业务连续性管理策略 / 四六文摘

业务连续性管理策略定义了业务连续性管理标准，是业务连续性计划制定和维护的准则。内容包括业务影响分析、业务连续性计划、业务连续性培训与演练等方面的管理。

业务连续性管理组织

信息安全领导小组负责建立业务连续性工作组。工作组应满足以下原则：

业务影响分析BIA

业务连续性工作组实施业务影响分析，分析内容包括：

业务连续性策略

信息安全组织为跨部门协调组织，由信息安全领导组、信息安全管理组、信息安全执行组、信息安全审计组组成。

业务连续性工作组制定业务连续性策略，信息安全管理领导小组对其进行审批和确定。业务连续性策略包括三个方面：

1、支持业务运营的资源的预防性保障策略：灾难前的准备、防范性措施，目标是降低风险发生的可能或者降低风险发生时的破坏性，减少事故或灾难带来的损失。一般包括站点冗余、设备冗余、数据备份、人员角色备份、资源措施准备、人工操作方案等。

2、支持业务运营的资源的监控性保障策略：日常运维保障，目标是通过有效的监控手段及时发现灾难的发生，定位灾难源头，快速响应，减少损失。

3、业务连续性管理的外部协作关系，与相关社会职能机构、设备及服务提供商、电信、电力和新闻媒体等保持联络和协作，以确保在突发信息安全事件发生时能及时通报准确情况和获得适当支持。

业务连续性计划与措施

业务连续性工作组根据业务影响分析和业务连续性策略的结果，制定业务连续性计划。

业务连续性计划应体现在发生灾难的情况下，如何保障业务的持续运营。计划包括以下内容：

业务连续性计划培训与演练

业务连续性工作组和相关员工应定期开展业务连续性管理培训，确保每个人员理解其角色、责任和操作程序。重大灾难的业务连续性培训应辐射到全体员工，内容包括疏散、自救、互救和资产抢救等。

业务连续性工作组每年12月底前制定下一年度演练计划，计划应明确演练科目、时间、地点、人员、操作细则，用以检查业务连续性管理的完备性。演练目标包括：

人员的意识与技能

演练方式包括桌面推演、模拟演练、并行演练和完全演练等多种方式：

业务连续性并行演练和完全演练尽量安排在非办公时间进行。无论哪种演练方式，应将演练的过程与结果进行详细记录，演练结束后的1周内形成正式演练报告并报送信息安全领导小组。

业务连续性演练应循序渐进，逐步从桌面推演向完全演练转变。至少每3年对定义的灾难进行一次完全演练。

业务连续性计划改进

应根据业务连续性演练报告或发生真实灾难业务连续性计划的执行情况，对业务连续性计划进行评估和总结，同时做出相应的更新。

业务或资源发生变更时需要审核业务连续性策略和计划，以确保业务连续性管理的持续有效。变更包括以下情况：

业务连续性管理的评审工作应当在每年年底前完成，并于次年第1个月内提交业务连续性管理评审报告。评审输入包括：

更新后的业务连续性计划和管理评审报告应在1个月之内组织业务连续性工作组和关联部门进行培训，个人操作细则应向全员宣导。

扩展 · 本文相关链接

业务连续性管理策略