业务连续性计划 (BCP)：它是什么以及如何制定一个
业务连续性计划是确保企业能最大程度减少与数据泄露、网络攻击或其他灾难相关的损失的重要步骤。本文将探讨业务连续性规划的重要性、如何制定 BCP以及如何改进和审查您的计划。
复制文章链接
链接已复制
作者：Avast 商业团队
发布日期：2021年12月15日
什么是业务连续性计划？
业务连续性计划 (BCP)
概述了一种防止和从潜在威胁中恢复的过程，以应对意外事件，例如网络攻击、 或 。它可以确保快速反应，从而减少影响并缩短恢复时间。
本文包含：
本文包含：
查看所有
本文包含：
为了使 BCP 有效，它应非常详尽，涵盖短期和长期规划，涉及可能受影响的每个业务领域。这应包括资产、人员、业务流程以及合作伙伴/客户。
由于灾难恢复计划的主要关注点是 IT 恢复，因此应将其纳入 BCP，以提供多种场景下维持运营的清晰路线图。
为什么业务连续性规划很重要？
拥有计划意味着您可以快速、果断地做出反应，从而减少干扰——在危机时刻维护客户信任的关键。因此，业务连续性规划对所有规模的企业都是至关重要的。
任何形式的干扰，从软件故障到火灾，都会严重影响生产力并增加成本。如果所有员工都不遵循最佳实践，来自
、 和
的
也可能导致重大干扰。
虽然对于大型企业而言经济损失会更高，但对利润较小的公司来说，影响可能是灾难性的，因为罚款或处置费、恢复费用和业务损失的累计成本可能迅速增加。对于两者而言，必须尽量避免失去客户信任——有些损失是无法通过保险来弥补的。
虽然业务连续性计划无法预见所有事件，但采取全面的方式可以确保在任何类型的危机期间提供明确的指导，确保事情保持运转、保护敏感数据并保留客户。
如何制定您的业务连续性计划
在制定业务连续性计划之前，重要的是对您的业务及其流程进行评估。从安全的角度来看，
将有助于增强现有的安全措施，并识别哪些威胁发生的可能性最大。同样，花时间审查现有流程也可以帮助识别新的效率。
在此时实施
可以帮助识别数据安全中的薄弱点，并为您的 BCP 的创建提供信息。
业务连续性计划（BCP）将与事件相关的各种团队、风险、策略和培训集中到一份处理文档中。
业务连续性计划中应包括什么？
虽然不同组织的要求有所不同，但有效的业务连续性计划的关键组成部分如下：
1. 创建规划团队
团队的规模取决于您组织的规模，但应包括每个部门的经理。此外，应为 IT、设施、财务和人力资源等关键领域确定领导。
团队的任务是制定计划、向员工提供明确的方向和培训，并测试和审查，确保所列措施仍然是最有效的策略。
2. 识别风险
团队的第一个任务是进行业务影响分析 (BIA)。该分析是理想的起点，因为它将帮助您识别和优先考虑特定的安全、财务、运营等风险。
进行 BIA 可能是一个复杂的过程，但结果将是一个宝贵的文档，识别出您业务的关键风险以及它们如何受到各种潜在干扰的影响。
3. 降低风险
在识别风险后，下一步是审查现有流程，以确定可以采取哪些更改来减少问题的影响。这可以包括：
审查消防安全
实施修订的 IT 备份流程和
增加员工培训
准备应急供应商
更新网络安全政策和工具
4. 制定连续性策略
仅仅了解风险并不够。在灾难发生时，需要迅速而果断的行动以最小化影响并加快恢复。
连续性策略应提供明确的指南，确保在恢复期间维持可接受水平的运营。应回答以下关键问题，并提供具体的指示和信息，以确保方法的清晰性。这些问题包括：
是否有清晰的指南来访问数据备份？
关键人员和供应商的联系信息是否最新？
哪些任务可以外包？
是否有有效的远程工作政策？
如果无法访问互联网，是否有手动流程？
5. 实施和培训
连续性计划将与业务共同发展，必须保持为动态文档，并定期更新。为了识别需要改进的地方，您应确保定期测试处理和系统。
员工应接受一般流程的培训，并分配个人承担关键角色——就像您为识别消防员或急救人员一样。
示例
尽管具体细节会因公司大小和相关部门而异，以下示例展示了在数据泄露情况下需要采取的步骤：
确认攻击性质
立即通知所有员工
确定什么已被破坏
紧急防止进一步损害
更改受影响的密码并移除访问权限
修复数据并从备份中恢复
寻求外部支持
确定泄露发生的原因
根据需要通知客户和客户
确定泄露的影响和成本
进行评估并按需要加强安全
审查响应并调整 BCP
为员工提供更新培训
所有这些步骤在 BCP 中应有具体的指导。
如何测试您的业务连续性计划
不要等到灾难发生时才发现您的 BCP 是否足够。了解其有效性的最好方法是实施定期且严格的测试。应测量并将目标与之前的测试进行比较，以识别和修复可能遭受
或
的薄弱环节。
测试的频率各不相同，但许多公司每年会测试其业务连续性计划最多四次。由于 BCP的广泛和详细特性，有多种测试方法。最简单的测试方法是规划团队分析现有计划，识别薄弱环节和因公司变化（联系信息、供应商等）而需要更新的领域。
作为此过程的一部分，负责某一方面（例如网络安全）的人可以在关键审查之前向团队介绍其计划的要素，然后在使用最相关的灾难场景时进行重新评估。
还应每年进行模拟测试，以确定计划在现实场景中能否有效。这可以包括疏散演练和演习，以增强对连续性流程的信心。模拟应包括来自规划团队外部的员工，以引入新的视角，识别需要更多明确性或其他可能被忽视的方面。
改进和审查您的业务连续性计划
除了在测试过程中进行修订外，各部门的反馈将通过提供对政策和流程的专业视角来增强整体计划。根据公司结构，这个阶段可以在定期测试后进行，或在审查过程中实施。
要使业务连续性计划在长期内有效，必须予以支持。如果这变成了部门负责人每季度的任务，可能会导致其未被正确采纳，从而在危机发生时无法提供连续的服务。
相反，在组织内的所有员工都应接受培训，以了解自己的角色以及快速响应的重要性，以帮助限制影响。通过熟悉紧急流程，员工将感到更安全，并能更积极主动地应对任何情况。
保护您的业务安全
使用 Avast Business 的下一代企业杀毒软件，保护企业免受意外网络攻击——提供主动解决方案以防范高级网络攻击和勒索软件。
复制文章链接
链接已复制
获取下一代企业杀毒软件
从一个平台管理您的业务安全。获取 Avast 的
，提供量身定制的企业安全。
获取下一代企业杀毒软件
从一个平台管理您的业务安全。获取 Avast 的
，提供量身定制的企业安全。
获取下一代企业杀毒软件
从一个平台管理您的业务安全。获取 Avast 的
，提供量身定制的企业安全。
获取下一代企业杀毒软件
从一个平台管理您的业务安全。获取 Avast 的
，提供量身定制的企业安全。
本文包含：
你可能还会喜欢…
最新安全文章
什么是网络安全？](https://www.avast.com/c-b-what-is-
cybersecurity)
IT灾难恢复计划](https://www.avast.com/c-b-it-disaster-recover-plans)
什么是通配符证书，它是如何工作的？](https://www.avast.com/c-b-what-is-a-wildcard-certificate)
你可能还会喜欢…
- [IRS 身份保护 PIN：它是什么，如何获取？
