维护信息安全的顶层设计方略

■ 陈建新 陈 禹 董传仪 程涣青

维护信息安全的顶层设计方略

■ 陈建新 陈 禹 董传仪 程涣青

信息安全对于国家安全、经济繁荣和社会稳定发展的影响日益突出。公共安全业务连续管理是网络安全建设的基石。

中国标准化管理委员会于2013年12月17日发布了《 公共安全业务连续性管理体系要求》国家标准，这标志着业务连续性管理（简称BCM） 这一国际通用的标准已从国家政策层面的导入，开始正式进入国家社会发展的顶层设计。

业务连续性管理的推广和运用，在银行业界已有相当的认同和实践，然而在金融领域之外，人们对BCM认知较少。随着各行各业（尤其是对IT依赖较弱的行业）对业务连续发展的要求与日俱增，我们有必要对BCM的发展与应用加以介绍，让更多的企业、组织机构了解、运用并融入到组织机构的文化中。

灾难和信息安全催生业务连续性管理标准的诞生

发生在2009年春的甲型H1N1流感全球大爆发，为我国公共卫生领域应急机制提供了一个难得的检验机会，同时也是大力传播业务连续管理理念的良好时机。在经历了2003年“非典”肆虐的考验之后，我国政府应对甲型H1N1流感病毒传播的措施与手段，显得更加主动、更加成熟、更加富有成效，做到了“有预案，有预警，有组织，有储备，有沟通”，显示我国政府和公共服务机构在应对公共事件中日益成熟起来。

进入现代社会以来，随着人在自然界活动范围、深度的不断扩大，动力、能源、化工、农药等科技产品的大量应用，自然界与“人造世界”相互重叠、相互渗透。在自然灾害之外，还产生了大量的人为灾害。如自然资源衰竭、环境污染、人口过剩等生态灾害，工程塌方、爆炸等工程经济灾害，交通事故、社会暴力与动乱、民间火灾等社会生活灾害。此外，还有许多“自然与人为复合型灾害”，如诱发地震、沙漠化、温室效应、臭氧层薄弱化等灾害。在这种大背景下，可以说21世纪的社会经济发展面临着更加艰难的挑战。自然资源的极度消耗、自然生态环境的极度脆弱，与社会经济快速发展的需求和区域间发展高度不平衡的矛盾，在构建面向长远未来的可持续发展模式方面，提出了更多更高的要求。在关注生态环境保护，关注可持续发展的大背景下，应对自然灾害、技术灾害，以及公共卫生事件、各类危机状态的理念、方法和措施，也需要有全新的思路和框架。近10年来，特别是“9·11”事件和日本“3·11”大地震之后，BCM逐步被人们所认识。

事实上，借助2003年“非典”挑战的契机，中央政府适时提出了建立国家应对自然灾害、公共卫生事件的应急管理体系。这一体系经过近5年的不懈努力，在战略部署、组织机构、法律法规、应急预案、指挥体系、管理制度等方面，取得了丰硕成果，拥有了适合中国国情的《中华人民共和国突发事件应对法》，更加有效地保障了我们对各种灾难的应对。国家应对公共卫生、自然灾害的战略部署和诸多措施，在管理思想上与多年来国外企业界和政府机构所倡导的BCM的理念与方法有很多交汇、重叠之处。如何在风云变幻的世界和社会经济变化环境下，从保持业务连续发展的高度，研究、评估和掌控影响政府、企业与组织机构的风险因素，制定确保业务连续发展的策略和方针，运用信息技术的系统方法，塑造新时期企业与组织的业务连续管理框架与流程，获得组织应变能力、预警能力、危机处置能力、资源协调能力和实战指挥能力的持续改善，是时代赋予我们的重要课题。

BCM起源于70年代，由于在当时大量计算机系统应用于不同的企业业务流程，同时在政府机构的数值计算、数据处理中，也有大量应用，业务部门对信息系统的持续运行提出了更高的要求。进入90年代后，随着IT与业务的相互融合，BCM不仅局限于信息系统的灾难恢复服务，而延展到更为广泛的企业业务连续管理领域。BCM的标准不再局限在信息系统的可靠运行上，而转移到了面向终端客户、面向服务的业务流程的持续保障方面。1995年，在英国商务部的推动下，英国标准协会(BSI) 推出了信息安全管理体系BS7799。这一体系虽然着眼点在信息安全，但对“业务连续”的要求已给予了足够的关注。2001年后，相关国际标准相继出台，特别是ISO22301，对业务连续管理领域的发展，起到了很好的推动作用。

由于种种原因，BCM在国内有两种表现，其一是被具有前瞻性的企业者所认知，开始自觉运用BCM的方法论建立起可持续的运营架构，而不仅局限在数据备份等技术层面，但遗憾的是只有极少数企业这样做；其二是BCM概念、术语、体系方面在教育界、研究机构、企业界和政府管理部门中传播的不足，导致BCM的理论和方法还不能进入主流话语体系，没能得到广泛的传播和运用。

