2021年6月8日，被众多网站发布商广泛使用的内容分发网络服务Fastly遭遇服务中断，导致全球范围内的重大新闻网站、亚马逊乃至英国政府网站均受到影响。尽管此次故障与网络安全无关，但它依然说明了依赖第三方提供关键服务的组织为何需要持续评估这些供应商的业务韧性实践。
第三方业务韧性计划的关键要素
第三方业务韧性问卷至少应评估以下方面：
- 业务连续性——确保组织在各种紧急情况下仍能持续履行关键职能。
- 危机沟通——提高对特定类型威胁的认知，包括其严重程度、潜在后果以及可降低威胁的具体行为。
- 关键基础设施保护——保护对公司正常运作至关重要的服务。
- 信息系统应急预案——中断后服务恢复规划。
- 事件响应与管理——识别、消除网络安全威胁并实现系统恢复。
- 灾难恢复——恢复并保护企业IT基础设施。
向所有关键服务供应商提出的10个业务韧性问题
为确定业务韧性实践的基准，Prevalent建议企业要求所有关键供应商回答以下10个问题。这些问题旨在作为起点；供应商的答复应决定后续行动，其业务韧性计划中的薄弱环节需立即得到解决。
| 问题 | 可能的对策 |
|---|---|
| 1) 贵组织是否已制定业务韧性计划？以下哪些情况适用？
请选择所有适用的选项。 |
a) 我们已制定并实施了书面业务韧性计划或类似方案。 b) 该计划至少每年进行一次审查，或在发生重大变更后立即审查。 c) 该计划设有正式负责人。 d) 该计划已传达给所有必要代表并向其开放。 |
| 2) 业务韧性计划包含以下哪些方面？
请选择所有适用的选项。 |
a) 启动标准 b) 职责分工 c) 对服务的影响 d) 弹性措施的定期测试 e) 人员配置 f) 系统与资产 g) 设施保障 h) 沟通流程 i) 供应链与物流 j) 安全控制 |
| 3) 该组织是否已为内部和外部人员分别制定了呼叫树？
请选择所有适用的选项。 |
a) 我们的业务韧性计划包含沟通联络树。 b) 我们的联络树明确了外部联络对象、沟通时间及频率。 c) 我们已确定组织遭遇停运时负责向内部员工传达信息的职责岗位。 d) 我们已确定组织遭遇停运时负责向客户传达信息的职责岗位。 e) 我们已确定组织遭遇停运时负责向第三方传达信息的职责岗位。 |
| 4) 在描述贵组织开展业务影响评估的方法时，以下哪些描述适用？
请选择所有适用的选项。 |
a) 已对所有系统、资产和功能完成影响评估。 b) 影响评估流程结束后，已确定影响等级。 c) 已在适用场景中定义恢复时间目标（RTO）。 d) 已在适用场景中定义恢复点目标（RPO）。 e) 定期对RTO和RPO进行测试。 |
| 5) 您的组织是否已制定专门的系统故障停机预案？若未制定，贵组织是否正在制定中？
请选择一个答案。 |
a) 是的，我们已制定停电应急预案，作为更广泛业务韧性规划的一部分。 b) 尚未制定停电应急预案，但正在制定中。 c) 尚未制定停电应急预案，且未启动制定流程。 |
| 6) 您的组织事件管理计划是否考虑了对潜在非网络中断事件的响应？
请选择所有适用的选项。 |
a) 我们拥有正式记录的事件管理计划。 b) 我们的事件管理计划涵盖事件发生后的识别、响应、升级及服务恢复流程。 c) 我们的事件管理计划包含应对潜在非网络事件的方法。 d) 我们的事件管理计划为员工提供识别和报告潜在中断的指导。 |
| 7) 在贵组织内部，关于业务连续性与停机计划的决策是在哪个层级进行的？
请选择所有适用的选项。 |
a) 业务连续性规划决策由董事会层级管理。 b) 业务连续性规划决策由业务连续性负责人管理。 c) 决策仅在地方层面（如特定站点）作出。 d) 决策由各职能部门独立作出。 e) 组织内部尚未明确业务连续性规划决策的责任归属。 |
| 8) 发生服务中断时，是否会根据中断的影响程度调整与客户的服务级别协议（SLA）？
请选择所有适用的选项。 |
a) 我们将根据业务影响分析，调整所有受影响的关键与非关键服务的SLA。 b) 我们将仅根据业务影响分析，调整受影响的关键服务的SLA。 c) 我们将根据业务影响分析，调整所有受影响的关键与非关键服务的SLA。 d) 我们已与客户审阅服务等级协议，根据业务影响分析结果，服务质量不会出现任何降级。 |
| 9) 若服务受到影响，贵机构向客户提供准确最新信息的时间安排是怎样的？
请选择所有适用的选项。 |
a) 我们在启动停电应急预案时向客户发送初始通知。 b) 在服务持续受影响期间，我们定期向客户通报进展。 c) 当变化影响我们提供产品与服务的能力时，我们将持续向客户通报情况。 |
| 10) 您的组织建立了哪些公共沟通流程？
请选择所有适用的选项。 |
a) 公开声明已发布。 b) 定期向客户及潜在客户提供更新。 c) 根据正式分级处理流程确定并执行公开沟通要求。 d) 我们持续监测第三方及供应链的公开声明。 |
下一步工作
关键供应商或第四方的停运可能对贵组织的产品服务交付能力产生多米诺骨牌效应，危及营收、客户满意度等关键指标。立即使用我们的免费业务韧性资源评估关键第三方危机应对流程，或联系我们进行战略研讨。
编者按：本文最初发表于Prevalent.net。2024 年 10 月，Mitratech 收购了人工智能第三方风险管理公司 Prevalent。此后，我们对内容进行了更新，以纳入与我们的产品、监管变化和合规性相一致的信息。
