业务连续性计划

（BusinessContinuityPlanning,缩写为BCP）业务连续性计划概述业务连续性计划是一套基于业务运营规律的\o"管理"管理规定和规章\o"流程"流程，使一个\o"组织"组织在\o"突发事件"突发事件面前可以迅速作出反映，以保证关键业务功能可以连续，而不导致业务中断或\o"业务流程"业务流程本质的改变。\o"业务连续性"业务连续性是指\o"公司"公司有应对风险、自动调整和快速反映的能力，以保证公司业务的连续运转。为公司重要应用和流程提供业务连续性应当涉及以下三个方面。1.高可用性（Highavailability）。它是指提供在本地故障情况下，能继续访问应用的能力。无论这个故障是业务流程、物理设施，还是\o"IT"IT软硬件故障。2.连续操作（Continuousoperations）。它是指当所有设备无端障时保持业务连续运营的能力。用户不需要仅仅由于正常的备份或维护而需要停止应用的能力。3.劫难恢复（DisasterRecovery）。它是指当劫难破坏生产中心时，在不同的地点恢复数据的能力。同时，上述三个部分不是互相孤立的，是互相关联，并且有交叉的。区分业务连续性和劫难恢复是很必要的。严格地说，劫难恢复是恢复数据的能力，是业务连续性计划的一部分。让业务连续性计划成为公司变化管理文化的一部分。在制定公司业务连续性计划之后，不要把这个计划放在一边。要保证该计划的切实可行，就需要把它变成活动的文档。假如公司的业务模式发生了变化，或是业务过程进行了重新设计，或是发生突发状况时的重要联系人不再为公司工作，旧的计划就需要及时进行更新。当有变化时，每个员工都应当问问自己该变化会对业务连续性计划中涉及到自己的部分会产生如何的影响。业务连续性计划的重要性现在的社会特别是\o"经济"经济社会对网络的依赖日益加深，传统的备份恢复式安全计划已经无法保证公司业务的连续运营。业务连续性计划正是因此而生，它根据业务流程而非针对技术进行制订，有助于建立起更具统筹能力的\o"安全管理"安全管理制度。据\o"GartnerGroup"GartnerGroup的调查结果显示，假如公司的大型数据中心和信息基础设施停止运营10日以上，超过百分之三十的公司在一个季度内倒闭，而接近90%的公司在一年内倒闭。这些数据说明了保证业务连续有效的运营对公司来说是多么重要，同时也可以看出公司花费大量的资金于业务连续性计划最核心的因素。业务连续性计划的基本要素BCP的基本要素笼统地说，BCP的目的只有一个，那就是拟定并减少危险也许带来的损失，有效地保障业务的连续性。而有关BCP的一些特定目的我们将在以下各个部分中加以描述。BCP实行的最终结果是：一组防范危险的评测指标；一支执行\o"团队"团队，在通过\o"培训"培训后可以解决各种危险事件；一套计划，提供危险发生时的路线图。该计划应当是充足和完备的，必须具体贯彻到该计划实行范围内的每一个单位、人员或设备。每个公司所制定的BCP都应当有每个公司或者所处行业独有的特色，彼此之间不会完全一致，但大体上说来，一个完备的BCP重要是由以下一些关键部分构成的：一、危险评估危险评估就是结识并分析各种潜在危险的结果。这些危险的来源也许是：各种区域性的天然劫难，如洪水、地震、疫病等；人为事故或蓄意破坏导致的严重劫难，如火灾、恐怖主义袭击等；安全威胁、硬件、网络或通信故障；劫难性的应用\o"系统"系统错误。所有的危险都应纳入公司的危险评估范围，并且应对各种危险的也许来源地进行较准确的\o"定位"定位。对于每一种危险的来源都应当结识到：危险的类型；危险的限度；危险发生的也许性。