其实，自BCM进入我国以来，政府、组织、企业等已逐步认识到了BCM的重要性，也做出了许多努力和探索。2004年，中国第一个BCM专业组织——“工信部中国信息化推进联盟业务持续管理委员会”成立。该组织十年来始终如一致力于BCM的推广，自2004年开始每年一届BCM论坛，组织专家学者出版了大量著作及学术论文，以此作为推动，对BCM在我国的实际应用做出了贡献。2007年，我国标准化研究院向国家标准化管理委员会提出制定“业务连续管理”相关国家标准的计划并得到批准。同年第一个灾备的国家标准《GB/ T 20988-2007 信息系统灾难恢复规范》出台。随后2008年中国人民银行出台了《JR 0044-2008银行业信息系统灾难恢复管理规范》，至此信息系统灾备的国家规范和行业规范逐渐完善。2011年，中国银监会下发《商业银行业务连续性管理指引》，开始了我国银行业业务连续性监管，目前各类银行在业务连续性管理体系建设方面，已具有了一定的经验。2013年,《GB/T 30146-2013公共安全 业务连续性管理体系要求》国家标准发布, 填补了国内该领域的空白，为BCM理念在我国的进一步推广应用奠定了基础。 BCM国家标准的发布，在党的十八届三中全会提出“健全公用安全体系”之际，更具有重大的现实意义和深远的历史意义。

业务连续管理（BCM）是网络信息安全建设的基石

业务连续管理（BCM）在信

息化建设中，特别是信息和网络安全工作中，具有重要的、基础性作用。它在信息化全局中是一块基石，是当前更需要关注和强调的重点之一。

人们谈信息化，最初只想到技术，后来扩大到经济，再后来扩大到社会和法制建设。至于想到安全，并把安全放到首位，则是近年来的事。 进入21世纪，网络对于思想文化、法制建设、社会安定等领域的冲击和影响越来越深入和显著。而且开始从只看到正面效益，转向关注风险和隐患，特别是安全问题。一个无可争辩的事实是，网络安全和信息化不但不只是技术问题，也不只是经济议题，它是涉及全社会几乎所有领域的、关乎社会安全和安定的、全局性的政治问题。

信息化安全主要是数据安全。保护数据最原始的方式是存储与备份。数据是企业的根基，能让根基稳固的是业务。一直以来，人们用存储与备份的方式保护数据，后来发现，保护根基稳固的业务才是实质。业务连续性管理就是能保障信息安全的基石。

与任何新技术一样，现代信息技术是一柄双刃剑。任何一种新技术在带给人们巨大的前所未有的福利时，也必然同时会带来以前没有遇到过的风险和隐患。事实表明，随着信息化的发展，一个最严重的问题就是网络信息安全问题，甚至关乎国家命运。和传统危机应对策略不同的是业务连续管理，正是在当前企业对信息技术十分依赖的背景下提出的，它充分考虑了危机来临时，恢复信息系统的重要性和特殊性。现代企业能否在突发性灾难的影响下依然保障业务的持续运行，已经关系到企业的成败。

目前，我们面临的问题是：大自然的下一个报复将是什么？如果说，能源危机和环境污染是大自然对于人类滥用能量资源的报复，那么对于今天信息资源的膨胀和被滥用，大自然的报复将是什么？我们的回答是：信息安全。当前最突出的就是网络安全。从这个意义上讲，中央建立中央网络安全和信息化领导小组，是非常必要和及时的。

我们在今天的实际工作中经常见到的“拆东墙补西墙”、“寅吃卯粮”、“击鼓传花”等现象，其思想方法根源，是没有业务连续性的概念与管理措施。建立业务连续管理理念，是应对各种威胁、风险领域一场思维方式的彻底革命。业务连续管理国家标准的发布，将成为我国信息化建设的一个重要里程碑。

业务连续管理（BCM）在企业应用的价值

随着业务连续管理的应用越来越广泛，人们对BCM价值的认识也日趋深入。在许多发达国家，BCM已从单纯地用来作为应对灾难、加强企业生存能力的方法，发展成为组织机构用其来改善经营管理、承担社会责任和满足法规要求的基本准则；同时，BCM的应用领域也从单纯的商业经营机构扩展到政府及公共机构。

BCM在上世纪 80年代开始得到应用的时候，仅仅是为了解决企业本身的生存问题。通过应用BCM方法，企业加强了应对灾难的能力，增强了商业竞争力。然而，进入21世纪以来，大部分企业的生产经营活动已与人们的日常生活及整个社会的运作紧密相关。 例如，金融、电信、交通以及水、电、气等行业的服务提供者，已不能仅仅考虑自己的生存，还必须考虑人们对其产品和服务的依赖性，同样情况的还有医药、食品、卫生等行业，他们与整个社会生活密不可分。其他的许多产品和服务，由于现代社会的生活模式以及现代生产模式，带来的新型产业链关系，也使得企业在整个生产活动中建立了越来越紧密的联系，这就导致一个企业的业务中断，不仅仅影响了该企业本身，还会影响到与之相应的其他组织机构和个人，甚至会引发公共危机事件。

