ＢＣＭ抵御灾难的有效管理方法 为了有效抵御网络黑客攻击可以采用

　　目前我国大多数企业在遇到突发事件时，通常的做法是启动相关的应急预案，通过应急管理对其事件实施预警、处置和恢复。它所关注的重点是员工的人身安全和企业的资产等。而突发事件对企业的冲击所造成的业务中断，并由此引发企业业务运营不能恢复，甚至最终导致企业倒闭，不是应急管理所要涉及的范围。
　　业务持续管理(Business Continuity Management，BCM)是在一个更高的层面上考虑，在应对突发事件时，除了保全人身安全和资产外，还要求企业运行的关键业务的中断时间不能超过企业所能承受的时间限度，即要求业务可持续。由此可以理解，业务持续管理与应急管理在防范和抵御灾难的目的虽然是一致的，但目标定位却有所不同。从某种程度上讲，业务持续管理涵盖了应急管理的部分内容。
　　在5.12汶川地震中，桑枣中学就是一个朴实运用BCM应对灾难的典型案例。校长叶志平在震前为学校抵御灾难做了关键的四件事情：
　　第一，对教学楼进行调查分析，认为是一个危楼，于是他筹资43万元对危楼进行了加固。
　　第二，编写《安县桑枣学校安全工作必读》，对全校师生进行了全员的防灾安全教育。
　　第三，针对灾害来临时，制订了全体师生的防范措施和撤离路线。
　　第四，每年进行1-2次，全体师生的疏散演练。
　　在5.12汶川地震发生时，学校2300多名师生无一人伤亡，毫发无损，校舍仍巍然挺立。不难看到，学校仅仅投入了43万元，确保全了2300名师生的生命，产生了如此巨大的回报效应，此举是多么难能可贵，值得我们学习、总结和思考。桑枣中学的叶志平校长，可能并不知道什么是BCM，然而他为教学楼防灾采取的四项措施，正是很好地运用了BCM的理念和方法。它也从另一个侧面反映和证实了，一个对IT依赖不强的机构同样可以运用BCM应对灾难，并收到很好的效果。
　　
　　灾难提升了BCM
　　
　　BCM与灾难有不解之缘。从某种意义上讲，是灾难唤起了人们对BCM的关注，是灾难提升了BCM的价值，是灾难推动了BCM的发展。
　　关于灾难，目前尚无一个明确的说法，但诸如地震、雨雪冰冻、洪水、飓风等自然灾害，疾病、疫情、恐怖主义事件、战争、网络攻击、设备故障及人为破坏等均属灾难的范畴。对于一个企业而言，灾难可定义为一个突发的、非计划的，能够导致重大伤害或损失的严重不幸事件。
　　例如，造成企业某部分不能在预定的时间内提供关键业务的事件。还可以认为，一个对信息系统依赖很深的企业，如金融、交通、电力、通信等行业，由于IT基础设施的中断所导致的企业业务流程的非计划性中断，也可认为是灾难。
　　众所周知的“9.11”事件，排除它对美国造成的社会、政治和经济影响之外，仅对于在世贸中心以及曼哈顿的企业来谈，一部分企业从此消失，上千家企业受到了不同程度的损失和影响，上万人失去工作。
　　根据IDC统计，美国在近10年间遭遇过灾难事件的公司中，因为数据丢失造成业务无法持续，使55％的公司马上倒闭，另有29％的公司在两年之内停业。另据Gartner Group统计，在经历大型灾难事件而导致系统停运的公司中，有2/5左右的公司再也没有恢复运营，剩下的公司中也有接近1/3在两年内破产。
　　从世界各国的事例表明，传统的业务管理方法及流程，在遭遇灾难事件时常常不堪一击，甚至可能随时崩溃。一般在灾难尚未降临之前，人们的警觉性都不高，没有看到BCM的重要性。
　　值得庆幸的是，越来越多深受灾难事件影响的企业和机构已开始认识到，只有通过更加切实的手段，借助更便捷的信息技术，构建真正有效应对危机事件的管理体系，并且使管理科学化、手段现代化，才能保证各类应用系统和数据的完整性、可用性，从而确保业务的持续运行。早在上世纪九十年代，为应对灾难事件的发生由英国的业务持续协会和美国的灾难恢复协会开发的一套业务持续管理方法，即BCM。
