地震后的IT反思----业务连续性安全准备好了吗？———

刚刚过去的地震，给中国的企业运营敲响了大大的警钟！许多企业平日貌似强大的供应链管理体制、物流配送体系在灾难中失去了原有的运作能力，大量企业业务网络中断、IT系统瘫痪、崩溃、核心系统和数据遭受破坏，业务连续性安全（BC）面临挑战！


·采用"绿色IT"解决方案是巨大机会 ·IDC分析师剖析中国电信行业IT解决方案市场发展趋势—... ·地震后的IT反思 ·走入“第三方数据中心管理”的世界 ·IDC分析师观点：金融行业的业务变革将为PC厂商带来新... ·SAS 使用 Avocent 的端到端解决方案简化了全...		地震后的IT反思 ----业务连续性安全准备好了吗？
		刚刚过去的地震，给中国的企业运营敲响了大大的警钟！许多企业平日貌似强大的供应链管理体制、物流配送体系在灾难中失去了原有的运作能力，大量企业业务网络中断、IT系统瘫痪、崩溃、核心系统和数据遭受破坏，业务连续性安全（BC）面临挑战！
		灾难呼唤BC安全
		随着技术的发展，我国企业运营越来越依赖于IT系统的稳定高效运行，信息化已成为企业的核心竞争力。然而面对越来越多的突如其来的地震、雪灾、风灾等重大灾难，我国多数企业缺少业务连续性安全保障，没有系统的数据备份与恢复计划体系，给依赖IT系统运行的企业带来重大打击。
		目前，针对此类地震之类破坏性极强的自然灾害，无论是各国政府机构，还是各行业企业，都必须进行充分的数据备份和恢复准备并为此建立强大业务连续性安全体系。
		业务连续性备援服务起源于二十世纪七十年代，目前在发达国家已成为信息工业中主要动力和增长最快的行业之一。其主要行业应用是：在政府或企业的信息数据中心遭遇自然灾难或人为侵害时，启用同城或异地建立的备份数据中心提供不间断的数据信息服务，从而保证政府或企业的业务连续性安全。在政府、金融、电信、交通、能源、公共服务业、大型制造业、零售业等信息化依存程度高的行业，业务连续性建设极其广泛。特别是在震惊世界的美国“9.11”恐怖事件发生以后，业务连续性安全成为全球性的信息化课题。
		美国“911”事件的发生后世贸大厦中各公司业务系统的快速恢复就是依赖于他们已有的数据备份中心，通过业务连续性安全体系，在灾难发生后的第3天，受到影响的金融机构的骨干网和城域网就得到了全面恢复，紧接着像J.P.Morgan、沃尔玛等大型的投资银行、商业企业马上就恢复业务的日常运营。
		巨大的差距
		勿庸讳言，在数据灾难恢复的应急预案制定和业务连续性安全体系建立方面，我国企业与国外发达国家相比，还存有较大的差距。
		第一，目前我国企业安全体系基础薄弱，许多企业重要信息系统还没有建立基本的灾难备份系统，不具备灾难恢复能力，尤其是广大县乡一线企业仍是传统手工管理模式，应付各种天灾人祸，IT系统显得十分脆弱。
		第二，我国大多数企业数据安全备份只能做到总部、一二级城市零售网点，解决了总数据中心的业务连续性安全。但是，多数国内企业还没有把IT系统做到三四级城市及县乡一级，比如没有一家银行做了三四级城乡的整体灾难恢复预案和业务连续性建设。而在国外，很多零售业都已经做到了三四级网点的灾难备份与安全恢复，甚至美国零售业还实现了“村村通”。
		第三，在总数据中心业务连续性建设过程中，多数企业（如银行、零售业等行业）只备份了支付、结算等少部分核心业务系统，还有许多业务系统没有备份，如CRM、ERP等。就算IT系统可以很快恢复，也没有办法有效全面及时对外提供服务。而国外发达国家很多金融、零售业、制造业已经从IT方面转向业务方面，甚至有的企业IT系统已经开始进入扮演支持公司治理、可持续发展的阶段。
