Зачем учения, если есть план
План отвечает на вопрос «что делать». Учения отвечают на вопрос «сможем ли». Разница в деталях, которые не видны на бумаге: доступы, которых нет у ночного дежурного; телефон, который не берут; порог отката, который все помнят по-разному; бумажная схема, которую никто не может найти. По опыту учений перед переездами, половина находок относится не к технике, а к правам, связи и полномочиям.
Учения перед переездом это учения непрерывности с одним отличием: дата инцидента известна заранее. Поэтому они проще обычных: сценарий уже написан в плане отката, остается его проиграть. Если в компании учения по непрерывности уже проводятся, переезд просто добавляет сценарий. Если нет, это удобный первый опыт: цель и дата понятны всем.
Три сценария для одного дня
Сценарий 1. Новая система не поднялась. Окно идет, ключевые операции из списка не проходят. Проверяется: кто следит за порогом времени, кто и как сообщает о непрохождении операций, кто принимает решение об откате и как оно доводится до всех, сколько реально занимает откат по шагам. Самая частая находка: решение об откате принимает не тот, кто записан, а тот, кто громче.
Сценарий 2. Данные разошлись. Переезд формально прошел, но утренняя сверка не сходится. Проверяется: кто замечает, кто останавливает ввод, как ищется причина, как делается ручной перенос и кто его сверяет. Находка: ввод продолжают «пока разбираются», и расхождение растет.
Сценарий 3. Атака в момент переключения. На время работ отключена часть средств защиты или открыт удаленный доступ подрядчику, и в это время приходит сигнал об атаке. Проверяется: кто получает сигнал, продолжать ли окно, как изолировать, когда и как сообщить в НКЦКИ, что важнее в этот момент, переезд или защита. Находка: за время работ никто не отвечает за защиту, потому что «все заняты переездом».
Для промышленных объектов добавляется четвертый сценарий: отказ системы управления в первую смену, с участием самой смены. О нем на странице замена АСУ ТП без остановки.
Как провести за день
- За неделю. Ведущий пишет три сценария с вводными по времени, список участников по ролям из плана отката, лист наблюдателя. Участникам сообщается дата, но не сценарии.
- Утро, час. Сценарий 1 за столом: вводные подаются по времени, участники говорят, что делают, наблюдатель фиксирует, кто, что и когда. Никаких «мы бы позвонили»: звонок делается, доступ проверяется.
- День, два часа. Сценарии 2 и 3 тем же порядком. В сценарии 3 участвует служба информационной безопасности и, если есть, дежурный по взаимодействию с НКЦКИ.
- Вечер, час. Разбор: что сделали, что не смогли, что сделали не по плану и почему. Список изменений в план с ответственными и сроком до окна.
Стенд для учений не обязателен: ценность в людях и решениях, а не в технике. Если стенд есть, сценарий 1 можно проиграть на нем и измерить время отката по-настоящему.
Тот, кто умеет проводить учения по непрерывности вообще: сценарий, роли, хронометраж, разбор. Это ремесло, и оно ставится за несколько прогонов. В программе ERGP сценарий учений участник пишет и проводит на своей компании, а не разбирает чужой.
Сертификация ERGP: система непрерывности на своем случае за шесть модулей →
Что фиксировать и что менять в плане
Лист наблюдателя простой: время вводной, время реакции, кто среагировал, что сделал, совпало ли с планом. Из него после разбора выходят три списка. Что поправить в плане: пороги, роли, контакты. Что поправить в доступах и технике: права дежурного, резервные каналы связи, место хранения бумажных схем. Что поправить в людях: кто не знал свою роль, кому нужна тренировка до окна.
Учения без изменений в плане не имели смысла. Учения, после которых план не изменился, означают одно из двух: план идеален или наблюдатель ничего не записал. Второе встречается чаще.
Результат учений входит в отчет совету перед окном вместе с реестром рисков: это доказательство того, что переезд управляем. Как оформить отчет: указ 604 и что показать совету.
Частые вопросы
Да, сценарий 3 и есть киберучения с одной вводной. Если в компании киберучения уже проводятся, переезд добавляет в них два сценария, а не создает отдельное мероприятие. Разбор общих принципов на странице о киберучениях в разделе про кризис.
Нет. Владелец процесса, который решает по порогам, руководитель производства или операций, безопасность, юрист по договору с подрядчиком, представитель подрядчика, дежурные смены. ИТ без владельца процесса проиграет сценарий технически верно и пропустит главное решение.
За три-четыре недели: чтобы успеть внести изменения в план и, если нужно, повторить один сценарий. Учения накануне окна находят проблемы, которые уже не исправить.