Знания
Учения и тестирование планов непрерывности
Что, как и как часто необходимо проверять: требования российских регуляторов, виды тестирования и практические подходы к проверке готовности организации.
Планы непрерывности, восстановления и реагирования на инциденты должны не просто существовать — их работоспособность необходимо регулярно проверять. В одних случаях периодичность прямо устанавливает регулятор, в других организация определяет её самостоятельно. При этом и форма проверки может быть разной: от анализа документа и штабного учения до фактического переключения на резервную инфраструктуру.
Разберёмся, какие планы необходимо тестировать, как часто это делать и какой формат проверки подходит для разных задач.
01
Зачем тестировать планы
Разработанный и утверждённый план отвечает на вопрос, как организация собирается действовать при нарушении деятельности. Учения или тестирование отвечают на другой вопрос: сможет ли она действительно выполнить предусмотренные планом действия.
Именно во время проверки обычно обнаруживаются проблемы, которые трудно увидеть при согласовании документа: устаревшие контакты, неучтённые зависимости, недостаток резервных ресурсов, противоречия между процедурами разных подразделений или нереалистичные сроки восстановления.
План говорит, что организация намерена делать.
Учения показывают, способна ли она это сделать.
Регулярное тестирование позволяет:
- подтвердить работоспособность предусмотренных планом решений;
- проверить готовность сотрудников и руководителей;
- оценить фактическое время реакции и восстановления;
- выявить неучтённые зависимости и недостаток ресурсов;
- проверить взаимодействие между подразделениями;
- определить необходимые корректировки планов, процедур и технических решений.
02
Какие документы необходимо проверять
В организации могут действовать несколько взаимосвязанных планов — непрерывности деятельности, восстановления ИТ, кризисного управления, реагирования на инциденты ИБ. Цели этих планов, а значит и подходы к их тестированию, различаются.
План непрерывности деятельности / BCP / План ОНиВД
Способность организации продолжать или восстанавливать критически важные процессы в установленные сроки и с использованием предусмотренных резервных решений.
План восстановления ИТ / DRP
Возможность восстановления информационных систем, данных, инфраструктуры, каналов связи и интеграций в соответствии с установленными RTO и RPO.
План кризисного управления / CMP
Порядок эскалации, распределение полномочий, принятие решений руководством, изменения в корпоративном управлении, взаимодействие кризисной команды, внутренние и внешние коммуникации.
План реагирования на инциденты ИБ / IRP
Обнаружение и анализ инцидента, его локализация, принятие мер реагирования, взаимодействие ИБ и ИТ и последующее восстановление.
План реагирования на инциденты ИБ (в т.ч. для субъектов КИИ)
Выполнение мероприятий по реагированию на компьютерные инциденты и ликвидации последствий компьютерных атак, включая предусмотренное планом взаимодействие с внешними сторонами.
03
Что требуют российские регуляторы
Единого требования «всем организациям проводить учения раз в год» в российском регулировании нет. Обязанность, периодичность и форма проверки зависят от отрасли, статуса организации и вида проверяемого плана. Важно также различать обязательные требования нормативных актов и рекомендации регуляторов.
| На кого распространяется | Что проверяется | Как часто | Форма | Основание |
|---|---|---|---|---|
| Кредитные организации | План ОНиВД | Не реже 1 раза в 2 года | Проверка (тестирование) | Положение Банка России 242-П от 16.12.2003 г. приложение 5, п. 11.1 Рекомендация |
| Кредитные организации | Планы обеспечения (восстановления) операционной устойчивости, операционной надежности | Не реже 1 раза в год по направлениям деятельности | Сценарное тестирование | Рекомендации Банка России 4-МР от 29.06.2026 г. глава 8Рекомендация |
| Кредитные организации | Готовность противостоять информационным угрозам в отношении критичной архитектуры | Прямо не установлена | Сценарный анализ + тестирование готовности | Положение Банка России 850-П от 13.01.2025 г. п. 7.5Обязательно |
| Некредитные финансовые организации, на которые распространяются главы 3-4 28-МР | План непрерывности деятельности | Не реже 1 раза в год | Моделирование потенциальных ЧС с привлечением сотрудников | Рекомендации Банка России 28-МР от 18.08.2016 г. п. 4.3Рекомендация |
| Некредитные финансовые организации, на которые распространяются главы 3-4 28-МР | Программно-технические средства основного и резервного офисов | Не реже 1 раза в год | Техническое тестирование с учетом выявленных факторов ЧС | Рекомендации Банка России 28-МР от 18.08.2016 г. п. 4.7Рекомендация |