比如说，假如按照有无警示性先兆来分，各类危险还可以分为：有些危险也许没有任何先兆而忽然发生，无法事先防范；有些危险可以有一定的先兆，可以迅速启动\o"应急计划"应急计划加以防范，比如疫病的传播；有些危险也许历来不会发生。假如按照危险的破环类型或限度来分，它们对业务的影响可以分为：\o"经营"经营场合及设备完全破环；经营场合及设备部分破环；经营场合及设备完好，但人员不能进入，比如疫病的隔离、恐怖威胁导致的人员输散等。显然，对于公司来说，一个完备的BCP必须尽也许多地考虑到所有也许的危险情况，只有解决\o"劫难性事件"劫难性事件的计划而没有解决应用系统失误的计划，这样的BCP是不完备的；反之亦然。公司所制定的BCP应当同时兼顾两个方面——防止和\o"控制"控制。例如，人为事故和蓄意破坏可以通过物理安全和个人行为的评测来防止。而应用系统的错误则可以通过对软件的有效评测与测试来防止。危险评估的最后结果应当是一份有关危险效益分析的具体陈述报告，要有对危险的精确描述、哪些危险也许发生，以及需要采用的保障业务连续性和缓和危险的措施，同时要有由于克服了危险而带来的收益分析。这份报告还应当描述清楚任何现有的前提或者限制因素。二、\o"业务影响分析"业务影响分析（\o"BIA"BIA）业务影响分析（\o"BusinessImpactAnalysis"BusinessImpactAnalysis）实质上就是对关键性的公司功能、以及当这些功能一旦失去作用时也许导致的损失和影响的分析。对于公司业务运营的关键人员来说，他们需要分析：A.影响哪种功能对于公司的整体\o"战略"战略而言是生死攸关的该功能在多长时间内失效不会导致影响和损失公司的其他业务功能由于该功能的失效会受到何种影响——运营影响分析该功能的失效也许导致的收入影响——财务影响分析该功能是否会对\o"客户关系"客户关系导致影响——客户信心的损失该功能是否会对\o"市场份额"市场份额导致影响——市场占有率的下滑该功能是否会对公司在行业中的地位导致影响——\o"公司竞争力"公司竞争力的损失该功能是否会影响此后的销售——机会的丧失什么是最大的/可承受的/可允许的失效B.业务恢复\o"需求"需求要使该功能连续，需要哪些\o"资源"资源和数据纪录最少的资源需求是什么哪些资源也许来自公司外部它与公司其他功能的依赖关系以及依赖限度公司的其他功能与该功能的依赖关系以及依赖限度该功能与公司的外部业务/\o"供应商"供应商/其他厂商的依赖关系以及依赖限度在缺少实验环境的情况下进行恢复，需要采用如何的防止措施或检查手段在进行了这些分析之后，才有也许对公司的各种功能进行分类：a)关键功能——假如这类功能被中断或失效，就会彻底危及公司的业务并导致严重损失。b)基础功能——这些功能一旦失效将会严重影响公司长期运营的能力。c)必要功能——公司可以继续运营，但这些功能的失效会在很大限度上限制公司的效率。d)有利功能——这些功能对公司是有利的；但它们的缺失不会影响公司的\o"运营能力"运营能力。根据各种功能的恢复需求，公司便可为上述各类功能制定标准的恢复时间架构。例如，关键功能<1天；基础功能：2～4天；必要功能：5～7天；有利功能：>10天。影响分析可以帮助公司拟定各类业务功能的优先顺序，换句话说，也就拟定了各业务功能的优先恢复顺序。BIA有助于定义恢复对象。在进行了影响分析之后也许会发现，在一次劫难之后恢复业务运营时，一方面恢复部分功能就足够了，比如说在24小时内先恢复平常业务的40%就够了。具体定义好在劫难或业务中断之后保障业务功能运营的资源需求也是也许的。这些资源需求涉及\o"基础设施"基础设施、\o"人力资源"人力资源、文档、记录、设备、电话、传真机等，无论需要什么资源都要有完备的规范规定。