一、什么是ISO22301
業務連續性管理(BusinessContinuityManagement,簡稱:BCM)最新國際標準IS022301(前身BS25999),是能夠幫助企業制定一套一體化的管理流程計劃,使企業對潛在的災難加以辨別分析,幫助其確定可能發生的沖擊對企業運作造成的威脅,并提供一個有效的管理機制來阻止或抵消這些威脅,減少災難事件給企業帶來損失。它強調制定目標、監測表現和指標、對企業管理層提出了更加清晰的期望值,對業務連續性計劃的制定提出了更高的要求。
二、怎么實施ISO22301
具體實施時,將分為10個步驟進行實施:
1.啟動調研
通過對企業的組織架構、管理流程、業務運作模式和IT支持系統進行考察和調研,以確定業務持續性管理(BCM)過程或功能的需求。
2.風險評估
確定可能造成機構及其設施中斷和災難、具有負面影響的突發事件和周邊環境因素,以及事件可能造成的損失、防止或減少潛在損失影響的控制措施。提供成本效益分析以調整控制措施方面的投資達到消減風險的目的。
3.業務影響分析
確定由于中斷和預期災難可能對機構造成的影響以及用來定量和定性分析這種影響的技術。確定關鍵功能、其恢復優先順序和相互依賴性以便確定恢復時間目標。
4.容災策略制定
在本階段,結合以上各階段的分析成果,以及在容災上的投入能力,制訂企業系統短期、長期范圍內的容災策略和目標,并有意識地將本身的人員組成和組織架構做出調整以適應策略要求。
5.容災技術方案設計
根據容災策略,以及業務連續性計劃和各系統的RTO和RPO指標,考慮成本和收益平衡原則,分別設計容災方案。
6.容災設施資源及 IT 系統建設或整改
對容災中心的設施資源進行詳細的規劃和設計,容災中心的建筑工程、中心環境(外部與內部)、機房結構、物理安全、交通流向組織、電力供應與保障等環節都要按照容災的實際需求進行科學的分析,最終達到容災的實際要求。
7.業務連續性計劃及災難恢復計劃的制定與維護
業務恢復團隊和業務恢復團隊分別執行應急響應計劃、災難恢復計劃、業務恢復計劃,運營管理團隊負責容災系統的運營管理和日常維護、問題收集和解決、系統變申和測試演練等工作,后勤保障和人力資源保障提供支持,從而達到容災設計的目標。
8.容災系統運行維護
運行業務連續性計劃,包括日常管理和首次演練等。并建立相應的管理制度。
9.演練及測試
對預案和預案間的協調性進行演練、并評估和記錄預案演練的結果。制定維持持續性能力和 BCP文檔更新狀態的方法使其與機構的策略方向保持一致。通過與適當標準的比較來驗證 BCP的效率,并使用簡明的語言報告驗證的結果。
10.審核/審計
培訓內審員,進行內部審核,并在適當時機邀請外部審核機構對業務連續性管理體系進行審核/審計。