32、企业业务连续性与 IT 需求对齐的综合指南

企业业务连续性与 IT 需求对齐的综合指南

1. 业务连续性测试模拟场景

1.1 模拟场景时间线

时间	事件	讨论问题
周一 6:30 p.m.	火警响起，大楼 17 层发生火灾，行政人员确认火灾，但未下令疏散，员工紧张不安	1. 是否有火灾事件响应计划和程序？ 2. 谁将接收火警电话并与大楼管理部门响应？ 3. 若局部火灾，员工应多久疏散？ 4. 谁将触发疏散？ 5. 人力资源部门是否有程序与员工沟通并确保他们的安全？
7:50 p.m.	消防部门试图控制火势，但火势已蔓延到下一层，需疏散大楼，各办公室已接到有序疏散通知	1. 危机沟通团队是否在持续跟进事件状态？ 2. 火势蔓延到下一层是否触发安全考虑并启动疏散程序？ 3. 消防管理员是否携带联系人名单并指示员工到集合点集合？现阶段应考虑哪些业务连续性安排？ 4. 应向员工提供哪些指示以及如何提供？
10 p.m.	大楼已清空，火势蔓延到五六层，包括我们办公室所在楼层，当局已封锁设施，未来几天无法使用	1. 谁将触发灾难恢复（DR）？ 2. 应向员工、客户和供应商提供哪些指示以及如何提供？ 3. 如何管理运营积压？ 4. 可能出现的长期问题有哪些以及如何解决？

1.2 业务连续性计划检查

在模拟场景结束后，需要对业务连续性计划进行检查，确保其能够应对类似事件：
- 检查初始响应程序是否涵盖场景的要求。
- 根据讨论结果，评估现有计划是否有改进空间。
- 确认团队成员是否正确理解疏散的角色和职责。
- 验证计划在声明程序、疏散和遵循预写计划方面是否有效。

2. IT 与业务需求对齐

2.1 IT 弹性的兴起

传统的灾难恢复（DR）概念正逐渐被 IT 弹性所取代。IT 弹性代表了组织预防、响应和从灾难中恢复的能力，更注重持续可用性和持续改进。一个稳定的基础设施和支持组织业务的良好应用程序，不仅能提供可持续性和弹性，还能为业务连续性管理（BCM）投资带来合理的投资回报率（ROI）。

2.2 IT 弹性的关键因素

以下因素对 IT 弹性至关重要：
1. 系统可用性 ：在集成环境中，所有系统的协同可用性对业务运营的连续性至关重要。
2. 确定停机成本 ：停机可能导致员工生产力下降、业务机会丧失、客户信心受损以及收入损失。然而，超过 50%的组织未计算停机成本，甚至难以找到停机日期和时长的记录。
3. 技术与业务目标对齐 ：为实现弹性目标并获得最大 ROI，应谨慎进行弹性投资。企业在规划时可考虑故障转移和复制选项，技术需根据业务需求进行定制。

2.3 需求分析与规范考虑

软件项目失败的主要原因之一是未正确捕获项目需求。当前软件应用通常在多个平台和全球多个地点运行，项目生命周期内需求的变化也会影响需求的获取。需求分析是软件开发生命周期的关键组成部分，通常是项目开始前的第一步。常见的需求收集方法如下：
1. 原型法 ：与代表现有系统各部门或方面的用户进行访谈和互动，创建新系统的初步设计并生成第一个原型。通过与用户的持续互动，不断完善原型，直至得到可接受的原型，最终基于此开发最终系统并进行评估和测试。
2. 故事板法 ：帮助开发人员可视化工作的顺序和相互关联性，采用“大局观”方法，有助于需求收集。
3. 建模法 ：可在白板或其他方式上进行需求建模，围绕不同可行性分析用户需求，以得出可行解决方案。该方法关注系统的外部行为而非内部设计，具有以下优点：
- 用自然语言清晰描述用户和利益相关者的需求。
- 定义一致的术语表，供用户、开发人员和测试人员使用。
- 减少需求中的差距和不一致性。
- 规划功能开发顺序。
- 作为系统测试的基础，便于在需求变化时更新测试。
4. 状态转换图法 ：允许开发人员和用户了解程序的行为，有助于讨论需求。对象具有行为和状态，状态机图可用于描述复杂类在不同状态下的需求。状态包括初始状态和最终状态，状态之间的转换由内部或外部事件触发。
5. 用例法 ：用于捕获软件开发生命周期中的功能需求，可通过以下方式实现：
- 场景描述产品在特定情况下的使用方式。
- 书面叙述描述参与者（用户或设备）与系统的交互角色。
- 从参与者或用户的角度设计用例。
- 在需求获取的第一次迭代中，并非所有参与者都能被识别，但在开发用例前识别主要参与者很重要。

