技术开发 频道

灾难恢复演练成功的8大步骤

【IT168 业界资讯】  在业务连续性越来越重要的今天,许多组织都表现出对灾难恢复演练状况的担忧。《2009年国际业务连续性计划管理基准报告》显示,在拥有成熟业务连续性计划的组织中,只有33%的组织进行了定期的演练以检验计划的可行性。

  在过去的9年里,笔者参加了无数次的灾难恢复演练,并且在演练过程中,担任过从规划者、观察者、评估者、参与者到主持人等几乎所有的角色。在多年经验的基础上,笔者认为,灾难恢复演练成功的秘诀是:简单化、持续化。

  本文将向读者介绍成功灾难恢复演练的8个步骤:

  1. 明确演练范围和参与人员

  2. 组建演练规划小组

  3. 设定演练目标

  4. 设计演练场景

  5. 设计演练评估清单

  6. 选择员工担任演练中的各种角色

  7. 召开演练前的指导会议

  8. 进行演练后的总结

  1. 明确演练范围和参与人员

  如果组织是第一次进行灾难恢复演练,不要尝试在演练中测试整个业务连续性计划,而应该选择计划中的一两个部分来进行测试。多次小规模的演练比一次大规模的演练能够让组织获得更多的价值。

  在明确了演练的范围后,组织需要确定演练的参与人员。参与人员通常是与演练范围相对应的执行人员,同时也可以包括熟悉演练范围的管理人员。

  预先明确演练范围和参与人员的好处在于,能够深入演练,加深理解,并控制规模。当组织逐渐适应这种演练时,就可以开始进行复杂的、测试整个计划的演练了。

  2. 组建演练规划小组

  这是一个关键的步骤,组织需要将一小部分演练参与人员纳入到规划小组中。小组成员也可以包括非具体执行人员,但他们必须了解演练范围内的业务和流程。规划小组至少应该包含一位公司高层,以增强规划的可信度。

  3. 设定演练目标

  让规划小组的每一个成员都了解本次演练的范围,并通过讨论设定演练的目标。组织第一次进行演练,目标应该设定在三个到五个之间--尽量简化每一次演练。并且,在测试过程中尽量让这些目标量化或者可视化。

  以下是演练目标设定的一些例子:

   验证灾难恢复流程的有效性

   验证应急通讯列表的可用性并及时更新

   让高层管理人员熟悉他们的角色和责任

   测试并提高员工的灾难恢复意识

   验证恢复时间目标(RTO)

  4. 设计演练场景

  灾难场景可以很简单,也可以很复杂。它可能是简单的一次火灾,也可能是恶劣天气之后的一系列事件。不论如何,该场景必须能够对预定的业务连续性计划某一(些)部分进行测试,并能够达到规划小组所设定的目标。

  在创建场景的时候,可以思考以下几个问题:场景是否可信?参与人员会相信该场景的可能性吗?该场景是否可能发生?是否能够获得一个积极的结果?是否足够简单?是否含有过于专业的术语以至于观众无法听懂?是否超越了参与人员的知识范围?场景解决方案是否过于简单?参与人员是否适合这一场景的设定?

  组织可以考虑使用一个曾经发生过的灾难事件作为场景,这一事件可能导致,或者曾经导致了组织的业务中断。同时,组织也可以通过参考风险分析报告,选择一个最有可能发生的会影响到业务的事件。当然,风险分析报告内的事件排序必须要被所有参与人员认可。还有一个方法是设计一个会突出已知缺点的场景,这种情况下,需要在演练中引导参与人员,让他们逐渐意识到这些缺点。

  设计灾难场景时,使用参与人员都知道的真实的地点,并使用城市、当地媒体、消防部门的名称,可以帮助提高场景的真实性。

  在演练的过程中,主持人需要逐渐给出更多的场景信息,并引导参与人员进行讨论,这要求掌握好时机,并最终能够导出一个具有逻辑性的结论。场景设计的一些例子包括:

