“BCM”(业务持续管理)发展应用初探

“BCM”(业务持续管理)发展应用初探 摘要　网络与信息安全、灾难与危机事件预警机制、业务持续(BCM)，已成为信息产业界极为关注的话题。我国“BCM”系统和标准正处于引进和发展的初级阶段。本文将对“BCM”特点、业务以及应用方面进行描述，并探讨我国“BCM”的发展策略。最后指出在BCM的产品和业务处于起步的阶段，除了需要国家有关部门从政策法规层面积极引导以外，业界权威机构应专注业务开展的核心能力和根据自己的竞争地位、业务产品生命周期开展相应的策略，积极促进国家信息化顺利发展。 关键词　业务持续管理　容灾　存储　策略 O、引言 BCM(业务持续管理)作为一个相对比较新的概念，在我国相关工作才刚刚起步，国家和企业界都已经认识到“BCM”的重要性而引起了相当的重视。 近些年来发生的一些事件，除了广为大家熟悉的2001年美国“9.11”事件，2003年“SARS”事件，2004年12月26日印度洋大海啸，2003年8月14日美加大停电事件等，及2005年已成为有以来飓风活动最严重的年份之一，今年的两场飓风“丹尼斯”和“埃米莉”达到了五级风速标准中的第四级，席卷美国加勒比海地区；8月25日在美国东部地区登陆的“卡特里娜”飓风导致佛罗里达州140万所住宅和商用设施停电，“卡特里娜”飓风已造成相当于10亿至20亿美元的损失。每一次都是惨痛的教训，都给有关国家和企业带来了巨大的损失，甚至使有些企业遭到灭顶之灾，对整个国际社会造成剧烈震荡。 “BCM”(业务持续管理)是一个能够识别来自威胁潜在影响的管理过程，而不单单是危机管理、风险控制、灾难恢复或者技术恢复。它不是一个专门的学科，而是由业务自身驱动的一个综合学科。 是否拥有BCP计划(业务持续计划)、是否引入BCM机制(业务持续管理)，已经成为发达国家的政府机构与企业界选择合作伙伴的一个必要条件。相比之下，我国的政府部门和企业界基本都尚未建立统一的BCP计划和BCM机制，面对竞争激烈的市场、风云变换的外部环境，面对越来越多足以关系企业生死存亡的危机事件，我国的政府和企业界如何构建有效应对的BCM体系?又如何借鉴国外不断完善的BCM，建立我国本土的BCM标准、培养国内的BCM专业人才?面对纷繁复杂的企业应用，我们的企业界又如何研发推广行之有效的BCM解决，保驾护航中国信息化建设?以上种种，正是本文所要回答的问题，本文还就“BCM”在我国的发展战略提出了一些策略性的建议。 1、“BCM”特点介绍 (1)“BCM”概念的引入 由业务自身驱动而逐渐发展起来的“容灾”系统经过“质”的飞跃而形成，发展为经过实践检验行之有效的规则——业务持续管理(Business Continuity Management简称BCM)。 (2)“BCM”的定义与范围 “BCM”是一个能够识别威胁一个企业潜在影响的整体管理过程，并提供建立一个弹性企业的框架和有效响应的能力来保护企业股东的利益、企业的名誉、品牌和创造的价值。BCM对于企业增强它对于业务中断、损失的恢复力的提供了战略和操作层面的框架。英国的业务持续协会(BCI)定义了一个BCM的范围，如图1所示。 图1 BCM不单单是灾难恢复、危机管理、风险控制或者技术恢复，它不是一个专门的学科，而是由业务自身驱动的综合学科。其中设施管理、供应链管理、质量管理、健康和人身安全都是人们比较熟悉的传统企业管理的重要方面，单独来看每一个学科都是独立的，但从全面的、整体的企业业务持续过程来看，它们都是必不可少的元素和组成部分。