ISO27000：2013业务连续性管理计划
业务连续性计划(应急计划)
业务连续性计划(应急计划)引言概述：业务连续性计划(BCP)是组织为了在面临各种突发事件时保障业务正常运转而制定的一套应急计划。
随着全球经济的不断发展和信息化程度的提高，越来越多的组织意识到制定和实施业务连续性计划的重要性。
本文将详细介绍业务连续性计划的定义、目的、内容、实施流程和不断改进的重要性。
一、定义1.1 业务连续性计划是指组织为了应对各种突发事件而制定的一套综合性计划。
1.2 BCP的目标是在面临灾难性事件时，确保组织的核心业务能够持续运行。
1.3 BCP包括预防措施、应急响应、恢复和重建等方面的内容。
二、目的2.1 保障组织的核心业务能够持续运行，减少业务中断对组织造成的损失。
2.2 提高组织对各种突发事件的应对能力，降低业务风险。
2.3 增强组织的抗灾能力，提升组织的可持续发展能力。
三、内容3.1 评估业务风险：识别潜在的业务中断风险，分析其可能性和影响。
3.2 制定应急计划：根据风险评估结果，制定相应的应急预案和流程。
3.3 实施BCP演练：定期组织业务连续性计划演练，检验其有效性和可行性。
四、实施流程4.1 确定BCP团队：组建专门的业务连续性计划团队，负责制定和实施BCP。
4.2 制定BCP计划：根据业务风险评估结果，制定详细的业务连续性计划。
4.3 培训和演练：对组织内部人员进行业务连续性计划培训，定期组织演练。
五、不断改进的重要性5.1 定期评估和更新：定期对业务连续性计划进行评估，根据实践经验不断更新和完善。
5.2 持续改进：根据演练和实践中发现的问题，及时调整和改进业务连续性计划。
5.3 提高应对能力：通过持续改进，提高组织对各种突发事件的应对能力，确保业务的稳定运行。
结语：业务连续性计划是组织应对各种突发事件的重要保障，惟独制定科学合理的BCP，并不断改进和完善，才干提高组织的抗灾能力和可持续发展能力。
希翼各个组织都能重视业务连续性计划的制定和实施，确保业务的稳定运行。
ISO27000：2013业务持续性管理实施方案
计划编制部门
研发部
系统名称
投资者关系管理系统
实施方案
序
号
故障和
灾难描述
对关键业
务的影响
控制要求
（应急措施、系统恢复方法与步骤、
时限要求等)
责任分工
01
病毒攻击
无法访问核心数据、影响公司软件开发和服务交付
检查内网是否存在网络病毒、网络攻击。发现开发上传的部分文件存在病毒，因此确认此次问题出现在上传的文件没有经过杀毒处理，采取的措施是每次上传文件时必须经过病毒检测，上传文件的权限进行控制。
研发部网络管理员协调总公司网管进行控制，必要时请求内部专家协助
其他月21月
审核：申杰理
日期：2019年7月21月
批准：孙秀丽
日期：2019年7月21月
业务连续性管理程序
业务连续性管理程序业务连续性管理程序（ISO27001-2013）1、目的防止业务活动中断，保护关键业务过程免受信息系统重大失误或灾难的影响，并确保关键业务活能及时恢复。
2、适用范围适用于公司信息系统遭受灾难事故后的处理。
3、术语和定义ISO/IEC27001:2013 信息安全管理体系要求ISO/IEC27002:2017 信息安全管理实用规则4、职责和权限信息安全领导办公室指导本程序的执行，并对执行情况进行监督检查；信息安全领导办公室立即组织力量对事故进行风险评估，评价业务中断的严重程度；XXX部在信息安全领导办公室的组织下，负责信息系统的操作系统、各类数据、网络等恢复，通讯设备的配置等工作。
5、主要活动5.1预防业务中断定期进行数据备份，通信线路、电源等日常检查是预防公司业务中断的主要方式。
在日常业务活动中，采取如下预防保护控制措施：●监督●访问控制●身份认证●防病毒●过滤●入侵检测系统5.2确定关键业务及其优先级XXX部负责识别关键业务活动，并按其重要性分为不同的优先级，关键业务的优先级也是中断后的恢复优先级。
关于业务活动优先级如下：(以下均为举例)最高：提供信息资源共享服务的XXX系统(服务器)提供信息安全防护的补丁分发/防毒软件服务系统各开发部门源代码/重要文档管理及存储系统高：关键开发/测试环境系统提供公司E-mail服务的Mail系统质量管理服务系统低：提供内部Web访问的系统针对不同的关键业务活动，制定业务恢复方案，并指定责任人和业务恢复时间。
