业务连续性管理制度

业务连续性管理制度

第一条为了规范XXXXXXX局信息系统范围内的业务持续性管理流程，确保能够预先制定必要的、有针对的业务连续性计划，保障信息系统的

业务连续性。特制定本规定。

第二条本规定适用于XXXXXXX局信息系统管理和使用部门，包括信息中心、业务部门及其他相关部门。

第三条信息安全等级保护领导小组主要负责对业务影响分析及业务连续性计划进行审核批准，分配相应的资源支持业务连续性计划的测试、

演习和改善工作。

第四条局信息中心负责对信息系统的业务影响进行分析，组织相关人员编写相关的业务连续性计划，对相关人员进行培训，并对其进行演习

和修改完善。

第五条局12333电话咨询服务中心应对信息系统任何投诉、建议进行记录并及时反馈给局信息中心。

第六条其他相关部门应配合信息中心做好业务连续性计划演习，并对业务连续性计划提出改进建议。

第七条业务连续性计划是针对信息系统发生致命性故障或破坏性的灾难时，维持或恢复系统进行正常业务运行的管理计划。

第八条业务影响分析实质上就是对关键性的业务功能、以及当这些功能一旦失去作用时可能造成的损失和影响的分析。对于信息系统业务影

响主要有：

1）业务影响：由于系统运行中断造成的业务影响。

2）社会影响：造成对社会服务承诺的不能兑现，甚至引起社会的不稳定等。

3）符合性影响：造成业务运行不能符合管理制度和行业的标准、法律法规的要求等。

第九条业务连续性管理原则是必须在有计划及受控制的情况下，执行可预见的减少业务停顿、失败或灾难影响的措施，尽可能消除业务运行

的中断，保护关键业务功能免受重大故障或灾难的影响，避免和减

少可能导致系统关键业务中断事件的发生，减少意外事件所造成的

影响，缩短业务中断的恢复时间，保证信息系统关键业务运行的连

续性。

第十条信息安全等级保护领导小组应对业务连续性管理流程进行定期评审，尽可能及早发现问题、解决问题，尽量减少安全隐患对业务运行造

成的不利影响。

第十一条局信息中心应遵守业务连续性管理流程的要求，并组织培训、宣传等方式使信息系统所有相关人员能充分理解其含意。

第十二条应组织内部和外部审核来确保业务连续性管理流程切实执行。

第十三条识别系统业务功能：

1）定出业务系统中哪些是重要关键的业务功能，分出紧急先后次序，列在业务功能清单中。

2）定期对分析出来的业务功能进行检查，如有新的业务功能或某些业务功能不再适用，需要及时更新业务功能列表并且根据需要对

其进行所需的业务影响分析。

第十四条进行业务影响分析：

1）针对每个业务功能进行业务影响程度分析，影响程度从以下三个方面考虑：

a)业务影响

b)运营影响

c)社会影响

2）根据影响程度的评估,确定关键业务功能的影响级别。

3）影响程度级别的量化标准为：

a)高（相应值3）：此功能对业务系统极其重要，关键性级别极高，一

旦遭受损害，可能造成社会公众的重大影响或造成内部业务的不可运

行；

b)中(相应值2): 此功能对业务系统比较重要，关键性级别中，一旦遭

受损害，可能造成内部的较大影响；

c)低(相应值1): 此功能对业务系统的重要性一般，关键性级别低，一

旦其遭受损害，造成内部的轻微影响。

4）每个业务功能的总体业务影响级别由业务影响、运营影响以及社会影响三个方面的影响程度的相应值相加而得。

5）对于总体业务影响值在5分以下的业务功能，由于其影响程度较小，就不再继续对其进行下面的业务影响分析过程。

第十五条识别可能影响业务功能的安全事件：

1）确认会导致业务进程停顿的安全事件(灾难和安全控制失效)，应注意以下事项：

a)引起业务过程中断的事件，如设备故障、火灾、电力中断、地震等；

b)每一个中断可能发生的机率，恢复与替换的成本。

c)安全事件发生可能性级别划分说明：

d)高：出现的频率较高（或≥ 1 次/月）；或在大多数情况下很有可能会

发生；或可以证实多次发生过；

e)中：出现的频率中等（或> 1 次/半年）；或在某种情况下可能会发生；

或被证实曾经发生过；

f)低：威胁发生频率很低，预计长时间内都不会发生或一般不太可能发

生；或没有被证实发生过；