BCM所涉及的范围不仅仅限于上面所列出的而且还有风险管理、灾难恢复、紧急时间管理、安全管理、知识管理、危机通信和公共关系这十个学科，其核心是保障企业业务持续运行。因此，任何与此有关的领域都可以成为其组成部分。所以说，BCM是一个开放的架构。 (3)“BCM”的发展：从存储到业务持续管理 (A)BCM的基础是存储，但是存储≠BCM 数据存储主要是对信息系统数据进行有效的保存和管理，通过数据备份、数据迁移、数据恢复、远程容灾等技术以保证数据安全，并提高数据的可用性。 “BCM”是一套综合管理体系，它着眼于对各种潜在灾难和危险进行分析，并建立一套完善的业务持续计划(BCP)来防止或减少灾难事件给企业带来的损失。 存储≠BCM 很明显的，不论是从理论上，还是实践中，都可见存储显然不等同于BCM。很多企业或组织机构往往只注重基础构架的建设，而忽略了对基础架构的管理和应用。其实，仅仅完成了存储系统的建设是不够的，还需要有全面的业务持续管理体系，才能真正做到防患于未然。 (B)建立完整的BCM体系的重要意义 存储技术是实现灾难恢复的重要基础。灾难恢复构成BCM的一部分，也是BCM基础构架建设的一部分。没有完善的数据存储系统，灾难恢复是无法实现的。 然而，存储系统只是手段，而不是目的。当灾难发生以后，企业或组织不但需要通过存储系统实现重要数据的恢复，还需要使其它各方面，如人员、供应链、通信系统等都得到恢复，只有这样，才能保证企业的业务得以持续。这也正是存储于BCM的辨证关系之所在。 (C)当今世界的发展趋势和先进做法 当前世界所面临的风险有恐怖袭击、黑客、网络侵袭、电脑病毒、自然灾害、大规模停电、罢工、环保、市场恶性竞争、企业倒闭等等。从世界各国的事例表明，传统的业务管理方法及流程，在遭遇灾难事件时常常不堪一击，甚至可能随时崩溃。但是在灾难尚未降临之前，人们的警惕性都不高，仍没有看到BCM的重要性。庆幸的是，越来越多深受灾难事件影响的企业和机构已开始认识到，只有通过更加切实的手段，借助更便捷的信息技术，构建真正有效应对危机事件的管理体系，并且使管理科学化、手段现代化，才能保证业务的连续运行，才能保证各类应用系统和数据的完整性。时至今日，BCM已成为应对危机事件的国际通用规则。 BCM标准之所以重要的原因，是因为它将建立基础和共识，为企业经营者建立一个准则，以保证在灾难情形下他们仍然可以继续提供他们的服务。具有竞争力及生命力旺盛的企业，能够促进国家和社会的发展；树立国家在国际上的形象，使得投资者对国家备具信心；可以提高竞争力，增强企业生命力，有利于企业与国际接轨，造福消费者。这就是：“对潜在的灾难危险加以辨别并进行分析，确定其对企业运作造成的威胁，并建立一个完善的持续管理计划来防止或减少灾难事件给企业带来的损失。” 2、BCM业务描述与分析 (1)BCM的内涵 BCM不是一个专门的学科，而是由业务自身驱动的综合学科。其中设施管理、供应链管理、质量管理、健康和人身安全都是人们比较熟悉的传统企业管理的重要方面，单独来看每一个学科都是独立的，但从全面的、整体的企业业务持续过程来看，它们都是必不可少的元素和组成部分。 风险管理　侧重于识别企业所面临的潜在的威胁，及这些威胁所造成的影响和损失，以及相应的在可接受范围内的预防控制措施； 灾难恢复　侧重于当发生各种因素引起的灾难性事件，造成业务中断后如何进行业务恢复和业务重建的过程； 紧急事件管理　侧重于面对影响企业业务发展和运营的突发事件和危机如何进行应急响应和处理的策略、方法及流程； 安全管理　主要是指对信息资产的管理，涉及物理环境、访问控制、系统开发、操作运行等十个方面(详见IS017799)； 知识管理　是知识创造、储存/再利用、移转与应用知识的流程，是对知识资产进行系统管理、有序配置和利用组织智力或知识资产创造价值的方法； 危机通信和公共关系　侧重于当发生灾难或突发性事件时如何保持企业对内对外通信联络保障，以及和诸如政府、媒体、运营商等公共关系的协调； BCM是一个开放的架构。