地震后的IT反思

    建立安全体系

    风云变化万千，只有未雨绸缪才能坦然应对IT危机。而IT危机管理的最好办法就是建立起IT危机管理预警机制，比如明确定义IT危机管理员的角色、职责和权限，识别IT危机类型和反应对策程序，以及IT危机管理编算计划所需的资源，加大资金、人力和物力的投入等。

    关键的重点是要事先制定建立各级IT危机应对计划与体系，主要是业务连续性安全恢复计划和备援支持计划，具体步骤如下：

    第一，制定业务连续性安全架构。提高重视预警程度、级别，进行业务连续性安全管理概念的认知和培训，尤其是需要企业高层领导参加和制订整体的灾备、业务连续性管理策略和目标，确定实施的具体组织架构。

    第二，需求分析和策略制定。主要是通过各种主客观的安全风险分析和业务影响分析，确定灾难恢复及业务连续性的方向、需求。风险分析是认识并分析各种潜在危险，确定可能造成零售业务中断的灾难和事故可能造成的损失。依据分析结果，制定IT的灾难备份及应对运营方案和业务的灾难恢复策略。

    第三，信息系统安全备份方案的实施。包括备份中心的建设、IT系统灾难备份的建立等。目前灾难数据备份的方法主要有：文件备份、服务器主动式备份、系统复制、跨平台备份、SQL数据库备份、分级式存储管理、远程备份。备份的最好解决方案是具有“容灾”性能的远程备份解决方案。企业必须及早规划、建立灾难应急数据备份系统，尤其是长距离异地的灾备，因为灾难发生在同城居多。

    第四，制定业务连续性安全预案。包括应急响应预案、危机公关和通信的流程、IT部门的灾难恢复预案及业务部门的灾难恢复预案等。数据的安全与业务连续性对企业生死攸关，做好灾备后就要从加强业务连续能力入手，以从灾难中快速恢复，重新开始运营工作。

    第五，建立业务连续性日常工作管理制度。主要包括设立业务连续日常维护的组织架构，明确职责分工到位，确定涉及IT部门和业务部门的各项管理流程，以便灾难发生前后迅速全员启动。

    第六，测试演练和培训推广。为了防备数据丢失，除了要做好详细的业务连续性安全计划，企业还应定期进行不同范围不同形式的灾难演练，检验所生成的灾难恢复和灾难恢复备份以及持续运营保障能力是否可靠有效。

    这里必须着重指出的是，业务连续性安全体系应有计划尽早全面延伸、普及到三四级城乡经营网点，不能只顾大不顾小，首尾不相连，否则最终将是得不偿失。

    另外，针对目前国内中小企业的资金、规模有限，可以通过第三方的外包服务来完成数据灾备、业务连续性安全建设的工作。特别是针对数据安全而言，选择第三方服务已经成为一个非常重要的发展趋势。外包数据安全业务为国内企业广泛实施提供了一条切实可行的道路。

    总的来看，要成功降低灾后损失，IT建设必须当关，企业IT系统必须“提速增效”，建立强大的业务连续性安全体系刻不容缓。从年初南方雪灾的灾后重建就可以看出，信息化重建工作是重中之重。因此企业要建立强大的突发灾难事件应急中心，加速技术创新与融合，强化基础网络和信息资源的建设和共享，及早制定应急安全体系，全面提高企业信息化水平，才能夺取灾后重建的全面胜利。

    建立业务连续性安全体系的要点

    第一， 制定业务连续性安全架构。
    第二， 需求分析和策略制定。
    第三， 信息系统安全备份方案的实施。
    第四， 制定业务连续性安全预案。
    第五， 建立业务连续性日常工作管理制度
    第六， 测试演练和培训推广。