謝宗曉 甄杰 董坤祥

1 概述

業(yè)務連續(xù)性管理是信息安全很重要的一部分，在金融行業(yè)中尤為明顯。本質而言，業(yè)務連續(xù)性管理是區(qū)別于信息安全的一個領域，但在實踐中，又經(jīng)常將業(yè)務連續(xù)性作為信息安全的一個控制域處理，如GB/T 22080—2016 / ISO/IEC 27001：2013《信息技術 安全技術 信息安全管理體系 要求》A.17中所指出的那樣，“業(yè)務連續(xù)性管理的信息安全方面”。這一點在國際標準化組織（ISO）的標準開發(fā)分類中也能看出來。例如，業(yè)務連續(xù)性的兩個基礎標準，都是ISO/TC 292（Security and Resilience）所發(fā)布的，如表1所示。

2 框架

幾乎所有的業(yè)務連續(xù)性規(guī)范或標準都是以2003年發(fā)布的“DRII1）最佳實踐”為基礎。

商業(yè)銀行業(yè)務連續(xù)性管理 并非一勞永逸的狀態(tài)，而是一個動態(tài)的過程。由于是動態(tài)的過程，意味著需要持續(xù)改進，因此，適用于PDCA2）通用過程模型。ISO 22301和ISO 22313的本質是在“DRII最佳實踐”的基礎上加了一個PDCA框架，PDCA是一個通用方法論，對具體的控制起提綱挈領的作用。

對于商業(yè)銀行而言，要特別注意，《商業(yè)銀行業(yè)務連續(xù)性監(jiān)管指引》（銀監(jiān)發(fā)〔2011〕104號），該文件與推薦性標準的不同在于，其中規(guī)定了諸多硬性的指標，例如，第四十九條：商業(yè)銀行應當至少每三年對全部重要業(yè)務開展一次業(yè)務連續(xù)性計劃演練。在重大業(yè)務活動、重大社會活動等關鍵時點或在關鍵資源發(fā)生重大變化之前也應當開展業(yè)務連續(xù)性計劃的專項演練。業(yè)務連續(xù)性管理的框架大致如下。

2.1 業(yè)務影響分析

業(yè)務影響分析通俗而言就是業(yè)務連續(xù)性管理的需求分析階段，是商業(yè)銀行對其自身業(yè)務連續(xù)性的需求評估。其大致過程如圖1所示。

恢復點目標（recovery point objective，RPO）是指為使活動能夠恢復進行，而必須將該活動所用的信息恢復到某時間點?；謴蜁r間目標（recovery time objective，RTO）事件發(fā)生后下列活動完成之間的時間段：產(chǎn)品或服務必須恢復，或資源必須恢復，或資源必須復原。RPO和RTO示意圖，如圖2所示。

2.2 風險評估

業(yè)務連續(xù)性的風險評估，在方法上與通用的風險評估是一致的。區(qū)別在于評估的重點是業(yè)務連續(xù)性所需的關鍵資源。

2.3 業(yè)務連續(xù)性策略

此處的策略英文原文為strategy，而不是policy。確定業(yè)務連續(xù)性策略就是從BIA和風險評估的發(fā)現(xiàn)來識別需要采取的措施并以某種方式滿足組織的業(yè)務連續(xù)性目標。該措施可能在中斷事件之前、之中和之后都需要。業(yè)務連續(xù)性策略應該包括：應急組織架構決策與授權策略、業(yè)務恢復策略、數(shù)據(jù)恢復策略、系統(tǒng)恢復策略和危機溝通策略等所有的方面。

2.4 業(yè)務連續(xù)性計劃

組織應建立響應中斷事件以及如何在預定的時間內繼續(xù)或恢復活動的文件化程序。此程序應能針對使用者提出要求。這就是業(yè)務連續(xù)性計劃，業(yè)務連續(xù)性計劃應該涵蓋中斷事件的應急響應、危機溝通、資源恢復、業(yè)務恢復、重建和返回等整個過程[1]，其中包含了事先制定的一系列預案、措施、程序或作業(yè)手冊等。

