业务持续管理（BCM）概述及应用

GaryLiu业务持续管理

〔BCM〕

概述及应用V3.0311，000人已被认证〔截至2021年1月底〕遍布95个国家培训在45个国家开展DRIChina是大中华地区DRII唯一授权机构包括香港，澳门和台湾地区真正全球化DISASTERRECOVERYINSTITUTEINTERNATIONALanon-profitorganizationBC行业手屈一指的职业教育和资质认证组织主要内容灾难事件及其损失和挽救解决灾难问题的理论和方法BCM相关概念解释BCM的知识体系〔10个国际最正确惯例〕BC方案编制方法论〔8个步骤〕业务恢复的生命周期〔6R模型〕BCM中的各种方案BCM在企业中的应用BCM给企业带来的好处国内外相关法规和标准、以及相关组织机构BCM在灾难恢复建设中的应用何为“BCM〔业务持续管理〕〞？“B〞——Business，具有价值的活动“C〞——Continuity，持续活动的保障“M〞——Management，提供保障的方法几乎人人都有“BC〞需求工作中的“BC〞需求生活中的“BC〞需求“BCM〞方法是保护我们正常生活和工作的必备手段BCM离我们有多远？2021年5.12汶川大地震2021年南方大雪2021年台风莫拉克2005年卡特里娜飓风灾难事件回忆灾难的损失与挽救灾难事件死亡人数直接经济损失保险赔偿社会捐赠汶川地震近9万人超过1万亿元共计约16亿元

