業(yè)務(wù)持續(xù)管理概述及應(yīng)用

業(yè)務(wù)持續(xù)管理概述及應(yīng)用LOGOYoursitehere第1頁，課件共40頁，創(chuàng)作于2023年2月中國信息化推進聯(lián)盟BCM專業(yè)委員會（ChinaBCM，CBCM）2004年7月成立，是中國目前唯一權(quán)威的BCM組織機構(gòu)，至今已有委員50多人及會員單位20多家致力于中國BCM的應(yīng)用推廣、人才培養(yǎng)、及標準制定促成了與DRII的合作中國BCM專業(yè)委員會第2頁，課件共40頁，創(chuàng)作于2023年2月311，000人已被認證（截至2010年1月底）遍布95個國家培訓(xùn)在45個國家開展DRIChina是大中華地區(qū)DRII唯一授權(quán)機構(gòu)包括香港，澳門和臺灣地區(qū)真正全球化DISASTERRECOVERYINSTITUTEINTERNATIONALanon-profitorganizationBC行業(yè)手屈一指的職業(yè)教育和資質(zhì)認證組織第3頁，課件共40頁，創(chuàng)作于2023年2月主要內(nèi)容災(zāi)難事件及其損失和挽救解決災(zāi)難問題的理論和方法BCM相關(guān)概念解釋BCM的知識體系（10個國際最佳慣例）BC計劃編制方法論（8個步驟）業(yè)務(wù)恢復(fù)的生命周期（6R模型）BCM中的各種計劃BCM在企業(yè)中的應(yīng)用BCM給企業(yè)帶來的好處國內(nèi)外相關(guān)法規(guī)和標準、以及相關(guān)組織機構(gòu)BCM在災(zāi)難恢復(fù)建設(shè)中的應(yīng)用第4頁，課件共40頁，創(chuàng)作于2023年2月何為“BCM（業(yè)務(wù)持續(xù)管理）”？“B”——Business，具有價值的活動“C”——Continuity，持續(xù)活動的保障“M”——Management，提供保障的方法幾乎人人都有“BC”需求工作中的“BC”需求生活中的“BC”需求“BCM”方法是保護我們正常生活和工作的必備手段BCM離我們有多遠？第5頁，課件共40頁，創(chuàng)作于2023年2月2008年5.12汶川大地震2008年南方大雪2009年7.5新疆暴亂2009年臺風莫拉克2005年卡特里娜颶風2001年911恐怖襲擊災(zāi)難事件回顧第6頁，課件共40頁，創(chuàng)作于2023年2月災(zāi)難的損失與挽救災(zāi)難事件死亡人數(shù)直接經(jīng)濟損失保險賠償社會捐贈汶川地震近9萬人超過1萬億元共計約16億元

