金融业业务连续性管理之道

 作者： 潘竑

　　策划人手记

　　在信息技术高度发达的今天，自然或人为的灾难一旦发生，便会造成业务中断、信息丢失，这对企业可能是致命的威胁。而对于高度依赖信息系统的金融业来说，灾难所引发的后果将更为严重。据统计，美国证券金融业平均可容忍的最长停机时间是2天，没有实施灾难备份措施的公司，在遇到灾难后60%将在2～3年内破产。由此，灾难备份、灾难恢复已引起金融业的高度重视。

　　如今，灾难恢复在金融业已上升到BCM(业务连续性管理)。对于金融企业来说，灾难恢复仅仅能够保证灾难发生之后数据系统的相对完整性，也就是“一旦灾难发生，数据丢失量有多少”的问题;而BCM解决的却是灾难发生之后金融企业的业务恢复能力，也就是“一旦灾难发生，金融企业能够在多长时间内恢复多少业务”的问题。相对于灾难恢复，BCM更像一个“IT+业务+管理”的混合体。由于金融企业在资产规模、业务性质、客户数量、业务处理能力、管理理念、企业文化等方面存在差异，因此相对灾难恢复而言，BCM的个性化更加鲜明，也更难套用和复制其他企业的成功经验和模式。那么，金融企业应当如何根据自身的实际情况，来量身定制自己的业务连续性计划，加强业务连续性管理呢?本期我们将就此专题展开研讨，希望能给正在探索BCM的金融企业一些有益的建议。

　　主持人:潘竑

　　嘉宾:John B.Copenhaver(国际灾难恢复协会主席)

　　汪琪(GDS公司副总裁、首席灾备专家)

　　前不久，国际灾难恢复协会(DRII)董事会主席兼首席执行官John B.Copenhaver先生首次访问中国，他带来了国际上有关应急管理、灾难恢复、业务连续性管理的最新经验。而GDS公司副总裁汪琪，是中国内地唯一获得DRII认证的业务连续运作专家。日前，记者就金融业应如何进行应急管理、灾难恢复和危机管理，与两位专家展开了深入的对谈。

　　主持人:John B.Copenhaver先生这次访华，特别强调危机管理，而在这一领域，我们更多地听到的是灾难备份、灾难恢复。究竟什么是危机管理?危机管理与应急响应、业务连续性管理之间的关系是什么?

　　Copenhaver先生:关于危机有多种定义，比较通用的定义是:“一个会引起潜在负面影响的、具有不确定性的大事件，这种事件及其后果可能对组织及其员工、产品、服务、资产和声誉造成巨大的损害”。而危机管理正是为了预防危机发生，应付可能出现的各种危机情景，减轻危机损害，尽早从危机中恢复过来，所进行的信息收集与分析、问题决策与预防、计划制订与责任落实、危机化解与处理、经验总结与调整的管理过程。

　　现代社会经济生活复杂多变，任何企业都处在风云莫测的环境中。因此，企业的经营者不仅要有竞争观念，也要有危机观念;不仅要有危机管理意识，更要掌握危机管理的概念与内容，还要把这些技巧融入到日常的职责和行动中去，从而在企业面临危机时，能从容应对，赢得生存的机会。企业危机的形成和发展，大致可分为四个阶段:潜伏期、爆发期、后遗症期、解决期。相应地，企业的危机管理也可分为事前、事中、事后三个重要阶段。对这三个阶段，企业皆须予以充分的重视，尽量做到将危机控制在最低的影响层面上，从而防患于未然。

　　我们可以举一个银行的例子，来诠释应急响应、业务连续性和危机管理业务之间的关系。假如，在一家银行内部发生了爆炸事故，此时马上需要应急响应，即组织人员撤离、对伤者进行医疗、对基础设施进行保护等，这包括了对基础设施、人员等物理资产和信息的保护。如果爆炸发生在银行存放重要信息的数据中心，此时考虑更多的就是业务连续性环节了，即如何尽快恢复各项业务，不影响正常的业务运转，将损失降到最低。再者，假如此前银行的高级管理人员对于此次爆炸事故没有任何准备，而爆炸势必会对用户心理造成负面影响，此时则必须进入危机管理范畴，考虑如何最大限度地维护银行整体形象，消除用户的心理忧虑等问题。

　　因此，可以说，应急响应、业务连续性、危机管理这三者之间的关系，其实就是安全领域成熟度高低的体现，也是安全概念从IT领域向整个行业关键系统内外的扩充。在灾难备份、灾难恢复领域中，涉及的将不仅局限于数据和IT技术，同时还需要考虑业务与管理、社会影响与公共安全等多个层面。

　　汪琪:应急响应指在发生紧急事件后对事件第一时间的反应处理，包括应急处理流程、人员撤离计划、事件通报流程以及恢复预案启动流程等。灾难恢复是指将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。灾难恢复关注数据中心服务的恢复，以IT部门为主体范围，以信息系统为核心，面向数据中心、服务渠道及IT技术支持的业务恢复。实施灾难恢复主要涉及内容包括:风险分析、设备保护、数据恢复、终端用户恢复、网络备份、应急决策、恢复管理环境、规划的维护和测试。业务连续性管理(BCM)是指当灾难发生时，组织反应及保证关键业务持续运行、以业务为导向，以组织整体为范围、关注业务恢复;实施BCM主要涉及的内容包括:灾难和灾难恢复计划、管理灾难、灾难恢复站点、测试灾难恢复计划。

　　在我看来，危机管理则是更广范围的风险管理，包含的范围不但是天灾人祸还包括各种外围环境、人的因素以及相关的管理体制等众多可能给企业造成损失或不良影响的事件。一般特指对企业高层处理可能给企业的生存发展带来的危机时所采取的处理手段和方法。

　　主持人:我们知道，作为灾难恢复和业务连续性专业领域的国际性组织，DRII在这一领域的标准制定上积累了不少经验。如今，国际上是否有通用的灾难恢复和BCM的标准?在标准制定及BCM的具体业务开展上，国际上又有哪些经验值得中国借鉴?

