资源描述：
业务连续性管理（业务连续性管理（BCM） ） 概念简介与问题讨论概念简介与问题讨论 于天，CBCP President of DRI China DATE November 17，2016 |第三季11月17日第71期 |安全无止境 EHS公益课堂 |第三季11月17日第71期 |安全无止境 EHS公益课堂 于 天 - 2 - 关于关于DRI International DRI International（国际灾难恢复协会，简称（国际灾难恢复协会，简称DRI或或DRII）成立于）成立于1988年 ，是全球最权威的、影响力最大的、专注于 年 ，是全球最权威的、影响力最大的、专注于BCM职业教育和人才认证的专 业机构 职业教育和人才认证的专 业机构 DRI是一个非营利组织，其主要致力于是一个非营利组织，其主要致力于 在业务连续性管理领域推广相关基础知识和方法论在业务连续性管理领域推广相关基础知识和方法论 认证业务连续性专业人士的资格认证业务连续性专业人士的资格CBCP（（Certified Business Continuity Professional）、）、MBCP（（Master Business Continuity Professional）等）等 推介和宣传获得认证资质人员的专业资信推介和宣传获得认证资质人员的专业资信 DRI于于1997年发布年发布BCM最佳国际惯例，并成为各国最佳国际惯例，并成为各国BCM标准和指南的基础标准和指南的基础 DRI已在超过已在超过50个国家开办培训课，已有超过个国家开办培训课，已有超过2万万6千人获得千人获得DRI认证，遍 布全球 认证，遍 布全球100多个国家。目前维持有效资格的认证人员也已超过多个国家。目前维持有效资格的认证人员也已超过1万万5千人千人 选择选择DRII认证的人员已超过行业内其他组织的总数认证的人员已超过行业内其他组织的总数 DRI已开展了英语、西班牙语、法语、日语、汉语及俄语等已开展了英语、西班牙语、法语、日语、汉语及俄语等10多种语言的 认证培训课程 多种语言的 认证培训课程 - 3 - 关于关于DRI China 国际灾难恢复（中国）协会（国际灾难恢复（中国）协会（DRI China）是由）是由DRI于于2007年年10月在中国 成立，是 月在中国 成立，是DRI指定负责大中国地区（包括大陆、香港、台湾及澳门）培训 及认证的唯一代表机构 指定负责大中国地区（包括大陆、香港、台湾及澳门）培训 及认证的唯一代表机构 秉承秉承DRII的宗旨，专注于的宗旨，专注于BCM人才的培训和资格认证、以及人才的培训和资格认证、以及BC/DR相关 业务的咨询服务 相关 业务的咨询服务 已举办数千人次的已举办数千人次的BCM专业培训和讲座，通过国际标准课程专业培训和讲座，通过国际标准课程BCLE2000 考试的学员已超过考试的学员已超过400人，其中已有人，其中已有300多人已获得多人已获得DRI颁发的颁发的CBCP （（Certified Business Continuity Professional）资格证书）资格证书 成立了由国内获得成立了由国内获得CBCP认证的认证的BCM专家组成的专家组成的DRI中国委员会（中国委员会（DRIC Commission）（下设五个分会））（下设五个分会） 组织和参与组织和参与BC/DR专题研讨会（如专题研讨会（如DRI国际大会以及国内定期的国际大会以及国内定期的CBCP沙 龙活动） 沙 龙活动） 为国内为国内BCM专业人员建立了微信交流平台“专业人员建立了微信交流平台“CBCP Club”” - 4 - 关于我本人 关于我本人 获得获得DRII颁发的颁发的CBCP资格及讲师资格证书资格及讲师资格证书 目前任职目前任职 国际灾难恢复协会中国分会（国际灾难恢复协会中国分会（DRI China）主席）主席 DRII认证委员会委员及中国区认证委员会主席认证委员会委员及中国区认证委员会主席 从业经历从业经历 从事二十多年从事二十多年IT、数据存储及灾难恢复等工作、数据存储及灾难恢复等工作 2004年年7月发起成立中国第一个月发起成立中国第一个BCM学术组织（学术组织（China BCM）并连续七 年担任该组织秘书长 ）并连续七 年担任该组织秘书长 2007年年10月受月受DRII委托成立委托成立DRI China 专注于专注于BCM专业的研究、教学、咨询、教练等工作已超过十二年专业的研究、教学、咨询、教练等工作已超过十二年 BCM专业成果专业成果 编写了一系列编写了一系列BCM专业培训教材专业培训教材 