業(yè)務持續(xù)性管理程序

1、信息安全管理體系文件ISMSP-43-A信息科技部業(yè)務持續(xù)性管理程序A版2011年6月1日 發(fā)布 2011年6月1日 實施目錄1 目的32 范圍33 相關文件34 職責35 程序45.1業(yè)務持續(xù)性管理過程45.2業(yè)務持續(xù)性和影響的分析45.3編制業(yè)務持續(xù)性管理戰(zhàn)略計劃55.4編制業(yè)務持續(xù)性管理實施計劃55.5業(yè)務持續(xù)性管理實施計劃的實施要求55.6業(yè)務持續(xù)性計劃的測試與評審66 記錄6文件修訂歷史記錄版本日期修訂者修訂描述1.01 目的 本程序規(guī)定當發(fā)生重大信息安全事件或災難時，為保護阜新銀行信息科技部業(yè)務活動免受影響，迅速恢復已中斷的業(yè)務活動，實現業(yè)務持續(xù)發(fā)展而實施的管理活動。 這些活動包括

2、：建立業(yè)務持續(xù)性管理程序；進行業(yè)務持續(xù)性和影響分析；編制業(yè)務持續(xù)性戰(zhàn)略計劃；制訂業(yè)務持續(xù)性管理實施計劃并實施；對業(yè)務持續(xù)性管理計劃進行定期測試和評審等。2 范圍 本程序適用于阜新銀行信息科技部業(yè)務相關的主要業(yè)務的持續(xù)性管理控制3 相關文件4 職責4.1總經理負責業(yè)務中斷的恢復的總指揮與總協(xié)調。4.2管理者代表負責編制、修訂業(yè)務持續(xù)性管理程序，并協(xié)調、推進業(yè)務持續(xù)性管理活動。4.3硬件工程師負責網絡及其他基礎設施/設備、辦公網絡的故障處理及與之相關的作業(yè)中斷的恢復及電話網絡的故障處理及中斷恢復。4.4各區(qū)域負責人在發(fā)生重大信息安全事件或災難時，負責保護自己區(qū)域內使用的信息系統(tǒng)及業(yè)務數據，及時恢復

3、中斷的業(yè)務活動。5 程序5.1業(yè)務持續(xù)性管理過程業(yè)務持續(xù)性管理過程規(guī)定如下：必要時，對計劃修改編制業(yè)務持續(xù)性計劃并實施業(yè)務持續(xù)性和影響分析業(yè)務持續(xù)性定期測試與評審 業(yè)務持續(xù)性管理測試報告 業(yè)務持續(xù)性管理評審報告 業(yè)務持續(xù)性與影響分析報告 業(yè)務持續(xù)性管理戰(zhàn)略計劃 業(yè)務持續(xù)性管理實施計劃5.2業(yè)務持續(xù)性和影響的分析5.2.1在首次信息安全風險評估后進行業(yè)務持續(xù)性和影響的分析。5.2.2業(yè)務持續(xù)性和影響的分析由管理者代表組織，各副總經理配合，及管理者代表指定的相關責任人分別開展以下活動：a) 對信息安全進行風險評估；b) 識別出對業(yè)務持續(xù)性造成嚴重影響的主要事件，如設備故障、火災等；c) 分析這些事

4、件一旦發(fā)生對業(yè)務活動造成的影響和損失，以及恢復業(yè)務所需費用等；d) 編寫業(yè)務持續(xù)性和影響分析報告（格式不限）。5.2.3業(yè)務持續(xù)性和影響分析報告應包括以下內容：a) 識別關鍵業(yè)務的管理過程；b) 可能引起業(yè)務活動中斷的主要事件；c) 主要事件對管理的信息系統(tǒng)的影響；d) 信息系統(tǒng)故障或中斷對業(yè)務活動的影響；e) 關于系統(tǒng)恢復或替換的費用考慮。5.3編制業(yè)務持續(xù)性管理戰(zhàn)略計劃 各區(qū)域副總經理編制的業(yè)務持續(xù)性和影響分析報告完成后應提交管理者代表，由管理者代表或管理者代表指定的人員來制訂業(yè)務持續(xù)性管理戰(zhàn)略計劃（格式不限），并提交信息安全管理委員會討論，經信息安全管理者代表批準后予以實施。5.4編制業(yè)

5、務持續(xù)性管理實施計劃5.4.1根據業(yè)務持續(xù)性管理戰(zhàn)略計劃，各相關職能人員分別編制自己負責區(qū)域內的管理的信息系統(tǒng)的業(yè)務持續(xù)性管理實施計劃，并由信息安全管理者代表批準，以便在這些系統(tǒng)發(fā)生中斷時實施。5.4.2業(yè)務持續(xù)性管理實施計劃的編寫為：a) 硬件工程師網絡部分：核心業(yè)務網絡系統(tǒng)、辦公網絡系統(tǒng)、電話網絡、供電系統(tǒng)及中間業(yè)務。5.4.3業(yè)務持續(xù)性管理實施計劃應包括以下方面的內容：a) 計劃實施所涉及的職務/相關人員的職責、權限及接口關系的描述；b) 系統(tǒng)中斷的速報程序及要求；c) 系統(tǒng)中斷的恢復程序及方法；d) 系統(tǒng)中斷的恢復時限要求；e) 保持業(yè)務運作連續(xù)應采取的應急措施與備用措施；f) 必要的

6、技術支持及資源要求。5.5業(yè)務持續(xù)性管理實施計劃的實施要求 上述重要系統(tǒng)一旦受到重大影響或中斷后，有關人員應立即執(zhí)行業(yè)務持續(xù)性管理實施計劃，對系統(tǒng)采取應急措施、進行恢復，確保經營活動的持續(xù)運行。同時，應按照事故、薄弱點與故障管理程序做好事故處理記錄，記錄內容應包括：a) 對系統(tǒng)中斷原因的調查分析；b) 系統(tǒng)中斷造成損失的統(tǒng)計；c) 采取的糾正措施；d) 應吸取經驗教訓及預防措施等。5.6業(yè)務持續(xù)性計劃的測試與評審5.6.1每年下半年由管理者代表組織有關人員對業(yè)務持續(xù)性管理實施計劃進行測試，以判斷計劃的可行性和有效性。測試可采用以下方法進行：a) 對已發(fā)生過的業(yè)務中斷及恢復措施實例進行討論；b) 組織有關人員進行業(yè)務中斷及恢復的模擬演練；c) 采用技術手段對系統(tǒng)運行及中斷恢復的相關參數進行測量；d) 由供應商提供測試服務，確保所提供的外部服務和產品符合合同要求。 測試完成后填寫業(yè)務持續(xù)性管理計劃測試報告。5.6.2根據相關人員的測試報告，管理者代表組織有關的人員對計劃的適用性和有效性進行評審，形成業(yè)務持續(xù)性管理計劃評審報告。5.6.3根據業(yè)務持續(xù)性管理計劃評