详见《XXX关键业务恢复计划》。
5.3关键业务恢复计划测试XXX部每年一次，对《XXX关键业务恢复计划》进行测试，并对其保持或改进。
5.4实施关键业务恢复计划5.4.1 事件响应XXX部负责对中断业务的事故做出迅速反应，并执行《信息安全事件管理程序》。
5.4.2 业务恢复XXX部负责执行《XXX关键业务恢复计划》，在规定的时间范围内恢复被中断的业务。
业务连续性计划
(Bus in ess Con ti nuity Pla nning. 缩写为BCP )业务连续性计划概述业务连续性计划是一套基于业务运行规律的管理要求和规章流程，使一个组织在突发事件面前能够迅速作岀反应，以确保关键业务功能可以持续，而不造成业务中断或业务流程本质的改变。
业务连续性是指企业有应对风险、自动调整和快速反应的能力，以保证企业业务的连续运转。
为企业重要应用和流程提供业务连续性应该包括以下三个方面。
1.高可用性(High availability )。
它是指提供在本地故障情况下，能继续访问应用的能力。
无论这个故障是业务流程、物理设施，还是IT软硬件故障。
2.连续操作(Continuous operations )。
它是指当所有设备无故障时保持业务连续运行的能力。
用户不需要仅仅因为正常的备份或维护而需要停止应用的能力。
3.灾难恢复(Disaster Recovery )。
它是指当灾难破坏生产中心时，在不同的地点恢复数据的能力。
同时，上述三个部分不是相互孤立的，是相互关联，而且有交叉的。
区分业务连续性和灾难恢复是很必要的。
严格地说，灾难恢复是恢复数据的能力，是业务连续性计划的一部分。
让业务连续性计划成为企业变化管理文化的一部分。
在制定企业业务连续性计划之后，不要把这个计划放在一边。
要确保该计划的切实可行，就需要把它变成活动的文档。
如果企业的业务模式发生了变化，或是业务过程进行了重新设计，或是发生突发状况时的重要联系人不再为公司工作，旧的计划就需要及时进行更新。
当有变化时，每个员工都应该问问自己该变化会对业务连续性计划中涉及到自己的部分会产生怎样的影响。
业务连续性计划的重要性现在的社会特别是经济社会对网络的依赖日益加深，传统的备份恢复式安全计划已经无法保证企业业务的连续运行。
业务连续性计划正是因此而生，它根据业务流程而非针对技术进行制订，有助于建立起更具统筹能力的安全管理制度。
据Gartner Group的调查结果显示，如果企业的大型数据中心和信息基础设施停止运行10日以上，超过百分之三十的企业在一个季度内倒闭，而接近90%的企业在一年内倒闭。
ISO27001：2013业务连续性管理制度
业务连续性管理制度目录........................ 3.1 •目的和范围...............2 •引用文件 .............................................................................. 3.3.职责和权限.............................................................................. 彳■4•业务连续性管理流程 4.• • •••■4.1.1 识别组织矢键业务 (4)4.1.2识别尖键信息系统 (5)4.2连续性架构规划........................................................................5..4.2.1 确定团队与人员 ...... 5,■4.2.2 确定利益相尖方 ...... 6,■4.2.3 确定技术设施 .................................................................... 