災(zāi)備外包重在審計(jì)

prada_gu

《新金融》廣東發(fā)展銀行 鐘展東2006-07-25  \r\n  \r\n \r\n \r\n\r\n \r\n    外包與自建該如何選擇？該如何挑選合適的服務(wù)商？廣發(fā)行用自己的實(shí)踐與經(jīng)驗(yàn)對(duì)此作出了解答。\r\n \r\n    在進(jìn)行災(zāi)難備份中心建設(shè)時(shí)，是采取自建還是外包模式？在具體的建設(shè)過程中又有哪些問題值得注意？對(duì)于這些問題的解答，目前無疑還需要用戶不斷摸索和實(shí)踐。\r\n \r\n    在廣東發(fā)展銀行（以下簡(jiǎn)稱廣發(fā)行）的災(zāi)備中心建設(shè)中，我們選擇了外包模式。廣發(fā)行成立于1988年9月，是第一家經(jīng)國(guó)務(wù)院和中國(guó)銀行批準(zhǔn)組建的股份制商業(yè)銀行，銀行總部是在廣州，目前在全國(guó)有26家分行、500多個(gè)局域網(wǎng)點(diǎn)，主要分布在長(zhǎng)江三角洲、珠江三角洲以及渤海地區(qū)。經(jīng)過仔細(xì)分析后，我們認(rèn)為通過外包模式來建立我們的災(zāi)難備份中心更為合適。\r\n \r\n    采用外包模式\r\n \r\n    2003年，廣發(fā)行完成了全行的數(shù)據(jù)集中工作，與此同時(shí)，銀行領(lǐng)導(dǎo)開始考慮災(zāi)難備份中心的建設(shè)問題。經(jīng)過一段時(shí)間調(diào)查與分析，廣發(fā)行最終決定采用外包的方式來建立災(zāi)難備份中心。\r\n \r\n    選擇外包模式來建設(shè)災(zāi)難備份中心，廣發(fā)行有著自己明確的目標(biāo)和考慮。\r\n \r\n    首先，通過外包服務(wù)建設(shè)專業(yè)的災(zāi)難備份中心機(jī)房設(shè)施和業(yè)務(wù)恢復(fù)的環(huán)境，廣發(fā)行不必自己去建設(shè)災(zāi)難備份中心，以及機(jī)房的環(huán)境。\r\n \r\n    其次，通過外包服務(wù)，廣發(fā)行可以獲取專業(yè)、科學(xué)的咨詢服務(wù)。這種咨詢服務(wù)不僅包括風(fēng)險(xiǎn)、業(yè)務(wù)影響的問題，也包括了整個(gè)應(yīng)急響應(yīng)體系的建設(shè)，以及災(zāi)難備份預(yù)案制定和演練。\r\n \r\n    第三，廣發(fā)行可以通過外包服務(wù)獲取信息系統(tǒng)和數(shù)據(jù)的災(zāi)難備份與業(yè)務(wù)恢復(fù)能力。\r\n \r\n    第四，通過外包服務(wù)，廣發(fā)行可以建立健全災(zāi)難備份中心的運(yùn)營(yíng)管理體系，保障銀行災(zāi)難備份系統(tǒng)安全穩(wěn)定的運(yùn)行，保障災(zāi)難備份中心的可用性和快速響應(yīng)。\r\n \r\n    為了實(shí)現(xiàn)上述目標(biāo)，廣發(fā)行首先對(duì)整個(gè)災(zāi)難備份中心做整體規(guī)劃，然后分步實(shí)施。建設(shè)的范圍包括銀行的日常業(yè)務(wù)，如信用卡業(yè)務(wù)、銀行卡交易渠道。另外，廣發(fā)行的災(zāi)備中心還包括了一個(gè)呼叫中心。