人身：9.6億元（60%）

財產(chǎn)：6.4億元（40%）760億元911恐怖襲擊3千多人450億美元共計約400億美元

人身：48億美元（12%）

財產(chǎn)：352億美元（88%）（其中：停業(yè)保險為110億美元責任保險為100億美元）22億美元卡特里娜颶風1千多人1250億美元共計約600億美元13億美元第7頁，課件共40頁，創(chuàng)作于2023年2月政府救援救援的主力軍（消防、武警、軍隊、醫(yī)療、應(yīng)急機構(gòu)等）主要是針對人員和財產(chǎn)的搶救用于基礎(chǔ)設(shè)施重建的賑災(zāi)資金社會捐贈已成為重要的救助力量保險賠償賠償占損失的比例太?。ǚ从沉吮ｋU意識淡?。┴敱Ｙr償占總賠償比例偏小（受大型自然災(zāi)害賠償限制）缺乏停業(yè)保險、責任保險等與企業(yè)經(jīng)營相關(guān)的險種企業(yè)自救缺乏有效的預(yù)案和方法，能力較弱缺乏系統(tǒng)的科學方法（BCM不夠普及）我國目前的救災(zāi)模式第8頁，課件共40頁，創(chuàng)作于2023年2月英國CMI的2010年BCM調(diào)查報告58%造成組織停業(yè)的是氣候。第一次取代IT79%被訪經(jīng)理在過去12個月里啟動BC計劃并有效地減少了中斷造成的沖擊54%被訪者報告應(yīng)用遠程工作的方式應(yīng)對中斷企業(yè)的自律是BCM的主要驅(qū)動力自律（38%)商業(yè)/客戶（31%）潛在客戶（21%）政府要求（21%）合同（16%）33%的指導(dǎo)來自專業(yè)機構(gòu)，28%來自自己27%有專項資金，48%沒有72%說HR是內(nèi)部BCM的相關(guān)者第9頁，課件共40頁，創(chuàng)作于2023年2月解決災(zāi)難問題的理論和方法風險管理（RM）：風險的分析、預(yù)防和控制主要用于風險的預(yù)防危機管理（CM）：危機事件的演變和處理主要用于事件的處理應(yīng)急管理（EM）：突發(fā)事件的應(yīng)對和處理主要用于公共事件的應(yīng)對災(zāi)難恢復(fù)（DR）：信息系統(tǒng)的恢復(fù)（DRP是BCP的一部分）主要用于數(shù)據(jù)和信息系統(tǒng)的保護業(yè)務(wù)持續(xù)管理（BCM）：災(zāi)難中企業(yè)的生存確保在預(yù)定的時間內(nèi)恢復(fù)業(yè)務(wù)運行綜合運用了以上各種方法第10頁，課件共40頁，創(chuàng)作于2023年2月11原因vs.影響風險評估–對原因的判斷(風險)確認威脅

