业务连续性管理制度

内部文件 1 业务连续性管理办法 总则 为了提高公司的风险防范能力 有效地应对各种非计划的业务破坏 降低 影响 确保公司各项业务的连续性 保障公司 商户 合作伙伴等相关单位的 利益 特制订本办法 第一章 流程规范 一 公司建立业务连续性管理部门及应急领导小组 根据安全级别 实行分级 管理 保证在发生重大事故导致业务中断时 所有成员能够识别其角色与职责 二 制订危机管理和灾难恢复等业务连续性管理流程 确保在系统发生故障等 导致业务中断之时 能在最短时间内 保证数据零丢失的情况下进行快速恢复 内部文件 2 三 在与合作商 服务商 签订书面合同时要充分考虑业务的连续性 明确双 方的权利 义务 并制定在意外情况下能顺利实现合作商 服务商 变更 保 证合作商 服务商 不间断的应急预案 第二章 业务中断分析 一 业务中断成因可分为自然灾害 人为灾害 一般灾害 1 自然灾害主要有 地震 火灾 水灾 台风等 此种灾害无法预判 灾害 发生时无法防护 发生频率最低 当灾害发生时 业务一般也只能切换到灾备 机房 一旦切换到灾备机房 业务正常运行肯定收到影响 2 人为灾害主要有 恐怖攻击 黑客攻击 网络攻击 病毒攻击等 此灾 害同样无法预判 发生不高 但其中黑客攻击可从网络安全 主机安全 系统 安全等方面进行防护 加大黑客攻击难度 从而达到黑客攻击防护的目的 3 一般灾害主要有 网络故障 服务器软硬件故障 应用程序故障等 此灾 害可防护 但发生频率最高 应对网络 服务器 应用程序进行相应监控 并 建立相应的监控巡检系统 自动监控自动报警 及时发现和处理故障 另核心 业务系统应建设主备高可用架构或负载均衡高可用架构 避免单点故障 内部文件 3 2 业务中断的企业影响 1 企业收入 企业直接损失 商户赔偿金 企业未来收入损失 2 生产效率 参与人员人数和人员处理时间 3 声誉损失 影响企业声誉 降低了商户和合作伙伴对企业的信任 影响到后 期的企业市场发展和业务合作 扩大了竞争对手优势 4 财务业绩 影响到企业的信用 现金流甚至违规罚款等 第三章 技术保障 一 建立业务连续性管理制度 目标是尽可能快地恢复服务至服务级别协议规 定的水准 尽量减少事故对业务运营的不利影响 以确保最好的服务质量和可 用性级别 二 应急系统的技术体系 主要是建立预防为主的计算机风险防范体系 将风 险的预警融于日常工作中 包括 硬件设备的冗余备份 网络线路的冗余备份 数据备份 网络监控 系统监控 内部文件 4 三 维护人员应根据维护作业计划 对所维护管理的设备定期进行预防性巡视 检查 机房和外线维护人员在巡视中应认真负责 及时发现问题 重点注意处 在环境恶劣下 存在潜在质量故障的设备 巡视检查要认真进行记录 第四章 风险管理 一 深入分析可能造成业务中断的因素 并对其应采取相应的控制措施 二 根据业务环境的变化 对原有风险管理制度 规则和程序进行必要的和适 当的修正 保证安全措施的持续有效和及时更新 三 对公司的关键岗位和关键人员 应实行轮岗和强制性休假制度 建立严格 的内部监督管理制度 四 系统采用适当的加密技术和措施 保证交易数据传输的安全性与保密性 以及所传输交易数据的完整性 真实性和不可否认性 五 明确商户的相关法律责任 防止其进行违规操作 如因商户违规作业导致 公司业务连续性受到影响 将通过法律的手段让其承担相应的责任 第五章 培训与演练 一 定期对员工进行业务连续性管理办法的培训 并让其严格贯彻 二 针对业务中断 公司根据应急预案和灾难恢复计划 每年需组织 1 2 次 的关于保障业务连续性实战演练 提升公司的应急能力 验证公司系统的稳定 性 可靠性 提高系统管理员的操作水平 业务部门的协同水平 第六章 应急预案 一 制定危机应急响应流程 业务中断恢复流程等一系列管理和维护流程 并 编写 系统演练手册 系统应急操作手册 系统日常操作维护手册 在灾难发生时 确保相关人员有章可循 按照预先规定的步骤 有条不紊地响 内部文件 5 应 二 通过业务连续性意识的培养和技能培训 以及业务演练 提升公司相关人 员的技能素质和应急协同作战能力 第七章 系统 RTO 与 RPO RTO 灾难恢复时间目标 是指企业可容许服务中断的时间长度 RPO 灾难恢复点目标 是指当服务恢复后 恢复得来的数据所对应时的间点 单位 小时 序号业务中断原因影响恢复办法 RTORPO 1 主干网络中断全部交易中断 全部商户无法交 易 切换到冗余网络 44 2 部分商户网络中断断网商户无法交 易 建议商户切换网络 10 3 机房断电无自动切换到 ups 00 4 主机宕机 硬件故障 软件故障 应用程序 故障等 全部交易中断 全部商户无法交 易 切换到备机 10 5 后端渠道 银联后端 交易系统故障等 全部交易中断 全部商户