发表了多篇发表了多篇BCM相关专业文章相关专业文章 组织并主笔出版了中国首部组织并主笔出版了中国首部BCM专著中国业务持续管理现状与发展专著中国业务持续管理现状与发展 组织翻译出版了首部中文版组织翻译出版了首部中文版BCM实战著作构建企业级业务连续性规划实战著作构建企业级业务连续性规划 组织并参与了商业银行业务连续性管理的编写工作组织并参与了商业银行业务连续性管理的编写工作 参加了中国参加了中国BCM标准（标准（GB/T 30146-2013及及GB/T 31595-2015）的编写）的编写 - 5 - 1 2 3 4 业务连续性管理基本概念业务连续性管理基本概念 实施业务连续性管理的挑战实施业务连续性管理的挑战 互动讨论互动讨论 内容提要 内容提要 真实应用案例分析真实应用案例分析 微信公众号 在线微课堂 - 6 - 业务连续性管理基本概念业务连续性管理基本概念 微信公众号 在线微课堂 - 7 - 1983年，美国金融监管机构对信息系统提出了运营连续性（年，美国金融监管机构对信息系统提出了运营连续性（operational continuity）的要求）的要求 1992年，年，Anaheim会议确定了国际标准会议确定了国际标准SHARE 78 针对信息系统制定了灾难恢复（针对信息系统制定了灾难恢复（Disaster Recovery）标准）标准 1997年，年，DRII正式发布正式发布BCM国际通用最佳专业惯例国际通用最佳专业惯例 以此国际最佳惯例为基础，随后被引用于各种国际标准中，并为各种国家及 国际 以此国际最佳惯例为基础，随后被引用于各种国际标准中，并为各种国家及 国际BCM标准的制定提供了指导。标准的制定提供了指导。 1999年，年，BS7799（（ISO2700127002）将）将BCM纳入信息安全管理体系纳入信息安全管理体系 BCM正式成为信息安全重要标准的要求之一正式成为信息安全重要标准的要求之一 2000年，美国年，美国NFPA1600标准正式吸收标准正式吸收BCM内容内容 发布了发布了NFPA1600（（2000版）“灾难版）“灾难/应急管理与业务连续性规划的标准” （ 应急管理与业务连续性规划的标准” （Standard on Disaster/Emergency Management and Business Continuity Programs）） 2001年，年，911事件是事件是BCM发展的重要里程碑发展的重要里程碑 充分验证了充分验证了BCM对于企业生存的重要意义对于企业生存的重要意义 2012年，年，BCM国际标准国际标准ISO22301ISO22313发布发布 BCM的起源及发展 BCM的起源及发展 微信公众号 在线微课堂 - 8 - BCM的定义 BCM的定义 ISO 223012012E Holistic management process that identifies potential threats to an organization and the impacts to business operations those threats, if realized, might cause, and which provides a framework for building organizational resilience with the capability of an effective response that safeguards the interests of its key stakeholders, reputation, brand and value- creating activities. GB/T 30146-2013 GB/T 30146-2013 识别对组织的潜在威胁以及这些威胁一旦发生可能对业务 运行带来的影响的一整套管理过程。该过程为组织建立有效应 对威胁的自我恢复能力提供了框架，以保护关键相关方的利益、 声誉、品牌和创造价值的活动。 - 9 - 理解关键要点 理解关键要点 ““B”” Business（业务）（业务） 组织的各种有价值的活动（业务）组织的各种有价值的活动（业务） 保护的对象保护的对象 ““C”” Continuity（连续性）（连续性） 威胁事件发生时，使关键的活动（业务）持续运行（自我恢复能力）威胁事件发生时，使关键的活动（业务）持续运行（自我恢复能力） 满足的要求满足的要求 ““M”” Management（管理）（管理） 通过一体化的管理方法来保障关键活动（业务）的连续性通过一体化的管理方法来保障关键活动（业务）的连续性 实现的方法实现的方法 - 10 - BCM的主要任务 BCM的主要任务 评估中断事件评估中断事件/灾难对组织造成的影响（灾难对组织造成的影响（Impact）） 直接影响直接影响人员伤亡、财产损失并导致业务和服务停止人员伤亡、财产损失并导致业务和服务停止 间接影响间接影响电力、交通、通信、供应链等中断导致业务中断电力、交通、通信、供应链等中断导致业务中断 后期影响后期影响信誉降低，客户流失，市场份额减少，面临生存危机信誉降低，客户流失，市场份额减少，面临生存危机 分析业务中断的原因及其防范的措施分析业务中断的原因及其防范的措施 分析中断的原因、业务的重要程度、恢复的优先级、保护的措施分析中断的原因、业务的重要程度、恢复的优先级、保护的措施 重点是中断后组织的业务恢复重点是中断后组织的业务恢复 确定恢复的时间和方法确定恢复的时间和方法 最终目的是保护组织的生存最终目的是保护组织的生存 保护人员保护人员 保护业务保护业务 保护组织保护组织 微信公众号 在线微课堂 - 11 - BCM与其他应灾方法的关系与其他应灾方法的关系 风险管理风险管理 应急管理应急管理 危机管理危机管理 安全生产安全生产 EHS 信息安全信息安全 网络安全网络安全 业务连续性业务连续性 与其他方法的主要区别与其他方法的主要区别 方法方法 独创了业务影响分析方法（business impact analysis） 核心业务 重点重点 关注组织的自我恢复能力（organizational resilience） 持续盈利 目标目标 有效地实现高管层的要求（C-level requirement） 老板工程 - 12 - BCM关注哪些事件 BCM关注哪些事件 重大灾难事件（重大灾难事件（Disaster）） 对较大范围的设施有严重影响，生产中心无法正常运行，对外服务 有严重影响 对较大范围的设施有严重影响，生产中心无法正常运行，对外服务 有严重影响 例如地震、火灾、水灾、自然灾害、重大疫情、爆炸，等等例如地震、火灾、水灾、自然灾害、重大疫情、爆炸，等等 紧急突发事件（紧急突发事件（Emergency）） 对局部或部分系统及业务有较严重的影响，对外服务有一定影响对局部或部分系统及业务有较严重的影响，对外服务有一定影响 例如电力中断、网络故障、系统宕机、人为破坏、人员伤亡、服务 降级，等等 例如电力中断、网络故障、系统宕机、人为破坏、人员伤亡、服务 降级，等等 运行故障事件（运行故障事件（Outage）） 高频低损事件，程度不太严重，对外服务影响开始时不明显高频低损事件，程度不太严重，对外服务影响开始时不明显 例如技术故障、人为误操作，等等例如技术故障、人为误操作，等等 - 13 - BCM的6R模型 BCM的6R模型 时间时间 中断点中断点 事前防控事前防控 事后重建事后重建 事中应对事中应对 强制决策点强制决策点 宣布为灾难事件宣布为灾难事件 风险管理风险管理 运维管理运维管理 安全措施安全措施 （零中断）（零中断） 应急响应应急响应 现场救援现场救援 损失评估损失评估 （几分钟至（几分钟至 几小时）几小时） 业务恢复业务恢复 启动启动DR/BC中心中心 恢复关键业务恢复关键业务 （几小时至几天）（几小时至几天） 灾后重建灾后重建 修复永久设施修复永久设施 返回生产中心返回生产中心 （几星期至（几星期至 几个月）几个月） 关键业务恢复到关键业务恢复到 最低可接受程度最低可接受程度 Reduce 减小减小 Recover 恢复恢复 Resume 重续重续 Restore 重建重建 Return 返回返回 问题已解决问题已解决 第一层保护第一层保护 第二层保护第二层保护 第三层保护第三层保护 恢复时间目标（恢复时间目标（RTO） ） 灾难灾难 紧急紧急 Respond 响应响应 故障故障 - 14 - 1.规划启动与管理 2.风险评估与控制（ 1.规划启动与管理 2.风险评估与控制（RA） 3.业务影响分析（ ） 3.业务影响分析（BIA） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 ） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 BCM十大国际最佳专业惯例 BCM十大国际最佳专业惯例 微信公众号 在线微课堂 - 15 - BCM国际最佳专业惯例 BCM国际最佳专业惯例 1.规划启动与管理 1.规划启动与管理 2.风险评估与控制（2.风险评估与控制（RA） 3.