金融機構(gòu)業(yè)務連續(xù)性管理框架及其相關標準

謝宗曉（中國金融認證中心）

甄杰（重慶工商大學 管理科學與工程學院）

董坤祥（山東財經(jīng)大學 管理科學與工程學院）

1 概述

業(yè)務連續(xù)性管理是信息安全很重要的一部分，在金融行業(yè)中尤為明顯。本質(zhì)而言，業(yè)務連續(xù)性管理是區(qū)別于信息安全的一個領域，但在實踐中，又經(jīng)常將業(yè)務連續(xù)性作為信息安全的一個控制域處理，如 GB/T 22080—2016 / ISO/IEC 27001:2013《信息技術(shù) 安全技術(shù) 信息安全管理體系 要求》A.17中所指出的那樣，“業(yè)務連續(xù)性管理的信息安全方面”。這一點在國際標準化組織（ISO）的標準開發(fā)分類中也能看出來。例如，業(yè)務連續(xù)性的兩個基礎標準，都是ISO/TC 292（Security and Resilience）所發(fā)布的，如表1所示。

表1 關于業(yè)務連續(xù)性管理的2個重要國際標準

2 框架

對于商業(yè)銀行而言，要特別注意，《商業(yè)銀行業(yè)務連續(xù)性監(jiān)管指引》（銀監(jiān)發(fā)〔2011〕104號），該文件與推薦性標準的不同在于，其中規(guī)定了諸多硬性的指標，例如，第四十九條：商業(yè)銀行應當至少每三年對全部重要業(yè)務開展一次業(yè)務連續(xù)性計劃演練。在重大業(yè)務活動、重大社會活動等關鍵時點或在關鍵資源發(fā)生重大變化之前也應當開展業(yè)務連續(xù)性計劃的專項演練。業(yè)務連續(xù)性管理的框架大致如下。

2.1 業(yè)務影響分析

業(yè)務影響分析通俗而言就是業(yè)務連續(xù)性管理的需求分析階段，是商業(yè)銀行對其自身業(yè)務連續(xù)性的需求評估。其大致過程如圖1所示。

圖1 業(yè)務影響分析

恢復點目標（recovery point objective，RPO）是指為使活動能夠恢復進行，而必須將該活動所用的信息恢復到某時間點?；謴蜁r間目標（recovery time objective，RTO）事件發(fā)生后下列活動完成之間的時間段：產(chǎn)品或服務必須恢復，或資源必須恢復，或資源必須復原。RPO和RTO示意圖，如圖2所示。

圖2 RPO和RTO示意圖

2.2 風險評估

業(yè)務連續(xù)性的風險評估，在方法上與通用的風險評估是一致的。區(qū)別在于評估的重點是業(yè)務連續(xù)性所需的關鍵資源。

2.3 業(yè)務連續(xù)性策略

此處的策略英文原文為strategy，而不是policy。確定業(yè)務連續(xù)性策略就是從BIA和風險評估的發(fā)現(xiàn)來識別需要采取的措施并以某種方式滿足組織的業(yè)務連續(xù)性目標。該措施可能在中斷事件之前、之中和之后都需要。業(yè)務連續(xù)性策略應該包括：應急組織架構(gòu)決策與授權(quán)策略、業(yè)務恢復策略、數(shù)據(jù)恢復策略、系統(tǒng)恢復策略和危機溝通策略等所有的方面。

2.4 業(yè)務連續(xù)性計劃

組織應建立響應中斷事件以及如何在預定的時間內(nèi)繼續(xù)或恢復活動的文件化程序。此程序應能針對使用者提出要求。這就是業(yè)務連續(xù)性計劃，業(yè)務連續(xù)性計劃應該涵蓋中斷事件的應急響應、危機溝通、資源恢復、業(yè)務恢復、重建和返回等整個過程，其中包含了事先制定的一系列預案、措施、程序或作業(yè)手冊等。

2.5 演練和測試

演練和測試的目的在于保證組織的業(yè)務連續(xù)性程序符合其既定的目標。

綜上所述，業(yè)務連續(xù)性管理的框架應該是一個持續(xù)改進的過程，如圖3所示。

圖3 業(yè)務連續(xù)性管理的框架

3 標準

目前發(fā)布的與業(yè)務連續(xù)性管理相關的金融行業(yè)標準如表2所示。

表2 與業(yè)務連續(xù)性管理相關的金融行業(yè)標準

JR/T 0044—2008發(fā)布于2008年2月13日，自2008年2月13日起實施。目前仍為現(xiàn)行標準。災難恢復能力等級分為1～6級，6級最高，這是在GB/T 20988—2007《信息安全技術(shù) 信息系統(tǒng)災難恢復規(guī)范》中已經(jīng)確定的。在JR/T 0044—2008中給出了更具體的RTO和RPO等參數(shù)要求。其架構(gòu)大致如圖4所示。

圖4 JR/T 0044—2008的框架

JR/T 0207—2021發(fā)布于2021年2月7日，自2021年2月7日起實施。在JR/T 0207—2021中，“多活”和“多地理節(jié)點并行工作能力”是同義詞，指的是信息系統(tǒng)利用兩個及以上多地理節(jié)點部署的信息系統(tǒng)協(xié)同工作，實現(xiàn)業(yè)務并行多點接入、業(yè)務并行多點處理、數(shù)據(jù)并行多點存儲的能力。當部分地理節(jié)點的信息系統(tǒng)發(fā)生災難或故障時，只有部分業(yè)務受到影響，并且部署于其他地理節(jié)點的信息系統(tǒng)可以及時完成業(yè)務接管。JR/T 0208—2021發(fā)布于2021年2月7日，自2021年2月7日起實施。金融信息系統(tǒng)多活技術(shù)屬于災難備份的范疇，而災難備份本身是網(wǎng)絡安全/信息安全的控制域。JR/T 0209—2021發(fā)布于2021年2月7日，自2021年2月7日起實施。JR/T 0209—2021結(jié)合多活技術(shù)的特性和金融信息系統(tǒng)的功能，將信息系統(tǒng)的應用場景分為流水型系統(tǒng)、賬戶型系統(tǒng)、計算型系統(tǒng)和查詢型系統(tǒng)。對于不同應用場景多活技術(shù)的應用效果和應用策略存在差異，據(jù)此，JR/T 0209—2021中分別進行了描述。JR/T 0207—2021、JR/T 0208—2021和JR/T 0209—2021是系列標準。

4 小結(jié)

業(yè)務連續(xù)性管理與信息安全聯(lián)系緊密，信息系統(tǒng)的業(yè)務連續(xù)性往往是業(yè)務連續(xù)性的前提，就框架而言，兩者也基本是一致的。例如，無論是ISO/IEC 27001:2013還是ISO 22301:2019，都以PDCA為框架，因此存在良好的整合基礎。組織在部署過程中，應該盡量將諸多管理系統(tǒng)整合在一起。