拥有适当的细节规定是非常重要的，由于在危险事件发生时，会产生一定限度的慌乱，到那时再决定这类细节已经不也许了。\o"成本"成本因素在进行影响分析时也是不能忽略的。我们需要记住以下一些事项：收入的损失和商机的丧失与恢复所需的时间直接成正比一种恢复策略的成本与恢复所需的时间成反比也许的恢复策略的成本必须和在采纳该策略之前由于业务功能中断而导致的实际损失进行比较。假如所建议的恢复策略的成本远高于预计的成本，那么这种策略就是不可取的。三、策略BCP应涉及以下策略：A.防止防止的目的在于减少劫难发生的也许性。有关防止的策略应当涉及制止和防止控制。制止控制可以减少危险的也许性。防止控制则是保护公司的弱点区域，以防御危险的发生并减少其影响。这两类控制在实际运营中广泛存在，比如经营场合的安全、人员控制、相关基础设施（如UPS、后备电池、烟火探测器、灭火器等）、软件控制、相关的存储和恢复等。公司希望保障其资源（涉及\o"信息资产"信息资产）的可用性和安全性，其安全策略必须针对这些对象而制定，并且提供有关资源使用和管理的指南。在熟悉了公司的所有资源、资源的布局以及危险管理等之后，才也许拿出实行安全策略所需的必要的控制措施。这些控制措施或安全举措必须时时加以检查和\o"测试"测试。假如一种安全策略，能将防止措施都部署到位，可以监控对系统的入侵并防范那些试图破坏系统的行为，那么其自身就是一种制止控制。防止计划的执行必须小心谨慎。必须保证实行安全策略时既不能对平常业务带来限制，出现\o"瓶颈"瓶颈，也不能引起可用性问题，或者给系统的访问和使用带来障碍。B.响应响应就是当危险发生时的反映。它必须可以阻止危险的进一步扩大，评估危险的限度，通过与外部世界的正常通信联络挽回公司的声誉，并启动必要的恢复时间表。对业务中断的第一反映应当是告知所有相关的人员。假如危险有事前警示的话（比如这次的非典爆发），那么这种告知就可以提前进行。及时的告知非常重要，由于这也许会给阻止危险的进一步扩大发明机会。假如在适当的时机执行一次关机、一次转换或者一次撤离，甚至有也许完全防止危险的发生。但是这需要有诊断或探测控制的存在。这类控制或者可以连续扫描以探测发生中断的征候（网络、服务器），或者可以从外部资源搜集信息（自然灾害）。准确的告知程序必须事先制定好。必须清楚地记录在案：需要告知谁，如何告知，由谁告知，并且还得有逐步扩大的\o"机制"机制。在BCP中必须设立好一棵告知树。最初的告知发送给一组人，然后再由他们中的每个人去告知另一组人，依次类推。属于这棵告知树的人都有不同的责任和作用，所涉及的人员应涉及：管理团队——需要获得有关危险发展状况的信息。该团队有权力启动紧急响应体系和下一步的行动。管理团队还要负责与媒体、\o"公众"公众、\o"客户"客户以及\o"股东"股东们打交道。危险评估团队——需要立刻对危险进行评估，评价业务中断的严重限度。技术团队——应当为关键决策制定者如何采用下一步BCP行动提供\o"服务"服务。运营团队——应当执行BCP的实际运作。尚有很重要的一点就是每一个团队都应明确第二负责人。万一第一负责人没有告知到或者无法负起责任，那么必须告知第二负责人。告知可以使用各种工具或手段：如手机、呼机、短信、电话和E-mail。每个团队都应当有相应的配备。危险评估团队应当是最早（或者与管理团队同时）被告知的。他们应当最早来到现场，以便评估所遭受的危险限度和级别。假如工作现场已经遭到破坏，那么他们就应当做好各项准备，一旦允许进入现场就开始工作。评估过程自身也应有计划地进行，必须与保障业务连续性的优先顺序密切相关。