业务影响分析（ ） 3.业务影响分析（BIA） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 ） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 确定确定BC计划编制的需求计划编制的需求 获得高管层的支持获得高管层的支持 建立建立BCM组织及责任组织及责任 明确明确BCM项目的范围项目的范围 确定计划编制时间表确定计划编制时间表 微信公众号 在线微课堂 - 16 - 1.规划启动与管理 1.规划启动与管理 2.风险评估与控制（2.风险评估与控制（RA） 3.业务影响分析（ ） 3.业务影响分析（BIA） ） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 识别可能的不利事件和威胁识别可能的不利事件和威胁 信息的收集和分析方法信息的收集和分析方法 确认可能的风险和损害确认可能的风险和损害 确定应采取的控制措施确定应采取的控制措施 对所采取的措施进行评价对所采取的措施进行评价 确认中断对业务的影响确认中断对业务的影响 定量及定性地衡量影响定量及定性地衡量影响 确认关键业务功能和流程确认关键业务功能和流程 确定优先级别和互依赖性确定优先级别和互依赖性 确定确定RTO及及RPO BCM国际最佳专业惯例 BCM国际最佳专业惯例 微信公众号 在线微课堂 - 17 - 1.规划启动与管理 2.风险评估与控制（ 1.规划启动与管理 2.风险评估与控制（RA） 3.业务影响分析（ ） 3.业务影响分析（BIA） ） 4.制定业务连续性策略 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 根据根据RA和和BIA的结果制定策略的结果制定策略 包括企业级策略和部门级策略包括企业级策略和部门级策略 进行成本效益分析进行成本效益分析 选择最佳的策略选择最佳的策略 BCM国际最佳专业惯例 BCM国际最佳专业惯例 微信公众号 在线微课堂 - 18 - 1.规划启动与管理 2.风险评估与控制（ 1.规划启动与管理 2.风险评估与控制（RA） 3.业务影响分析（ ） 3.业务影响分析（BIA） 4.制定业务连续性策略 ） 4.制定业务连续性策略 5.应急准备及响应 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 9.危机沟通 10.与外部机构的协调 制定应急响应程序制定应急响应程序 使事件发生后的情形得到稳定使事件发生后的情形得到稳定 建立和管理建立和管理EOC 损失评估并判断是否灾难损失评估并判断是否灾难 使应急响应程序集成到使应急响应程序集成到BCP中中 制定和演练危机沟通计划制定和演练危机沟通计划 与各利益相关者的沟通与各利益相关者的沟通 与外部机构、媒体的沟通与外部机构、媒体的沟通 建立与外部机构协调的流程建立与外部机构协调的流程 编制与外部机构协调计划编制与外部机构协调计划 制定与外部机构的演练程序制定与外部机构的演练程序 BCM国际最佳专业惯例 BCM国际最佳专业惯例 - 19 - 1.规划启动与管理 2.风险评估与控制（ 1.规划启动与管理 2.风险评估与控制（RA） 3.业务影响分析（ ） 3.业务影响分析（BIA） 4.制定业务连续性策略 5.应急准备及响应 ） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 9.危机沟通 10.与外部机构的协调 确定计划的文档结构确定计划的文档结构 编制业务连续性计划编制业务连续性计划 应急响应应急响应 危机沟通危机沟通 与外部机构的协调与外部机构的协调 灾难恢复灾难恢复 业务恢复业务恢复 贯彻实施贯彻实施BC计划计划 计划的分发和控制计划的分发和控制 计划的启动流程计划的启动流程 BCM国际最佳专业惯例 BCM国际最佳专业惯例 微信公众号 在线微课堂 - 20 - 1.规划启动与管理 2.风险评估与控制（ 1.规划启动与管理 2.风险评估与控制（RA） 3.业务影响分析（ ） 3.业务影响分析（BIA） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 ） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 9.危机沟通 10.