人身：9.6亿元（60%）

财产：6.4亿元（40%）760亿元911恐怖袭击3千多人450亿美元共计约400亿美元

人身：48亿美元（12%）

财产：352亿美元（88%）（其中：停业保险为110亿美元责任保险为100亿美元）22亿美元卡特里娜飓风1千多人1250亿美元共计约600亿美元13亿美元我国目前的救灾模式英国CMI的2021年BCM调查报告58%造成组织停业的是气候。第一次取代IT79%被访经理在过去12个月里启动BC方案并有效地减少了中断造成的冲击54%被访者报告应用远程工作的方式应对中断企业的自律是BCM的主要驱动力自律〔38%)商业/客户〔31%〕潜在客户〔21%〕政府要求〔21%〕合同〔16%〕33%的指导来自专业机构，28%来自自己27%有专项资金，48%没有72%说HR是内部BCM的相关者解决灾难问题的理论和方法风险管理〔RM〕：风险的分析、预防和控制主要用于风险的预防危机管理〔CM〕：危机事件的演变和处理主要用于事件的处理应急管理〔EM〕：突发事件的应对和处理主要用于公共事件的应对灾难恢复〔DR〕：信息系统的恢复〔DRP是BCP的一局部〕主要用于数据和信息系统的保护业务持续管理〔BCM〕：灾难中企业的生存确保在预定的时间内恢复业务运行综合运用了以上各种方法11减少的危险减小冲击后的影响风险管理vs.业务持续管理BusinessContinuityisNOTbusinessasusual所谓业务持续就是不仅要使业务功能在灾难后能得到全面恢复，还要确保关键业务功能在中断或灾难事件中，能够迅速地恢复持续运行业务持续的实质灾难的含义灾难〔Disaster〕的一般定义一个突发的、非方案的、能够导致重大伤害或损失的严重的不幸事件灾难对企业的含义突发事件造成企业关键业务功能〔或流程〕的中断时间超过企业最大可容忍的程度通常由恢复时间目标〔RTO〕值作为判定是否是灾难的依据通过评估，当预计关键业务功能的中断时间将大于预定的RTO值，那么视为灾难发生，应该启动相应的预案和方案业务功能或应用系统恢复到其最低可接受的程度业务功能或应用系统以最新的正确数据运行时间中断点业务功能或应用系统从中断点恢复到其最低可接受的程度所需的时间，从而使中断产生的冲击最小化。恢复时间目标〔RTO〕恢复时间目标〔RTO〕事前防控事后重建事中应对工程启动与管理风险评估和控制〔RA〕业务冲击分析〔BIA〕制定业务持续策略应急响应和措施编制和贯彻执行业务持续方案认知和培训方案维护及演练业务持续方案危机沟通与外部机构的协调10个国际最正确专业惯例确定BC方案编制的需求获得高管层的支持建立BCM组织及责任明确BCM工程的范围确定方案编制时间表识别可能的不利事件和威胁信息的收集和分析方法确认可能的风险和损害确定应采取的控制措施对所采取的措施进行评价确认中断对业务的冲击定量及定性地衡量冲击确认关键业务功能和流程确定优先级别和互依赖性确定RTO及RPO根据RA和BIA的结果制定策略包括企业级策略和部门级策略进行本钱效益分析选择最正确的策略制定和贯彻应急响应程序使事件发生后的情形得到稳定建立和管理EOC将BC程序与应急响应程序相集成确定方案编制的要求确定方案的结构和形式编制业务持续方案贯彻执行业务持续方案建立方案分发和控制程序确定认知与培训的目标制定各种认知与培训方案开发认知与培训的方法和工具确认其他教育时机设计和协调BC方案的演练评价演练结果制定维护更新BC方案的流程验证BC方案的有效性以简明的方式报告结果制定和演练危机沟通方案与各利益相关者的沟通与外部机构、媒体的沟通建立与外部机构协调的流程制定与外部机构的演练程序业务冲击分析策略制定认知与培训测试与演练风险分析与评估BC方案方案编制方案维护工程规划BC方案编制的生命周期BC方案编制的8个步骤减小〔Reduce〕响应〔Respond〕恢复〔Recover〕 重启〔Resume〕 重建〔Restore〕返回〔Return〕事件发生之前预防和控制措施做好应对准备事件发生期间应急响应和损失评估恢复关键功能重启业务运行事件稳定之后重建永久站点返回正常运行业务恢复的6R模型进行损失评估，判断是否灾难？满足条件：宣布灾难几分钟或几小时之内几小时或几天之内几周或几月之内预防事件Respond响应Reduce减少、降低Recover恢复Resume重启风险管理，危机管理，应急管理Restore重建Return返回业务恢复的生命周期时间线既要防止反响迟钝，也要防止反响过度！事前事中事后应急与业务持续预防和准备事前事后返回正常运行时间业务运行能力应急响应方案业务恢复方案灾难恢复方案重建/返回方案风险减小方案危机管理方案非常态运行〔满足RTO要求〕可容忍的最低业务运行能力事件发生启动危机管理中心，进行指挥、控制和沟通减小风险，防止中断，或使中断影响最小化确保关键业务的持续运行重建永久(原)场地，返回正常运行挽救生命和财产设立EOC进行损失评估RTO事中100%BCM中的各种方案灾后重建(Restore)(Return)安全管理（Reduce）灾难恢复（Recover）业务持续（Resume）事件响应（Response）企业的BCM规划相应的预案和计划重建/返回计划安全防控计划灾难恢复计划业务持续计划应急响应计划业务持续管理指导方针和框架BCPPreparedness02-22高管层的重视和支持组建完善的BCM组织机构人员、资金和资源的保障指定拥有适当权力的业务部门代表参与相关人员应具备全面的业务持续管理知识任命有能力的BC工程经理因为时间所限，所以该经理必须具有很强的工程管理能力专心致志和高度的责任感BCM成功的决定因素BCM在企业中的应用应用的主要方面整个企业的应急管理针