業(yè)務(wù)持續(xù)性管理程序

1、信息安全管理體系文件ISMSP-43-A信息科技部業(yè)務(wù)持續(xù)性管理程序A版2011年6月1日 發(fā)布 2011年6月1日 實(shí)施目錄1 目的32 范圍33 相關(guān)文件34 職責(zé)35 程序45.1業(yè)務(wù)持續(xù)性管理過(guò)程45.2業(yè)務(wù)持續(xù)性和影響的分析45.3編制業(yè)務(wù)持續(xù)性管理戰(zhàn)略計(jì)劃55.4編制業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃55.5業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃的實(shí)施要求55.6業(yè)務(wù)持續(xù)性計(jì)劃的測(cè)試與評(píng)審66 記錄6文件修訂歷史記錄版本日期修訂者修訂描述1.01 目的 本程序規(guī)定當(dāng)發(fā)生重大信息安全事件或?yàn)?zāi)難時(shí)，為保護(hù)阜新銀行信息科技部業(yè)務(wù)活動(dòng)免受影響，迅速恢復(fù)已中斷的業(yè)務(wù)活動(dòng)，實(shí)現(xiàn)業(yè)務(wù)持續(xù)發(fā)展而實(shí)施的管理活動(dòng)。 這些活動(dòng)包括

2、：建立業(yè)務(wù)持續(xù)性管理程序；進(jìn)行業(yè)務(wù)持續(xù)性和影響分析；編制業(yè)務(wù)持續(xù)性戰(zhàn)略計(jì)劃；制訂業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃并實(shí)施；對(duì)業(yè)務(wù)持續(xù)性管理計(jì)劃進(jìn)行定期測(cè)試和評(píng)審等。2 范圍 本程序適用于阜新銀行信息科技部業(yè)務(wù)相關(guān)的主要業(yè)務(wù)的持續(xù)性管理控制3 相關(guān)文件4 職責(zé)4.1總經(jīng)理負(fù)責(zé)業(yè)務(wù)中斷的恢復(fù)的總指揮與總協(xié)調(diào)。4.2管理者代表負(fù)責(zé)編制、修訂業(yè)務(wù)持續(xù)性管理程序，并協(xié)調(diào)、推進(jìn)業(yè)務(wù)持續(xù)性管理活動(dòng)。4.3硬件工程師負(fù)責(zé)網(wǎng)絡(luò)及其他基礎(chǔ)設(shè)施/設(shè)備、辦公網(wǎng)絡(luò)的故障處理及與之相關(guān)的作業(yè)中斷的恢復(fù)及電話網(wǎng)絡(luò)的故障處理及中斷恢復(fù)。4.4各區(qū)域負(fù)責(zé)人在發(fā)生重大信息安全事件或?yàn)?zāi)難時(shí)，負(fù)責(zé)保護(hù)自己區(qū)域內(nèi)使用的信息系統(tǒng)及業(yè)務(wù)數(shù)據(jù)，及時(shí)恢復(fù)

3、中斷的業(yè)務(wù)活動(dòng)。5 程序5.1業(yè)務(wù)持續(xù)性管理過(guò)程業(yè)務(wù)持續(xù)性管理過(guò)程規(guī)定如下：必要時(shí)，對(duì)計(jì)劃修改編制業(yè)務(wù)持續(xù)性計(jì)劃并實(shí)施業(yè)務(wù)持續(xù)性和影響分析業(yè)務(wù)持續(xù)性定期測(cè)試與評(píng)審 業(yè)務(wù)持續(xù)性管理測(cè)試報(bào)告 業(yè)務(wù)持續(xù)性管理評(píng)審報(bào)告 業(yè)務(wù)持續(xù)性與影響分析報(bào)告 業(yè)務(wù)持續(xù)性管理戰(zhàn)略計(jì)劃 業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃5.2業(yè)務(wù)持續(xù)性和影響的分析5.2.1在首次信息安全風(fēng)險(xiǎn)評(píng)估后進(jìn)行業(yè)務(wù)持續(xù)性和影響的分析。5.2.2業(yè)務(wù)持續(xù)性和影響的分析由管理者代表組織，各副總經(jīng)理配合，及管理者代表指定的相關(guān)責(zé)任人分別開(kāi)展以下活動(dòng)：a) 對(duì)信息安全進(jìn)行風(fēng)險(xiǎn)評(píng)估；b) 識(shí)別出對(duì)業(yè)務(wù)持續(xù)性造成嚴(yán)重影響的主要事件，如設(shè)備故障、火災(zāi)等；c) 分析這些事