与外部机构的协调 确定认知与培训的目标确定认知与培训的目标 制定各种认知与培训计划制定各种认知与培训计划 开发认知与培训的方法和工具开发认知与培训的方法和工具 确认其他教育机会确认其他教育机会 BCM国际最佳专业惯例 BCM国际最佳专业惯例 微信公众号 在线微课堂 - 21 - 1.规划启动与管理 2.风险评估与控制（ 1.规划启动与管理 2.风险评估与控制（RA） 3.业务影响分析（ ） 3.业务影响分析（BIA） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 ） 4.制定业务连续性策略 5.应急准备及响应 6.编制和贯彻实施业务连续性计划 7.认知与培训计划 8.业务连续性计划的演练、审计和维护 8.业务连续性计划的演练、审计和维护 9.危机沟通 10.与外部机构的协调 9.危机沟通 10.与外部机构的协调 设计和协调设计和协调BC计划的演练计划的演练 评价演练结果评价演练结果 制定维护更新制定维护更新BC计划的流程计划的流程 验证验证BC计划的有效性计划的有效性 以简明的方式报告结果以简明的方式报告结果 BCM国际最佳专业惯例 BCM国际最佳专业惯例 - 22 - BC规划的生命周期 BC规划的生命周期 业务 影响 业务 影响 分析 分析 策略制定 策略制定 认知与培训 认知与培训 测试与演练 测试与演练 风险 分析 与 风险 分析 与 评估 评估 BC计划 BC计划 计划编制 计划编制 计划维护 计划维护 项目启动和策划 项目启动和策划 BC规划规划 的生命周期的生命周期 Plan ISO22301 第第4、 、5、 、6、 、7章章 Check Act ISO22301 第第9、 、10章章 Do ISO22301 第第8章章 BCMS （ （PDCA） ） - 23 - BCM国内外相关标准和规范 BCM国内外相关标准和规范 国 际 标 准 和 规 范 国 际 标 准 和 规 范 ISO 223012012 Societal Security Business Continuity Management Systems – Requirements公共安全-业务连续性管理体系要求 ISO 223132012 Societal Security Business Continuity Management Systems – Guidance）公共安全-业务连续性管理体系指南 ISO 223982013E Societal security Guidelines for rcises 公共安全-演练指南 BS 650002014 Guidance on organizational resilience 组织生存力指南 ISO/TS 223172015E Societal security Business continuity management systems Guidelines for business impact analysis BIA公共安全-业务连续性管理体系-业务影响分析指南 ISO/TS 223182015en Societal security Business continuity management systems Guidelines for supply chain continuity 公共安全-业务连续性管理体系-供应链连续性指南 国 内 国 内 2011，商业银行业务连续性监管指引（银监会104号文件） 20132015，中国BCM标准GB/T 30146-2013 GB/T 31595-2015 2007，（GB/T 20988-2007）信息系统灾难恢复规范 微 - 24 - 实施实施BCM面临的挑战面临的挑战 微信公众号 在线微课堂 - 25 - BCM组织架构应落实到三个层次组织架构应落实到三个层次 战略层（战略层（Strategic Level）） 应急决策层应急决策层 战术层（战术层（Tactical Level）） 应急指挥层应急指挥层 执行层（执行层（Operational Level）） 应急执行层应急执行层 落实BCM组织架构是首要关键 落实BCM组织架构是首要关键 微信公众号 在线微课堂 - 26 - 避免实施BCM过程中的误区 避免实施BCM过程中的误区 将将BCM与危机管理与危机管理/应急管理过程分离应急管理过程分离 将将BCM方法仅用于日常管理工作方法仅用于日常管理工作 将事件发生时的应急处置仍归于传统的危机管理将事件发生时的应急处置仍归于传统的危机管理 将风险评估（将风险评估（RA）与业务影响分析（）与业务影响分析（BIA）过程分离）过程分离 