| Некредитные финансовые организации | Готовность противостоять информационным угрозам в отношении критичной архитектуры | Прямо не установлена | Сценарный анализ + тестирование готовности | Положение Банка России 779-П от 15.11.2021 г. п. 1.8Обязательно |
| Системно значимые инфраструктурные организации финансового рынка | План ОНиВД | Не реже 1 раза в 6 месяцев | Моделирование потенциальных НЧС с привлечением сотрудников | Рекомендации Банка России 20-МР от 27.07.2015 г. п. 12Рекомендация |
| Системно значимые инфраструктурные организации финансового рынка | Программно-технические средства основного и резервного офисов | Не реже 1 раза в 6 месяцев | Техническое тестирование с учетом факторов НЧС | Рекомендации Банка России 20-МР от 27.07.2015 г. п. 17Рекомендация |
| Субъекты КИИ c ЗО КИИ | План реагирования на компьютерные инциденты и принятия мер по ликвидации последствий компьютерных атак | Не реже 1 раза в год | Тренировки по отработке мероприятий плана реагирования | Приказ ФСБ России №547 от 25.12.2025 г. п. 10Обязательно |
| Центральный контрагент | План обеспечения непрерывности деятельности | Не реже 1 раза в год | Учения | Указание Банка России 4258-У от 13.12.2016 г. п. 1.2 Обязательно |
| Оператор платежной системы Банка России | Каждый сценарий Плана ОНиВД | Не реже 1 раза в календарный год | Совещание с пошаговым анализом сценария или учения с непосредственным выполнением действий в условиях условного инцидента | Положение Банка России 738-П от 27.10.2020 г. приложение 6, пп. 8–12 Обязательно |
| Оператор платежной системы и операторы УПИ | Планы ОНиВД | Не реже 1 раза в 2 года | Проверка / тестирование и пересмотр | Положение Банка России 607-П от 03.10.2017 г. пп. 2.3.10, 2.3.13Обязательно |
| Организатор торговли | Критически важные программно-технические средства | Не реже 1 раза в 6 месяцев | Испытательные работы / тестирование | Указание Банка России 4791-У от 07.05.2018 г. п. 4.1.19 Обязательно |
| Организатор торговли | План непрерывности деятельности | Не реже 1 раза в 2 года | Оценка достаточности плана | Указание Банка России 4791-У от 07.05.2018 г. п. 4.1.24Обязательно |
Формулировки регуляторов принципиально различаются. Требование оценить достаточность плана ещё не означает необходимость проведения учения, а обязанность тестировать готовность не всегда сопровождается установленной календарной периодичностью. Поэтому программу проверок следует формировать исходя из точного содержания требований, применимых к конкретной организации.
ГОСТ Р 57580.3-2022 и ГОСТ Р 57580.4-2022
Требования к сценарному анализу и тестированию готовности финансовых организаций дополнительно раскрываются в ГОСТ Р 57580.3-2022 и ГОСТ Р 57580.4-2022. ГОСТ Р 57580.3-2022 устанавливает общие положения по управлению риском реализации информационных угроз и прямо предусматривает проведение сценарного анализа и тестирование готовности финансовой организации противостоять реализации информационных угроз в отношении критичной архитектуры.
В ГОСТ Р 57580.4-2022 этому посвящён отдельный процесс — «Тестирование операционной надёжности бизнес- и технологических процессов». Стандарт называет такое тестирование киберучениями, а в таблице 12 устанавливает семейство мер ТОН — «Тестирование операционной надёжности». Меры ТОН охватывают разработку сценариев информационных угроз и компьютерных атак, тестирование процедур обнаружения, реагирования и восстановления, оценку готовности работников и достаточности ресурсов.
Меры ТОН — это не просто описание возможной методики. Если обязанность применять ГОСТ Р 57580.4-2022 установлена для финансовой организации нормативным актом Банка России, организация должна реализовывать состав мер, предусмотренный стандартом для применимого уровня защиты.
Мера ТОН.13: тестирование в условиях, приближенных к реальным
Особенно показательна для темы учений мера ТОН.13. Она предусматривает разработку сценариев и проведение периодических тестирований готовности в условиях, приближенных к реальным, с привлечением подразделений и должностных лиц, принимающих решения при реагировании на инциденты и восстановлении, а также ключевых причастных сторон. Для уровня защиты 1 мера ТОН.13 является обязательной; для уровней 2 и 3 стандарт её не устанавливает в качестве обязательной меры.
ГОСТ Р 57580.4-2022 рассматривает киберучения как часть конкретного процесса обеспечения операционной надёжности. Для организаций, обязанных применять соответствующие меры ТОН, тестирование готовности является элементом выполнения установленных требований, а не только рекомендуемой практикой.
04
Проверка, тестирование и учения: в чём разница
Нормативные документы используют разные понятия — проверка, тестирование, тренировка, учения, моделирование нештатной ситуации. Они различаются глубиной проверки и степенью фактического выполнения предусмотренных планом действий: чем ближе условия к реальным, тем выше требования к подготовке и ресурсам.
