНХиГС при Президенте РФ

В условиях все более нестабильного мира, примером чего является пандемия COVID-19 2020 года, организации смотрят на непрерывность бизнеса новыми глазами. Хотя большинство организаций считают, что они готовы к разрушительным инцидентам, но события 2020 года и статистические данные доказали обратное. Необходимость обеспечения непрерывности бизнеса никогда не была столь очевидной. Ведь в современных компаниях, все больше полагающихся на сетевые системы, сложные распределенные многокомпонентные архитектуры и Интернет как основной инструмент ведения бизнеса, периоды простоя могут стать серьезной проблемой с точки зрения конкуренции, репутации и потерь доходов.

Дисциплина и профессии в области управления непрерывностью бизнеса (BCM) активно развивались в течение последнего десятилетия в ответ на нестабильность деловой среды, усиление глобальной конкуренции и влияние выбора клиентов. Эти силы заставляют организации в каждом секторе «изобретать себя заново» и конкурировать на основе гибкости, скорости и отзывчивости клиентов. Всепроникающее влияние технологий и концепции бережливого управления еще больше изменили то, как организации ведут свой бизнес.

Внушительное количество национальных стандартов и рекомендаций в области управления непрерывностью бизнеса по всему миру расширяет подходы к обеспечению непрерывности бизнеса. Наиболее распространенные и имеющие наибольший охват это:

• ISO 22301:2019 «Безопасность и жизнестойкость – Система менеджмента непрерывности деловой деятельности – Требования»
• ISO 22313:2020 «Безопасность и жизнестойкость. Системы менеджмента непрерывности деловой деятельности. Руководство по применению ISO 22301»
• ISO/IEC 27031:2011 «Информационные технологии - Методы и средства обеспечения безопасности – Руководство по готовности информационно-коммуникационных технологий к обеспечению непрерывности деловой деятельности»
• NIST SP 800-34 Rev. 1 «Руководство по планированию чрезвычайных ситуаций для федеральных информационных систем»

Однако, для снижения влияния или возможного ущерба от разрушительных инцидентов (далее – «угроз») на деятельность компании, просто разработать и внедрить систему управления непрерывностью бизнеса явно недостаточно и скорее всего не станет успешным. Надо понимать, что ключевым моментом тут является подлинная приверженность руководства компании BCM через полностью понятную политику, мандат на исполнительные действия и предоставление ресурсов, необходимых для завершения программы внедрения.

Всегда существует желание получить «рабочий» план здесь и сейчас, но существует определенная корреляция между временем, необходимым для достижения зрелости, и размером, и сложностью организации. И более продуктивно "пилотировать" BCM в одном отделе или месте или только в одном департаменте.

В данной работе было определено, что планирование обеспечения непрерывности бизнеса начинается с тщательной оценки рисков, которая является частью более масштабного процесса управления рисками, характерного для большинства предприятий. Четырьмя основными компонентами оценки рисков являются: – оценка угроз, – оценка уязвимости, – оценка воздействия и разработка стратегии смягчения рисков.

С ИТ-ориентированной точки зрения ключевыми компонентами, которые необходимо учитывать при оценке рисков являются аппаратные средства, программное обеспечение (ОС и приложения), системные интерфейсы (внутренние, внешние точки подключения), людей, поддерживающих ИТ-системы, пользователей, использующих ИТ-системы, данные, информацию и записи, процессы, выполняемые ИТ-системами, ценность или важность системы для организации (критичность системы), а также чувствительность системы и данных (конфиденциальные, коммерческая тайна, медицинские данные и т. д.). Операционная среда, в которой функционируют ИТ-системы, включает в себя широкий спектр элементов:

• функциональные и технические требования к системам;
• политики, процедуры и средства управления безопасностью;
• топология сети и схемы информационных потоков;
• политики, процедуры и средства управления защитой хранения данных;
• шифрование, физические и средства управления.

Цель действий по оценке рисков — это создание списка угроз и их источников, которые можно оценить, отсортировать и решить, какие риски необходимо устранить, какие можно принять, а какие следует перенести. После завершения BIA, одного из важных шагов в процессе оценки рисков, всегда будут данные для приняти