根据根据RA的结果制定应急预案的结果制定应急预案 根据根据BIA的结果制定的结果制定BCP 将脱离计划与场景的测试当做演练将脱离计划与场景的测试当做演练 混淆了测试与演练的不同目的混淆了测试与演练的不同目的 忽视了演练最主要的目的是改进计划（预案）忽视了演练最主要的目的是改进计划（预案） 将将BCM规划理解为普通的咨询项目规划理解为普通的咨询项目 在在BCM规划全过程中过度依赖咨询机构规划全过程中过度依赖咨询机构 将将BCM规划理解为一次性项目规划理解为一次性项目 微信公众号 在线微课堂 - 27 - RA与与BIA的相关性的相关性 忽视了其因果关系忽视了其因果关系 TV - R - I - D RA的结果流于形式，在其他阶段未得到充分利用的结果流于形式，在其他阶段未得到充分利用 BIA、预案制定、演练等阶段并未基于、预案制定、演练等阶段并未基于RA的结果的结果 业务部门未成为业务部门未成为BIA过程的主体过程的主体 业务部门不承担主要责任，往往盲目提出过高要求业务部门不承担主要责任，往往盲目提出过高要求 IT部门作为部门作为BIA的主体存在固有缺陷的主体存在固有缺陷 BIA过程中协调各部门是难点过程中协调各部门是难点 没有管理层的支持很难协调各部门没有管理层的支持很难协调各部门 没有各部门的协调则很难得到合理的没有各部门的协调则很难得到合理的BIA结果结果 通用分析模板缺乏针对性通用分析模板缺乏针对性 照抄其他机构的分析模板，不完全适用照抄其他机构的分析模板，不完全适用 RA BIA的结果缺乏审批环节的结果缺乏审批环节 未得到高管审批的结果作为策略制定的依据存在隐患未得到高管审批的结果作为策略制定的依据存在隐患 RA BIA过程中的常见问题 RA BIA过程中的常见问题 - 28 - 何谓有效的策略与计划何谓有效的策略与计划 能够按预定目标有效地应对真实事件的行动计划能够按预定目标有效地应对真实事件的行动计划 策略应满足的要求策略应满足的要求 针对针对RA报告中的事件场景并满足报告中的事件场景并满足BIA报告提出的要求报告提出的要求 综合考虑预防、响应和恢复策略综合考虑预防、响应和恢复策略 包含业务恢复各阶段的行动（应符合包含业务恢复各阶段的行动（应符合6R模型的要求）模型的要求） 应明确计划中各角色的职责应明确计划中各角色的职责 计划应涵盖战略层、战术层和执行层，并明确相关人员的职责计划应涵盖战略层、战术层和执行层，并明确相关人员的职责 应急响应和危机沟通的重要性应急响应和危机沟通的重要性 应急响应预案是应急响应预案是BC计划的主要内容（包括保护人员、损失评估、 事件升级等） 计划的主要内容（包括保护人员、损失评估、 事件升级等） 危机沟通计划是确保危机沟通计划是确保BC计划有效性的重要前提计划有效性的重要前提 应设计合理的计划文档结构应设计合理的计划文档结构 如何确保策略与计划的有效性 如何确保策略与计划的有效性 - 29 - 如何开展有效的测试和演练 如何开展有效的测试和演练 何谓有效的测试和演练何谓有效的测试和演练 “测试及演练“测试及演练BC计划的本质目的并不是要知道它是否能工作， 而是要知道它为什么不能工作。” 计划的本质目的并不是要知道它是否能工作， 而是要知道它为什么不能工作。”Philip Jan Rothstein 演练的真正目的是发现计划演练的真正目的是发现计划/预案中的不足，而不是努力证明计 划 预案中的不足，而不是努力证明计 划/预案的成功预案的成功 通过演练改进计划通过演练改进计划/预案，通过演练训练人员预案，通过演练训练人员 演练和测试的目的演练和测试的目的 改进计划改进计划 训练人员训练人员 验证技术验证技术 演练和测试的原则演练和测试的原则 有效性原则有效性原则 安全性原则安全性原则 渐进性原则渐进性原则 持续性原则持续性原则 微信公众号 在线微课堂 - 30 - 真实BCM应用案例分析 真实BCM应用案例分析 微信公众号 在线微课堂 - 31 - 812天津爆炸案某数据中心遇险案例 812天津爆炸案某数据中心遇险案例 - 32 - 事件造成该数据中心八大故障 事件造成该数据中心八大故障 微信公众号 在线微课堂 - 33 - 启动了8项应急预案 启动了8项应急预案 微 - 34 - 采取的应急响应措施 采取的应急响应措施 - 35 - 本案例值得思考的问题 本案例值得思考的问题 人员安全问题人员安全问题 危机沟通问题危机沟通问题 决策指挥问题决策指挥问题 应急预案问题应急预案问题 评价标准问题评价标准问题 微信公众号 在线微课堂 - 36 - 商业银行成功应对飓风案例 商业银行成功应对飓风案例 吸取卡特里娜飓风的教训，完善了吸取卡特里娜飓风的教训，完善了BC计划，并坚持演练更新计划，并坚持演练更新 准 备 准 备 当古斯塔夫跨过墨西哥湾时，该银行启动了当古斯塔夫跨过墨西哥湾时，该银行启动了BC计划计划 启动了应急指挥部（危机管理小组）启动了应急指挥部（危机管理小组） 启动沟通与响应计划（该银行启动沟通与响应计划（该银行BC计划中最好的部分）计划中最好的部分） 与供应商沟通，确保获得所需资源（如后备发电机燃油与供应商沟通，确保获得所需资源（如后备发电机燃油 等），从而保证了数据中心及关键业务的及时恢复和运行等），从而保证了数据中心及关键业务的及时恢复和运行 与大客户沟通，为客户的特殊需求做好准备与大客户沟通，为客户的特殊需求做好准备 完成了大量政府社会安全保障金的支付，提前一星期准备 好额外的现金需求 完成了大量政府社会安全保障金的支付，提前一星期准备 好额外的现金需求 利用公共广播通知储户，了解各分支机构的状态利用公共广播通知储户，了解各分支机构的状态 与员工保持沟通，及时了解员工的安全状况，并提供帮助与员工保持沟通，及时了解员工的安全状况，并提供帮助 （设有（设有800特服号），确保员工的安全特服号），确保员工的安全 成 功 的 响 应 措 施 成 功 的 响 应 措 施 启动了恢复计划，飓风警报解除后及时修复了受影响的场所启动了恢复计划，飓风警报解除后及时修复了受影响的场所 大部分支行三天后均及时恢复正常营业大部分支行三天后均及时恢复正常营业 恢 复 恢 复 2008年年BancorpSouth银行启动银行启动BC计划成功应对古斯塔夫飓风计划成功应对古斯塔夫飓风 - 37 - 2016年8月8 日停电导致 达美航空电 脑系统瘫痪； 全球多地六 千多个航班 数十万旅客 受影响。 达美航空电源故障案例 达美航空电源故障案例 - 38 - 达美航空的应急措施 达美航空的应急措施 高管层直面公众高管层直面公众 CEO发表致歉讲话发表致歉讲话 COO详解事故原因及其影响详解事故原因及其影响 宣布启动赔偿流程并对旅客提供指导宣布启动赔偿流程并对旅客提供指导 提醒旅客关注最新航班动态提醒旅客关注最新航班动态 保持机场候机服务保持机场候机服务 启用志愿者团队协助为旅客提供机场候机服务（安排饮食、毛毯等）启用志愿者团队协助为旅客提供机场候机服务（安排饮食、毛毯等） 协调机场饮食店延长营业时间协调机场饮食店延长营业时间 按优先级恢复业务按优先级恢复业务 启动手工操作流程，手写登机牌等启动手工操作流程，手写登机牌等 调用私人飞机运送特殊和优质调用私人飞机运送特殊和优质VIP旅客旅客 根据优先级别逐步恢复业务运营根据优先级别逐步恢复业务运营 高效地沟通与协调高效地沟通与协调 启动各项应急预案（包括危机沟通），全球各部门协同工作启动各项应急预案（包括危机沟通），全球各部门协同工作 利用高效的利用高效的Notification工具保持全方位的信息沟通工具保持全方位的信息沟通 全程实时公开通报事件进展全程实时公开通报事件进展坦诚是危机公关的重要前提坦诚是危机公关的重要前提 对特殊旅客的贴心服务对特殊旅客的贴心服务 实时跟踪社交媒体客户反馈实时跟踪社交媒体客户反馈 针对特殊旅客提供贴心服务针对特殊旅客提供贴心服务 - 39 - 本案例启示如何化危为机 本案例启示如何化危为机 案例的经验和教训案例的经验和教训 经验经验坦诚面对，积极响应。赢得谅解和信任，化危为机坦诚面对，积极响应。赢得谅解和信任，化危为机 教训教训系统运维需改进。经济损失较大（有报道估计超过系统运维需改进。经济损失较大（有报道估计超过1亿美元）亿美元） 技术故障不可避免技术故障不可避免 面对现实面对现实IT系统发生故障是常态系统发生故障是常态 积极应对积极应对系统可能会停，服务却可不停系统可能会停，服务却可不停 有效的应急预案才能使企业幸免于难有效的应急预案才能使企业幸免于难 保持优质服务是应急预案的核心目标保持优质服务是应急预案的核心目标 全方位的危机沟通及有效的应急决策、指挥和执行是成功的关键全方位的危机沟通及有效的应急决策、指挥和执行是成功的关键 业务连续性管理（业务连续性管理（BCM）是制定应急预案的有效方法）是制定应急预案的有效方法 建立“预防建立“预防响应响应恢复”三级保护体系恢复”三级保护体系 完善“一线服务与后勤保障”、“前端业务与技术支持”的协同响应 机制和预案 完善“一线服务与后勤保障”、“前端业务与技术支持”的协同响应 机制和预案 - 40
展开阅读全文