2.4 需求分析流程

基于特定软件项目的范围和性质，需求分析通常由独立的业务分析师或分析团队进行，以捕获功能和非功能需求，需要技术和业务专业知识。为有效捕获需求，组织通常遵循以下整体流程：
1. 需求范围界定 ：根据业务需求和目标，确定拟议软件解决方案的范围和边界。
2. 利益相关者识别 ：识别客户、最终用户、系统管理员等利益相关者，这是整个过程中最重要的步骤之一，有助于业务分析师制定需求收集路线图。
3. 需求获取 ：通过个人访谈、焦点小组、市场研究、调查和研究等方式，在识别利益相关者后开始收集需求。
4. 需求分析 ：对收集到的用户数据进行结构化分析，通常开发用例以根据软件解决方案的总体目标分析数据。
5. 软件需求规格说明和签字确认 ：将分析后的数据整理成软件需求规格说明（SRS）文档，作为设计或开发团队构建解决方案的蓝图，并由用户管理层签字确认新系统需求的准确性。

2.5 需求分析的目标

需求分析的目标包括：
a. 识别客户需求
b. 审查拟议解决方案的可行性
c. 进行经济和技术分析
d. 确定时间表和约束条件
e. 创建系统定义
f. 识别问题并关注如何解决问题
g. 建模
h. 规范制定

2.6 需求分析内容

需求分析包括对功能和非功能需求的审查：
- 功能需求 ：输入/输出、处理、错误处理。
- 非功能需求 ：物理环境（设备位置、多个站点等）、接口（如数据介质）、用户和人为因素（如用户是谁、他们的技能水平）、性能（系统运行情况）、文档、数据（定性内容）、资源（查找、物理空间）、安全（备份、防火墙）、质量保证（最大停机时间、平均无故障时间等）。

3. 应用影响分析

3.1 应用影响分析的概念

应用影响分析（AIA）是一种基于风险的方法，用于根据业务需求确定应用程序的恢复优先级。它研究应用程序对运营、业务流程和应用程序依赖关系（上游/下游）的影响，从而更好地确定应用程序的恢复时间目标（RTO）。

3.2 应用影响分析的考虑因素

在进行应用影响分析时，需要考虑以下因素：
1. 企业内所有桌面应用程序和本地数据库的清单。
2. 包括独立的关键系统。
3. 确定特定客户应用程序停机时的法律和监管影响以及对企业商誉的影响。

3.3 应用测试的重要性

在分布式复杂网络和多个应用程序运行的环境中，通过测试和性能监控来检查应用程序的影响至关重要。应用测试可确保软件应用程序的可靠性和项目成功，具体测试内容包括：
- 测试是否满足所有定义的需求。
- 测试应用程序的性能。
- 测试每个组件。
- 测试组件之间的集成情况。
- 进行端到端测试。
- 在各种环境中测试应用程序。
- 测试所有应用程序路径。
- 测试所有场景，并进行额外测试。