　　一些企业由于采用了BCM机制，制定了业务持续计划(BCP，Business Continuity Plan)和实施灾难恢复计划(DRP，DisasterRecovery Plan)使他们在灾难中安全渡过了危机，使损失降低到最小程度。在“9.11”事件中，摩根斯坦利、德意志银行、纽约交易所(NYBOT)等成功运用了BCM机制，在灾难后的第一时间便在异地恢复了营业，此举令世人刮目相看，从此极大地提升了他们的信誉、形象和竞争力。
　　据了解，在我国南方雨雪冰冻的灾害中，有一家外资企业，由于它们具备了BCM的机制，在雪灾降临前，当他们获悉到气候变化的预警信息后，便启动了业务持续计划BCP，提前转移了风险，使企业在灾害中安然无恙，免受了灾害给企业带来的损失。BCM正是在上述一些企业得到成功应用范例下，特别是在“9.11”这一举世瞩目的背景之后有了迅速的发展。
　　
　　BCM理念及方法
　　
　　什么是BCM?BCM是一套一体化的(holistic)管理流程，通过这一流程可以识别那些威胁组织机构的潜在冲击，提供一个指导性框架来建立组织机构为有效应对冲击而必备的恢复能力，从而保护利益相关者的财产、组织机构的信誉和生产活动的持续。它提供了建立一个弹性企业的框架和有效响应能力来保护企业股东的利益、企业的名誉、品牌和创造的价值，还能够为企业增强它对于业务中断及恢复提供战略和操作层面的框架。
　　简言之，BCM涵盖了IT恢复、业务持续、供应链、安全、危机等。值得注意的是，BCM不是一项单一的技术，而是由业务自身驱动的综合技术、管理的系统工程。
　　BCM必须根据情况适时更新并保持有效。
　　其中项目管理，确定业务持续管理过程的需求，制定BCM项目计划和预算；制定BCM程序管理的有关规定、标准和指导方针，以对项目进行有效评估、控制和审计，使BCM项目管理贯穿于整个BCM过程。
　　风险分析(RA)与评估，识别可能造成关键业务中断的灾难、具有负面影响的事件等因素，确定由这些风险可能造成的直接经济损失；明确防范控制风险种类的技术和管理措施。
　　业务冲击分析(BIA)，确定业务中断的影响程度，识别由于业务中断造成的直接和间接后果，确定可以接受的损失范围，关键业务恢复的优先顺序以及恢复时间目标(RTO)。
　　恢复策略，确定和指导业务恢复运行策略的选择，以便在恢复时间目标(RTO)范围内恢复业务， 并维持机构的关键功能，结合风险分析和业务冲击分析的结果确定灾难恢复所需的各种资源，结合技术手段、投资成本、管理方式、获得的收益等多方面因素确定不同的解决方案和措施，平衡业务恢复成本与业务中断成本，做出合理选择。
　　计划编制，是保证业务持续目标实现的具体措施。根据制定的策略，开发、编写及执行一个详细的、完整的流程和程序，使企业在灾难发生时，能够应对突发事件，并恢复及重启其关键业务功能。如：业务持续计划(BCP)、危机管理计划(CMP)、灾难恢复计划(DRP)和应急反应计划(ERP)等。
　　认知与培训，是建立并形成企业的BCM文化。确定意识培养和培训的目标，制定针对管理层、关键岗位、新员工岗前和现有员工意识培养计划，将BCM融入常态管理，以使业务持续性计划能够得到制定、实施、维护和执行。
　　测试与演练，是落实BCM的重要环节。对预先计划和计划间的协调性进行演练，确保BCM及水平保持着有效性及实用性并符合业务的要求。通过与适当标准的比较来验证BCM的效力及效率。
　　BCM计划维护，是制定计划维护流程，对测试与演练的结果进行评估，并不断改进，完成一个BCM的生命周期。如此不断地循环下去，保持它的有效性。