   上午10点5分,大楼报出火警

   上午10点15分,火灾应急响应小组报告服务器机房起火

   上午10点20分,部门经理报告一个小组成员尚未找到,可能还在火灾大楼里

  这些能够引起讨论的信息可以通过各种方式传递给参与人员,例如,可以发送到参与人员的Email地址,也可以现场发放复印件,或者只是主持人口头说明这些信息,不论选择了哪种方式,要适合参与人员,并且在加入时尽量使信息更加生动有趣。

  5. 设计演练评估清单

  在明确了演练范围、设定好演练目标后,为了恰当地衡量这些目标是否达成,需要设计一份演练评估清单,用以在演练中跟踪和记录目标的达成情况。

  评估清单应该包括评估者的姓名、需要评估的目标、评估的标准等,并为评估者预留出进行评论和做笔记的地方。一份好的评估清单能够帮助组织:

   确保对演练进行很好的评估

   突出与理想状态之间的差距

   可以在培训和宣传中突出缺点

   突出设施设备的不足之处

   强调执行人员的支持和意见的必要性

   强调持续维护和演练的必要性

  6.选择员工担任演练中的各种角色

  灾难恢复演练中有几个基本的角色,即参与者、观察者、评估者和主持人,每个角色都很重要,并且需要在演练前进行相应的指导与培训。

  参与者:通常负责业务连续性计划特定部分的具体执行,他们不必参与到演练的规划。

  观察者:可以是组织中的任何人,只要他们对组织的业务或者流程有基本的了解即可。这些人需要一直参与到演练中,并允许在演练的任何部分提出具有建设性的评论和意见。

  评估者:负责评估演练和填写评估清单,观察演练中的一个或多个目标是否达成。

  主持人:负责整个演练的管理、参与人员之间的沟通,提供额外的信息以逐渐推进讨论,负责演练后的总结,并完成演练报告。

  7. 召开演练前的指导会议

  在演练实施前,召开辅导会议,向参与人员解释参与者、观察者和评估者的角色,允许他们提问,并为每一个人提供演练日程、地点和其它信息。

  最重要的是要向参与人员明确一些基本规则,以帮助参与人员消除紧张情绪,这些规则包括:

   是整个组织在进行测试,不是某一个参与人员

   学习业务连续性计划,并将演练当作一次培训

   开诚布公地进行对话

   尊重他人

   讨论时不准用手指指着别人

   不要期望演练能够解决所有问题

   保持心情愉快

   8. 进行演练后的总结

  演练后的总结是整个演练过程中最重要的步骤之一。总结会议应讨论并记录演练中观察到的优点、缺点,以改进、提升组织的业务连续性计划。总结会议可以在演练后立刻举行,但更好的建议是放在演练后的一到两天,以便给每一位参与人员时间来整理和完善他们的反馈意见。

  在进行演练总结时,可以设计一个反馈表格给到参与者、观察者和评估者,以记录:

  1)他们认为好的地方,或者说演练中的积极因素;

  2)他们觉得演练中不好的地方;

  3)他们认为能够解决问题的任何建议。

  通过给参与人员一两天的时间,组织能够获取更高质量的反馈。在召开总结会议时,邀请高层管理人员来参加,能够在提高他们的灾难恢复意识的同时,获得他们的意见和建议。讨论过后,保留参与人员的反馈表格,根据总结会议中的笔记和获得的反馈来撰写演练报告。

  演练报告应该总结演练中发现的优点和缺点,并有重点地提出改进建议。甚至可以在报告中列出改进任务清单,明确每个任务对应的执行人员,以及期望完成的时间要求等。一份好的演练报告能够使业务连续性计划获得高层管理人员的支持,并争取到更多的资源。

  最后,提供一些灾难恢复演练的小贴士:让演练保持简单,一般不要超过4个小时,组织适应演练之后再逐渐提高复杂性和持续时间;演练前准备好场地;提供茶点和充裕的休息时间;留住演练瞬间;保持好演练的节奏;记录时间,与日程保持一致;允许参与人员引导讨论的方向,但不能脱离正轨;突出显示参与人员的提出的意见和建议;保持心情愉快。
 

灾难恢复演练成功的8大步骤

  C.J.霍华德,CBCP,CEM,拥有9年以上的行业经验,现服务于位于美国怀俄明州Moline的John Deere公司,任业务连续小组负责人。

 

0
相关文章