План забезпечення безперервності діяльності — що він має містити та як його розробити?

Від Mallbutiken · Факти перевірено 30 вересня 2026 р. · Приблизно 9 хвилин на читання

План безперервності діяльності описує, як підприємство має підтримувати або відновлювати пріоритетні види діяльності, коли нормальні методи роботи не працюють. План має бути достатньо конкретним для використання в умовах браку часу: хто його активує, які існують резервні процедури, які ресурси потрібні, з ким слід зв’язатися і як повернутися до нормальної роботи?

План безперервності, план кризових ситуацій та план реагування на інциденти — у чому різниця?

Документи часто перетинаються. Наприклад, кіберінцидент може одночасно активувати план реагування на інциденти, кризове управління та план безперервності. Тому ролі та канали зв’язку мають бути скоординовані.

Що має містити план безперервності?

1. Мета, обсяг та відповідальна особа

Опишіть, на яку діяльність поширюється план, хто відповідає за нього і на яких припущеннях він базується. Якщо є кілька планів, слід зазначити, як вони пов’язані між собою.

2. Критерії активації

Вкажіть, коли слід використовувати план. Це може бути випадок, коли критична діяльність перевищує допустимий час простою, коли важливе приміщення стає недоступним або коли центральну систему неможливо відновити в межах звичайного процесу обробки інцидентів.

3. Пріоритетні види діяльності та цілі відновлення

План має ґрунтуватися на аналізі впливу на бізнес (BIA). Перерахуйте види діяльності, які мають бути пріоритетними, та відповідні цілі відновлення. Прочитайте як проводиться Business Impact Analysis, перш ніж встановлювати часові цілі без обґрунтування.

4. Ролі та шляхи прийняття рішень

Вкажіть, хто приймає рішення про активацію, які керівники функцій керують відновленням, хто відповідає за комунікацію і хто документує хід подій. Використовуйте назви ролей, а не лише імена, та додайте актуальний список контактів.

5. Резервні процедури

Опишіть, як робота може продовжуватися на нижчому, але прийнятному рівні, коли звичайне рішення відсутнє. Резервна процедура має бути практично здійсненною, а не просто фразою «працювати вручну».

6. Критичні ресурси та залежності

• Персонал та заміни.
• Системи, дані та дозволи.
• Приміщення та робочі місця.
• Комунікація та мережі.
• Постачальники та зовнішні послуги.
• Обладнання, запчастини та запаси.
• Документація та контактні дані.

7. Комунікаційний план

Визначте, які групи потребують інформації, хто затверджує повідомлення та які є альтернативні шляхи зв’язку, якщо звичайна електронна пошта чи телефон не працюють.

8. Повернення до нормальної роботи

Плануйте не лише початкову фазу. Опишіть, як синхронізуються тимчасові записи вручну, як обробляється накопичена робота, хто затверджує повернення та як враховуються отримані уроки.

Як розробити корисний план безперервності

1. Проведіть BIA/аналіз впливу. Визначте, що є критичним і скільки часу можна терпіти простій.
2. Оцініть ризики та наявні спроможності. Які сценарії та вразливості можуть вивести з ладу критичні залежності?
3. Оберіть стратегії безперервності. Резервне приміщення, надлишковість, альтернативні постачальники, методи роботи вручну чи інші рішення.
4. Напишіть план для використання під час стресу. Короткі інструкції, чіткі ролі, контрольні списки та контактні дані.
5. Тестуйте. Перевірте, чи працює план на реалістичних сценаріях.
6. Усуньте прогалини. Документуйте, чого не вистачає і хто має це вирішити.
7. Підтримуйте. Оновлюйте план після змін та навчань.

Резервні процедури повинні працювати, навіть коли залежність відсутня

Поширена помилка — використання в резервній процедурі того самого ресурсу, який вийшов з ладу. Якщо інструкції існують лише в системі, яка не працює, або контактна особа для екстрених випадків знаходиться на платформі ідентифікації, до якої ніхто не має доступу, план має вбудовану залежність.

Для кожної критичної резервної процедури ви повинні перевірити:

• Де знаходиться інструкція, якщо звичайна система недоступна?
• Чи можна надати доступ без звичайного рішення для ідентифікації?
• Чи є офлайн-канали або альтернативні шляхи зв’язку?
• Яка інформація повинна бути доступна локально?
• Чи може постачальник надавати послуги під час такого ж збою?
• Як довго можна використовувати резервне рішення?

Постачальники є частиною плану

Якщо критична діяльність базується на SaaS, партнерах з експлуатації, платіжних провайдерах або інших зовнішніх послугах, умови договору та спроможність забезпечення безперервності мають відповідати вашим власним цілям. Прочитайте які вимоги до кібербезпеки можуть потребувати регулювання в договорах із постачальниками.

Тестуйте план — інакше ви не знатимете, чи він працює

Навчання не обов'язково має починатися з дорогого повномасштабного тесту. Навіть настільна вправа (tabletop) може виявити нечіткі ролі, відсутні номери телефонів або нереалістичні часові цілі. Після цього можна проводити більш технічні тести, наприклад, для резервного копіювання, відновлення, резервного середовища або альтернативного зв’язку.

Після тесту спостереження мають перетворюватися на заходи з відповідальними особами та дедлайнами. Інакше навчання стане лише документуванням відомих недоліків.

Безперервність та Закон про кібербезпеку/NIS2

Для суб'єктів, на яких поширюється Закон про кібербезпеку, безперервність експлуатації та кризове управління є одними з тих сфер, на які мають спрямовуватися заходи безпеки. Закон вимагає відповідних та пропорційних заходів на основі профілю ризиків; він не передбачає, що всі організації повинні використовувати ідентичний шаблон безперервності.

Це означає, що документація має бути прив'язана до реальної діяльності. Готовий документ без впровадженого BIA, визначених обов'язків, тестів та фактичних резервних рішень — це не те саме, що дієва спроможність забезпечення безперервності.

Контрольний список перед затвердженням

• Чи чітко визначені обсяг плану та власник?
• Чи ґрунтується пріоритетність на актуальному BIA?
• Чи існують чіткі критерії активації?
• Чи є актуальними ролі, заміни та канали зв’язку?
• Чи існують реалістичні резервні процедури для найважливіших видів діяльності?
• Чи враховані зовнішні постачальники та субпідрядники?
• Чи доступний план, якщо звичайне ІТ-середовище не працює?
• Чи описано повернення до нормальної роботи?
• Чи був план протестований і чи є задокументовані заходи щодо вдосконалення?
• Чи є дата та відповідальна особа для наступного перегляду?

Об’єднайте аналіз, план і заходи в єдиний робочий процес

Пакет «План безперервності + BIA» від Mallbutiken містить матеріали у форматах Word, PDF та Excel для аналізу впливу, залежностей, цілей відновлення, резервних процедур та планування заходів. Ціна в магазині: 249 шведських крон.

Переглянути План безперервності + BIA

Поширені запитання

Чи повинен план безперервності охоплювати всі можливі кризи?

Ні. Надійний план краще базувати на втраті критичних ресурсів та потребах діяльності, ніж на довгому списку специфічних сценаріїв.

Чи є резервне копіювання тим самим, що й безперервність?

Ні. Резервне копіювання — це важливий контроль для даних та відновлення, але безперервність також охоплює людей, процеси, приміщення, постачальників, комунікації та здатність до прийняття рішень.

Наскільки детальним має бути план?

Достатньо детальним, щоб підготовлена людина могла діяти під час збою, не вигадуючи робочий процес заново. Надмірна кількість довідкової інформації може зробити план важким для використання.