　　Copenhaver先生:目前，虽然全球都高度关注BCM和灾难恢复，但由于各国各行业的发展程度及国情状况都各不相同，因此，并没有一个全球统一的标准。1998年，我们和英国业务连续性协会(BCI)结合各自总结的理论和经验，共同制订了“业务持续性的十个最佳实践”，并在全世界推广。这些从实践中总结出来的方法论和理论体系经过不断改进和完善，现基本上成为业界公认的BCM标准。

　　国际上先进的BCM法律法规，通常是与IT的灾难恢复和应急管理结合在一起。比如，美国联邦储备委员会、财政部金融管理局、证券交易委员会等机构对美国金融行业的灾难备份建设和业务持续性的要求制订了相应的指导原则、管理条例和公告。9.11事件后，三大金融管理机构又于2003年发布了《白皮书》，对金融行业业务连续性建设提出了具体要求。英国对金融行业的监管主要由FSA(金融服务管理局)负责，其对金融机构的监督和检查手册中规定机构应对中断后重续经营做出合理的安排，并更新、测试保证有效。香港及新加坡金融管理局对金融机构的业务持续性管理和灾难备份也制订有相关的规定和指导文件，金融机构必须向金融管理局证明自己的灾难恢复计划可以满足文件中的关于机构功能性要求。中国也可根据目前的发展情况，制定适合自身的金融业BCM标准，这对于不断走向开放的中国金融机构来说，具有极其重要的意义。

　　金融业在BCM方面，始终走在其他行业的前列。BCM是一项长期而复杂的工作。它不仅是信息安全和技术部门单方面的工作，更应该是横跨经营、管理、公关、营销多个部门的工作，应当被企业提到战略管理的高度来抓，应当由企业的高层领导和专业人员来专门来负责，他们也应当接受过BCM方面的专业培训。在此，还要澄清一个概念——BCM的成本不一定会很高。需求不同，投入不同。投入的比例也会与企业本身的功能、地点、需要、决定等因素有关。在BCM领域，并无“通码”的概念，应该是量体裁衣、各取所需。

汪琪:我国一直在探索适合自身的灾难恢复和BCM标准。今年5月，由国信办主持，涉及银行、证券、保险、电力等八大重点行业的《重要信息系统灾难恢复指南》正式发布。此后，我国将加紧制订出完整的国家标准、行业审计规程以及行业准入门槛等，以切实推进国家重要行业灾备建设。对于金融行业来说，由于近年来大集中速度的明显加快，企业的技术风险也相对集中。一旦发生灾难，则将导致企业所有分支机构、营业网点和全部的业务处理停顿，或造成客户数据的大量丢失。如何防范技术风险,确保数据安全和业务连续性，已成为国内金融企业急需面对的课题。

　　和传统的危机应对策略不同，BCM是在当前企业对信息技术十分依赖的背景下提出的，充分考虑了危机来临时，恢复信息系统的重要性和特殊性。同时，BCM不仅仅是单纯的技术行为，其目的是最终实现企业的业务的持续运行，而单纯的灾难恢复技术，通常以信息系统的恢复和正常运行为目标。BCM更倾向于建立风险的应急管理机制，而不仅仅是灾难恢复的实现技术。实施BCM，应该从战略管理的高度，关注流程、人员、设施和计划。这四个要素分别解决了在应对灾难危机时，什么人(或组织)按照什么样的流程操作什么样的资源，而计划正是规范以上要素的文档体现。因此，BCM要从企业的业务目标出发,分析企业具体的业务流程,详细分析支持这些业务流程的应用系统，分析它们一旦发生危机对业务的影响。根据上述影响，制定相应的规避方法，包括流程和技术手段。

　　主持人:中国目前在BCM、灾难恢复领域最欠缺的是什么?DRII将如何帮助中国尽快弥补这些缺失?

　　Copenhaver先生:以我看，中国目前最欠缺的是专业人才。DRII长年以来致力于灾难恢复和BCM的知识普及、教育培训和专业认证。自1988年起至今，已经为全球培训并认证了3500多位该领域的专家。目前，全球得到DRII认证的近3500名专家中，中国大陆只有一位。但我相信不久的将来，中国一定会有更多的人通过此认证。我们在中国已与GDS公司达成了长期合作意向，商定由GDS协助DRII在中国设立分支机构并开展工作;DRII授权GDS在中国开展DRII标准的灾难恢复培训课程并颁发证书;2006年DRII年会将在中国举办，并由GDS承办。

　　相关链接：何为BCM

　　业务连续性管理(Business Continuity Management，简称BCM)，是一项面向商业机构或政府组织信息安全与风险管理的综合管理流程，它使组织机构认识到潜在的危机和相关影响，制订响应、业务和连续性的恢复计划，其总体目标是为了提高组织的风险防范与抗击打能力，以有效地响应非计划的业务破坏并降低不良影响。BCM系统的整体规划、实施与运营，包括信息系统的基础数据与应用系统灾难备份与业务恢复计划。

来源： 金融时报