这就是说评估团队应当意识到危险所影响到的工作区域和工作流程是否对整个业务的运营至关重要。这将有助于他们优化其评估进程，同时也可对的地关注关键性工作区域。这支团队需要察看以下事项：中断的因素是什么阻止危险扩大的前景如何基础设施和设备受损情况业务受影响状况关键记录受损情况可以挽回什么损失什么设备需要修理、恢复和更换有了危险评估团队提供的有关受损限度和受损区域的详尽信息，技术团队便可立刻投入工作。BCP必须拥有一组基于业务影响分析和连续性目的的预设参数，这些参数应当可以区分出中断和劫难的不同性质，同时也能评价出危险的严重限度。当危险评估团队和技术团队开始工作时，其他BCP团队也应依照警示告知到位，以便按照连续性计划采用应当采用的行动。C.业务接续（Resumption）业务接续只涉及那些时间敏感的业务流程，要么是在中断发生后立即接续，要么是在可允许的一段平均时间后接续，但不是对所有业务的恢复。一旦BCP被激活，命令将从指挥中心发出。这个指挥中心应当是在一个不同于平常经营场合的地方。该中心应配备相应的通信设施、办公设备，也许的话还应当构建\o"局域网"局域网和\o"VPN"VPN。需要做出的第一个\o"决策"决策是，关键性业务的运营能否在平常的工作场合或者在一个备选场合不久恢复运营。备选场合可以提成以下几类：(a)空场合（ColdSite）——该场合只需配备必要的环境条件即可，比如说，应配备电话插座、电源以及UPS等，但要避免其内有任何其他设备，它的作用就是准备将保障业务连续所需的所有设备搬移进来。(b)热场合（HotSite）——该场合是一个完全的备份场合，有人员工作的空间，所有设施一应俱全，数据备份也是最新的。一旦劫难发生，BCP团队只需进驻该场合就可开始工作，不会有额外的时间迟延。(c)温场合（WarmSite）——该场合事实上就是配备了部分设备的热场合，数据备份不算最新，但也不能太旧。(d)机动场合（MobileSite）——该场合是一个具有较小设施配置的机动场合。可以位于重要经营场合附近，因而也可节省关键人员在路程上花费的时间。(e)镜像场合（MirroredSite）——该场合在所有方面都与重要经营场合完全相同，信息和数据也与重要场合同步。事实上该场合就是正常状况下的一个冗余场合，因而通常也是成本最高的一种选择。在备选场合（或重要场合，假如仍然可用的话），\o"工作环境"工作环境需要恢复。通信、网络和工作站需要设立。与外界的联系必须连续畅通。公司可以一方面手动恢复一些业务，直到关键的IT业务可以继续运营为止。当然，假如恢复计划（下面就要讲到）允许，那么关键业务功能也可采用自动方式迅速恢复。D.业务恢复（Recovery）业务恢复是启动时间敏感度稍低一些的业务流程。业务恢复的开始时间要取决于接续那些时间敏感的业务流程需要的时间。在进行业务恢复的场合（可以是重要经营场合或备选场合），需要在备份的设备上恢复操作系统，并按照关键性顺序恢复必要的应用系统。当服务于关键功能的应用系统恢复之后，则需要从备份磁带或其他异地备份媒介上恢复数据。备份数据也必须经常保持同步，也就是说，重建的数据应当与业务中断之前的某一预先拟定的时点的数据相吻合。该时点的选择取决于关键业务的规定。由于\o"商业"商业数据有各种不同的来源，因此重建的每一种数据都必须达成所需的数据一致性状态。通过同步的数据必须经常进行复查并保持其有效。这种复查必须强制执行，由于在危险发生的紧急关头，不也许再有闲暇来测试数据是否可用。因此，必须要有一套清楚的方法、策略或复查清单来执行这个让数据保持其有效性的过程。