6.4.1 业务连续性管理
构建业务连续管理体系，不仅需要着眼于信息系统的备份与恢复，更重要的是确定或构建嵌于组织生命周期的业务连续管理目标、策略、制度、组织和资源。通过近30年的发展，行业标准组织制定了业务连续管理最佳实践的十步骤：
1.项目启动和管理
确定业务连续性计划（Business Continuity Plan，BCP）过程的需求，包括获得管理支持，以及组织和管理项目使其符合时间和预算的限制。
2.风险评估和控制
确定可能造成机构及其设施中断和灾难、具有负面影响的事件和周边环境因素，以及事件可能造成的损失，防止或减少潜在损失影响的控制措施，提供成本效益分析以调整控制措施方面的投资达到消减风险的目的。
3.业务影响分析
确定由于中断和预期灾难可能对机构造成的影响以及用来定量和定性分析这种影响的技术。确定关键功能、其恢复优先顺序和相关性以便确定恢复时间目标。
4.制定业务连续性策略
确定和指导备用业务恢复运行策略的选择，以便在恢复时间目标范围内恢复业务和信息技术，并维持机构的关键功能。
5.应急响应和运作
制定和实施用于事件响应以及稳定事件所引起状况的规程，包括建立和管理紧急事件运作中心，该中心用于在紧急事件中发布命令。
6.制定和实施业务连续性计划
设计、制定和实施业务连续性计划以便在恢复时间目标范围内完成恢复。
7.意识培养和培训项目
准备建立对机构人员进行意识培养和技能培训的项目，以便业务连续性计划能够得到制定、实施、维护和执行。
8.维护和演练业务连续性计划
对预先计划和计划间的协调性进行演练，并评估和记录计划演练的结果。制定维持连续性能力和BCP文档更新状态的方法使其与机构的策略方向保持一致。通过与适当标准的比较来验证BCP的效率，并使用简明的语言报告验证的结果。
9.公共关系和危机通信
制定、协调、评价和演练在危机情况下与媒体交流的计划。制定、协调、评价和演练与员工及其家庭、主要客户、关键供应商、业主/股东以及机构管理层进行沟通和在必要情况下提供心理辅导的计划。确保所有利益群体能够得到所需的信息。
10.与公共当局的协调
建立适用的规程和策略用于同地方当局协调响应、连续性和恢复活动以确保符合现行的法令和法规。