3.4 测试目标和覆盖范围

为确保测试的有效性，需要明确测试目标，例如：
- 在开发周期的每个阶段进行测试，尽早消除“漏洞”（缺陷）。
- 确保最终产品中无“漏洞”。
- 确保软件的可靠性。
- 确保满足用户期望。

测试过程和测试用例应覆盖以下内容：
- 软件应用程序使用时可能出现的所有场景。
- 项目定义的每个业务需求。
- 为应用程序编写的每一行代码的特定测试级别。

3.5 测试级别

常见的测试级别包括：
- 单元测试 ：确保对每一行代码进行测试。
- 集成测试 ：确保组件可以集成，且每个组件的所有接口正常工作。
- 系统测试 ：在类似生产环境的环境中，覆盖系统使用时的所有“路径”/场景。
- 用户验收测试 ：检查应用程序是否按预期运行。

3.6 有效测试流程

一个有效的测试流程包括以下步骤：
1. 制定测试策略和计划。
2. 审查测试策略，确保与项目目标一致。
3. 设计/编写测试用例。
4. 审查测试用例，确保适当的测试覆盖范围。
5. 执行测试用例。
6. 捕获测试结果。
7. 跟踪缺陷。
8. 捕获相关指标。
9. 进行分析。

4. IT 安全问题的影响

4.1 IT 安全的复杂性

随着 IT 复杂性的增加，维护与业务流程对齐的适当安全架构对业务产生重大影响。信息系统审计专家 Ron Weber 指出，安全就像应用程序周围的洋葱皮层，主要应用程序位于信息系统处理的核心，业务交易通过这些应用程序和/或数据库进行处理和存储。IT 与应用程序安全的不一致会导致业务流程受到严重影响，可能导致业务短期或长期中断。

4.2 安全不一致的影响

安全不一致可能导致以下影响：
1. 因组织公开的数据泄露事件导致声誉受损，从而造成业务损失。
2. 因不遵守法律法规而产生的法律和财务影响。
3. 由于信息系统中断或磁盘和驱动器因病毒、蠕虫或恶意软件损坏而导致数据丢失，需要重新处理数据。
4. 组织发生安全事件导致生产力下降。

5. 电信连续性需求与实现

5.1 电信连续性的重要性

电信连续性对于复杂的企业网络运营至关重要。我们高度依赖有线世界，一旦主要电信设施中断或变得不可靠，后果不堪设想。虽然一些组织已采取零碎的冗余措施，但尚未从整体上解决电信连续性问题。

5.2 最后一英里电路保护

核心网络通常具有较高的弹性，但与客户的“最后一英里”连接往往是最薄弱的环节。增强“最后一英里”连接弹性的策略包括：
- 确保提供商的地理电缆路由和存在点物理上分离，以提供多样化的连接，应对服务降级或故障。
- 采用本地运营商 T - 1、微波和/或同轴电缆接入本地通信环路的冗余组合，实现最后一英里电路保护，使设施在本地运营商通信灾难期间仍可访问。
- 在许多网络中使用备用本地运营商路由。

5.3 电信连续性规划

电信连续性规划涉及电信服务中断的应急规划。多样化路由通过拆分电缆设施或复制电缆设施来路由流量，可保护免受电缆故障和本地交换故障的影响。通信服务用户可以通过备用路由复制设施，即使入口和出口可能在同一管道中，备用路由也能在主电缆故障时维持服务。

5.4 供应商破产的影响

供应商破产也是影响电信性能的一个因素。一些电信协议规定，在供应商破产期间，客户无论服务质量如何都必须继续与其合作，因为破产被明确规定为优先于任何供应商不履行合同时的合同退出条款的条件。因此，需要重新评估与供应商的服务级别协议（SLA），以应对此类情况。

综上所述，企业在业务运营中需要全面考虑业务连续性、IT 与业务需求对齐、应用影响分析、IT 安全和电信连续性等多个方面，以确保在面对各种挑战时能够保持稳定的运营。通过模拟场景测试业务连续性计划，不断优化 IT 弹性和安全架构，以及进行有效的应用测试和电信连续性规划，企业可以提高自身的抗风险能力，实现可持续发展。