一旦数据达成了可靠的状态，公司的事务就可以加速运营，由于劫难已经得到解决，所有的关键性功能都已得到接续。逐步地，其他业务也可开始恢复其功能。E.复原（Restoration）复原则是修复并恢复重要的经营场合。最终是要在原有的场合或者一个全新的场合完全恢复所有的业务流程。就在恢复团队开始从某个备选场合开始支持恢复运营的时候，对重要场合的所有功能进行复原的工作也可以展开。假如原有场合在劫难后的确无法恢复，则需要在一个新的场合进行复原工作。恢复团队和复原团队的成员有也许是同一组人。必须保证该复原场配备必要的基础设施、设备、硬件、软件和通信设备。并且要对该场合能否解决所有的业务流程进行测试。执行上述所有行动的计划应当涉及一个时间跨度定义，拟定在某一跨度内必须完毕哪些行动。这个时间跨度的定义必须与公司的恢复目的相一致。BCP团队必须意识到，假如在任一时点，他们的行动超过了规定的时间跨度，那么这个意外事件就必须立刻上报到指挥中心，由指挥中心立即制定相应的解决办法，否则公司就无法实现其恢复目的。四、指标定义在危险评估和业务影响分析阶段之后，保持业务连续的基础业务就已经显现出来。我们在上面已经说过，按照业务术语可将公司的业务功能提成4类，即关键业务、基础业务、必要业务和有利业务。这种分类可以让业务连续的优先顺序十分清楚，这样，业务恢复的目的就可以用下面的指标进行量化：恢复的时间目的（RTO）——最大可允许中断时间恢复的时点目的（RPO）——数据损失可允许的最远回溯时点由于引进了BCP的评测指标而导致的公司性能退化实行BCP的成本业务连续性计划的内容业务连续性计划既可以提成几个单独的计划：即防止、响应、业务接续、业务恢复和复原计划，也可以由每一个这样的计划构成总的计划书中的不同章节。1．基本\o"项目"项目目的制定计划的目的必须加以说明。还应当说明即划分几个阶段试时，每个阶段所要实现的目的是什么。范围说明有哪些部门和运营业务需要实行BCP。假如一个BCP只针对某些劫难而非所有劫难，则需要针对这些特殊劫难制定专门的实行解决脚本。必备条件/前提条件和限制因素形成一份BCP的前提条件需要在此说明。在某些情况下，还须说明BCP成功的必备条件。比如说，服务器的数据备份间隔不得超过多少小时，受过训练的运营恢复团队必须呼之即来，备选场合必须在劫难发生之后多少小时之内一切准备就绪等等。假如BCP计划的执行还存在一些限制条件的话，也应在此列出。团队BCP团队的组织/负责人选、下属哪些分支团队、团队的作用和责任等，都必须在此说明。指标作为一种策略，公司必须由用于恢复的RPO和RTO指标，以及性能指标等，这些指标应当在此加以说明，并向客户和股东说明。2．防止保护作为BCP中的一个实行部分，防止措施需要在此说明。这些措施可以概括如下：监督访问控制身份认证防病毒过滤入侵检测系统备份计划3．紧急响应响应的准备在响应阶段需要哪些资源应当在此列出，同时具体申明这些资源的配置和所需数量。假如还需要一些文档和记录的硬拷贝，也必须在此申明。告知树危险评估何时对外宣布激活BCP的关键标准4．业务接续从紧急响应阶段到业务接续阶段如何进行衔接是需要在这里说明的。有关业务接续运营的决策过程、在哪里以及如何进行业务接续、需要采用什么行动，以及接续哪些业务到何种限度等等，都需要在此加以说明。还要为BCP团队中的各个小组指定各自应当采用的行动，每个小组要完毕指定的任务。BCP中的这一部分也称为业务接续计划（BRP）。5．业务恢复执行业务恢复的程序在此加以说明。BCP的这一部分也可称为劫难恢复计划（DRP）。这一部分计划文档的组织可以有很多种方式。一种方式就是简朴地列出所有的恢复目的（按照RPO、RTO、目的服务器/网络等来列）。