ISO27000：2013業(yè)務(wù)影響分析和風(fēng)險(xiǎn)評(píng)估報(bào)告

業(yè)務(wù)影響分析IT服務(wù)風(fēng)險(xiǎn)評(píng)估報(bào)告文檔編號(hào)：LS-ITSMS-FX-2019記錄版本：A/0

版本記錄變更說(shuō)明版本號(hào)日期編寫(xiě)人審批人新編寫(xiě)A/02019/2/13張冬娜宋仲偉TOC\o"1-5"\h\z\o"CurrentDocument"概述 1\o"CurrentDocument"1.1目的 1\o"CurrentDocument"1.2業(yè)務(wù)影響分析和信息技術(shù)服務(wù)風(fēng)險(xiǎn)分析概述 1\o"CurrentDocument"基本定義 2\o"CurrentDocument"2.1 業(yè)務(wù)影響度級(jí)別的定義 2\o"CurrentDocument"2.2風(fēng)險(xiǎn)級(jí)別的定義 22.2.1威脅發(fā)生的可能性P 22.2.2威脅對(duì)關(guān)鍵業(yè)務(wù)的影響程度I 3\o"CurrentDocument"業(yè)務(wù)影響分析 3\o"CurrentDocument"影響關(guān)鍵業(yè)務(wù)的信息技術(shù)服務(wù)風(fēng)險(xiǎn)分析 3概述1.1目的《業(yè)務(wù)影響分析和信息技術(shù)服務(wù)風(fēng)險(xiǎn)分析報(bào)告》是根據(jù)IT技術(shù)服務(wù)信息技術(shù)服務(wù)風(fēng)險(xiǎn)分析（BusinessImpactAnalysis以下簡(jiǎn)稱BIA）對(duì)IT服務(wù)的重要性、關(guān)聯(lián)性進(jìn)行分析，當(dāng)IT服務(wù)風(fēng)險(xiǎn)發(fā)生時(shí)，為了使業(yè)務(wù)活動(dòng)能夠持續(xù)運(yùn)作，明確恢復(fù)業(yè)務(wù)所依賴的重要組件，并針對(duì)各類(lèi)信息技術(shù)服務(wù)風(fēng)險(xiǎn)制定相應(yīng)的處理1.2業(yè)務(wù)影響分析和IT服務(wù)信息技術(shù)服務(wù)風(fēng)險(xiǎn)分析概述業(yè)務(wù)影響分析（BIA）幫助確定在關(guān)鍵IT服務(wù)不可用的情況下，各部門(mén)的業(yè)務(wù)處理中斷所造成的后果。BIA定量及定性地分析不同時(shí)間段的中斷所造成的損失，并且確定至關(guān)重要的業(yè)務(wù)功能及相互依賴性。最重要的是，BIA為管理層提供了可靠的數(shù)據(jù)反映災(zāi)難潛在的影響和可能的損失，為設(shè)定優(yōu)先級(jí)并選擇適合的恢復(fù)策略奠定了基礎(chǔ)。業(yè)務(wù)影響分析是為災(zāi)難恢復(fù)制定計(jì)劃的第一步。它為管理層提供了清晰的、充分的以及準(zhǔn)確的信息，從而能夠?qū)ζ髽I(yè)的災(zāi)難恢復(fù)策略做出正確的決策。信息技術(shù)服務(wù)風(fēng)險(xiǎn)分析是對(duì)影響關(guān)鍵業(yè)務(wù)連續(xù)性的威脅發(fā)生的可能性以及一旦發(fā)生后造成的影響進(jìn)行評(píng)估，從而識(shí)別高級(jí)別的風(fēng)險(xiǎn)。管理層根據(jù)這些信息以決定：?從恢復(fù)的角度判斷各個(gè)業(yè)務(wù)系統(tǒng)的重要性；?在引起災(zāi)難性后果之前，至關(guān)重要的業(yè)務(wù)功能或應(yīng)用系統(tǒng)必須在多長(zhǎng)時(shí)間內(nèi)恢復(fù)運(yùn)行；?哪種是能夠滿足恢復(fù)時(shí)間要求的最可行的恢復(fù)策略；?需要什么資源才能將至關(guān)重要的應(yīng)用系統(tǒng)恢復(fù)到最基本的運(yùn)行;?哪些因素必須預(yù)先考慮，才能滿足恢復(fù)時(shí)間的要求；?這些信息以及相應(yīng)的決策構(gòu)成了連續(xù)性策略的基礎(chǔ)?；径x2.1業(yè)務(wù)影響度級(jí)別的定義業(yè)務(wù)影響度取值描述高5此業(yè)務(wù)/功能對(duì)公司業(yè)務(wù)系統(tǒng)智慧云、Seafile運(yùn)行維護(hù)業(yè)務(wù)極其重要，業(yè)務(wù)影響度為高，一旦此業(yè)務(wù)/功能中斷將會(huì)對(duì)造成極大的沖擊與影響。較高4介于5和3之間。中3此業(yè)務(wù)/功能對(duì)公司業(yè)務(wù)系統(tǒng)智慧云、Seafile運(yùn)行維護(hù)比較重要，業(yè)務(wù)影響度為中，一旦此業(yè)務(wù)/功能中斷將會(huì)對(duì)造成一定的沖擊與影響。較低2介于5和3之間。低1此業(yè)務(wù)/功能對(duì)公司業(yè)務(wù)系統(tǒng)智慧云、Seafile的重要性一般，業(yè)務(wù)影響度為低，一旦此業(yè)務(wù)/功能中斷對(duì)帶來(lái)的沖擊與影響一般。2.2風(fēng)險(xiǎn)級(jí)別的定義R=P*I2.2.1威脅發(fā)生的可能性P賦值范圍為廣5,定義如下：級(jí)別取值標(biāo)準(zhǔn)描述高5從威脅的驅(qū)動(dòng)因素來(lái)看，該風(fēng)險(xiǎn)極有可能會(huì)發(fā)生；或以前曾經(jīng)發(fā)生過(guò)多次；或以前發(fā)生數(shù)次，并且該安全事件呈上升趨勢(shì)。中3從威脅的驅(qū)動(dòng)因素來(lái)看，該風(fēng)險(xiǎn)可能會(huì)發(fā)生；或過(guò)去曾發(fā)生過(guò)該風(fēng)險(xiǎn)；或雖然沒(méi)有發(fā)生，但沒(méi)有控制措施到位；低1從威脅的驅(qū)動(dòng)因素來(lái)看，該風(fēng)險(xiǎn)發(fā)生的可能性較??；或過(guò)去很少發(fā)生；或已經(jīng)有控制措施到位