6..4.3制定应急预案............................................................................ 6-■4.3.1确定团队职责与分工・・............. 6..4.3.2 确定突发事件通告机制 6.4.3.3 确定损害评估机制••… 6.4.3.4 确定灾难启动机制•• (7)4.3.5 确定系统灰复过程•• (7)4.3.6 形成计划文档 ..................................................................... 7..4.4演练与维护............... . (7)4.4.1设计演练方案・7・4.4.2演练........4.4.3 评审和改进•…5相尖i错误!未定义书签1-目的和范围为确保公司的业务能够持续稳定的进行，最低限度的降彳氐信息安全事件对业务的影响，特制订本管理制度。
ISO27001-2013信息安全连续性管理实施计划
目录1.目的 (4)2.适用范围 (4)2.1前提条件1： (4)2.2前提条件2： (4)3.定义 (4)3.1信息安全连续性管理计划： (4)3.2最大容忍中断时间： (4)3.3关键功能目标恢复时间： (4)3.4全部功能目标恢复时间： (4)3.5小规模灾难或故障： (4)3.6大规模灾难或故障： (4)4.规程 (5)4.1核心及支持性信息安全单元定义 (5)4.2信息安全连续性管理目标 (5)4.3信息安全连续性恢复顺序 ...................................................................... 错误!未定义书签。
4.4信息安全分类及灾难恢复指标 (5)4.5重大灾难、故障应急程序及计划 (5)4.6重大灾难、故障应急程序及计划演练计划 (6)5.引用文件 (6)6.记录 (6)1. 目的确保核心信息安全及支持性信息安全的连续运作，减少各种安全风险可能带来的损失。
2. 适用范围本计划适用于公司在以下前提条件下的信息安全连续性管理：2.1 前提条件1：公司不在同一时间内遭受同样大规模的破坏2.2 前提条件2：公司雇用关系、现金流、供应商关系、客户关系、政府关系、投资关系、合作伙伴关系没有受到重大影响3. 定义3.1 信息安全连续性管理计划：为预防信息安全风险、意外灾难可能带来的损失，有效保障公司核心信息安全及支持性的正常运作，而预先制订的一系列管理计划，包括：信息安全连续性管理目标、信息安全恢复指标、以及各类灾难、故障的应急和恢复程序。
3.2 最大容忍中断时间：指信息安全能容忍在没有正常支撑工具（如信息安全记录、信息系统、通信电话等）支撑的最大工作时间（不包括休息时间）。
3.3 关键功能目标恢复时间：指从灾难发生开始到信息安全关键功能（指核心信息安全功能，例如：客户要求的开发活动、支持开发活动必须的信息安全记录、信息系统、通信电话）得到恢复的时间。
业务连续性管理计划评审报告ISO27001及ISO20000管理
批准：黄**
备注：
业务连续性计划评审报告
评审目的
评审文件《业务连续性管理计划》以及应急预案的保密性、有效性、完整性以及可间
评审参加人员
李**、邓**、黄**、董**、沈**、朱**、钟**
评审结论
计划实施、测试情况及有效性评价：
《业务连续性管理计划》的中对重大风险的分析均已齐备，并且都制定了对应的应急预案，经检测预案已进行了实施工作，对预案的演练也已经进行，结果符合预定要求。
连续性的建议或其它措施：
已制定的连续性的应急预案应该每年定期进行演练，以保持方案的可行性。
在日常活动中，如发现业务连续性管理计划有遗漏的可能影响事件，发现人员须向信息安全管理小组汇报，由管理者代表组织大家重新评审业务连续性管理计划的完整性及有效性。
评审人员签字：
李**、邓**、黄**、董**、沈**、朱**、钟**
[转载]ISO27001：2013新版信息安全管理体系标准变化精解
![[转载]ISO27001：2013新版信息安全管理体系标准变化精解](https://img.taocdn.com/s3/m/18b76524bc64783e0912a21614791711cc797973.png)
