金融信息系统日益发展，伴随着信息越来越向上集中，规模越来越大，金融信息化系统安全的重要性也与日俱增，它关系到金融机构的生存和经营的成败，堪比金融机构的生命。其中，做好灾难体系建设更是金融业夯实安全堡垒的关键环节，不容忽视。

　　对于金融企业CIO来说，当前金融业灾备体系建设面临哪些挑战?云概念的广泛应用将给金融灾备体系建设策略注入哪些新思路?记者走访了来自银行、证券、保险的几位信息主管，

　　了解到不同类型、不同规模金融机构在灾备建设、管理方面的现状差异和未来发展驱动。

　　灾备模式之选

　　目前，大型商业银行普遍采用 “两地三中心”的灾备建设模式，即具备生产数据中心、异地灾难备份中心、同城应急灾难备份中心。但由于大型商业银行、股份制商业银行、城商行及外资银行各自业务需求和系统特点不尽相同，因此灾备体系的建设模式和成熟度也存在差异。

　　据中信银行信息技术部IT经理刘文荟介绍：“目前中信银行灾备采用的也是两地三中心模式，在本地有一个同城灾备，在西安一个异地灾备。异地灾备的数据备份和应用备份，技术并非问题，需要银行视业务需求确定投入规模，如果数据量大需要带宽资源很大的话，成本也会很高。”

　　据了解，国内100多家城市商行中有80%以上的商业银行没有灾备中心的，仅有一些简单的数据备份措施，存在较大的系统风险，这是目前中小金融机构异地灾备建设的现状。对于资本实力弱于大型商业银行的城商行而言，如何权衡灾备目标和成本投入成为困扰IT主管的问题之一。

　　上海银行北京分公司信息技术部总经理卢长顺向记者表示：“技术不是难点，更让我纠结的是如何用更新的技术、更好的方式、更低的成本去实现既定的灾备目标，需要一个前瞻性的把握。”

　　同样的困惑也存在于保险业灾备实践中。“2008年，保监会发布《保险业信息系统灾难恢复管理指引》，要求5年内各保险公司至少达到规定的最低灾难恢复能力等级要求。但很多保险公司可能无法达到，因为投入的规模依托于公司的经营管理和业务水平，需要公司决策层综合评估，制定适合企业现状的灾备体系建设规划。” 华夏人寿保险信息技术部负责人王自杰谈到。

　　“云”灾备受中小金融机构青睐

　　“小概率，高风险;高投入，低效率;建设易，维持难。”这是对灾难备份本质特点的经典归纳。

　　一般而言，大型金融机构由于对业务连续性要求很高，且对IT投入的成本顾虑因素较少，会倾向于自建高等级的数据中心。而一些中小型金融机构，如城商行、区域性银行，在做大做强向全国性银行规模扩展的过程中，则更关注IT外包服务。

　　“从自建灾备的缺点来看，一方面它极大增加了国家灾难恢复建设的整体投资;另一方面，从金融行业自身来看，一些中小型金融机构缺乏专业化运维人才和统一运维体系规划，灾备系统运维水平、效率和可用性无法得到有效保证。因此，一些地方性的中小型金融机构由于网点规模有限，业务相对单一，所以其信息化需求虽然迫切，但也没有太多投资预算去做大规模的灾备自建，他们更倾向于成本较低的灾备服务云模式。” 赛迪顾问云产业研究中心总经理吴李知向记者介绍。

　　如今，在灾难恢复行业，外包已是大势所趋。相对灾备行业整体市场而言，灾难恢复外包市场的增长速度更为迅速。据某咨询机构预测，从2008年到2013年，中国灾难恢复外包市场将保持38.9%的复合增长率，比灾备整体市场的复合增长率高出18.2个百分点。

　　云计算的出现，为灾备行业带来一个与传统方式截然不同的途径， 势必在金融业灾难恢复和数据保护战略中发挥重要作用。作为一个快速增长的细分市场，众多IT服务商正努力抓住这一市场良机，提升服务的广度和深度。据中国人民银行金融电子化公司副总经理郭全明介绍：“由金融电子化公司牵头的灾备服务云项目已经开始运营，该平台可满足6000家中小金融中心灾备需求，基于可靠的灾备技术方案和专业的技术服务团队，帮助中小金融机构提升灾备服务能力、完善应急管理体系。”

　　重在保障业务连续性

　　出于成本考虑和预算限制，一些金融企业仍在不断完善自身灾备体系建设，但从金融行业信息安全、风险管控的需求来看，灾备虽然能够一定程度避免金融企业因突发灾难造成的关键业务数据丢失，但在保障业务连续性方面，灾备并非万能。

　　中信银行信息技术部IT经理刘文荟强调，“中信银行的灾备相对比较完备，目前关键业务可以做到灾备切换，但还无法做到所有业务的无缝切换。”

　　对此，国开行专家常委会委员许成军也谈到，“灾备重要的不是技术方案，而是管理，是团队。举个例子，某银行的业务系统需切换到灾备中心，可能导致业务中断几小时，需要业务部门主管授权，如果联系不上业务主管，就无法快速有效地实施灾备切换。”

　　因此，灾备再好的技术方案如果没有完善且切实可行的连续性计划支撑，灾备建设本身也无法解决所有问题，无法确保达到灾备恢复预期目标。业务连续性管理是公司治理、风险管理中极其重要的一环，不应单单从IT部门来看待和管理这项工作，而势必要上升到决策层来组织和推动这项工作，灾备系统也不仅仅是IT项目，而应是管理项目。

　　很多IT主管都碰到这一问题，对他们而言，在完成灾备系统建设之后，更需要考虑确定完善的业务连续性管理方案，这是一个全员参与的过程，当故障发生，从团队到IT技术，从基础设施、业务恢复，到公关处理等各方面，都需要周密的考虑，才能确保灾备体系发挥价值，支撑业务连续性管理良好实施。