(設(shè)施,環(huán)境，氣候，地質(zhì)地貌，人為，商務(wù)，技術(shù)，等等）建議減小措施發(fā)生的可能性采取措施的成本BCM–對影響進行處理當防范及減小措施失去作用準備組織架構(gòu),計劃，資源，檢驗執(zhí)行搬遷,特殊情況下的運營減少已知的危險減小沖擊后的影響風險管理vs.業(yè)務(wù)持續(xù)管理第11頁，課件共40頁，創(chuàng)作于2023年2月BusinessContinuityisNOTbusinessasusual所謂業(yè)務(wù)持續(xù)就是不僅要使業(yè)務(wù)功能在災(zāi)難后能得到全面恢復(fù)，還要確保關(guān)鍵業(yè)務(wù)功能在中斷或災(zāi)難事件中，能夠迅速地恢復(fù)持續(xù)運行業(yè)務(wù)持續(xù)的實質(zhì)第12頁，課件共40頁，創(chuàng)作于2023年2月災(zāi)難的含義災(zāi)難（Disaster）的一般定義一個突發(fā)的、非計劃的、能夠?qū)е轮卮髠驌p失的嚴重的不幸事件災(zāi)難對企業(yè)的含義突發(fā)事件造成企業(yè)關(guān)鍵業(yè)務(wù)功能（或流程）的中斷時間超過企業(yè)最大可容忍的程度通常由恢復(fù)時間目標（RTO）值作為判定是否是災(zāi)難的依據(jù)通過評估，當預(yù)計關(guān)鍵業(yè)務(wù)功能的中斷時間將大于預(yù)定的RTO值，則視為災(zāi)難發(fā)生，應(yīng)該啟動相應(yīng)的預(yù)案和計劃第13頁，課件共40頁，創(chuàng)作于2023年2月業(yè)務(wù)功能或應(yīng)用系統(tǒng)恢復(fù)到其最低可接受的程度業(yè)務(wù)功能或應(yīng)用系統(tǒng)以最新的正確數(shù)據(jù)運行時間中斷點業(yè)務(wù)功能或應(yīng)用系統(tǒng)從中斷點恢復(fù)到其最低可接受的程度所需的時間，從而使中斷產(chǎn)生的沖擊最小化。恢復(fù)時間目標（RTO）恢復(fù)時間目標（RTO）事前防控事后重建事中應(yīng)對第14頁，課件共40頁，創(chuàng)作于2023年2月項目啟動與管理風險評估和控制（RA）業(yè)務(wù)沖擊分析（BIA）制定業(yè)務(wù)持續(xù)策略應(yīng)急響應(yīng)和措施編制和貫徹執(zhí)行業(yè)務(wù)持續(xù)計劃認知和培訓(xùn)計劃維護及演練業(yè)務(wù)持續(xù)計劃危機溝通與外部機構(gòu)的協(xié)調(diào)10個國際最佳專業(yè)慣例確定BC計劃編制的需求獲得高管層的支持建立BCM組織及責任明確BCM項目的范圍確定計劃編制時間表識別可能的不利事件和威脅信息的收集和分析方法確認可能的風險和損害確定應(yīng)采取的控制措施對所采取的措施進行評價確認中斷對業(yè)務(wù)的沖擊定量及定性地衡量沖擊確認關(guān)鍵業(yè)務(wù)功能和流程確定優(yōu)先級別和互依賴性確定RTO及RPO根據(jù)RA和BIA的結(jié)果制定策略包括企業(yè)級策略和部門級策略進行成本效益分析選擇最佳的策略制定和貫徹應(yīng)急響應(yīng)程序使事件發(fā)生后的情形得到穩(wěn)定建立和管理EOC將BC程序與應(yīng)急響應(yīng)程序相集成確定計劃編制的要求確定計劃的結(jié)構(gòu)和形式編制業(yè)務(wù)持續(xù)計劃貫徹執(zhí)行業(yè)務(wù)持續(xù)計劃建立計劃分發(fā)和控制程序確定認知與培訓(xùn)的目標制定各種認知與培訓(xùn)計劃開發(fā)認知與培訓(xùn)的方法和工具確認其他教育機會設(shè)計和協(xié)調(diào)BC計劃的演練評價演練結(jié)果制定維護更新BC計劃的流程驗證BC計劃的有效性以簡明的方式報告結(jié)果制定和演練危機溝通計劃與各利益相關(guān)者的溝通與外部機構(gòu)、媒體的溝通建立與外部機構(gòu)協(xié)調(diào)的流程制定與外部機構(gòu)的演練程序第15頁，課件共40頁，創(chuàng)作于2023年2月業(yè)務(wù)沖擊分析策略制定認知與培訓(xùn)測試與演練風險分析與評估BC計劃計劃編制計劃維護項目規(guī)劃BC計劃編制的生命周期BC計劃編制的8個步驟第16頁，課件共40頁，創(chuàng)作于2023年2月減?。≧educe）響應(yīng)（Respond）恢復(fù)（Recover） 重啟（Resume） 重建（Restore）返回（Return）事件發(fā)生之前預(yù)防和控制措施做好應(yīng)對準備事件發(fā)生期間應(yīng)急響應(yīng)和損失評估恢復(fù)關(guān)鍵功能重啟業(yè)務(wù)運行事件穩(wěn)定之后重建永久站點返回正常運行業(yè)務(wù)恢復(fù)的6R模型第17頁，課件共40頁，創(chuàng)作于2023年2月進行損失評估，判斷是否災(zāi)難？