[转载]ISO27001：2013新版信息安全管理体系标准变化精解ISO27001关于标准—基本情况ISO27001:2005改版ISO27001:2013改版背景现版的信息安全管理体系ISO27001:2005标准已经使⽤了8年，⽇前ISO组织（国际标准化组织）终于将新版ISO27001:2013DIS版（国际标准草案Draft International Standard）草稿向公众开放并征求意见，预计在今年6-7⽉会发布DIS最终版。
ISO组织公布的正式版本的颁布时间为2013年10⽉19⽇改版影响在新版公布后的18⾄24个⽉内是认证转换缓冲期，即原有已取得ISO27001证书的企业最迟需要在2015年10⽉19⽇前转换到新版标准。
ISO27001的历史发展1992年在英国⾸次作为⾏业标准发布，为信息安全管理提供了⼀个依据。
BS7799标准最早是由英国⼯贸部、英国标准化协会（BSI）组织的相关专家共同开发制定的在1998年、1999年经过两次修订之后出版BS7799-1：1999和BS7799-2：1999。
2000年4⽉，将BS7799-1：1999提交ISO，同年10⽉获得通过成为ISO/IEC17799：2000版。
2005年对ISO/IEC17799：2000版进⾏了修订，于6⽉15⽇发布了ISO/IEC17799：2005版。
2007年上半年正式更名为ISO27002:2007。
2013年与ISO27001:2013版同步更新为ISO27002:2013.2001年修订BS7799-2：1999，同年BS7799-2：2000发布。
2002年对BS7799-2：2000进⾏了修订发布了BS7799-2：2002版。
ISO于2005年10⽉15采⽤BS7799-2：2002版本成为国际标准-ISO/IEC27001：2005版。
2013年10⽉19⽇修订原版，正式使⽤ISO/IEC27001:2013版。
ISO27000：2013业务连续性计划实施方案测试报告
服务器搭建成功
郑鹏
2、人员导入病毒，系统不能正常开机
服务器不能启动
3、重新启动系统到DOS，运行正版的杀毒软件（DOS版）。
启动DOS成功，成功运行杀毒软件
4、杀毒软件查杀病毒
杀毒软件正常运行，并发现、删除了病毒
5、重启系统
系统正常开机
6、在Windows下再次杀毒
Window下无发现病毒。系统恢复正常。
业务持续性计划实施方案测试报告
（病毒攻击）
AXBJLYF35
测试部门
研发部
测试系统
投资者关系管理系统
测试地点
网络设备存放地
测试时间
2019-7-23
测试记录
序号
测试项目
试验方法
步骤
搭建试验服务器，模拟病毒入侵（网络传入病毒和上传文件携带），无法启动系统，查杀病毒，恢复系统。
测试结论：
本次测试成功，在搭建的试验服器上查杀了病毒。
备注：
ISO27001文件-(业务连续性管理规定)
业务连续性管理规定（版本号：V1.0）更改控制页1目的在重要的信息系统遭受重大灾难时，能够在中断容许的范围内重新恢复系统、数据，保障业务的持续开展。
2范围本程序文件适用于XXX科技股份有限公司。
3术语定义MTD(Maximum Tolerable Downtime):最大容忍中断时间。
即在灾难发生后，公司可以承受的业务中断时间。
这一时间取决于对公司业务的影响程度(业务完全中断、效率降低等)、对公司收入的影响程度以及对客户业务的影响程度。
RTO (Recovery Time Objective)：恢复时间目标。
即灾难发生后，信息系统或业务功能从停顿到业务完全恢复的时间点目标。
这些时间点，将作为业务连续性计划的恢复业务的里程碑时间。
RPO(Recovery Point Objective)：恢复点目标。
即灾难发生后，信息系统或业务功能能够恢复到灾难之前的哪个时间点。
BCP（Business Continuity Planning ）：业务连续性计划。
为减少灾难发生后对业务的影响，以及保证业务在灾难发生后能及时恢复和持续运作，事前所做的计划和安排。