將呼叫中心的接口加進(jìn)災(zāi)難備份中心，廣發(fā)行的考慮是：客戶服務(wù)中心是與客戶溝通的很好的渠道，當(dāng)災(zāi)難發(fā)生時(shí)，它可以成為一個(gè)解決問題的好渠道。\r\n \r\n    模式選擇費(fèi)心思\r\n \r\n    為什么廣發(fā)行會(huì)選擇外包的模式來建設(shè)災(zāi)難備份中心呢？這是費(fèi)了一番心思的。\r\n \r\n    建立災(zāi)難備份中心，首先要考慮的就是資金投入問題。這是所有的銀行都會(huì)遇到的問題。起初，廣發(fā)行也考慮過自己建設(shè)災(zāi)難備份中心，也做過相應(yīng)的計(jì)劃、方案和預(yù)算。經(jīng)過科學(xué)合理的計(jì)算，廣發(fā)行發(fā)現(xiàn)，自己建設(shè)災(zāi)難備份中心，銀行要自己建大樓、裝修機(jī)房、買相應(yīng)的系統(tǒng)軟硬件，預(yù)計(jì)需要投入大概一個(gè)億的資金。而且自建中心還要投入大量的設(shè)施維護(hù)費(fèi)用和人工費(fèi)用等，僅中心運(yùn)營(yíng)費(fèi)一年就需要一千萬元左右。而通過外包的方式來建設(shè)災(zāi)難備份中心，費(fèi)用比自建要?jiǎng)澦愕枚�。\r\n \r\n    其次，建設(shè)的周期也是一個(gè)需要考慮的問題。如果廣發(fā)行自己建設(shè)災(zāi)難備份中心，從開始到實(shí)施，起碼要18個(gè)月，特別一期的工作是最難控制的階段，往往會(huì)花費(fèi)更多的時(shí)間，這樣就不止18個(gè)月了。而通過外包服務(wù)的方式，從開始到完成最多只用10個(gè)月。\r\n \r\n    災(zāi)難備份中心建設(shè)是一個(gè)非常復(fù)雜的系統(tǒng)工程，涉及到專業(yè)的信息技術(shù)、很多的業(yè)務(wù)管理信息，以及大量的外部資源，這需要專業(yè)的協(xié)調(diào)、溝通和管理能力，難度相當(dāng)大，而銀行往往又缺乏相應(yīng)的經(jīng)驗(yàn)。如果采用外包的方式，讓更專業(yè)的公司來做這一復(fù)雜的系統(tǒng)工程效果會(huì)更好。\r\n \r\n    災(zāi)難備份中心的運(yùn)營(yíng)和管理需要一支專業(yè)的運(yùn)行管理隊(duì)伍，這不太可能完全由生產(chǎn)中心來負(fù)責(zé)，所以就一定要成立相應(yīng)的專職隊(duì)伍。而這樣一支隊(duì)伍要達(dá)到一定水平，需要很長(zhǎng)的一段時(shí)間，沒有三年是不可能的。\r\n \r\n    建設(shè)災(zāi)難備份中心最終是為了應(yīng)用，是為了實(shí)現(xiàn)業(yè)務(wù)連續(xù)性管理。然而，災(zāi)難備份中心的可用性管理面臨著巨大的挑戰(zhàn)，如果自己建設(shè)災(zāi)難備份中心的話，災(zāi)難備份中心可用性管理是銀行內(nèi)部IT部門來管理的。這種在繁忙的工作當(dāng)中進(jìn)行的內(nèi)部管理，很有可能被放到次要的位置上，這很容易把災(zāi)備的工作做壞。而采取外包服務(wù)的方式，銀行就可以通過嚴(yán)格的合同來約束災(zāi)難備份中心公司的相應(yīng)服務(wù)，這是廣發(fā)行考慮外包模式的重要原因。\r\n \r\n    雖然外包的模式有很多優(yōu)點(diǎn)，但是外包不是大撒把，銀行把災(zāi)難備份中心外包給專業(yè)的公司，會(huì)涉及到安全的問題。