bcm基本概念及应用简介v4.4
TRANSCRIPT
V4.4
2011/12/18
于 天
CBCP
Presented by DRI China
BCM
基本概念及应用简介
2
内容提要
什么是BCM？它关注什么问题？
造成业务中断的灾难事件
企业为什么需要BCM
业务恢复过程和BC计划
10个BCM国际最佳惯例
国内外相关标准
我国BCM建设现状
BCM发展趋势
关于DRII & DRI China
什么是BCM？
“B”—— Business（业务）
各种有价值的活动
—— 需考虑的对象
“C”—— Continuity（持续）
有价值的活动需要持续地进行
—— 需实现的目标
“M”—— Management（管理）
通过一套管理方法来保障有价值活动的持续进行
—— 需采取的方法
3
BCM关注什么问题？
引起组织业务中断的灾难事件
分析可能存在的威胁和风险及预防措施
分析可能引起的业务中断、可能的损失及应对措施
重点是组织在业务中断后的快速恢复
确定恢复的时间和方法
目标是保护组织的生存
保护人员
保护业务
保护组织
4
5
造成业务中断的灾难事件
2001年9.11恐怖袭击
2008年5.12汶川大地震
2010年2月国内某银行系统停机影响全国ATM
2011年4月韩国农协银行遭黑客攻击系统瘫痪
2011年8月10日港交所致遭黑客攻击8股停牌
2011年1月埃及开罗骚乱中央银行宣布停业
保护企业资产
保护人员，保护数据，保护财产
兑现服务承诺
按照对客户的服务承诺（SLA），满足BC要求
满足法规要求
须遵守相关法规和标准关于BC/DR的要求
减小投资风险
需对投资或贷款项目相关企业的抗风险能力（BC能力）进行评估
6
企业为什么需要BCM
事件发生之前 做好防灾准备
识别风险，采取措施
事件发生之后 进行应急响应
现场处置，损失评估
事件成为灾难 启动后备设施
按优先级恢复功能
恢复业务运行
灾难得到控制 进行灾后重建
修复原场地或另建新永久场地
返回正常运行7
应对灾难的过程
Reduce 减小
Respond 响应
Recover 恢复
Resume 重续
Restore 重建
Return 返回
8
业务恢复的各个阶段
时间
中断点
事前防控 事后重建事中应对
强制决策点宣布为灾难事件
风险管理运维管理安全措施（零中断）
应急响应现场救援损失评估（几分钟至几小时）
业务恢复启动DR/BC中心恢复关键业务（几小时至几天）
灾后重建修复永久设施返回生产中心
（几星期至几个月）
恢复时间目标（RTO）
关键业务恢复到最低可接受程度
ReduceRespond
RecoverResume
RestoreReturn
预防和准备
事前 事后
返回正常运行
时间
业务运行能力
应急响应计划
业务恢复计划
灾难恢复计划
重建/返回计划
风险减小计划
危机管理计划
非常态运行（满足RTO要求）
可容忍的最低业务运行能力
事件发生
启动危机管理中心，进行指挥、控制和沟通
减小风险，避免中断，或使中断影响最小化
确保关键业务的持续运行
恢复后备场地和技术设施
重建永久(原)场地，返回正常运行
挽救生命和财产
设立EOC
进行损失评估
RTO
事中
100%
BCM规划中的各种计划
9
确定BC计划编制的需求获得高管层的支持建立BCM组织及责任明确BCM项目的范围确定计划编制时间表
识别可能的威胁和风险确定应采取的控制措施确定关键业务功能和流程确定RTO和RPO
确定互依赖性及优先级别认知与培训的内容和方法认知与培训应该贯穿于始终将BCM融入到企业的文化中
测试及演练的目的和方法结果评价和改进措施计划的审计和维护更新
根据BIA的结果制定策略确定企业级策略和部门级策略进行成本效益分析选择最佳的策略
编制各种计划和预案应急响应计划危机沟通计划与外部机构的协调计划灾难恢复计划业务持续计划
计划的贯彻实施和管理确定计划的启动流程
1.规划启动与管理
2.风险评估与控制（RA）
3.业务冲击分析（BIA）
4.制定业务持续策略
5.应急准备及响应
6.编制和贯彻实施业务持续计划
7.认知与培训计划
8.业务持续计划的演练、审计和维护
9.危机沟通
10.与外部机构的协调