滿足條件：宣布災(zāi)難幾分鐘或幾小時之內(nèi)幾小時或幾天之內(nèi)幾周或幾月之內(nèi)預(yù)防事件Respond響應(yīng)Reduce減少、降低Recover恢復(fù)Resume重啟風險管理，危機管理，應(yīng)急管理Restore重建Return返回業(yè)務(wù)恢復(fù)的生命周期時間線既要避免反應(yīng)遲鈍，也要避免反應(yīng)過度！事前事中事后第18頁，課件共40頁，創(chuàng)作于2023年2月應(yīng)急與業(yè)務(wù)持續(xù)第19頁，課件共40頁，創(chuàng)作于2023年2月預(yù)防和準備事前事后返回正常運行時間業(yè)務(wù)運行能力應(yīng)急響應(yīng)計劃業(yè)務(wù)恢復(fù)計劃災(zāi)難恢復(fù)計劃重建/返回計劃風險減小計劃危機管理計劃非常態(tài)運行（滿足RTO要求）可容忍的最低業(yè)務(wù)運行能力事件發(fā)生啟動危機管理中心，進行指揮、控制和溝通減小風險，避免中斷，或使中斷影響最小化確保關(guān)鍵業(yè)務(wù)的持續(xù)運行恢復(fù)后備場地和技術(shù)設(shè)施重建永久(原)場地，返回正常運行挽救生命和財產(chǎn)設(shè)立EOC進行損失評估RTO事中100%BCM中的各種計劃第20頁，課件共40頁，創(chuàng)作于2023年2月災(zāi)后重建(Restore)(Return)安全管理（Reduce）災(zāi)難恢復(fù)（Recover）業(yè)務(wù)持續(xù)（Resume）事件響應(yīng)（Response）企業(yè)的BCM規(guī)劃相應(yīng)的預(yù)案和計劃重建/返回計劃安全防控計劃災(zāi)難恢復(fù)計劃業(yè)務(wù)持續(xù)計劃應(yīng)急響應(yīng)計劃業(yè)務(wù)持續(xù)管理指導(dǎo)方針和框架BCPPreparedness第21頁，課件共40頁，創(chuàng)作于2023年2月02-22高管層的重視和支持組建完善的BCM組織機構(gòu)人員、資金和資源的保障指定擁有適當權(quán)力的業(yè)務(wù)部門代表參與相關(guān)人員應(yīng)具備全面的業(yè)務(wù)持續(xù)管理知識任命有能力的BC項目經(jīng)理因為時間所限，所以該經(jīng)理必須具有很強的項目管理能力專心致志和高度的責任感BCM成功的決定因素第22頁，課件共40頁，創(chuàng)作于2023年2月BCM在企業(yè)中的應(yīng)用應(yīng)用的主要方面整個企業(yè)的應(yīng)急管理針對IT的災(zāi)難恢復(fù)（DRP）建立完善的危機管理組織機構(gòu)確保高管層的參與和支持明確各部門的職責，確保全體員工的積極參與制定企業(yè)應(yīng)對災(zāi)難的完整預(yù)案既關(guān)注人員和財產(chǎn)的挽救，也注重業(yè)務(wù)的持續(xù)建立分級響應(yīng)機制，完善控制事件全過程的各項預(yù)案將DRP集成到BCP之中DR只是手段，BC才是本質(zhì)確保預(yù)案和計劃的貫徹實施和維護更新制定認知和培訓(xùn)計劃，提高員工防災(zāi)救災(zāi)的意識和能力不斷地對預(yù)案和計劃進行測試演練和維護更新將BCM理念融入企業(yè)的文化中第23頁，課件共40頁，創(chuàng)作于2023年2月供應(yīng)鏈第24頁，課件共40頁，創(chuàng)作于2023年2月案例March17,2000–Ericssonvs.Nokia10MinuteFireinAlbuquerquePhilipsMicrochipPlantPreFireRankingNokia(32%)Ericsson(12%)OnJuly20,2000,Ericssonreportedthatthefireandcomponentshortageshadcausedasecond-quarteroperatinglossof$200millioninitsmobilephonedivision.Totalloss$400millionPostFireRankingNokiashipmentsgrewby10.5percentoverthepreviousyear,to140millionunits.Ericssonshipmentsdroppedby35percentto27millionunits.第25頁，課件共40頁，創(chuàng)作于2023年2月案例-AT&T–網(wǎng)絡(luò)災(zāi)難恢復(fù)TheNDRrecoveryinventoryincludesEmergencyCommunicationsVehicles(ECVs)thatcanestablishvoiceanddataconnectivityanywhereintheUnitedStates.Usingasatellitelink,anECVcanprovidevoiceanddataservicewithin30minutesofarrivingonsiteTheNDRTeamiscomposedofAT&Tmanagers,engineers,andtechnicianswhohavereceivedspecialtraininginthephysicalrecoveryoftheAT&TNetwork.