謝宗曉（中國(guó)金融認(rèn)證中心）

甄杰（重慶工商大學(xué) 管理科學(xué)與工程學(xué)院）

董坤祥（山東財(cái)經(jīng)大學(xué) 管理科學(xué)與工程學(xué)院）

1 概述

業(yè)務(wù)連續(xù)性管理是信息安全很重要的一部分，在金融行業(yè)中尤為明顯。本質(zhì)而言，業(yè)務(wù)連續(xù)性管理是區(qū)別于信息安全的一個(gè)領(lǐng)域，但在實(shí)踐中，又經(jīng)常將業(yè)務(wù)連續(xù)性作為信息安全的一個(gè)控制域處理，如 GB/T 22080—2016 / ISO/IEC 27001:2013《信息技術(shù) 安全技術(shù) 信息安全管理體系 要求》A.17中所指出的那樣，“業(yè)務(wù)連續(xù)性管理的信息安全方面”。這一點(diǎn)在國(guó)際標(biāo)準(zhǔn)化組織（ISO）的標(biāo)準(zhǔn)開(kāi)發(fā)分類(lèi)中也能看出來(lái)。例如，業(yè)務(wù)連續(xù)性的兩個(gè)基礎(chǔ)標(biāo)準(zhǔn)，都是ISO/TC 292（Security and Resilience）所發(fā)布的，如表1所示。

表1 關(guān)于業(yè)務(wù)連續(xù)性管理的2個(gè)重要國(guó)際標(biāo)準(zhǔn)

2 框架

對(duì)于商業(yè)銀行而言，要特別注意，《商業(yè)銀行業(yè)務(wù)連續(xù)性監(jiān)管指引》（銀監(jiān)發(fā)〔2011〕104號(hào)），該文件與推薦性標(biāo)準(zhǔn)的不同在于，其中規(guī)定了諸多硬性的指標(biāo)，例如，第四十九條：商業(yè)銀行應(yīng)當(dāng)至少每三年對(duì)全部重要業(yè)務(wù)開(kāi)展一次業(yè)務(wù)連續(xù)性計(jì)劃演練。在重大業(yè)務(wù)活動(dòng)、重大社會(huì)活動(dòng)等關(guān)鍵時(shí)點(diǎn)或在關(guān)鍵資源發(fā)生重大變化之前也應(yīng)當(dāng)開(kāi)展業(yè)務(wù)連續(xù)性計(jì)劃的專(zhuān)項(xiàng)演練。業(yè)務(wù)連續(xù)性管理的框架大致如下。

2.1 業(yè)務(wù)影響分析

業(yè)務(wù)影響分析通俗而言就是業(yè)務(wù)連續(xù)性管理的需求分析階段，是商業(yè)銀行對(duì)其自身業(yè)務(wù)連續(xù)性的需求評(píng)估。其大致過(guò)程如圖1所示。

圖1 業(yè)務(wù)影響分析

恢復(fù)點(diǎn)目標(biāo)（recovery point objective，RPO）是指為使活動(dòng)能夠恢復(fù)進(jìn)行，而必須將該活動(dòng)所用的信息恢復(fù)到某時(shí)間點(diǎn)?；謴?fù)時(shí)間目標(biāo)（recovery time objective，RTO）事件發(fā)生后下列活動(dòng)完成之間的時(shí)間段：產(chǎn)品或服務(wù)必須恢復(fù)，或資源必須恢復(fù)，或資源必須復(fù)原。RPO和RTO示意圖，如圖2所示。

圖2 RPO和RTO示意圖

2.2 風(fēng)險(xiǎn)評(píng)估

業(yè)務(wù)連續(xù)性的風(fēng)險(xiǎn)評(píng)估，在方法上與通用的風(fēng)險(xiǎn)評(píng)估是一致的。區(qū)別在于評(píng)估的重點(diǎn)是業(yè)務(wù)連續(xù)性所需的關(guān)鍵資源。

2.3 業(yè)務(wù)連續(xù)性策略

此處的策略英文原文為strategy，而不是policy。確定業(yè)務(wù)連續(xù)性策略就是從BIA和風(fēng)險(xiǎn)評(píng)估的發(fā)現(xiàn)來(lái)識(shí)別需要采取的措施并以某種方式滿足組織的業(yè)務(wù)連續(xù)性目標(biāo)。該措施可能在中斷事件之前、之中和之后都需要。業(yè)務(wù)連續(xù)性策略應(yīng)該包括：應(yīng)急組織架構(gòu)決策與授權(quán)策略、業(yè)務(wù)恢復(fù)策略、數(shù)據(jù)恢復(fù)策略、系統(tǒng)恢復(fù)策略和危機(jī)溝通策略等所有的方面。