　　
　　BCM应用及未来
　　
　　BCM的国际情况
　　从国际成功经验来看，那些及时引入BCM、BCP的企业和机构，之所以能够在灾难事件面前处乱不惊、化险为夷，主要在于他们能够借助先进的业务持续管理解决方案，有效地保护其核心业务的持续运行。时至今日，BCM、BCP已成为应对危机事件的国际通用规则。
　　目前国际上关于业务持续管理的专业机构有国际应急管理者协会(IAEM)，业务持续协会(Business Continuity Institute，BCI)、灾难恢复协会(DisasterRecovery Institute，DRI)和突发事件规划者协会(ACP)。已经建立了业务持续管理专业机构的国家和地区包括：英国、澳大利亚、奥地利、比利时、加拿大、丹麦、爱尔
　　兰、德国、希腊、香港、以色列、日本、马来西亚、新西兰、俄罗斯、新加坡、南非、荷兰、泰国、美国、墨西哥和西印度群岛等几十个国家。如此之多的国家建立了业务持续管理的专业化组织，充分说明了业务持续管理已经受到了世界的关注，对业务持续管理的需求已经上升到了国际化的高度。
　　同时，经过业务持续管理专业机构的努力和各国政府的大力支持，国际上已经制定出了成型的BCM标准和具体的行业规范。
　　在很多国家，如英国，拥有行之有效的业务持续管理计划已经成为企业上市的基本要求；在美国，企业法对业务持续管理的具体措施也有明确的要求。美国联邦储备委员会(BOARD)、财务部金融管理局(OCC)和政权交易委员会(SEC)等机构对美国金融行业的灾难备份建设制定了相应的指南、管理条例和公告。
　　而新加坡，也已经拥有若干个业务持续管理的标准流程和规范。新加坡金融管理局已经制定了SS507标准，新加坡标准／生产力和创新局的TR19标准，新加坡中央银行的MAS BCM规范。在澳大利亚审慎金融监管局的APS232 BCM标准，还有2008年4月英国标准委员会向全球发布了BS 25999 BCM标准，皆为BCM的应用打下了良好的基础，便于相关企业和机构参照遵循。
　　
　　BCM在中国
　　我国的业务持续管理体系建设尚处于起步阶段，国内仍然面临着专业人才短缺和经验不足的局面。大多数企业和机构对业务持续管理缺乏深入的了解、研究，也没有深刻的意识到业务持续管理的重要性和如何开发适合自身的业务持续管理体系。
　　BCM当前在中国的认知和现状，仍然是从信息技术部门的推动和扩展开来的，从专业范围来看，BCM的发展阶段经历了从数据恢复(DR)、业务恢复(BR)到业务持续性(BC)等几个阶段，从信息化建设阶段来看，业务流程对IT依赖愈来愈深的行业，经历了从信息基础设施的建设及基础应用，系统整合及数据大集中，到价值整合及容灾建设等几个重要的发展阶段，为实施BCM奠定了坚实的基础。所以说BCM是企业(或机构)信息化建设高级阶段的重要内容和标志。
　　从发展历程来看，BCM正在从以往的对物理设施的数据保障，逐步发展到涉及办公场所、人员安置、社会环境等多个层面的应急响应，以保障业务持续性为重点，对业务及其支撑体系实现动态建设和动态管理。可以说在发达国家实施的是全方位的业务持续性管理，而在发展中国家包括我国尚停留在灾难恢复的单一层面。
　　在这里需要提及的是BCM和我们通常所说的BCP、DRP在概念上是有区别的。BCM是一体化的管理流程，其核心是当灾难发生时企业能够保持业务的持续运行，是一个动态的、前瞻性的、正在进行的过程。
　　BCM体现的是企业战略维度而不仅局限于操作层面。BCP(业务持续计划)是BCM的具体实现，BCP详细描述了灾难发生后每个部门应当采取的每个恢复行动，甚至包括灾难发生后每个员工应去什么地方做什么的具体指令，其关注于在中断期间和之后维持机构的业务功能，可以专门为某个特定的业务处理也可以涉及到所有关键的业务处理。