第26頁，課件共40頁，創(chuàng)作于2023年2月AT&T在911時OnSeptember11,2001,AT&TactivatedtheNDRTeamforitsfirstfull-scaledisasterresponse.TheteamandtherecoveryequipmentarrivedinnorthernNewJerseyearlyonSeptember12.Therecoveryequipmentwaspositionedandturneduptostartservice48hourslater.第27頁，課件共40頁，創(chuàng)作于2023年2月案例-美國奔馳1999年9月弗洛伊德風暴襲擊美國東部沿海。造成嚴重的風害和水災(zāi)。第28頁，課件共40頁，創(chuàng)作于2023年2月BCP在現(xiàn)實中的檢驗當賽特河堤決口后，地區(qū)的一百萬多萬用戶的電話服務(wù)中斷。奔馳客戶服務(wù)熱線在其通訊系統(tǒng)部分受影響的情況下，當機立斷，啟動BC計劃，將受影響的服務(wù)轉(zhuǎn)移到熱備點。6小時后，全面恢復(fù)受影響的業(yè)務(wù)。第29頁，課件共40頁，創(chuàng)作于2023年2月增強企業(yè)應(yīng)對災(zāi)難的能力預(yù)防潛在的威脅保護人員的生命安全使企業(yè)的業(yè)務(wù)中斷和損失最小化最大程度地減小數(shù)據(jù)的丟失、收入的損失、客戶的流失增強投資者、股東和消費者的信心維護企業(yè)的形象和信譽完善企業(yè)的日常經(jīng)營管理提高企業(yè)的信譽和競爭力增強企業(yè)的合規(guī)性有助于不斷地發(fā)現(xiàn)業(yè)務(wù)運行中存在的問題完善管理措施及改善業(yè)務(wù)流程BCM給企業(yè)帶來的利益第30頁，課件共40頁，創(chuàng)作于2023年2月BS25999英國BCM標準NFPA1600美國消防協(xié)會規(guī)范和標準1600《關(guān)于災(zāi)難/應(yīng)急管理與業(yè)務(wù)持續(xù)規(guī)劃的標準》（StandardonDisaster/EmergencyManagementandBusinessContinuityPrograms）SS540（TR19）&SS507新加坡BCM標準Sarbanes-OxleyAct《薩班斯-奧西利法案》（2002）關(guān)于上市公司內(nèi)審與控制的法案（美國）要求所有上市公司保存數(shù)據(jù)五年以上規(guī)定高管層必須在90天內(nèi)完成內(nèi)部控制的有效性評價并提交報告要求企業(yè)必須在48小時內(nèi)清楚準確地報告財務(wù)狀況和經(jīng)營中的重大變化，這就要求財務(wù)監(jiān)控措施應(yīng)該高度自動化BaselIICapitalAccord《新巴塞爾協(xié)定》（巴塞爾銀行監(jiān)督委員會于2001年發(fā)布)關(guān)于金融機構(gòu)風險管理和資本最低限的要求BCM相關(guān)國際標準和指南第31頁，課件共40頁，創(chuàng)作于2023年2月中國相關(guān)法律法規(guī)2003，《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》(中辦發(fā)[2003]27號)，即27號文件2004，《關(guān)于加強國家重要信息系統(tǒng)災(zāi)難備份工作的意見》2005，國信辦針對八大行業(yè)（銀行，電力，鐵路，民航，證券，保險，海關(guān)，稅務(wù)）發(fā)布的《重要信息系統(tǒng)災(zāi)難恢復(fù)規(guī)劃指南》2007，國信辦發(fā)布《重要信息系統(tǒng)災(zāi)難恢復(fù)指南》2007，《重要信息系統(tǒng)災(zāi)難恢復(fù)指南》升級為國標《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》（GB/T20988-2007）2008，保險業(yè)信息系統(tǒng)災(zāi)難恢復(fù)管理指引將要實施的C-SOX法案《企業(yè)內(nèi)部控制基本規(guī)范》第32頁，課件共40頁，創(chuàng)作于2023年2月國內(nèi)主要標準和規(guī)范的要求國內(nèi)主要標準和規(guī)范《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》（GB/T20988-2007）《保險