对IT的灾难恢复〔DRP〕建立完善的危机管理组织机构确保高管层的参与和支持明确各部门的职责，确保全体员工的积极参与制定企业应对灾难的完整预案既关注人员和财产的挽救，也注重业务的持续建立分级响应机制，完善控制事件全过程的各项预案将DRP集成到BCP之中DR只是手段，BC才是本质确保预案和方案的贯彻实施和维护更新制定认知和培训方案，提高员工防灾救灾的意识和能力不断地对预案和方案进行测试演练和维护更新将BCM理念融入企业的文化中供给链案例March17,2000–Ericssonvs.Nokia10MinuteFireinAlbuquerquePhilipsMicrochipPlantPreFireRankingNokia(32%)Ericsson(12%)OnJuly20,2000,Ericssonreportedthatthefireandcomponentshortageshadcausedasecond-quarteroperatinglossof$200millioninitsmobilephonedivision.Totalloss$400millionPostFireRankingNokiashipmentsgrewby10.5percentoverthepreviousyear,to140millionunits.Ericssonshipmentsdroppedby35percentto27millionunits.案例-AT&T–网络灾难恢复TheNDRrecoveryinventoryincludesEmergencyCommunicationsVehicles(ECVs)thatcanestablishvoiceanddataconnectivityanywhereintheUnitedStates.Usingasatellitelink,anECVcanprovidevoiceanddataservicewithin30minutesofarrivingonsiteTheNDRTeamiscomposedofAT&Tmanagers,engineers,andtechnicianswhohavereceivedspecialtraininginthephysicalrecoveryoftheAT&TNetwork.AT&T在911时OnSeptember11,2001,AT&TactivatedtheNDRTeamforitsfirstfull-scaledisasterresponse.TheteamandtherecoveryequipmentarrivedinnorthernNewJerseyearlyonSeptember12.Therecoveryequipmentwaspositionedandturneduptostartservice48hourslater.案例-美国奔驰1999年9月弗洛伊德风暴袭击美国东部沿海。造成严重的风害和水灾。BCP在现实中的检验当赛特河堤决口后，地区的一百万多万用户的效劳中断。奔驰客户效劳热线在其通讯系统局部受影响的情况下，当机立断，启动BC方案，将受影响的效劳转移到热备点。6小时后，全面恢复受影响的业务。BCM给企业带来的利益BCM相关国际标准和指南中国相关法律法规国内主要标准和标准的要求当前灾难恢复建设中存在的问题只重视DR建设不重视BC规划DRP与BCP未能统一协调不能很好地解决企业生存的核心问题——业务持续将灾难恢复中心建成了数据备份中心混淆了灾难恢复与数据备份的概念混淆了对RTO与RPO要求的不同性质所采取的DR模式仅适用于数据集中式的业务无法解决分布式业务的恢复以自建为主，不习惯采用外包效劳昂贵的本钱阻碍了DR建设与国家标准和标准的要求存在差距当前灾难恢复建设中存在的问题BCM在灾难恢复规划中的应用国际灾难恢复协会〔DisasterRecoveryInstituteInternational，DRII，美国〕业务持续专业人员所用的10个最正确惯例〔ProfessionalPracticesforBCProfessionals〕业务持续协会〔BusinessContinuityInstitute，BCI，英国〕BCI最正确惯例指南〔TheBCIGoodPracticeGuidelines〕BCM国际组织编码课程名称授课时间CBCE-200业务持续管理基本原理

BusinessContinuityManagementFundamental1.5天CBCE-600业务持续管理专业惯例

BusinessContinuityManagementProfessionalPractices3天CBCE-800业务持续管理最佳惯例详解

BusinessContinuityManagementBestPracticesIntensive5天BCLE-2000DRII国际认证课程

BusinessContinuityPlanning（AcceleratedCourse）4.5天CDRP-1000灾难恢复计划最佳惯例详解

DisasterRecoveryPlanBestPracticesIntensive5天CBCT-6000业务持续管理专业讲师培训

BusinessContinuityManagementProfessionalTrainer3天CBCE-801业务持续管理专业考试辅导0.5天CBCS-5000业务持续管理专题研讨课根据内容而定BCM系列课程编码考试证书CBCE-200笔试50题，1.5小时业务持续管理基础培训合格证书（ACBC）AssociateCertificationofBusines