灾备外包重在审计.docVIP

灾备外包重在审计 　　编者按：从9?11事件到最近发生的海啸，从火灾到爆炸，不断出现的灾难使关键行业时时面临毁灭的威胁。为了确保业务免受灾难影响或将影响降到最低，灾难备份、灾难恢复、业务连续性管理等话题逐渐引起人们的重视。 　　其中，业务连续性管理（Business Continuity Management，简称BCM）是一项综合管理流程，它能使企业认识到潜在的危机和相关影响，制订响应、业务和连续性的恢复计划，其总体目标在于提高企业的风险防范能力，有效地响应非计划的业务破坏并降低不良影响。 　　不过，要实现业务连续性管理，仅仅依靠数据备份还远远不够。由于对灾难预知的不足，许多做了数据备份的企业未能从中获利的例子并不少见。那么，国内的现状如何？企业如何才能建好灾难备份中心，并制定合适的灾难恢复计划？针对这些问题，本栏目特组织了“业务连续性管理”专题，希望对企业及其他机构的业务连续性管理有所助益。 　　 　　外包与自建该如何选择？用户该如何挑选合适的服务商？广发行用自己的实践与经验对此作出了解答。 　　在进行灾难备份中心建设时，是采取自建还是外包模式？在具体的建设过程中又有哪些问题值得注意？对于这些问题的解答，目前无疑还需要用户不断摸索和实践。 　　在广东发展银行（以下简称广发行）的灾备中心建设中，我们选择了外包模式。广发行成立于1988年9月，是第一家经国务院和中国银行批准组建的股份制商业银行，银行总部设在广州，目前在全国有26家分行、500多个局域网点，主要分布在长江三角洲、珠江三角洲以及渤海地区。经过仔细分析后，我们认为通过外包模式来建立我们的灾难备份中心更为合适。 　　 　　采用外包模式 　　 　　2003年，广发行完成了全行的数据集中工作，与此同时，银行领导开始考虑灾难备份中心的建设问题。经过一段时间的调查与分析，广发行最终决定采用外包的方式来建立灾难备份中心。 　　选择外包模式来建设灾难备份中心，广发行有着自己明确的目标和考虑。 　　首先，通过外包服务建设专业的灾难备份中心机房设施和业务恢复的环境，广发行不必自己去建设灾难备份中心，以及机房的环境。 　　其次，通过外包服务，广发行可以获取专业、科学的咨询服务。这种咨询服务不仅包括风险、业务影响的问题，也包括了整个应急响应体系的建设，以及灾难备份预案的制定和演练。 　　第三，广发行可以通过外包服务获取信息系统和数据的灾难备份与业务恢复能力。 　　第四，通过外包服务，广发行可以建立健全灾难备份中心的运营管理体系，保障银行灾难备份系统安全稳定地运行，保障灾难备份中心的可用性和快速响应。 　　为了实现上述目标，广发行首先对整个灾难备份中心做整体规划，然后分步实施。建设的范围包括银行的日常业务，如信用卡业务、银行卡交易渠道。另外，广发行的灾备中心还包括了一个呼叫中心。将呼叫中心的接口加进灾难备份中心，广发行的考虑是：客户服务中心是与客户沟通的很好的渠道，当灾难发生时，它可以成为一个解决问题的好渠道。 　　 　　模式选择费心思 　　 　　为什么广发行会选择外包的模式来建设灾难备份中心呢？这是费了一番心思的。 　　建立灾难备份中心，首先要考虑的就是资金投入问题。这是所有的银行都会遇到的问题。起初，广发行也考虑过自己建设灾难备份中心，也做过相应的计划、方案和预算。经过科学合理的计算，广发行发现，自己建设灾难备份中心，银行要自己建大楼、装修机房、买相应的系统软硬件，预计需要投入大概一个亿的资金。而且自建中心还要投入大量的设施维护费用和人工费用等，仅中心运营费一年就需要一千万元左右。而通过外包的方式来建设灾难备份中心，费用比自建要划算得多。 　　其次，建设的周期也是一个需要考虑的问题。如果广发行自己建设灾难备份中心，从开始到实施，起码要18个月，特别一期的工作是最难控制的阶段，往往会花费更多的时间，这样就不止18个月了。而通过外包服务的方式，从开始到完成最多只用10个月。 　　灾难备份中心建设是一个非常复杂的系统工程，涉及到专业的信息技术、很多的业务管理信息，以及大量的外部资源，这需要专业的协调、沟通和管理能力，难度相当大，而银行往往又缺乏相应的经验。如果采用外包的方式，让更专业的公司来做这一复杂的系统工程效果会更好。 　　灾难备份中心的运营和管理需要一支专业的运行管理队伍，这不太可能完全由生产中心来负责，所以就一定要成立相应的专职队伍。而这样一支队伍要达到一定水平，需要很长的一段时间，没有三年是不可能的。 　　建设灾难备份中心最终是为了应用，是为了实现业务连续性管理。然而，灾难备份中心的可用性管理面临着巨大的挑战，如果自己建设灾难备份中心的话，灾难备份中心可用性管理是银行内部IT部门来管理的。这种在繁忙的工作当中进行内部管理，很有可