因此，这种社会化甚至全球化大分工而形成的依赖关系，必然要求建立一个共同的行为准则，尤其是与人们日常生活直接相关的产品和服务提供者，更是必须遵守一定的道德规范。这种行为准则和道德规范，既包括产品和服务质量的保证，还包括了产品和服务的持续性，也就是业务连续保障，这已成为所有企业应承担的社会责任。所以企业制定完善的BCM规划是义不容辞的社会责任。

随着近几年商业竞争的加剧，企业的生存压力更加严峻，迫使企业必须努力提高全面的适应力和竞争力，也就是要加强企业的业务弹性。所谓业务弹性是指企业适应并响应内部或外部的机会、需求的波动、中断或威胁，并且

保持业务运行而不受到明显影响的能力。主要涵盖企业的安全、保护和恢复，对复杂性进行有效的管理、预测和快速适应的能力，商机的快速开发，提高竞争优势等几个方面。

业务弹性的内容比可用性、恢复、 持续、安全或可扩展性更加丰富，它是对业务、IT服务及解决方案的全面管理，从而为企业提供最佳的灵活性和保护。可以看出，BCM正是实现业务弹性的重要基础。企业只有建立了完善的BCM机制，才有可能满足业务弹性的要求。事实上，企业的业务弹性水平恰恰反映了BCM在企业贯彻实施的成熟程度。

企业在进行BCM规划的过程中，通过业务冲击分析常常能够发现企业的生产流程、管理模式等方面存在的原有问题，从而加以优化和改进。 例如：

——可以清晰地了解企业内部的各种业务功能和流程，发现其中存在的不合理性，从而进行优化和改进，以达到提高效率并降低成本的目的。

——许多企业只注重收入的增长而忽视了企业组织结构的缺陷，从而埋下潜在的隐患。进行规划时，可以发现这些问题并加以改进。

——通过分析企业的经营目标，找到真正关键的业务功能，从而合理分配投资和资源。

——通过分析企业的薄弱环节，加强安全管理措施，保护好企业的重要信息，排除安全隐患，减少事故发生。

——加强企业的合规性，提高企业的信誉和竞争力。

综上所述，企业建立BCM机制，不仅仅是在灾难发生时，使企业能够应对灾难而生存， 还可以改善企业的日常经营管理，提高企业的竞争力。

BCM应用于政府机构和公共应急部门许多较大的灾害事件，通常影响区域和范围都很大，企业并不是其中唯一受到影响的组织机构，许多政府机构、社区组织、公共事业部门等都可能受到影响。因此，在灾难发生时，政府机构等公共部门为了有效地组织和实施救援，必须考虑如何确保自身的正常运转，以及如何与其他机构 （尤其是受灾区域的组织机构）进行配合。

现代企业能否在突发性灾难的影响下依然保障业务的持续运行，已经关系到企业的生存。当诸多自然风险(例如地震、火灾、水灾、气象、疾病、战争等)、人为风险(例如对系统的错误操作、黑客攻击、病毒发作、员工发泄不满等)、技术类风险(例如设备失效、软件错误、通讯中断、电力失效)等方面，对企业信息系统和业务构成潜在威胁的时候，企业一定在寻找可以能够在任何威胁来临的情况下，不仅财产不受损失，而且能够保持关键业务连续不中断的管理模式与方法。

企业实施BCM，就是要构建一个有效应对危机的管理体系，使危机管理科学化、手段现代化。BCM的实施要考虑到企业员工、企业流程、法律等问题。与传统的危机应对策略不同，BCM是在全球一体化互联网大背景下提出的。BCM充分考虑了危机来临时，恢复信息系统的重要性和特殊性。随着社会信息化的发展，现代企业的正常运作越来越依赖于其信息系统的安全运行。然而，信息系统本身的复杂性使其自身的脆弱性大大增强。由于信息系统的失效，造成业务数据丢失、业务系统中断的实例正逐年递增。

国外一项权威调查显示，20%的企业平均每五年就会遇到一些影响公司运营的意外情况。事实上，美国“9·11”事件、“非典”疫情、印度洋海啸、莫斯科大停电、伦敦地铁爆炸等事件都在提醒我们，现代社会与企业面临的风险环境非常严峻。

另外，普通的断电、缺水、火灾或者交通问题，都有可能影响某个组织的客户服务能力，以及企业的持续经营。由于BCM的出发点是保证企业关键业务的不间断运行，以满足企业符合法令以及客户服务水平需求，因此，BCM的规划和实施不仅是企业发展战略规划中的重要组成部分。

制定和实施BCM战略，需要企业各部门的协调，需要在企业整体业务和IT架构下进行整体分析和评估，并在业务成效和总体拥有成本之间谋求平衡，所以BCM必须从企业发展战略的高度规划实施。企业管理人员和员工需要认识到，虽然灾难发生的概率很小，但是，灾难事件却有可能摧毁毫无准备的企业。

（作者分别为中国信息化推进联盟业务连续管理专委会主任 中国标准化研究院党委副书记 中国科学院大学应急管理研究中心执行主任 中国贵金属产业委员会副主任）