其发展绝不会局限于以上十个学科，为了保证BCM的实施质量，应该使用多层次的监管机制，使得BCM项目具有客观准确性，实现其实际意义上的与世界接轨。 (2)BCM管理过程和生命周期 BCM是一个一体化的管理过程，是一个动态性的、前瞻性的、实时进行的过程，它必须根据情况适时更新并保持有效。 第一阶段：明确本企业的内涵 明确业务目标，识别关键业务流程，以及业务流程得以实现的关键因素；确定可以接受的损失范围，关键业务恢复的优先顺序以及恢复时间目标。 第二阶段：制定业务持续策略 确定指导备用业务恢复运行的策略，即组织BCM策略、过程层面BCM策略、资源恢复BCM策略等三个层次的业务持续策略。 第三阶段：规划并执行业务持续计划 确定业务持续计划制定的需求，规划和实施一系列的业务连续性计划，要根据具体情况因地制宜开发，其核心都是有效的保障业务持续运行。 第四阶段：建立形成企业BCM文化 确定意识培养和培训的目标，建立对机构人员进行意识培养和技能培训的项目，以便业务连续性计划能够得到制定、实施、维护和执行。 第五阶段：计划评估、演练和维护 对预先计划和计划间的协调性进行演练、并评估和记录计划演练的结果，制定维持持续能力和BCM文档更新状态的方法使其与机构的策略方向保持一致。通过与适当标准的评估来验证BCM的效率，为真正实施BCM项目管理扫清障碍。 第六阶段：实施BCM项目管理与再评估 确定业务连续管理过程的需求，制定BCM项目计划和预算，协调和组织管理BCM项目和整体BCM过程，确定对BCM过程进行持续管理和审计的需求和方法，BCM项目管理贯穿于整个BCM过程。 BCM是一个一体化的管理过程，更是一个动态性的过程，它必须根据情况适时更新并保持有效。所以管理过程更是一个再评估、再修正的循环往复的过程。BCM管理过程和生命周期图示见图2。 图2 3、“BCM”应用 (1)BCM的应用 “BCM”最初是针对企业有效保障业务持续运行而开发的，但是BCM的方法论和思想不仅仅限于企业，对于一个城市乃至一个国家同样适用。 在国家层面上也许不曾听说过“BCM”这个词汇，但经常会听到“可持续发展战略”这个概念。如果把一个国家类比成一个超大型的企业，“可持续发展战略”的核心思想与BCM是一致的。在地区政府这个层面上，我们业务经常会听到“XX应急预案”，“应急预案”是BCM的组成部分，城市整体实现BCM，不仅能够提高城市的抗毁能力，同时也能提高市民和外来投资商对整个城市的信心。事实已经证明，BCM已经成为企业应对危机事件的国际通行规则。 总之，BCM作为一个好的业务实践和整体管理一部分已经得到广泛的认可，BCM体现的是战略维度而不仅局限于操作层面。如何识别潜在的风险，如何面对灾难和突发事件，如何有效的管理危机，如何降低灾难对业务的影响，如何快速有效的恢复业务，这些问题都在BCM中找到了答案。 4、“BCM”发展策略 (1)实施“BCM”势在必行 信息技术给人类社会发展带来巨大益处，但它也有着脆弱不堪的一面。世界各国政府和企业都深切体会到灾难事件对国民经济产生的重大冲击。相反，那些引入了BCP、BCM的企业和机构却可以把灾难造成的影响降到最低。