BIA(Business Impact Analysis)：业务影响分析。
分析核心业务及重要的信息系统，评估灾难发生后对公司业务及其他方面的影响程度。
DRP（Disaster Recovery Plan）：灾难恢复计划。
4职责4.1管理者代表负责提出业务连续性的管理要求，包括业务连续性的高层策略、最大可容忍的业务中断时间，并监控业务连续性管理和计划的持续改进；组织风险评估、应急处理和灾难恢复。
4.2信息安全经理协助管理者代表完成所有与业务连续性有关的工作；监督计划的测试、维护和实施；组织制定《业务连续性计划（BCP）》；组织BCP演练活动。
4.3信息安全执行组参与所有与业务连续性有关的工作。
4.4网络管理员负责网络基础设施的业务连续性计划的落实。
4.5各部门领导负责本部门的业务持续性管理分析过程。
ISO27001-业务连续性流程
业务持续性影响分析报告内部公开业务持续性管理计划日期：编制：审核：日期：业务持续性管理计划评审报告业务持续性管理计划测试报告办公大楼地震应急预案一、指导思想根据《中华人民共和国防震减灾法》、《重庆市地震应急预案》，本着预防为主，宣传教育为辅，防患于未然的原则，为确保办公室大楼在发生破坏性地震时，各项应急工作能有效进行，最大限度地减轻地震灾害带来的损失，尽可能的减少我单位员工伤亡，现借鉴各地的成功经验，结合我公司所在大楼实际情况，制定本预案。
二、办公室防震抗震工作机构（一）防震抗震领导小组组长：成员：1、全面负责办公室防震抗震工作，强化工作职责，完善地震应急预案的制定和各项措施的落实。
2、充分利用各种渠道进行地震灾害、避震疏散知识的宣传教育，广泛开展地震灾害中的自救和互救训练，组织、指导员工进行地震应急避险疏散演练，不断提高我单位员工防震减灾、自救互救能力和抵御地震灾害的能力。
3、认真搞好各项物资保障，强化管理，使之始终保持良好战备状态。
4、地震发生后，组织所有员工按疏散路线迅速撤离，并维护疏散场地的社会秩序和保障安全。
5、及时清点、统计上报人数。
6、组织各方面力量全面进行抗震减灾工作，调动一切积极因素，迅速恢复工作秩序，把地震灾害造成的损失降到最低点，促进社会安全稳定。
（二）办公大楼地震应急工作小组为确保地震应急工作有序进行，在成立防震抗震领导小组的基础上，设立地震应急工作小组，现明确相关责任人和工作任务如下：1、指挥组总指挥：刘彬职责：负责指挥地震发生时的所有应急工作，收集了解灾后全面情况，向上级有关部门报告。
2、疏散组成员：职责：在地震发生是负责将我单位员工疏散到安全地带，稳定人心，安置人员，汇总报告人员到达疏散地点情况。
3、后勤保障组成员：职责：负责紧急组织救护，统计、汇报人员伤亡情况。
4、消防治安组成员：职责：负责清除安全隐患，汇报建筑物及办公室其他设施的破坏情况。
三、地震紧急疏散原则指挥得力沉着冷静全体动员及时疏散减少损失四、临震应急行动1、接到上级地震、临震预（警）报后，应急小组立即进入临战状态，依法发布有关消息和警报，全面组织各项防震抗震工作，各有关组织随时准备执行防震减灾任务。
iso业务连续性管理体系
iso业务连续性管理体系ISO 业务连续性管理体系（Business Continuity Management System，BCMS）是指组织为了实现在面临灾害、突发事件或其他紧急情况时业务连续运营的能力而采取的一系列制度、程序和技术措施。
它旨在确保组织在不可避免的业务中断或变数情况下能够快速恢复正常运营，并减少对业务和利益的负面影响。
本文将探讨ISO业务连续性管理体系的要点、实施步骤以及对组织的重要性。
一、ISO业务连续性管理体系的要点ISO业务连续性管理体系的核心是通过识别、评估和管理突发事件的风险，从而保障组织的业务连续性。
以下是ISO 业务连续性管理体系的主要要点：1. 风险评估和管理：组织需要对可能导致业务中断的风险进行全面的评估和管理。
这包括识别关键业务和流程，并确定突发事件对其可能造成的影响。
通过建立风险管理策略和措施，组织可以更好地预防和应对突发事件。
2. 持续改进：ISO 业务连续性管理体系的实施是一个不断改进的过程。
