GB/T 31595-2015 公共安全 业务连续性管理体系 指南

ICS13200

A90.

中华人民共和国国家标准

GB/T31595—2015/ISO223132012

:

公共安全业务连续性管理体系指南

Societalsecurity—Businesscontinuitymanagementsystems—Guidance

(ISO22313:2012,IDT)

2015-06-02发布2016-01-01实施

中华人民共和国国家质量监督检验检疫总局发布

中国国家标准化管理委员会

GB/T31595—2015/ISO223132012

:

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

组织环境

4…………………1

了解组织和组织环境

4.1………………1

理解相关方的需求和期望

4.2…………2

确定管理体系的范围

4.3………………3

业务连续性管理体系

4.4………………3

领导力

5……………………4

领导力和承诺

5.1………………………4

管理承诺

5.2……………4

方针

5.3…………………4

组织的角色职责和权力

5.4、……………5

策划

6………………………5

应对风险和机会的措施

6.1……………5

业务连续性目标和实现计划

6.2………………………5

支持

7………………………6

资源

7.1…………………6

能力

7.2…………………7

意识

7.3…………………8

沟通

7.4…………………9

存档信息

7.5……………9

实施

8………………………11

实施的策划和控制

8.1…………………11

业务影响分析和风险评估

8.2…………13

业务连续性策略

8.3……………………15

建立和实施业务连续性程序

8.4………………………21

演练和测试

8.5…………………………29

绩效评估

9…………………30

监视测量分析和评价

9.1、、……………30

内部审核

9.2……………32

管理评审

9.3……………33

Ⅰ

GB/T31595—2015/ISO223132012

:

改进

10……………………33

不符合和纠正措施

10.1………………33

持续改进

10.2…………………………34

参考文献

……………………35

Ⅱ

GB/T31595—2015/ISO223132012

:

前言

本标准按照给出的规则起草

GB/T1.1—2009。

本标准使用翻译法等同采用公共安全业务连续性管理体系指南英文

ISO22313:2012《》(

版仅有编辑性修改

),。

与本标准中规范性引用的国际文件有一致性关系的我国文件如下

:

公共安全业务连续性管理体系要求

———GB/T30146—2013(ISO22301:2012,IDT)

本标准由全国公共安全基础标准化技术委员会提出并归口

(SAC/TC351)。

本标准起草单位中国标准化研究院中国信息安全认证中心广发银行招商银行

:、、、。

本标准主要起草人王金玉秦挺鑫魏军林德明董晓媛高旭磊邢立强杨正科尤其

:、、、、、、、、。

Ⅲ

GB/T31595—2015/ISO223132012

:

引言

总则

本标准在适当时为的要求提供指南并提供与要求相关的推荐宜和允许可建

ISO22301:2012,()()

议为业务连续性的各个方面提供通用指南不是本标准的意图

。。

本标准和虽标题相同但并不是重复业务连续性管理体系要求相关术语和定义组织

ISO22301、。

希望了解上述内容请参照和

ISO22301ISO22300。

本标准使用的示图是为了进一步澄清和解释关键点这些示图只为说明目的相关内容优先参考

。,

标准正文

。

业务连续性管理体系强调以下重要性

(BCMS):

了解组织的需求和建立业务连续性方针与目标的必要性

———;

实施和运行控制以及实施和运行措施来管理组织应对中断事件的整体能力

———;

监视和评审绩效和有效性

———BCMS;

基于目标测量的持续改进

———。

业务连续性管理体系与其他管理体系类似也包括以下关键因素

,:

方针

a);

有明确职责的人员

b);

与管理过程相关的

c):

方针

1);

策划

2);

实施和运行

3);

绩效评估

4);

管理评审

5);

改进

6)。

一套可提供审核证据的文件

d);

任何与组织相关的业务连续性管理体系过程

e)。

业务连续性对一个组织而言是特定的但在执行过程中可能要涉及到其他的群体和第三方一个

,。

组织很可能有他依赖的和依赖他的外部组织业务连续性有助于构建更具弹性的社会

,。

策划-实施-检查-改进PDCA模型

本标准采用策划实施检查改进模型来策划建立实施运

“(Plan)-(Do)-(Check)-(Act)”(PDCA),,,

行监视评审保持和持续改进组织的有效性

,,,BCMS。

图说明了如何把相关方业务连续性管理要求作为输入并通过必要的措施和过程产生

1BCMS,,

满足这些要求的连续性输出例如受控的业务连续性

()。

Ⅳ

GB/T31595—2015/ISO223132012

:

图1应用于BCMS过程的PDCA

表1PDCA模型的解释

策划建立与改进业务连续性管理相关的业务连续性方针目标控制措施过程和程序以提供与

、、、,

建立组织的总方针和目标相一致的结果

()

实施

实施和运行业务连续性的方针控制措施过程和程序

实施和运行、、

()

检查对照业务连续性方针和目标监视和评审业务连续性的绩效并将结果报告管理者以供评审

,,,

监视和评审确定和授权纠正和改进措施

()

改进基于管理评审以及重新评审的业务连续性管理体系的范围方针和目标的结果采取纠正措

、,

保持和改进施以持续改进

(),BCMS

本标准中PDCA组成部分

本标准中各章节和图内容间对应关系如下表所示

1:

表2PDCA模型与第4章到第10章之间对应关系

组成部分与组成部分对应的章节

PDCAPDCA

第章组织环境阐述了组织做什么以确保满足要求并考虑

4()BCMS,

所有相关的外部和内部因素包括

,:

相关方的需求和期望

———;

法律法规责任

———;

所要求的范围

———BCMS

策划

第章领导力阐述了管理者在证明承诺确定方针建立角色职责

建立5()、、、

()和权力方面的关键作用

第章策划描述建立整体的战略目标和指导原则所需的措施

6()BCMS。

为业务影响分析风险评估和业务连续性策略建立环境

,(8.2)(8.3)

第章支持识别支持所需的关键要素即资源能力意识

7()BCMS,,,,

沟通和存档信息

实施第章实施识别实现业务连续性所需的业务连续性管理

8()(BCM)

实施和运行要素

()

检查

第章绩效评估通过绩效测量和评估提供改进基础

监视和评审9()BCMS

()

改进

第章改进包括通过绩效评估识别针对不符合所采取的纠正措施

保持和改进10()

()

Ⅴ

GB/T31595—2015/ISO223132012

:

业务连续性

业务连续性是在中断事件发生后组织在预先确定的可接受的水平上连续交付产品或提供服务的

,

能力是实现业务连续性的过程并使组织准备处理有可能妨碍实现其目标的中断事件

。BCM。

将置于管理体系框架和原则下来建立以使可控可评估和可持续改进

BCMBCMS,BCM、。

本标准中业务一词泛指组织为实现其目标目的或使命而开展的运营和服务该词本身适用于

,、。

大中小型的工业商业公共和非盈利组织

、、、、。

任何事件无论大小自然的意外的或蓄意的都可能会使组织的运营及其交付产品和服务的能力

,、、,

发生严重的中断因此只有在中断事件发生前而不是发生后实施业务连续性才能确保组织在所受影

。,,

响尚未严重到不可接受之前恢复业务的运行

。

包括

BCM:

清楚组织的关键产品和服务以及交付这些产品和服务的活动

a),;

了解恢复活动的优先级及其所需的资源

b);

清晰地了解活动所受到的威胁包括这些活动之间的依赖关系还要知道如果没有恢复这些活

c),,

动将会带来的影响

;

当中断事件发生时有准备好的经过测试并可靠的计划来重启活动

d),;

确保这些计划得到定期评审和更新从而使其在各种情况下都有效

e),。

业务连续性在处理突发中断事件例如爆炸和渐进中断事件例如流感大爆发时都是有效的

(,)(,)。

能够造成活动中断的事件非常多其中许多是难以预测和分析的由于业务连续性关注中断事件

,。

带来的影响而不是其产生的原因所以业务连续性识别出哪些是组织赖以生存的活动并使组织确定为

,,

履行其责任需确保哪些活动的连续性通过业务连续性组织能认识到在中断事件发生前需要做什么

。,

准备来保护其资源例如人房屋技术和信息供应链相关方以及声誉基于该认识组织能在中断

(:、、)、、。,

事件发生时务实地采取可能需要的响应从而能够自信地管理结果并避免造成不可接受的影响

,。

做好了适当的业务连续性准备的组织还能将高风险转化为机会

。

下面两图图和图试图从概念上来说明在某种情况下业务连续性是如何有效地减轻影响的

(23)。

两图中所示的各个阶段之间的相对距离并不表示特定的时间尺度

。

通过有效的业务连续性管理减轻中断事件的影响突发中断

———

图2业务连续性对突发中断有效的图解

Ⅵ

GB/T31595—2015/ISO223132012

:

通过有效的业务连续性管理减轻中断事件的影响渐进中断

———

图3业务连续性对渐进中断有效的图解

Ⅶ

GB/T31595—2015/ISO223132012

:

公共安全业务连续性管理体系指南

1范围

本标准基于良好实践为业务连续性管理体系的策划建立实施运行监视评审保持和持续改

,、、、、、、

进文件化的管理体系提供指南以使组织能够在中断事件发生时准备响应并进行恢复

,,、。

本标准目的不是要制定统一的结构而是为组织设计一个适合组织自身需要和满足其相关

BCMS,

方要求的这些需求由法律法规组织和行业要求产品和服务所采用的过程运行环境组织

BCMS。、、、、、,

的规模和结构以及相关方的要求等方面构成

。

本标准是通用的并适用于包括大中小型从事工业商业公共和非盈利等所有规模和类型的组

、、、、

织以期

,:

建立实施保持和改进

a)、、BCMS;

确保与组织的业务连续性方针保持一致

b);

做出符合本标准的自我声明

c);

本标准不可用于评估组织的能力是否满足其自身业务连续性要求也不能用于评估是否满足

d),

其客户法律或者法规的要求组织可以使用的要求向其他组织证明其符合性或

,。ISO22301,

者使其通过获得被认可的第三方认证机构的认证

BCMS。

2规范性引用文件

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

。,()。

管理体系审核指南

ISO19011

公共安全术语

ISO22300

公共安全业务连续性管理体系要求

ISO22301

公共安全演练和测试指南

ISO22398

3术语和定义

和中界定的术语和定义适用于本文件

ISO22300ISO22301。

4组织环境

41了解组织和组织环境

.

本部分是关于了解建立和管理相关的组织环境的建立和管理是