根据每一目的进行计划分解，同时明确相应的团队/负责人以及任务。尚有一种方式就是按部门来组织。无论采用哪种方式，都应保证所有的BCP目的都能覆盖到。计划的这一部分必须编排得像一本操作手册，由一系列简朴明确的指令构成，恢复团队完全可以按照这些指令进行恢复操作。各种操作之间的互相关系也必须加以明确说明。所有的指令和说明必须明白无误，以免因也许引起误解或不明了而导致时间损失。6．复原为业务运营复原原有场合应采用的环节在此加以说明。需要标明每个团队/负责人的责任和任务。业务连续性计划的运作流程BCP运作共有6个阶段，分别为：1、项目初始化、2、\o"风险分析"风险分析及业务影响、3、策略及实行、4、BCP开发、5、\o"培训计划"培训计划、6、测试及维护。1、项目初始化获得管理层的支持与投入为了保证该程序可以成功，高级管理层必须参与其中。BCP计划必须成为公司的战略性业务计划之一。同时，公司必须设定合理\o"预算"预算，并为BCP提供独立的预算。建立团队必须建立一个团队，人员涉及财务部，审计部，信息技术部，人事部，行政部等等。当劫难开始时，这些部门在继续扮演他们承担的支援角色的同时，也必须实行重大的机构转变以援助受影响的区域。法律部、\o"公关部"公关部与投资部在事件发生后需要向公众及股东通告公司的运作状况。2、风险分析及业务影响分析决定BCP需求的关键驱动力是“公司能在劫难中承受多少金额的损失”？业务影响分析的目的是回答以下问题：保护何种\o"资产"资产？(资产辨认与评估)资产的威胁与脆弱点？(脆弱点和威胁评估)有没有控制措施？控制措施能否防止或减少潜在的威胁？(评估控制)投入金额/劳力的多少？(决定)\o"投入资金"投入资金的效率如何？(通讯和监控)当进行业务影响分析时，应考虑以下几方面：金额的影响：假如不采用相应的措施，则组织的经济损失是多少？客户的影响：假如发生业务中断，则组织会损失多少市场占有率法律的影响：组织是否遵从法律的规定？内部依赖关系的影响：中断的业务是否会其他领域的关键业务？作为业务影响分析的一部分，应当评估业务允许中断的时间长短；组织能提供多常时间的信息；当信息重新可用时，允许损失的信息是多少？这些问题可以通过恢复时间目的（recoverytimeobjective(RTO)）和恢复点目的（recoverypointobjective(RPO)）来决定。决定BCP需求的另一个因素是“劫难实际发生的也许性”。此因素由威胁的级别和组织具有的薄弱点范围决定，威胁的限度取决于下列因素：有恶意性的破坏，如轰炸、纵火、工业间谍等。意外事故，如组织的办公场合、环境，内部系统和解决程序的\o"质量"质量。3、业务连续性策略及实行业务连续性策略业务影响分析为制定业务连续性策略提供必要的信息，下来，根据提供的信息，可以拟定多种满足组织业务连续管理的方案。必须为各种业务连续方案进行成本、效益及风险分析，涉及：满足业务连续目的的能力影响的也许性安装设备的成本维护、测试及调用设备的成本中断对于技术、组织、文化和管理的干扰及未采用\o"连续管理"连续管理的潜在影响应当仔细考虑采用业务连续方案的确解决了具体的风险但不会增加其它风险。通过风险减少和业务连续方案成本的平衡来决定业务连续策略以减少风险达成业务连续的目的。实行设立组织及准备实行计划书实行备份安排实行减少风险的措施4、BCP开发开发业务连续性计划之前，拟定劫难发生的情况下执行的行动，你需要熟悉天天的操作任务。这意味这你需要熟悉每一个业务解决过程的基本文档。在开发业务连续性计划之前，须考虑下列措施是否已经存在：变更控制流程最终用户的标准操作流程操作人员的具体需求和特殊外围设备需求