2.2.2威脅對(duì)關(guān)鍵業(yè)務(wù)的影響程度I賦值范圍為廣5,定義如下：級(jí)別取值描述高5風(fēng)險(xiǎn)發(fā)生后，可能導(dǎo)致公司業(yè)務(wù)系統(tǒng)智慧云、Seafile長(zhǎng)時(shí)間（二天以上）的中斷，相關(guān)的活動(dòng)均受到影響，公司業(yè)務(wù)及相關(guān)管理活動(dòng)、經(jīng)濟(jì)等受到嚴(yán)重的損失。中3風(fēng)險(xiǎn)發(fā)生后，可能導(dǎo)致公司業(yè)務(wù)系統(tǒng)智慧云、Seafile短時(shí)間中斷（一天之內(nèi)），造成一定的損失。低1風(fēng)險(xiǎn)發(fā)生后，可能導(dǎo)致公司業(yè)務(wù)系統(tǒng)智慧云、Seafile的不正常運(yùn)作，相關(guān)損失較少。業(yè)務(wù)影響分析業(yè)務(wù)影響分析結(jié)果將記錄入服務(wù)目錄中，詳見(jiàn)服務(wù)目錄。影響關(guān)鍵業(yè)務(wù)的信息技術(shù)服務(wù)風(fēng)險(xiǎn)分析序號(hào)風(fēng)險(xiǎn)威脅發(fā)生可能性（P）威脅對(duì)關(guān)鍵業(yè)務(wù)的影響程度（I）風(fēng)險(xiǎn)（R）1.火災(zāi)25102.水災(zāi)25103.爆炸1554.地震1555.突發(fā)公共衛(wèi)生事件（如SARS）3396.電力中斷（八小時(shí)以上）25107.惡劣天氣（如沙塵