2.4 業(yè)務(wù)連續(xù)性計(jì)劃

組織應(yīng)建立響應(yīng)中斷事件以及如何在預(yù)定的時(shí)間內(nèi)繼續(xù)或恢復(fù)活動(dòng)的文件化程序。此程序應(yīng)能針對(duì)使用者提出要求。這就是業(yè)務(wù)連續(xù)性計(jì)劃，業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)該涵蓋中斷事件的應(yīng)急響應(yīng)、危機(jī)溝通、資源恢復(fù)、業(yè)務(wù)恢復(fù)、重建和返回等整個(gè)過(guò)程，其中包含了事先制定的一系列預(yù)案、措施、程序或作業(yè)手冊(cè)等。

2.5 演練和測(cè)試

演練和測(cè)試的目的在于保證組織的業(yè)務(wù)連續(xù)性程序符合其既定的目標(biāo)。

綜上所述，業(yè)務(wù)連續(xù)性管理的框架應(yīng)該是一個(gè)持續(xù)改進(jìn)的過(guò)程，如圖3所示。

圖3 業(yè)務(wù)連續(xù)性管理的框架

3 標(biāo)準(zhǔn)

目前發(fā)布的與業(yè)務(wù)連續(xù)性管理相關(guān)的金融行業(yè)標(biāo)準(zhǔn)如表2所示。

表2 與業(yè)務(wù)連續(xù)性管理相關(guān)的金融行業(yè)標(biāo)準(zhǔn)

JR/T 0044—2008發(fā)布于2008年2月13日，自2008年2月13日起實(shí)施。目前仍為現(xiàn)行標(biāo)準(zhǔn)。災(zāi)難恢復(fù)能力等級(jí)分為1～6級(jí)，6級(jí)最高，這是在GB/T 20988—2007《信息安全技術(shù) 信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》中已經(jīng)確定的。在JR/T 0044—2008中給出了更具體的RTO和RPO等參數(shù)要求。其架構(gòu)大致如圖4所示。

圖4 JR/T 0044—2008的框架

JR/T 0207—2021發(fā)布于2021年2月7日，自2021年2月7日起實(shí)施。在JR/T 0207—2021中，“多活”和“多地理節(jié)點(diǎn)并行工作能力”是同義詞，指的是信息系統(tǒng)利用兩個(gè)及以上多地理節(jié)點(diǎn)部署的信息系統(tǒng)協(xié)同工作，實(shí)現(xiàn)業(yè)務(wù)并行多點(diǎn)接入、業(yè)務(wù)并行多點(diǎn)處理、數(shù)據(jù)并行多點(diǎn)存儲(chǔ)的能力。當(dāng)部分地理節(jié)點(diǎn)的信息系統(tǒng)發(fā)生災(zāi)難或故障時(shí)，只有部分業(yè)務(wù)受到影響，并且部署于其他地理節(jié)點(diǎn)的信息系統(tǒng)可以及時(shí)完成業(yè)務(wù)接管。JR/T 0208—2021發(fā)布于2021年2月7日，自2021年2月7日起實(shí)施。金融信息系統(tǒng)多活技術(shù)屬于災(zāi)難備份的范疇，而災(zāi)難備份本身是網(wǎng)絡(luò)安全/信息安全的控制域。JR/T 0209—2021發(fā)布于2021年2月7日，自2021年2月7日起實(shí)施。JR/T 0209—2021結(jié)合多活技術(shù)的特性和金融信息系統(tǒng)的功能，將信息系統(tǒng)的應(yīng)用場(chǎng)景分為流水型系統(tǒng)、賬戶型系統(tǒng)、計(jì)算型系統(tǒng)和查詢型系統(tǒng)。對(duì)于不同應(yīng)用場(chǎng)景多活技術(shù)的應(yīng)用效果和應(yīng)用策略存在差異，據(jù)此，JR/T 0209—2021中分別進(jìn)行了描述。JR/T 0207—2021、JR/T 0208—2021和JR/T 0209—2021是系列標(biāo)準(zhǔn)。

4 小結(jié)

業(yè)務(wù)連續(xù)性管理與信息安全聯(lián)系緊密，信息系統(tǒng)的業(yè)務(wù)連續(xù)性往往是業(yè)務(wù)連續(xù)性的前提，就框架而言，兩者也基本是一致的。例如，無(wú)論是ISO/IEC 27001:2013還是ISO 22301:2019，都以PDCA為框架，因此存在良好的整合基礎(chǔ)。組織在部署過(guò)程中，應(yīng)該盡量將諸多管理系統(tǒng)整合在一起。