所以，在災(zāi)備項(xiàng)目招標(biāo)過程中，一定要有很明確的安全要求，系統(tǒng)安全的管理、數(shù)據(jù)的管理、密鑰的管理，是不能外包出去的，最關(guān)鍵的東西要由自己來掌握。而且外包災(zāi)難備份中心建設(shè)必須有相當(dāng)嚴(yán)格的安全管理技術(shù)流程，能夠符合行內(nèi)相應(yīng)的管理要求，并且要和外包服務(wù)公司簽一個(gè)很詳細(xì)的保密協(xié)議。\r\n \r\n    仔細(xì)選擇服務(wù)商\r\n \r\n    當(dāng)前，外包服務(wù)商水平良莠不齊，怎樣才能選擇到合適的外包服務(wù)公司呢？\r\n \r\n    災(zāi)難備份中心對(duì)銀行來說是非常關(guān)鍵的，涉及到銀行的安全，因此外包服務(wù)商一定要相當(dāng)專業(yè)。外包服務(wù)商的選擇是有一定學(xué)問的，對(duì)服務(wù)商要有嚴(yán)格細(xì)致的要求，在選擇時(shí)一定要非常仔細(xì)。災(zāi)難備份中心建設(shè)的成本相當(dāng)高，如果銀行跟某一家公司簽了合同，進(jìn)行了開工建設(shè)，這個(gè)時(shí)候若再想換一家公司，對(duì)銀行來說損失將是非常巨大的。\r\n \r\n    以外包模式建設(shè)災(zāi)備中心的銀行，在選擇外包服務(wù)商時(shí)要認(rèn)真考察服務(wù)商的專業(yè)性、穩(wěn)定性、整體服務(wù)質(zhì)量以及管理的經(jīng)驗(yàn)。服務(wù)商要有專業(yè)的技術(shù)、穩(wěn)定的隊(duì)伍、完整服務(wù)體系和豐富的項(xiàng)目經(jīng)驗(yàn)。\r\n \r\n    穩(wěn)定的隊(duì)伍相當(dāng)重要，最好將服務(wù)商的隊(duì)伍穩(wěn)定性把握在自己的手里，服務(wù)公司員工的出差、人員的更換，都要求進(jìn)行審查，由銀行做出決定。這是因?yàn)槿绻�外包公司�?duì)伍不穩(wěn)定的話，一方面建設(shè)風(fēng)險(xiǎn)會(huì)比較大，另外一方面外包公司如果沒有很好的成長(zhǎng)空間，公司的業(yè)務(wù)發(fā)展很難跟得上銀行災(zāi)備中心的發(fā)展 。\r\n \r\n    對(duì)服務(wù)商的數(shù)據(jù)中心也要有相應(yīng)的要求。數(shù)據(jù)中心和生產(chǎn)中心的距離最好在一百公里以上，且銀行、電力、通信等公共的資源不能在一個(gè)區(qū)里面，最好用多個(gè)路由分開。處理中心的網(wǎng)絡(luò)環(huán)境也要符合國(guó)家標(biāo)準(zhǔn)。災(zāi)難備份中心要有安保的機(jī)構(gòu)，安防的技術(shù)要能夠達(dá)到要求。數(shù)據(jù)中心最少要有兩家電信供應(yīng)商。\r\n \r\n    另外，還應(yīng)要求災(zāi)難備份中心必須有突發(fā)事件快速應(yīng)急響應(yīng)的能力，在可能的災(zāi)難發(fā)生的時(shí)候，災(zāi)難備份中心要能夠幫助銀行盡快恢復(fù)業(yè)務(wù)。\r\n \r\n    服務(wù)商必須在災(zāi)難備份系統(tǒng)設(shè)計(jì)實(shí)施方面要有相應(yīng)的技術(shù)能力、信息安全能力，還有災(zāi)難演練方面的能力，以及災(zāi)難備份中心運(yùn)營(yíng)管理的能力。