01
Проверка документа
Анализируется актуальность самого плана: роли и полномочия, контактные данные, перечень ресурсов, зависимости, используемые площадки, информационные системы и внешние организации.
Подходит для: регулярной базовой проверки актуальности плана.
02
Пошаговый разбор (walkthrough)
Участники последовательно разбирают предусмотренные планом роли, действия и порядок их выполнения. Реальные системы обычно не задействуются.
Подходит для: проверки логики процедур, распределения ролей и понимания плана участниками.
03
Штабные учения (tabletop exercise)
Участники получают исходную ситуацию и последовательно поступающие вводные. Им необходимо оценивать происходящее, принимать решения, передавать информацию и взаимодействовать с другими участниками так, как это происходило бы при реальном инциденте.
Подходит для: проверки процессов кризисного управления, ИБ, непрерывности деятельности и взаимодействия подразделений.
04
Функциональные учения
Помимо принятия решений участники фактически выполняют отдельные предусмотренные планом процедуры: оповещение, сбор кризисной команды, переход на альтернативный порядок работы, взаимодействие с подрядчиками или другие действия.
Подходит для: проверки выполнимости конкретных организационных процедур.
05
Техническое тестирование
На реальной инфраструктуре выполняются технические операции: восстановление данных из резервной копии, переключение каналов, переход на DR-сайт, восстановление информационной системы или проверка резервной площадки.
Подходит для: подтверждения работоспособности DR-решений и процедур восстановления, оценки фактических RTO (RTA) и RPO (RPA) .
06
Комплексные учения
В одном сценарии объединяются действия руководства, бизнеса, ИТ, информационной безопасности и других подразделений, а организационные решения дополняются фактическим выполнением отдельных технических процедур.
Подходит для: проверки готовности организации в целом и совместной работы нескольких планов.
Формат проверки должен соответствовать её цели. Штабные учения хорошо показывают, способны ли люди оценивать ситуацию и принимать решения, но не доказывают, что информационная система действительно восстановится за требуемое время. Для этого необходимо техническое тестирование.
Поэтому полноценная программа проверки готовности должна сочетать организационные учения и технические тесты: один формат не заменяет другой.
05
Как часто проводить тестирование
Правила регуляторов определяют минимальные, но не всегда достаточные требования к частоте тестирования. Проведение учений должно определяться не только заранее установленным графиком, но и событиями, которые существенно влияют на организацию.
01
По графику
Проверки проводятся с периодичностью, установленной нормативными документами, внутренними политиками или программой тестирования.
Например: раз в полгода, ежегодно или раз в два года — в зависимости от требований к конкретной организации и виду плана.
02
По событию
Дополнительное тестирование проводится после существенных изменений или событий, способных повлиять на выполнимость плана.
Также тестирование целесообразно проводить после серьёзного инцидента и после устранения недостатков, выявленных во время предыдущей проверки.
Внеплановое или повторное тестирование особенно оправдано после:
- существенных изменений критичных процессов или организационной структуры;
- внедрения или изменения критичных ИС, инфраструктуры и решений восстановления;
- реального инцидента, показавшего недостатки действующих процедур;
- корректировки плана или устранения недостатков предыдущего тестирования.
Поэтому хороший график тестирования — это не просто «раз в год». Он сочетает регулярные проверки по плану и дополнительные проверки после существенных изменений.
06
Что должно быть результатом учений
Хорошие учения заканчиваются не формулировкой «мероприятие проведено успешно», а зафиксированными недостатками, выводами и конкретными действиями по совершенствованию планов, процедур и технических решений.
01
Выполнение целей учений
Какие сценарии удалось проверить и какие из ожидаемых действий были выполнены участниками.
02
Выявленные отклонения
Ошибки, задержки, противоречия в процедурах, нехватка ресурсов и другие проблемы, выявленные во время проверки.
03
Фактическое время действий
Время эскалации, принятия решений, восстановления или выполнения других критичных действий, если оно являлось предметом проверки.
04
План корректирующих мероприятий
Что необходимо изменить, кто отвечает за выполнение и в какие сроки недостатки должны быть устранены.
05
Необходимость повторного тестирования
Для существенных недостатков должна быть определена необходимость повторной проверки после их устранения.
Ценность учения определяется не количеством участников и сложностью сценария, а тем, насколько оно помогает повысить реальную готовность организации.
Главное
Требования к периодичности и форме тестирования различаются, но общий принцип один: наличие утверждённого плана не подтверждает готовность организации, пока его выполнимость не проверена на практике.
План становится рабочим инструментом только тогда, когда организация убедилась, что действительно способна действовать по нему.
Нужно проверить готовность организации?
Поможем определить цели проверки, подобрать подходящий формат и провести штабное или комплексное учение с фиксацией результатов и рекомендациями по улучшению планов.