業(yè)信息系統(tǒng)災(zāi)難恢復(fù)管理指引》（2008）《民用航空重要信息系統(tǒng)災(zāi)難備份與恢復(fù)管理規(guī)范》（MH/T0026-2005）主要內(nèi)容和要求災(zāi)難恢復(fù)的范圍（災(zāi)難恢復(fù)規(guī)劃、災(zāi)備中心運維、事件發(fā)生后的響應(yīng)、恢復(fù)、重啟，以及災(zāi)后的重建和返回）災(zāi)難恢復(fù)的組織機構(gòu)（領(lǐng)導(dǎo)小組、實施小組、運維小組）災(zāi)難恢復(fù)需求的確定，策略的制定和實施DRP的管理、教育和培訓(xùn)、測試和演練、維護和審計應(yīng)急響應(yīng)、對外協(xié)調(diào)、計劃啟動主要特點內(nèi)容與BCM國際慣例核心思想相一致完全覆蓋了災(zāi)難恢復(fù)生命周期的要求（6R模型）簡單明了，符合國情第33頁，課件共40頁，創(chuàng)作于2023年2月當前災(zāi)難恢復(fù)建設(shè)中存在的問題通常由IT部門牽頭規(guī)劃和建設(shè)業(yè)務(wù)部門參與不充分恢復(fù)指標與實際業(yè)務(wù)需求存在差異恢復(fù)指標（RTO、RPO等）過高或過低僅注重災(zāi)難恢復(fù)的技術(shù)方案忽視業(yè)務(wù)恢復(fù)的實際需求恢復(fù)策略缺乏對各業(yè)務(wù)系統(tǒng)的綜合考慮各業(yè)務(wù)系統(tǒng)的優(yōu)先級劃分不清或不合理業(yè)務(wù)系統(tǒng)之間的相關(guān)性考慮不夠所需資源的相關(guān)性考慮不夠缺乏完善的計劃管理制度測試較多，演練不足維護更新、檢查審計制度不完善第34頁，課件共40頁，創(chuàng)作于2023年2月只重視DR建設(shè)不重視BC規(guī)劃DRP與BCP未能統(tǒng)一協(xié)調(diào)不能很好地解決企業(yè)生存的核心問題——業(yè)務(wù)持續(xù)將災(zāi)難恢復(fù)中心建成了數(shù)據(jù)備份中心混淆了災(zāi)難恢復(fù)與數(shù)據(jù)備份的概念混淆了對RTO與RPO要求的不同性質(zhì)所采取的DR模式僅適用于數(shù)據(jù)集中式的業(yè)務(wù)無法解決分布式業(yè)務(wù)的恢復(fù)以自建為主，不習慣采用外包服務(wù)昂貴的成本阻礙了DR建設(shè)與國家標準和規(guī)范的要求存在差距當前災(zāi)難恢復(fù)建設(shè)中存在的問題第35頁，課件共40頁，創(chuàng)作于2023年2月BCM在災(zāi)難恢復(fù)規(guī)劃中的應(yīng)用BCM用于幫助企業(yè)滿足國標的要求針對國標的各項要求，提供具體的實現(xiàn)方法BCM用于DRP/BCP的制定和管理由高管層牽頭，建立完善的組織，確保各部門的積極參與以業(yè)務(wù)持續(xù)的實際需求來設(shè)計所需的技術(shù)方案根據(jù)實際業(yè)務(wù)模式的需要來設(shè)計DR模式采用BCM方法論來進行計劃編制、貫徹實施、測試演練、維護更新、響應(yīng)執(zhí)行，等等利用外包DR/BC中心是解決業(yè)務(wù)持續(xù)的有效方法實現(xiàn)企業(yè)的生存目標——DR只是手段，BC才是本質(zhì)將BCM融入企業(yè)文化提高大眾認知培養(yǎng)專業(yè)人才第36頁，課件共40頁，創(chuàng)作于2023年2月國際災(zāi)難恢復(fù)協(xié)會（DisasterRecoveryInstituteInternational，DRII，美國）業(yè)務(wù)持續(xù)專業(yè)人員所用的10個最佳慣例（ProfessionalPracticesforBCProfessionals）業(yè)務(wù)持續(xù)協(xié)會（BusinessContinuityInstitute，BCI，英國）BCI最佳慣例指南（TheBCIGoodPracticeGuidelines）BCM國際組織第37頁，課件共40頁，創(chuàng)作于2023年2月編碼課程名稱授課時間CBCE-200業(yè)務(wù)持續(xù)管理基本原理

BusinessContinuityManagementFundamental1.5天CBCE-600業(yè)務(wù)持續(xù)管理專業(yè)慣例

BusinessContinuityManagementProfessionalPractices3天CBCE-800業(yè)務(wù)持續(xù)管理最佳慣例詳解

BusinessContinuityManagementBestPracticesIntensive5天BCLE-2000DRII國際認證課程

BusinessContinuityPlanning（AcceleratedCourse）4.5天CDRP-1000災(zāi)難恢復(fù)計劃最佳慣例詳解

DisasterRecov