GB∕T30146-2023 《安全与韧性 业务连续性管理体系 要求》“8.4业务连续性计划和程序”理解与实施指导材料（2024A0）.docxVIP

“业务连续性计划和程序”理解与实施指导材料

PAGE1

PAGE1

GB∕T30146-2023《安全与韧性业务连续性管理体系要求》

“业务连续性计划和程序”理解与实施指导材料

过程预期结果

建立响应结构：组织应依据业务连续性计划和程序，设立专门的响应结构，确保中断事件得到迅速、有效地处理；

控制响应：该响应结构负责决定如何响应中断，调配资源，并监控整个响应过程的效果；

有效沟通：响应结构还需确保与所有相关方保持及时、准确的信息沟通；

快速恢复业务：利用业务连续性解决方案，响应结构应确保在设定的恢复时间目标（RTO）内，尽快恢复业务运行。

有关业务连续性计划和程序术语

计划；

为实现组织的目标，设定目的、指定必要的实施过程和相关资源的管理体系的一部分。

业务连续性计划（BCP）

用于指导组织在业务冲击时进行响应和恢复，并恢复提供满足业务连续性目标的产品和服务的能力的书面信息。

指导组织响应和恢复：业务连续性计划是组织在面临业务冲击或中断时的行动指南；

恢复提供满足业务连续性目标的产品和服务的能力：旨在确保组织能够继续提供满足业务连续性目标的产品和服务。着计划不仅要考虑恢复业务的过程，还要考虑恢复后的业务能够满足既定的质量、数量和时间等要求。

书面信息：业务连续性计划是以书面形式存在的，它详细记录了组织的恢复策略、关键业务流程、重要资源、联系方式、恢复时间目标（RTOs）和恢复点目标（RPOs）等信息。

出业务性方案和业务连续性计划的关系说明

业务连续性方案

业务连续性计划（BCP）

核心联系

定义

由最高管理者和适当的资源支撑的，为实施和保持业务连续性管理所进行的持续不断的管理和治理过程

用于指导组织在业务冲击时进行响应和恢复，并恢复提供满足业务连续性目标的产品和服务的能力的书面信息

业务连续性计划是业务连续性方案的重要组成部分和执行层面的具体体现

特点

－涉及高层领导的支持和跨部门的协调

－需要适当的资源投入，包括人力、物力和财力

－是一个持续的管理和治理过程，包括风险评估、计划更新和人员培训等

－是书面的指导文件，包含详细的响应和恢复策略

－明确了恢复业务所需的关键步骤、资源和时间

业务连续性方案提供了框架和指导，而业务连续性计划则详细描述了具体行动

目的

确保组织在面临潜在的中断事件时，其关键业务功能和过程能够持续运行或迅速恢复

指导组织在业务冲击时迅速响应和恢复，确保恢复后的业务满足既定的连续性目标

两者共同致力于保障组织的业务连续性和降低潜在风险

核心区别

更侧重于整个管理和治理过程，包括风险评估、资源分配和持续改进等

更具体地关注于业务冲击时的响应和恢复策略，是业务连续性方案的一部分或执行层面的文档

业务连续性方案更全面，业务连续性计划更具体

总则（8.4.1）：建立响应机制与程序化文件以保障业务稳定

组织应实施并保持响应机制以便于及时预警并与有关相关方进行沟通。响应机制应在中断期间提供计划和程序来管理组织。当需要时，应使用计划和程序来启动业务连续性解决方案。

注：业务连续性计划包括不同类型的程序。

建立响应机制与业务连续性计划

响应机制的重要性：组织需要建立并实施一个响应机制，以确保在潜在的业务中断事件发生时，组织能够迅速做出反应。响应机制不仅要能够及时发出预警，还要确保与有关相关方进行及时、有效地沟通。

计划和程序的作用（支持决策）：

响应机制应在业务中断期间提供明确的计划和程序来指导组织的管理和行动。计划和程序应明确指出在业务中断发生时，组织应立即采取的步骤，以确保快速、有效地响应；

计划和程序还应提供必要的信息和工具，协助管理层在关键时刻做出及时决策。它们是组织在面临中断事件时，启动业务连续性解决方案的基础。

业务连续性计划的构成（一个计划包括一个或多个程序）：业务连续性计划（BCP）是一个综合性的文档，它包括多种类型的程序，这些程序详细说明了在不同类型的中断事件发生时，组织应该采取的具体行动。这些程序可能涉及人员疏散、数据备份恢复、关键业务功能的恢复等多个方面。

明确的任务分配：业务连续性计划和程序需要为各种任务明确分配角色和职责，确保在中断事件发生时，每个人都清楚自己的职责和行动步骤。

制定全面灵活的业务连续性计划与程序，以策略为导向降低中断影响。

基于策略与解决方案构建（与业务连续性解决方案的一致性）：

组织在制定业务连续性计划和程序时，应以其选择的策略和解决方案为基础。计划和程序应与组织选定的业务连续性解决方案保持一致，以确保在中断发生时，组织能够迅速、有效地实施这些解决方案。

文件化要求：

业务连续性计划和程序应被形成文件，以确保信息的明确性、一致性和可追溯性。业务连续性计划和程序应包括：

明确规定中断期间应立即采取的步骤：步骤是组织迅速响应中断事件、恢复业务的关键行动指南；

灵活