4.9.4. Безпека процесів розробки і підтримки

4.9.4.1. Необхідно розробити процедури контролю змін. Основне призначення цих процедур наступне:

• Документальне закріплення типових рівнів доступу

• Забезпечення, того, що зміни зроблені авторизованими користувачами

• Ідентифікація всього програмного забезпечення, інформації, баз даних, апаратного забезпечення, яке вимагає змін

• Отримання формального дозволу для деталізації пропозицій до початку робіт

• Забезпечення того, що авторизовані користувачі приймають (перевіряють) зміни до їх впровадження

• Забезпечення безпечного впровадження змін без наслідків для ділової діяльності

• Забезпечення змін системної документації після кожної модифікації, а також архівація старої документації або її відхилення

• Забезпечення контролю версій для всіх оновлень програмного забезпечення

• Забезпечення протоколювання всіх запитів на зміни

• Забезпечення відповідних змін оперативної і призначеної для користувача документації

• Забезпечення того, що впровадження змін мало місце у відповідний час і не торкнулося залучених в процес ділові процеси

4.9.4.2. Після внесення змін в ОС необхідно здійснити:

• Аналіз важливих додатків і цілісності процедур (необхідно переконатися в їх працездатності)

• Переконатися, що річний план підтримки систем і бюджет покриє витрати на аналіз і тестування систем після змін ОС

• Переконатися, що повідомлення про зміни в ОС прийшло вчасно, що дозволило зробити необхідний аналіз перед впровадженням змін

• Переконатися, що відповідні зміни внесені в плани забезпечення безперервності ділової діяльності.

4.9.4.3. Не проводити без істотної необхідності зміни прикладного ПЗ. У випадку якщо зміни необхідні, вимагається врахувати:

• Ризик можливої компрометації вбудованих процесів управління і цілісності процесів

• Отримати згоду постачальника

• Можливість отримати від постачальника стандартні файли з оновленнями

• Наслідки самостійного внесення змін в програмне забезпечення (відмова виробника від супроводу)

4.9.4.4. Для перекриття прихованих каналів в програмному забезпеченні, що було придбане, вимагається:

• Джерела отримання програм повинні бути перевірені і володіти відповідною репутацією

• Купуючи програми з початковим кодом, переконатися, що верифікація коду можлива

• Застосовувати якісні продукти

• Перевіряти весь початковий код

• Контролювати доступ і можливість модифікації вже інстальованого коду

• Використовувати тільки перевірений персонал для роботи на ключових особливо важливих системах

4.10. Планування безперебійної роботи організації

4.10.1. Для забезпечення безперебійної роботи організації необхідно:

• Розслідувати інциденти в області інформаційної безпеки, відмови сервісів.

• Розробити і впровадити план дій у разі непередбачених обставин.

4.10.2. В організаціях НАН України повинен бути налагоджений процес управління безперебійною роботи організації з урахуванням наступних вимог:

• Усвідомлення ризиків, їх ймовірністі, можливих наслідків, включаючи ідентифікацію і розстановку пріоритетів для критичних ділових процесів.

• Усвідомлення збитку у разі порушення безперервності ділової діяльності і створення ділових цілей для інформаційної системи організації.

• Вибір відповідної схеми страхування, яка є однією з форм підтримки безперервності ведення ділової діяльності.

• Формалізація і документування стратегії ведення безперервної ділової діяльності, що містить погоджені ділові цілі і пріоритети.

• Регулярне тестування і оновлення планів і процесів.

• Необхідно переконатися, що управління безперервним веденням ділової діяльності впроваджено в організаційні процеси і структуру організації. Необхідно визначити обов'язки по координації управління безперервним веденням ділової діяльності.

4.10.3. Вимагається з'ясувати загрози, які можуть спричинити порушення безперервності ділового процесу (збій обладнання, пожежа, повінь). Грунтуючись на аналізі, необхідно розробити відповідний стратегічний план забезпечення безперервності ведення ділової діяльності.

4.10.4. План забезпечення безперервності ведення ділової діяльності повинен бути розроблений з урахуванням наступних вимог:

• Розподіл відповідальності і визначення всіх контраварійних процедур (порядок дій в аварійній ситуації).

• Впровадження контраварійних процедур для відновлення систем у встановлений період часу.

• Документування всіх процесів і процедур.

• Відповідне навчання персоналу порядку дій в аварійних ситуаціях, включаючи управління в кризових процесах.

• Тестування і оновлення планів.

• Умови вступу в дію планів (як оцінити ситуацію, хто в неї залучений).

• Контраварійні процедури, що описують дії у разі інцидентів, що представляють небезпеку для ділових операцій і/або людського життя. Процедури повинні включати заходи щодо зв'язків з громадськістю і органами влади.

• Процедури нейтралізації несправностей, в яких описуються дії по виведенню життєво важливих ділових процесів або служб підтримки в тимчасове альтернативне приміщення і повернення їх у відповідний період часу.

• Процедури відновлення, в яких описані дії по поверненню до нормального процесу ділових операцій.

• Розробка програми, в якій описані, як і коли план буде протестований і процес впровадження цього плану.

• Особиста відповідальність - хто саме відповідає за виконання кожного компоненту плану, з вказівкою дублюючих осіб.

4.10.5. Тестування і перегляд плану забезпечення безперервності ведення ділової діяльності повинні включати:

• Базові тести різних сценаріїв (обговорення заходів щодо відновлення ділової діяльності у разі різних ситуацій).

• Моделювання (практичний тренінг персоналу по діях в критичній ситуації).

• Тестування технічних заходів щодо відновлення (для гарантії того, що інформаційна система буде ефективна відновлена).

• Тестування технічних заходів щодо відновлення в альтернативному місці (запуск ділових процесів разом з відновними заходами поза основним місцем розташування).

• Тести систем і постачальників послуг (гарантія, що зовнішні сервіси, що надаються, і продукти будуть відповідати контрактним зобов'язанням).

• Комплексні навчання (тестування того, що організація, персонал, обладнання, інформаційна система можуть справитися з нештатною ситуацією).

4.10.6. Зміна планів забезпечення безперервності ведення ділової діяльності потрібна у випадку:

• оновлення операційної системи;

• придбання нового обладнання;

• зміни співробітників;

• змін адрес або телефонних номерів;

• зміни стратегії ділової діяльності;

• зміни місцеположення і інформаційних ресурсів;

• зміни законодавства;

• зміни підрядчиків, постачальників і ключових замовників;

• змін в ділових процесах;

• зміни ризику (операційного, фінансового, інформаційного).