业务可持续性

1 范围

本程序规定了当发生重大信息安全事件或灾难时，为保护公司业务活动免受影响,迅速恢复已中断的业务活动，实现公司业务持续发展而实施的管理活动。

本程序适应于本公司生产运营、商务等主要业务的持续性管理.

2 职责

2。1 公司事故应急小组负责公司业务中断恢复的总指挥与总协调.

2。2 行政部负责编制、修订公司业务持续性管理程序,并协调、推进公司业务持续性管理活动。

2.3 业务部门负责对外客户的联络， 负责推进公司业务的发展.

2。4 采购部门负责对供应商采购产品的调配， 确保生产的顺利进行。

2。5 生产部门根据业务部门协调，积极组织生产, 确保生产任务及时完成.

3 程序内容

公司业务持续性管理过程规定如下:

3.2 业务持续性和影响的分析

3.2。1 公司在首次安全风险评估后进行业务持续性和影响的分析。

3.2.2 业务持续性和影响的分析由行政部组织，其他各相关部门分别开展以下活动：

a) 对本部门的信息安全进行风险评估；

b) 识别出对本部门业务持续性造成严重影响的主要事件,如设备故障、火灾等;

c） 分析这些事件一旦发生对公司业务活动造成的影响和损失,以及恢复业务所需费

用等；

d) 编写［业务持续性和影响分析报告]，详见附录A 。

3。2。3 ［业务持续性和影响分析报告］应包括以下内容:

a） 识别关键业务的管理过程；

b) 可能引起公司业务活动中断的主要事件；

c） 主要事件对本部门管理的信息系统的影响；

d) 信息系统故障或中断对公司业务活动的影响;

e) 关于系统恢复或替换的费用考虑.

3.3 编制[业务持续性管理实施计划]

由风险评估小组制订组织级《业务持续性管理实施指南》，详见附录 B,并提交公司事故应急小组讨论,经批准后予以执行。

3.3。1 根据组织级《业务持续性管理实施指南》,各相关部门分别编制本部门管理的[业务持 续性管理实施计划]，并由事故应急小组批准，以便在这些系统发生中断时实施. 3.3.2 [业务持续性管理实施计划]包括以下方面的内容：

a) 计划实施所涉及的部门/人员的职责、权限及接口关系的描述； b) 业务中断的速报程序及要求； c） 业务中断的恢复程序及方法； d) 业务中断的恢复时限要求；

e) 保持公司业务运作连续应采取的应急措施与备用措施；

3.4 [业务持续性管理实施计划］的实施要求

上述重要系统一旦受到重大影响或中断后，有关部门应立即执行[业务持续性管理实施计划]，对系 统采取应急措施、进行恢复，确保公司生产经营活动的持续运行。同时,应做好事故处理记录，记录内容应包括：

a） 对系统中断原因的调查分析; b) 系统中断造成损失的统计； c) 采取的纠正措施；

d) 应吸取经验教训及预防措施等。

3.5 业务持续性计划的测试与评审

3.5.1 每年下半年由运管部组织有关部门对[业务持续性管理实施计划]进行测试，以判断计划的可行性和有效性。测试可采用以下方法进行：

a) 对已发生过的业务中断及恢复措施实例进行讨论; b) 组织有关部门进行业务中断及恢复的模拟演练；

c） 采用技术手段对系统运行及中断恢复的相关参数进行测量；

d) 由供应商提供测试服务，确保所提供的外部服务和产品符合合同要求; e) 测试完成后填写[业务持续性管理计划评测报告］。

附录A (资料性目录）

业务持续性和影响分析报告

1 目的

为防止公司生产、经营、管理活动在出现重大事故/危机或灾难的情况下受到影响或中止，实现业务可持续发展,对信息系统在出现故障、灾难情况下,对本公司的业务影响做出分析. 2 故障/灾难风险种类分析