　　DRP(灾难恢复计划)正如其名字所表示的，其应用于重大的、通常是灾难性的、造成长时间无法运行正常设施的事件，通常聚焦于IT方面问题，提供在备用地点促进恢复能力的详尽规程。DRP的目的是规范灾难恢复流程，使重要信息系统在灾难发生后能够快速的恢复数据处理系统并支持业务运作。简而言之，BCM含盖了BCP和DRP的内容。
　　目前，对信息技术高度依赖的行业，如我国的银行、保险、证券、税务、海关、民航、铁路、电力、电信、能源等行业不同程度地加强灾备和灾难恢复方面的建设，并完成BCM机制的部分要素。
　　2004年中国信息化推进联盟BCM专业委员会(CBCM)在北京成立，为推进BCM在我国的发展搭建了一个开放的信息交流及互动的平台，它标志着我国推进业务持续管理工作进到一个新的里程。
　　
　　BCM的未来
　　全球范围内，自然和人为灾难的频繁发生，促使企业关注真正可靠的业务持续性和灾难恢复计划。国际上保险公司越来越多的考虑，将企业拥有BCM作为签单的代价。一些大型跨国公司董事会要求它们的企业落实BCM，让企业处在恒久的“就绪状态”并树立承担社会责任的形象。面对中国人世的挑 战，实施BCM是提高企业生存能力和竞争力的一个重要内容。
　　进入21世纪以后企业业务方向的变化及科技的快速发展，导致业务模式的变化；变更、重组、竞争的加剧已是企业生存中的重要组成部分，顾客期待在所有情况下都有业务不间断的服务；股东期望管理层在任何情况下都能全程控制企业走向，并且在外界看来是在任何危机环境下都可以继续处理业务；相关法律规范和监管机构都将要求企业实施有效的BCM管理。
　　我国推进BCM还有很长的路要走，与国外发达国家相比有很大的差距。但是，我们坚信随着我国经济的快速、持续的发展和信息化建设的推进以及企业业务对IT依赖程度的逐步加深，企业在抵御灾难时为了富有弹性，有更强的生存能力和承担更大的社会责任，BCM理念和方法必将从八大重要信息系统逐步扩展到重点行业、国有大型企业、500强企业和千万家中小企业，并且由此带动BCM培训、咨询、运营及外包服务等业务的快速发展，将营造一个巨大的BCM市场。
　　业务持续管理是科学发展观和构建和谐社会的一个重要组成部分，在我国推行BCM不仅是一个战术实现问题，更重要的还是一个发展战略问题，因此在我国推进BCM已是刻不容缓、势在必行的。
　　首先，要加快BCM人才培训。目前我国BCM人才十分匮乏，严重影响BCM在我国政府、企业及各个行业的应用及推广，不仅需要BCM的高端人才，也需要更广范围内的高、中级人才，希望政府、企业的有关部门把BCM纳入到教育培训计划之中，其次，要制定中国的BCM标准。要学习借鉴国外的先进经验，由政府主导，协会配合(如China BCM)组织政府、企业相关部门包括运营商的专家共同制定BCM标准，通过标准的宣贯，使BCM健康、有序地在我国循序推进，再次，推广BCM典型案例。
　　榜样是最具说服力的，如前所述，摩根斯坦利、德意志银行和纽约交易所(NYBOT)正是在“9.11”事件中树立了榜样，才为世人学习和推广BCM增强了信心，推动BCM的国际发展。
　　在我国，中国海关总署便是一个很好的典型案例，他们在推进BCM方面积累了宝贵的经验，并走在了全国的前列，相信通过对涌现出更多的案例进行总结、学习与交流，在更大范围内推动BCM定会起到事半功倍的作用。
　　BCM是企业抵御灾难的有效管理方法。它的理论、方法、标准和涉及的范围将不断在实践中得到完善、提升和拓展。在我国实施BCM是历史赋予我们的一项任重而道远的使命。