6. 各环节的关联与整体影响

6.1 环节关联关系

业务连续性测试、IT 与业务需求对齐、应用影响分析、IT 安全以及电信连续性这几个方面相互关联、相互影响，共同构成企业稳定运营的保障体系。下面通过一个 mermaid 流程图展示它们之间的关系：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A(业务连续性测试):::process --> B(IT与业务需求对齐):::process
    B --> C(应用影响分析):::process
    C --> D(IT安全):::process
    D --> E(电信连续性):::process
    E --> A
    A -.-> C
    B -.-> D
    C -.-> E
    D -.-> A
    E -.-> B

从流程图中可以看出，业务连续性测试为 IT 与业务需求对齐提供实践反馈，促使其不断优化。IT 与业务需求对齐的良好实现，能为应用影响分析提供准确的业务需求基础。应用影响分析的结果会影响 IT 安全策略的制定，而 IT 安全的保障又对电信连续性提出要求。电信连续性的稳定反过来又会对业务连续性测试产生积极影响，形成一个闭环的相互促进关系。

6.2 整体影响分析

这种相互关联的体系对企业的整体运营有着深远的影响。例如，在业务连续性测试中发现的问题，如果能及时反馈到 IT 与业务需求对齐环节，进行针对性的调整，就可以避免后续应用影响分析和 IT 安全方面出现类似的隐患。而应用影响分析中发现的应用程序性能问题，可能是由于 IT 与业务需求未对齐导致的，也可能影响到 IT 安全和电信连续性。如果 IT 安全出现漏洞，不仅会影响企业的声誉和业务运营，还可能导致电信连续性受到威胁，进而影响整个业务的连续性。

7. 应对策略与最佳实践

7.1 应对策略总结

针对上述各个方面的挑战，企业可以采取以下应对策略：
|方面|应对策略|
| ---- | ---- |
|业务连续性测试|定期进行模拟场景测试，根据测试结果及时调整和完善业务连续性计划。明确各环节的责任人和响应流程，确保在实际事件发生时能够迅速、有效地进行应对。|
|IT 与业务需求对齐|加强 IT 部门与业务部门的沟通与协作，确保 IT 技术能够准确满足业务需求。在项目开发前，进行充分的需求分析和规划，采用合适的需求收集方法，如原型法、故事板法等。|
|应用影响分析|建立完善的应用测试体系，对应用程序进行全面、深入的测试。关注应用程序的性能、可靠性和兼容性，及时发现和解决潜在的问题。同时，定期对应用程序进行评估和优化，以适应业务的发展变化。|
|IT 安全|构建多层次的安全防护体系，如防火墙、入侵检测系统等。加强员工的安全意识培训，制定严格的安全管理制度，规范员工的操作行为。定期进行安全漏洞扫描和修复，确保信息系统的安全稳定运行。|
|电信连续性|制定全面的电信连续性规划，采用多样化的路由和冗余措施，保障“最后一英里”电路的安全。与可靠的电信供应商合作，签订合理的服务级别协议，明确双方的责任和义务。定期对电信系统进行检查和维护，确保其正常运行。|