4、件一旦發(fā)生對(duì)業(yè)務(wù)活動(dòng)造成的影響和損失，以及恢復(fù)業(yè)務(wù)所需費(fèi)用等；d) 編寫(xiě)業(yè)務(wù)持續(xù)性和影響分析報(bào)告（格式不限）。5.2.3業(yè)務(wù)持續(xù)性和影響分析報(bào)告應(yīng)包括以下內(nèi)容：a) 識(shí)別關(guān)鍵業(yè)務(wù)的管理過(guò)程；b) 可能引起業(yè)務(wù)活動(dòng)中斷的主要事件；c) 主要事件對(duì)管理的信息系統(tǒng)的影響；d) 信息系統(tǒng)故障或中斷對(duì)業(yè)務(wù)活動(dòng)的影響；e) 關(guān)于系統(tǒng)恢復(fù)或替換的費(fèi)用考慮。5.3編制業(yè)務(wù)持續(xù)性管理戰(zhàn)略計(jì)劃 各區(qū)域副總經(jīng)理編制的業(yè)務(wù)持續(xù)性和影響分析報(bào)告完成后應(yīng)提交管理者代表，由管理者代表或管理者代表指定的人員來(lái)制訂業(yè)務(wù)持續(xù)性管理戰(zhàn)略計(jì)劃（格式不限），并提交信息安全管理委員會(huì)討論，經(jīng)信息安全管理者代表批準(zhǔn)后予以實(shí)施。5.4編制業(yè)

5、務(wù)持續(xù)性管理實(shí)施計(jì)劃5.4.1根據(jù)業(yè)務(wù)持續(xù)性管理戰(zhàn)略計(jì)劃，各相關(guān)職能人員分別編制自己負(fù)責(zé)區(qū)域內(nèi)的管理的信息系統(tǒng)的業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃，并由信息安全管理者代表批準(zhǔn)，以便在這些系統(tǒng)發(fā)生中斷時(shí)實(shí)施。5.4.2業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃的編寫(xiě)為：a) 硬件工程師網(wǎng)絡(luò)部分：核心業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)、辦公網(wǎng)絡(luò)系統(tǒng)、電話網(wǎng)絡(luò)、供電系統(tǒng)及中間業(yè)務(wù)。5.4.3業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃應(yīng)包括以下方面的內(nèi)容：a) 計(jì)劃實(shí)施所涉及的職務(wù)/相關(guān)人員的職責(zé)、權(quán)限及接口關(guān)系的描述；b) 系統(tǒng)中斷的速報(bào)程序及要求；c) 系統(tǒng)中斷的恢復(fù)程序及方法；d) 系統(tǒng)中斷的恢復(fù)時(shí)限要求；e) 保持業(yè)務(wù)運(yùn)作連續(xù)應(yīng)采取的應(yīng)急措施與備用措施；f) 必要的

6、技術(shù)支持及資源要求。5.5業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃的實(shí)施要求 上述重要系統(tǒng)一旦受到重大影響或中斷后，有關(guān)人員應(yīng)立即執(zhí)行業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃，對(duì)系統(tǒng)采取應(yīng)急措施、進(jìn)行恢復(fù)，確保經(jīng)營(yíng)活動(dòng)的持續(xù)運(yùn)行。同時(shí)，應(yīng)按照事故、薄弱點(diǎn)與故障管理程序做好事故處理記錄，記錄內(nèi)容應(yīng)包括：a) 對(duì)系統(tǒng)中斷原因的調(diào)查分析；b) 系統(tǒng)中斷造成損失的統(tǒng)計(jì)；c) 采取的糾正措施；d) 應(yīng)吸取經(jīng)驗(yàn)教訓(xùn)及預(yù)防措施等。5.6業(yè)務(wù)持續(xù)性計(jì)劃的測(cè)試與評(píng)審5.6.1每年下半年由管理者代表組織有關(guān)人員對(duì)業(yè)務(wù)持續(xù)性管理實(shí)施計(jì)劃進(jìn)行測(cè)試，以判斷計(jì)劃的可行性和有效性。測(cè)試可采用以下方法進(jìn)行：a) 對(duì)已發(fā)生過(guò)的業(yè)務(wù)中斷及恢復(fù)措施實(shí)例進(jìn)行討論；b) 組織有關(guān)人員進(jìn)行業(yè)務(wù)中斷及恢復(fù)的模擬演練；c) 采用技術(shù)手段對(duì)系統(tǒng)運(yùn)行及中斷恢復(fù)的相關(guān)參數(shù)進(jìn)行測(cè)量；d) 由供應(yīng)商提供測(cè)試服務(wù)，確保所提供的外部服務(wù)和產(chǎn)品符合合同要求。 測(cè)試完成后填寫(xiě)業(yè)務(wù)持續(xù)性管理計(jì)劃測(cè)試報(bào)告。5.6.2根據(jù)相關(guān)人員的測(cè)試報(bào)告，管理者代表組織有關(guān)的人員對(duì)計(jì)劃的適用性和有效性進(jìn)行評(píng)審，形成業(yè)務(wù)持續(xù)性管理計(jì)劃評(píng)審報(bào)告。5.6.3根據(jù)業(yè)務(wù)持續(xù)性管理計(jì)劃評(píng)