當災難發生時，你的公司、學校、機關該怎麼辦？
有沒有一套計畫，能讓工作快速恢復？這就是「業務持續運作管理」的目的。
這套流程分成七個階段，讓我們逐步開始了解吧：
第 1 階段：建立業務持續策略
第一步是規劃整體方向：
- 符合法規要求：像《個資法》或其他產業規定。
- 定義範圍：你的業務要處理哪些災難？（例如地震、火災、人為失誤）是全公司都要備援？還是只有特定部門？
- 找對人參與：這不只是 IT 的事，要包含：
- 各部門主管
- 高階經理人
- IT 資訊部門
- 資安部門
- 法務、通訊等相關單位
第 2 階段：營運衝擊分析（BIA）
簡稱 BIA（Business Impact Analysis），這步驟是在分析：
如果某項業務中斷，會不會影響很大？多久之內要恢復才行？
你要做的事包括：
- 識別核心業務功能
- 識別核心業務所仰賴的資源
- 識別核心業務可容許缺少資源的時間
- 識別核心業務面臨的威脅和弱點
- 計算不同業務功能的風險
- 確認業務功能和資源復原的先後順序
第 3 階段：識別防禦措施
這階段是想辦法「事前預防」，讓災難不要發生，或讓損失降到最低。
- 能預防的問題（像操作錯誤）就加強管理與教育
- 不能預防的災難（像地震、水災）就準備備援方案、資料備份
並且根據BIA的步驟：
找出「最不能停」的工作：
- 我們的工作中，哪幾項業務是最重要的？
- 停擺後會影響到民眾服務、營收、法規遵循、公司形象嗎？
- 有沒有業務是其他部門依賴的？
這個過程通常會透過資料收集、訪談主管、分析流程來進行。
核心業務仰賴什麼？
每個業務都不是單打獨鬥，一定會依賴很多資源。例如：人員、軟體、硬體、場所、通訊設備、供給來源、其他項目。
評估最大容許中斷時間（MTD）
如果這些資源無法使用，我們最多可以撐多久？這段時間稱為 MTD（Maximum Tolerable Downtime）。
超過這時間沒復原，可能就會導致：
- 顧客流失
- 合約違約
- 損失金錢或信譽
- 法律風險
找出可能的威脅與弱點
- 這些重要業務，可能遇到什麼災難？（像：停電、火災、資安事件）
- 有哪些脆弱點容易被攻擊或發生錯誤？（像：只有一個人懂操作、沒備援系統）
- 可依詳細風險評鑑的風險識別進行
評估復原時間（RTO）與業務風險
- RTO（Recovery Time Objective）指：評估災難發生至資源回復的時間。
- 可依詳細風險評鑑的風險評估進行
確認業務功能和資源復原的先後順序
- 核心業務優先處理
- 根據資源的相依性決定先救哪些業務，後救哪些資源
接著繼續看！
下一章我們會繼續介紹剩下的四個步驟：
▶️ 發展復原策略 ▶️ 撰寫持續營運計畫 ▶️ 測試與演練 ▶️ 維護與更新計畫