10
10个国际最佳专业惯例
业务冲击分析
策略制定
认知与培训
测试与演练
风险分析与评估
BC计划
计划编制
计划维护
项目规划
BC计划编制的生命周期
BC计划编制的8个步骤
11
12
BS 25999/25777（英国BC标准）
NFPA 1600 （美国ER/BC标准）
《关于灾难/应急管理与业务持续规划的标准》（Standard on
Disaster/Emergency Management and Business
Continuity Programs）
FFIEC《业务持续规划》（美国金融行业BC标准）
SS540：2008（新加坡BC标准）
《新加坡BCM标准》（Singapore Standard for business
continuity management）
《信息系统灾难恢复规范》（GB/T 20988-2007）
《银行业信息系统灾难恢复管理规范》（JR-T 0044-2008)
《保险业信息系统灾难恢复管理指引》，2008
BCM相关标准
认识不够充分
BCM认知严重不足
多数领导重视不够
应用不够广泛
主要局限于IT-DR的应用
通常主要由IT部门负责
其他非IT领域尚未发展
法规不够完善
缺乏行业及国家级相关BCM标准或规范
缺乏相关法律规定（如审计制度）13
我国BCM建设现状
应用多元化
完善IT领域的应用，确保DR建设服从业务需求
与多种理论相结合（RM，CM，EM），拓展应用领域
考虑更多复杂因素，如社会影响等（Klout Score）
简单实用化
追求简单实用，不苛求理论完美
按不同行业特点，开发有针对性的实用计划
使用自动化
利用辅助工具
开发智能系统14
BCM的发展趋势
国际灾难恢复协会（Disaster Recovery
Institute International，DRII，美国）
是专业的BCM职业教育和人才认证机构
已认证1万1千多人，遍布全球95个国家
是目前世界最大的BCM学术组织
关于DRII
15
国际灾难恢复（中国）协会（DRI China）
2007年10月，由DRII在中国成立，是DRII指定负责中国（包
括大陆、香港、台湾及澳门）地区培训及认证的唯一代表机构
专注于BCM人才的培训和资格认证、以及BC/DR相关业务的咨
询服务
已举办数百人次的BCM专业培训，已有逾百人获得DRII认证
成立了有业内专家组成的技术委员会（DRICTC）
积极组织和参与BC/DR专题研讨会（如CBCP沙龙活动）
关于DRI China
16
主要资格认证种类
ABCP —— 最基本的资格
CBCP —— 最流行的资格
MBCP —— 最高级的资格
DRII（美国） vs. BCI（英国）
理论基础同宗同源（非学术之争）
资格认证存在市场竞争（品牌之争）
DRII的认证人数超过其他认证的总数
具有DRII资格可直接申请BCI资格
美国专家（多数是DRII认证）具有更多实战经验
关于DRII资格认证
17
参加BCM培训和讲座
DRI China会定期举办BCM培训班和普及讲座
参加CBCP沙龙活动
DRI China会定期举办CBCP沙龙活动（每季度至少一次）
与国内各行业BCM专家就实际问题进行交流
访问DRI China官网（www.drichina.org）
从DRI China官网上了解培训及认证信息
了解BCM专家的观点并获得有关专业文章
加入DRI China官方论坛
利用全球著名社交平台Linkedin开设官方论坛
“DRI China Professionals Forum”
分享全球各行业BCM专家的经验
针对实际问题获得专家的免费指导
如何获得相关资讯
18
Address国际灾难恢复（中国）协会（DRI China）
中国北京市海淀区中关村东路66号（保福寺桥东南角）
世纪科贸大厦B座608室
Phone+86 10 62670918
Fax +86 10 62670251
Email [email protected]
Web www.drichina.org
19
如何与我们联系
国际灾难恢复（中国）协会
Thank you!
2011/12/1820