影响业务可持续性的风险主要有:

a) 地震（非建筑物毁灭） 、水灾、火灾、台风、雷击等环境故障造成信息系统中断甚至毁灭；

b) 电源故障造成设备断电以至生产中止；

c) 主要原材料供应商遭遇事故, 而无法及时供应原材料； d) 生产设备故障, 造成生产进度无法及时完成. 3 故障/灾难对公司业务的影响 表 1。故障/灾难的影响 序号 1 2 3 4 5 6 7 8 灾害/故障 地震 水灾 火灾 台风 雷击 断电 生产设备故障 供应商无法及时供货 公司业务的影响 公司生产经营中止，业务受到影响。 公司生产中止， 业务受到影响 公司生产受到影响，公司业务中断。 对生产影响轻微，不影响业务 造成断电, 生产中止 生产中止，业务受到影响。 无法按照预定生产进度生产， 影响公司出货 无法按照预定生产进度生产， 影响公司出货 程度 中 小 重大 小 中 中 中 重大 备注 根据故障/灾难一旦发生后对信息系统和业务影响，对中等以上的，确定防范措施，对影响重大的进行业务连续性恢复分析策划。 4 信息系统故障/灾难防范和恢复分析 表 2. 信息系统故障/灾难防范和恢复分析表 序号 1 2 3 灾害/故障 地震 火灾 雷击 防范措施 建筑结构抗震 设置消防器材 避雷装置,建筑接地,抗静电地板 与相关方签订协议保证供电 平时对机器进行保养和维护 与供应商签订优先供货合同 恢复措施 视情况而定 目前无法测试,视 用自用发电机进行发电 要求维修工人及时维修 迅速联系备用供应商进行供货 恢复要求 视情況而定 RPO=7 天 RTO=7 天 目前无法测试,视 根据停电的具 体原因恢复时 间不同 视情況而定 视情況而定 4 断电 5 6 生产设备故障 供应商无法及时供货 上述灾难恢复能力根据业务要求确定，为第 1级—基本支持级.

5 分析总结

根据上述信息系统故障/灾难防范和恢复分析，对火灾引起的信息系统中断按《业务连续性管理实

施计划》进行恢复。

附录B (资料性附录）

业务持续性管理实施指南

为了减少重大故障与突如其来的灾害给公司正常工作带来的影响，将其带来的损失最小化,特制定以下具体措施要求如下: 业务中断 事件 发生几率 造成的影响 允許中断時间/小時 控制措施 系統恢复時 限要求/小 時 测试 系統恢复時 停 电 有时 1.短时间停电给2 工作造 成暂时的中断. 2。较长时间的停电对工 作正常进行造成一定的 障碍. 个别机器不能正常工 作，但对工作的总体影 响不大 3 作正常进行造成一定的 采用备用发电机发电 否 行政管 理中心 生产机器 随时可能发生机 器故障，但多台 机器同时故障概 率极小 1. 及时抢修 2. 留有备用机器 3. 联络工作机供应商. 根据不同故 障，修理时 间不同 测试供应商 可在一个工 作日里完成 故障修理。 否 行政管 理中心 外来人员破 坏 1.公司大个别工作场所楼门卫 的资料有 负责。 外泄的可能 2.进入公司须在 门卫处进行来访 登记。 行政管理中心负 责定期检查灭火 设备，发生的可 能性很小。 办公楼灾火 无法正常工作 2 1。 严防不明2 人员进入公司. 2。 来访人员登记进入，与业务无关的人员不得进入工作 场所。 1. 按要求配根据火灾面 备防火器材，定积而不同 期检查有效性。 2。 工作间内严禁吸烟,不得使用与业务无关的电器。如 遇火灾，迅速联络消防部门,并在灭火前后控行政管理中心 火 灾 1 否 行政管 理中心 制公司 信息流向，进行保密处理。 3。 重要数据保有备份。重要纸面资料放置在柜子中。 洪 水 地 震 极小 地区性灾难 公司可临时搬情況而定 迁，进行工作。 视情而定 如果城市预警通知，提前与客户协商解决方案. 启用备用供应商,对原材料进行供货 情況而定 否 行政管 理中心 行政管 理中心 极小 地区性灾难 否 供应商无法及时供货

低 生产无法按照进度进行， 可能会影响交货期 3天 3天 否 采购部门