這就要求服務(wù)商必須要有多年的數(shù)據(jù)中心運(yùn)營(yíng)管理經(jīng)驗(yàn)。\r\n \r\n    同時(shí)，服務(wù)商對(duì)重要的信息系統(tǒng)要有完整、詳細(xì)的操作細(xì)則，且操作要可審計(jì)，要求災(zāi)難備份中心每一項(xiàng)操作銀行都能進(jìn)行審計(jì)，災(zāi)難備份中心操作過的最終都要通過銀行的檢驗(yàn)，實(shí)現(xiàn)可審計(jì)的管理。\r\n \r\n    服務(wù)商數(shù)據(jù)中心要能實(shí)現(xiàn)訪問控制。除了系統(tǒng)網(wǎng)絡(luò)訪問有嚴(yán)格的控制外，進(jìn)入機(jī)房也要嚴(yán)格控制，要求災(zāi)難備份中心機(jī)房分安全等級(jí)，什么樣的等級(jí)能進(jìn)哪里。這些都要有協(xié)議約定。\r\n \r\n    嚴(yán)把質(zhì)量關(guān)\r\n \r\n    把災(zāi)難備份中心外包給服務(wù)商并不是就萬事大吉了，要建立服務(wù)商質(zhì)量評(píng)估分析制度，要簽訂合同規(guī)定服務(wù)商達(dá)到什么樣的要求才能付款。要對(duì)服務(wù)商每一段時(shí)間的執(zhí)行結(jié)果把好關(guān)，如果達(dá)不到要求，還會(huì)有相應(yīng)的懲罰辦法。\r\n \r\n    對(duì)外包服務(wù)商的質(zhì)量考核要相當(dāng)嚴(yán)格，除了簽訂嚴(yán)格的服務(wù)范圍和服務(wù)水平合同，并對(duì)服務(wù)商要實(shí)時(shí)現(xiàn)場(chǎng)考核、審計(jì)外，還要根據(jù)實(shí)際情況的變更，及時(shí)調(diào)整數(shù)據(jù)中心的管理。另外，要通過定期的演練來考核服務(wù)商的應(yīng)急恢復(fù)能力，而且預(yù)案要切實(shí)、易用、靈活、反應(yīng)迅速，易于銀行領(lǐng)導(dǎo)了解、學(xué)習(xí)。\r\n \r\n    從整個(gè)項(xiàng)目的管理來看，要注意兩方面：第一，銀行要建立多層次、多方面的監(jiān)理制度，要組織嚴(yán)密、權(quán)責(zé)明確；第二，銀行的相關(guān)人員要穩(wěn)定，生產(chǎn)中心有一套嚴(yán)格的生產(chǎn)管理制度，與服務(wù)商的外包災(zāi)難備份中心生產(chǎn)管理制度配套。這兩個(gè)制度必須要協(xié)調(diào)。\r\n \r\n    災(zāi)難備份中心建設(shè)需要長(zhǎng)期的規(guī)劃，要著眼全局、分步實(shí)施。災(zāi)難的發(fā)生不可控，銀行面對(duì)的風(fēng)險(xiǎn)在不斷的變化，如果沒有一個(gè)長(zhǎng)期的規(guī)劃，銀行很難面對(duì)變化莫測(cè)的風(fēng)險(xiǎn)，也就很難實(shí)現(xiàn)業(yè)務(wù)的連續(xù)性管理。\r\n \r\n    我們通過專業(yè)的咨詢服務(wù)，制定了長(zhǎng)期的業(yè)務(wù)連續(xù)性管理和災(zāi)難備份中心建設(shè)的策略。然后，通過可審計(jì)的外包服務(wù)建立了符合國(guó)家要求的災(zāi)難備份中心和高效可用的應(yīng)急災(zāi)難恢復(fù)預(yù)案，從而保證了業(yè)務(wù)的連續(xù)性管理。