组织应该定期审查和更新其业务连续性计划，以确保其在不断变化的业务环境中仍然有效。
持续改进的目标是提高组织的业务连续性能力，并减少突发事件对组织的影响。
3. 紧急响应和恢复计划：组织需要制定紧急响应和恢复计划，以迅速应对业务中断。
这些计划应该包括明确的责任和行动步骤，并确保组织的关键业务能够尽快恢复正常运营。
同时，还应该进行定期的演习和测试，以验证这些计划的有效性和可行性。
4. 培训和意识提升：组织的员工应该接受相关培训，了解业务连续性管理体系的重要性和实施细节。
他们应该了解自己在突发事件中的角色和责任，并具备相应的技能和知识。
组织还应该通过内部沟通和宣传活动提高员工对业务连续性的意识和理解。
二、ISO业务连续性管理体系的实施步骤ISO 业务连续性管理体系的实施通常包括以下步骤：1. 确定管理责任：组织应该指定一个具体负责业务连续性管理的团队或员工，并明确其职责和权力。
ISO27000-2013持续性管理计划评审报告
评审目的
验证《业务持续性管理实施计划》的可行性
评审地点
大会议室
评审时间
2017年11月29日
评审人员
全体员工
对计划实施/测试情况及有效性的评价：
软件故障经过恢复测试演练，基本能恢复，用时1小时。
病毒攻击时，可基本恢复，但对嵌入式病毒无防护效果。
硬件故障除硬损坏以外，均能有效恢复，用时4小时。
消防未演练。
对计划的修改意见：
业务持续性风险在可接受风险范围内，暂不需要修改。
评审人员：
郑华伟、宋文平
管理者代表批准：
同意上述。
签名：邓伟云
日期：2017年11月29日
备注：
ISO27001业务连续性策略规划
ISO27001业务连续性策略规划1概述业务连续性的策略规划是为制定持续和恢复策略，以帮助公司选择合适的策略及保护方法以使业务在灾难发生到返回正常状态期间保持运行。
2适用范围区域范围：办公区域。
业务范围：基础软件的销售和数据库维保服务、培训服务。
部门及人员范围：公司领导、综合管理部、系统支持部IT系统范围：系统运行管理、应用系统运行管理和介质管理网络范围：网络运行管理业务持续性专业服务范围：灾难演练服务和持续管理服务3术语、定义和缩略语灾难事件：可能导致全部或部分业务中断，继而威胁到业务的持续运营场景，并可能导致整个在商誉、财务能力、持续营运能力、业务开拓能力等方面造成打击的事件。
恢复时间点目标（RTO）：灾难发生后，系统和数据必须恢复到的时间点要求。
恢复时间目标（RPO）：灾难发生后，信息系统或业务功能从停顿到必须回复的时间要求。
4业务连续性方针和策略业务连续性战略方针：通过技术、运维管理能力以及灾难应急恢复预案，确保发生灾难后，业务可以在一定的时间内恢复到可以接受的运营状态。
业务连续性策略：按照业务连续性恢复资源的成本与风险可能造成的损失之间取得平衡的原则，即：“成本风险平衡原则”，确定关键业务功能的业务连续性策略。
5业务连续性恢复需求分析5.1风险分析：根据《风险评估原则》，对所有存在的风险进行风险评估和识别，现存的风险包括：⏹信息系统安全⏹消防安全⏹供配电安全⏹空调系统安全⏹疾病防控安全5.2业务影响分析：5.2.1业务影响分析（BIA）目的：⏹提供制定业务持续计划的基础；⏹提供客观的、可理解的、信息充分的结果，以使管理层能够用来指导业务持续计划的制定；⏹利用风险评估方式发现业务流程和系统的脆弱性；⏹确认哪些业务流程和资产需要更高级别的保护；⏹提供确认策略和后备方案所需的信息；⏹确认恢复目标及其时效性。
ISO27001最新版业务连续性管理计划评审报告
在日常活动中，如发现业务连续性管理计划有遗漏的可能影响事件，发现人员须向信息安全管理小组汇报，由管理者代表组织大家重新评审业务连续性管理计划的完整性及有效性。
评审人员签字：
陈燕、邢昌煜、詹菲菲、王勇、陈俊杰
总经理意见：通过
批准：XX
202X年3月17日
备注：
业务连续性管理计划评审报告
评审目的
评审文件《业务连续性管理计划》的保密性、有效性、完整性以及可行性。
评审地点
公司会议室
评审时间
202X年3月17日
评审参加人员
总经理、管理试情况及有效性评价：
其实业务连续性管理计划的可能受影响的事件，只有第一条可以被测试。根据业务连续性计划测试报告的结果，恢复可行并且恢复结果完整。
