业务连续性管理标准BCM-BS25999.pdf

业 务 连 续 性 管 理 标 准 BS25999 Ding Jin Song ISMS/ITMS/QMS Lead Auditor December 23, 2008 业务连续性的困境 1. 居安思危，思则有备，有备无患 《春秋左传 ·襄公十一年》 2. 灾难恢复是为高风险、小概率事件所准备的，灾难恢复系统建设投入 大、运行维护成本高 3. 灾难是低概率事件，在一般情况下，灾难备份资源处于闲置状态，但 当灾难来临时，若灾备中心不能正常发挥作用，将对单位和社会造成 巨大的影响。 2008年12月23日 一丁工作室 1DING.ORG 2 灾难的不同应对方式 汶川大地震中最牛的小学 汶川大地震中最牛的校长 北川希望小学 安县桑枣中学校长 叶志平 一流硬件设施 一流的应急管理 2008年12月23日 一丁工作室 1DING.ORG 3 什么是业务连续性？ • 业务连续性管理 business continuity management (BCM) 找出组织有潜在影响的威胁及其对组织业务运行的影响，通过有效的应 对措施来保护组织的利益、信誉、品牌和创造价值的活动，并为组织提 供建设恢复能力框架的整体管理过程。 注：业务连续性管理包括组织在面临灾难时对业务活动的恢复和连续性 的管理，以及为保证业务连续性的所进行的培训、演练和评审等整个方 案的管理。 2008年12月23日 一丁工作室 1DING.ORG 4 Business Continuity - Evolution 业务连续性发展历程 可用性计划 业务连续性计划 业务重续计划 灾难恢复计划 应急计划 业务和IT的恢 保证在复杂环 复以及业务影 境的持续可用 IT和业务的正 响分析/风险评 仅限于IT的恢 式重续计划 估/风险处理 非正式的数据 复计划 处理计划 1960s 1970s 1980s 1990s 2000s 被动的 主动的 2008年12月23日 一丁工作室 1DING.ORG 5 业务连续性管理体系标准BS25999 • BS25999-1 Code of Practice December 2006 • BS25999-2 Specification November 2007 2008年12月23日 一丁工作室 1DING.ORG 6 BS25999-2 规范 BS25999-2 规定以下要求: • 在组织整体业务风险范畴内建立、实施 、运行、监视和评审文件化的业务连续 性管理体系（BC