7.2 最佳实践案例

以下是一些企业在上述方面的最佳实践案例：
- 业务连续性测试 ：某金融企业定期组织火灾、地震等灾害场景的模拟演练，通过演练发现了疏散路线标识不清晰、应急物资储备不足等问题，并及时进行了改进。在一次实际的火灾事件中，企业员工能够迅速、有序地进行疏散，减少了人员伤亡和财产损失。
- IT 与业务需求对齐 ：一家电商企业在开发新的电商平台时，采用原型法与用户进行充分沟通，根据用户的反馈不断完善系统功能。在系统上线后，用户满意度大幅提高，业务交易量也随之增长。
- 应用影响分析 ：某软件公司建立了一套自动化的应用测试框架，对新开发的软件进行全面测试。在测试过程中，能够及时发现软件中的漏洞和性能问题，并进行修复。通过这种方式，软件的质量得到了显著提升，客户投诉率大幅降低。
- IT 安全 ：某医疗企业加强了员工的安全意识培训，制定了严格的访问控制制度和数据加密策略。在一次网络攻击事件中，由于企业的安全防护措施到位，数据没有被泄露，保障了患者的隐私和医疗信息的安全。
- 电信连续性 ：某跨国企业采用了多样化的电信路由和冗余备份措施，确保在电信故障发生时能够迅速切换到备用线路。在一次本地运营商网络故障中，企业的业务运营没有受到明显影响，保证了全球业务的正常开展。

8. 未来发展趋势

8.1 技术发展趋势

随着科技的不断进步，未来在业务连续性、IT 与业务需求对齐、应用影响分析、IT 安全和电信连续性等方面将会出现一些新的技术发展趋势：
- 人工智能与机器学习 ：在业务连续性测试中，人工智能和机器学习可以用于模拟更复杂的场景，预测可能出现的问题，并提供相应的解决方案。在应用影响分析中，通过机器学习算法可以对大量的应用数据进行分析，快速发现潜在的性能问题和安全隐患。
- 区块链技术 ：在 IT 安全领域，区块链技术可以提供更安全、可靠的分布式账本，保障数据的完整性和不可篡改。在电信连续性方面，区块链可以用于构建去中心化的电信网络，提高网络的可靠性和安全性。
- 5G 技术 ：5G 技术的高速、低延迟和大容量特点将对电信连续性产生重大影响。企业可以利用 5G 技术实现更高效的通信和数据传输，同时也需要应对 5G 网络带来的新的安全挑战。

8.2 企业应对措施

为了适应未来的发展趋势，企业需要采取以下应对措施：
- 加强技术研发和创新 ：企业应加大在新技术研发方面的投入，积极探索人工智能、区块链、5G 等技术在业务运营中的应用，提高自身的技术水平和竞争力。
- 培养复合型人才 ：未来的企业需要既懂业务又懂技术的复合型人才。企业应加强员工的培训和教育，培养一批具有跨领域知识和技能的人才，以应对未来的挑战。
- 建立合作伙伴关系 ：企业可以与科技公司、研究机构等建立合作伙伴关系，共同开展技术研发和创新，共享资源和经验，实现互利共赢。

9. 总结与建议

9.1 总结

企业的稳定运营离不开业务连续性、IT 与业务需求对齐、应用影响分析、IT 安全和电信连续性等多个方面的保障。这些方面相互关联、相互影响，共同构成了一个完整的体系。通过定期的业务连续性测试、有效的需求分析和规划、全面的应用测试、严格的 IT 安全管理以及完善的电信连续性规划，企业可以提高自身的抗风险能力，实现可持续发展。

9.2 建议

• 持续改进 ：企业应将业务连续性和 IT 相关工作纳入日常管理中，定期进行评估和改进。不断优化业务连续性计划、IT 架构和安全策略，以适应不断变化的业务环境和技术发展。
• 加强沟通与协作 ：加强 IT 部门与业务部门之间的沟通与协作，确保 IT 技术能够紧密围绕业务需求进行发展。同时，建立跨部门的协调机制，共同应对各种挑战。
• 关注新技术应用 ：密切关注人工智能、区块链、5G 等新技术的发展趋势，积极探索其在企业中的应用。提前做好技术储备和人才培养，为企业的未来发展奠定基础。

总之，企业在面对复杂多变的市场环境和技术挑战时，只有全面考虑业务连续性、IT 与业务需求对齐等多个方面，不断优化和完善自身的运营体系，才能在激烈的市场竞争中立于不败之地。