ISO27000：2013业务影响分析和风险评估报告
业务影响分析IT服务风险评估报告文档编号：LS -ITSMS-FX-2019记录版本：A/0【业务影响分析和风险评估报告】【业务影响分析和风险评估报告】目录1. 概述 (1)1.1 目的 (1)1.2 业务影响分析和信息技术服务风险分析概述 (1)2. 基本定义 (2)2.1 业务影响度级别的定义 (2)2.2 风险级别的定义 (2)2.2.1 威胁发生的可能性P (2)2.2.2 威胁对关键业务的影响程度I (3)3. 业务影响分析 (3)4. 影响关键业务的信息技术服务风险分析 (3)1.概述1.1目的《业务影响分析和信息技术服务风险分析报告》是根据IT技术服务信息技术服务风险分析（Business Impact Analysis 以下简称BIA）对IT服务的重要性、关联性进行分析，当IT服务风险发生时，为了使业务活动能够持续运作，明确恢复业务所依赖的重要组件，并针对各类信息技术服务风险制定相应的处理方案。
1.2业务影响分析和IT服务信息技术服务风险分析概述业务影响分析（BIA）帮助确定在关键IT服务不可用的情况下，各部门的业务处理中断所造成的后果。
BIA定量及定性地分析不同时间段的中断所造成的损失，并且确定至关重要的业务功能及相互依赖性。
最重要的是，BIA为管理层提供了可靠的数据反映灾难潜在的影响和可能的损失，为设定优先级并选择适合的恢复策略奠定了基础。
业务影响分析是为灾难恢复制定计划的第一步。
它为管理层提供了清晰的、充分的以及准确的信息，从而能够对企业的灾难恢复策略做出正确的决策。
信息技术服务风险分析是对影响关键业务连续性的威胁发生的可能性以及一旦发生后造成的影响进行评估，从而识别高级别的风险。
管理层根据这些信息以决定：●从恢复的角度判断各个业务系统的重要性;●在引起灾难性后果之前，至关重要的业务功能或应用系统必须在多长时间内恢复运行;●哪种是能够满足恢复时间要求的最可行的恢复策略;●需要什么资源才能将至关重要的应用系统恢复到最基本的运行;●哪些因素必须预先考虑，才能满足恢复时间的要求;●这些信息以及相应的决策构成了连续性策略的基础。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
日期：2019年7月10日
领导批复意见：同意
批准人：孙秀丽
日期：2019年7月10日
业务连续性管理计划
1、目的：为消除关键的经营业务活动出现中断，避免其遭受重大故障或灾难的影响。
2、范围：本战略计划适用于本公司各技术部门重要业务活动的持续性管理。
3、基本原则：通过预防和恢复控制相结合的方法，使由灾难和安全事故引起的破坏减至最小。SYJLXZ42
持续性管理总体方案
序号
系统名称
影响的关键生产作业或管理过程
24小时内
数据无法上传下载
火灾
购买新的硬件设备，联系厂商重新安装系统，从异地机房的备份数据文件中备份文件及数据。设置至少一台异地从机，主机损坏时从机继续工作
尽可能的缩短停机时间
数据无法上传下载，数据受损
02
svn服务器
产品无法持续开发和升级
软件
故障
重新安装svn软件，从备份服务器恢复svn内容
24小时内
数据无法上传下载
研ቤተ መጻሕፍቲ ባይዱ部
硬件
故障
更换硬盘设备，然后从备份系统中恢复丢失的svn内容，设置至少一台异地从机，主机损坏时从机继续工作
24小时内
数据无法上传下载
火灾
购买新的硬件设备，重新安装svn软件，svn内容，设置至少一台异地从机，主机损坏时从机继续工作
尽可能的缩短停机时间
数据无法上传下载，数据受损
信息安全管理委员会讨论意见：同意
故障
或灾难
系统恢复与应急措施
系统恢复
时限要求
对公司业务活动的影响
责任
部门/人
01
投资者关系管理系统
开发和测试等工作无法进行
软件
故障
对软件故障进行修复或对系统进行重装，然后从备份系统中恢复丢失的文件和数据，
24小时内
数据无法上传下载
研发部
硬件
故障
更换硬盘设备，然后从备份系统中恢复丢失的文件和数据，设置至少一台异地从机，主机损坏时从机继续工作