		第四，多数企业重数据备份轻业务连续性安全，这是需要纠正的。数据备份是基础，业务连续性安全则是目标，对企业生死攸关，没有保持灾后强大的数据业务连续运营能力，企业就难重新较快运营。
		第五，业务连续性安全法规和标准尚不完善，缺乏统一的规划和部署，存在盲目建设和发展的倾向。这在传统的制造、零售业似乎表现更为明显。
		建立安全体系
		风云变化万千，只有未雨绸缪才能坦然应对IT危机。而IT危机管理的最好办法就是建立起IT危机管理预警机制，比如明确定义IT危机管理员的角色、职责和权限，识别IT危机类型和反应对策程序，以及IT危机管理编算计划所需的资源，加大资金、人力和物力的投入等。
		关键的重点是要事先制定建立各级IT危机应对计划与体系，主要是业务连续性安全恢复计划和备援支持计划，具体步骤如下：
		第一，制定业务连续性安全架构。提高重视预警程度、级别，进行业务连续性安全管理概念的认知和培训，尤其是需要企业高层领导参加和制订整体的灾备、业务连续性管理策略和目标，确定实施的具体组织架构。
		第二，需求分析和策略制定。主要是通过各种主客观的安全风险分析和业务影响分析，确定灾难恢复及业务连续性的方向、需求。风险分析是认识并分析各种潜在危险，确定可能造成零售业务中断的灾难和事故可能造成的损失。依据分析结果，制定IT的灾难备份及应对运营方案和业务的灾难恢复策略。
		第三，信息系统安全备份方案的实施。包括备份中心的建设、IT系统灾难备份的建立等。目前灾难数据备份的方法主要有：文件备份、服务器主动式备份、系统复制、跨平台备份、SQL数据库备份、分级式存储管理、远程备份。备份的最好解决方案是具有“容灾”性能的远程备份解决方案。企业必须及早规划、建立灾难应急数据备份系统，尤其是长距离异地的灾备，因为灾难发生在同城居多。
		第四，制定业务连续性安全预案。包括应急响应预案、危机公关和通信的流程、IT部门的灾难恢复预案及业务部门的灾难恢复预案等。数据的安全与业务连续性对企业生死攸关，做好灾备后就要从加强业务连续能力入手，以从灾难中快速恢复，重新开始运营工作。
		第五，建立业务连续性日常工作管理制度。主要包括设立业务连续日常维护的组织架构，明确职责分工到位，确定涉及IT部门和业务部门的各项管理流程，以便灾难发生前后迅速全员启动。
		第六，测试演练和培训推广。为了防备数据丢失，除了要做好详细的业务连续性安全计划，企业还应定期进行不同范围不同形式的灾难演练，检验所生成的灾难恢复和灾难恢复备份以及持续运营保障能力是否可靠有效。
		这里必须着重指出的是，业务连续性安全体系应有计划尽早全面延伸、普及到三四级城乡经营网点，不能只顾大不顾小，首尾不相连，否则最终将是得不偿失。
		另外，针对目前国内中小企业的资金、规模有限，可以通过第三方的外包服务来完成数据灾备、业务连续性安全建设的工作。特别是针对数据安全而言，选择第三方服务已经成为一个非常重要的发展趋势。外包数据安全业务为国内企业广泛实施提供了一条切实可行的道路。
		总的来看，要成功降低灾后损失，IT建设必须当关，企业IT系统必须“提速增效”，建立强大的业务连续性安全体系刻不容缓。从年初南方雪灾的灾后重建就可以看出，信息化重建工作是重中之重。因此企业要建立强大的突发灾难事件应急中心，加速技术创新与融合，强化基础网络和信息资源的建设和共享，及早制定应急安全体系，全面提高企业信息化水平，才能夺取灾后重建的全面胜利。
		建立业务连续性安全体系的要点
		第一，制定业务连续性安全架构。第二，需求分析和策略制定。第三，信息系统安全备份方案的实施。第四，制定业务连续性安全预案。第五，建立业务连续性日常工作管理制度第六，测试演练和培训推广。