2.5 演練和測試

演練和測試的目的在于保證組織的業(yè)務連續(xù)性程序符合其既定的目標。

綜上所述，業(yè)務連續(xù)性管理的框架應該是一個持續(xù)改進的過程，如圖3所示。

3 標準

目前發(fā)布的與業(yè)務連續(xù)性管理相關的金融行業(yè)標準如表2所示。

JR/T 0044—2008發(fā)布于2008年2月13日，自2008年2月13日起實施。目前仍為現(xiàn)行標準。災難恢復能力等級分為1～6級，6級最高，這是在GB/T 20988—2007《信息安全技術 信息系統(tǒng)災難恢復規(guī)范》中已經(jīng)確定的。在JR/T 0044—2008中給出了更具體的RTO和RPO等參數(shù)要求。其架構大致如圖4所示。

JR/T 0207—2021發(fā)布于2021年2月7日，自2021年2月7日起實施。在JR/T 0207—2021中，“多活”和“多地理節(jié)點并行工作能力”是同義詞，指的是信息系統(tǒng)利用兩個及以上多地理節(jié)點部署的信息系統(tǒng)協(xié)同工作，實現(xiàn)業(yè)務并行多點接入、業(yè)務并行多點處理、數(shù)據(jù)并行多點存儲的能力。當部分地理節(jié)點的信息系統(tǒng)發(fā)生災難或故障時，只有部分業(yè)務受到影響，并且部署于其他地理節(jié)點的信息系統(tǒng)可以及時完成業(yè)務接管。JR/T 0208—2021發(fā)布于2021年2月7日，自2021年2月7日起實施。金融信息系統(tǒng)多活技術屬于災難備份的范疇，而災難備份本身是網(wǎng)絡安全/信息安全的控制域。JR/T 0209—2021發(fā)布于2021年2月7日，自2021年2月7日起實施。JR/T 0209—2021結合多活技術的特性和金融信息系統(tǒng)的功能，將信息系統(tǒng)的應用場景分為流水型系統(tǒng)、賬戶型系統(tǒng)、計算型系統(tǒng)和查詢型系統(tǒng)。對于不同應用場景多活技術的應用效果和應用策略存在差異，據(jù)此，JR/T 0209—2021中分別進行了描述。JR/T 0207—2021、JR/T 0208—2021和JR/T 0209—2021是系列標準。

JR/T 0205—2020發(fā)布于2020年10月21日，自2020年10月21日起實施。JR/T 0205—2020是以GB/T 20988—2007和JR/T 0044—2008為基礎，同時考慮了GB/T 22240—2008《信息安全技術 信息系統(tǒng)安全等級保護定級指南》3）和GB/T 30146—2013《公共安全 業(yè)務連續(xù)性管理體系 要求》等更框架的要求。JR/T 0205—2020和JR/T 0204—2020《分布式數(shù)據(jù)庫技術金融應用規(guī)范 安全技術要求》是系列標準，兩者均以JR/T 0203—2020《分布式數(shù)據(jù)庫技術金融應用規(guī)范 技術架構》為基礎。

4 小結

業(yè)務連續(xù)性管理與信息安全聯(lián)系緊密，信息系統(tǒng)的業(yè)務連續(xù)性往往是業(yè)務連續(xù)性的前提，就框架而言，兩者也基本是一致的。例如，無論是ISO/IEC 27001：2013還是ISO 22301：2019，都以PDCA為框架，因此存在良好的整合基礎。組織在部署過程中，應該盡量將諸多管理系統(tǒng)整合在一起。

參考文獻

[1] 張春林，陳小峰.商業(yè)銀行業(yè)務連續(xù)性管理[M]. 北京：機械工業(yè)出版社，2015.