金融機構業務連續性管理框架及其相關標準

謝宗曉（中國金融認證中心）

甄杰（重慶工商大學 管理科學與工程學院）

董坤祥（山東財經大學 管理科學與工程學院）

1 概述

業務連續性管理是信息安全很重要的一部分，在金融行業中尤為明顯。本質而言，業務連續性管理是區別于信息安全的一個領域，但在實踐中，又經常將業務連續性作為信息安全的一個控制域處理，如 GB/T 22080—2016 / ISO/IEC 27001:2013《信息技術 安全技術 信息安全管理體系 要求》A.17中所指出的那樣，“業務連續性管理的信息安全方面”。這一點在國際標準化組織（ISO）的標準開發分類中也能看出來。例如，業務連續性的兩個基礎標準，都是ISO/TC 292（Security and Resilience）所發布的，如表1所示。

表1 關于業務連續性管理的2個重要國際標準

2 框架

對于商業銀行而言，要特別注意，《商業銀行業務連續性監管指引》（銀監發〔2011〕104號），該文件與推薦性標準的不同在于，其中規定了諸多硬性的指標，例如，第四十九條：商業銀行應當至少每三年對全部重要業務開展一次業務連續性計劃演練。在重大業務活動、重大社會活動等關鍵時點或在關鍵資源發生重大變化之前也應當開展業務連續性計劃的專項演練。業務連續性管理的框架大致如下。

2.1 業務影響分析

業務影響分析通俗而言就是業務連續性管理的需求分析階段，是商業銀行對其自身業務連續性的需求評估。其大致過程如圖1所示。

圖1 業務影響分析

恢復點目標（recovery point objective，RPO）是指為使活動能夠恢復進行，而必須將該活動所用的信息恢復到某時間點。恢復時間目標（recovery time objective，RTO）事件發生后下列活動完成之間的時間段：產品或服務必須恢復，或資源必須恢復，或資源必須復原。RPO和RTO示意圖，如圖2所示。

圖2 RPO和RTO示意圖

2.2 風險評估

業務連續性的風險評估，在方法上與通用的風險評估是一致的。區別在于評估的重點是業務連續性所需的關鍵資源。

2.3 業務連續性策略

此處的策略英文原文為strategy，而不是policy。確定業務連續性策略就是從BIA和風險評估的發現來識別需要采取的措施并以某種方式滿足組織的業務連續性目標。該措施可能在中斷事件之前、之中和之后都需要。業務連續性策略應該包括：應急組織架構決策與授權策略、業務恢復策略、數據恢復策略、系統恢復策略和危機溝通策略等所有的方面。

2.4 業務連續性計劃

組織應建立響應中斷事件以及如何在預定的時間內繼續或恢復活動的文件化程序。此程序應能針對使用者提出要求。這就是業務連續性計劃，業務連續性計劃應該涵蓋中斷事件的應急響應、危機溝通、資源恢復、業務恢復、重建和返回等整個過程，其中包含了事先制定的一系列預案、措施、程序或作業手冊等。

2.5 演練和測試

演練和測試的目的在于保證組織的業務連續性程序符合其既定的目標。

綜上所述，業務連續性管理的框架應該是一個持續改進的過程，如圖3所示。

圖3 業務連續性管理的框架

3 標準

目前發布的與業務連續性管理相關的金融行業標準如表2所示。

表2 與業務連續性管理相關的金融行業標準

JR/T 0044—2008發布于2008年2月13日，自2008年2月13日起實施。目前仍為現行標準。災難恢復能力等級分為1～6級，6級最高，這是在GB/T 20988—2007《信息安全技術 信息系統災難恢復規范》中已經確定的。在JR/T 0044—2008中給出了更具體的RTO和RPO等參數要求。其架構大致如圖4所示。

圖4 JR/T 0044—2008的框架

JR/T 0207—2021發布于2021年2月7日，自2021年2月7日起實施。在JR/T 0207—2021中，“多活”和“多地理節點并行工作能力”是同義詞，指的是信息系統利用兩個及以上多地理節點部署的信息系統協同工作，實現業務并行多點接入、業務并行多點處理、數據并行多點存儲的能力。當部分地理節點的信息系統發生災難或故障時，只有部分業務受到影響，并且部署于其他地理節點的信息系統可以及時完成業務接管。JR/T 0208—2021發布于2021年2月7日，自2021年2月7日起實施。金融信息系統多活技術屬于災難備份的范疇，而災難備份本身是網絡安全/信息安全的控制域。JR/T 0209—2021發布于2021年2月7日，自2021年2月7日起實施。JR/T 0209—2021結合多活技術的特性和金融信息系統的功能，將信息系統的應用場景分為流水型系統、賬戶型系統、計算型系統和查詢型系統。對于不同應用場景多活技術的應用效果和應用策略存在差異，據此，JR/T 0209—2021中分別進行了描述。JR/T 0207—2021、JR/T 0208—2021和JR/T 0209—2021是系列標準。

4 小結

業務連續性管理與信息安全聯系緊密，信息系統的業務連續性往往是業務連續性的前提，就框架而言，兩者也基本是一致的。例如，無論是ISO/IEC 27001:2013還是ISO 22301:2019，都以PDCA為框架，因此存在良好的整合基礎。組織在部署過程中，應該盡量將諸多管理系統整合在一起。