在完成业务影响分析之后，灾难恢复规划的下一步是完成风险评估模板。

业务影响分析（BIA）有助于企业组织找出最关键的业务流程，描绘出流程中断带来的潜在影响，而风险评估则可以找出可能会对关键业务流程产生负面影响的内外部因素。BIA还可以试图量化这些潜在因素的严重程度，以及其发生的可能性。

灾难恢复规划中的风险评估指南显示了如何着手，如何准备风险分析，以及如何识别出自然灾害和人为的威胁。此外，我们还提供了一款免费IT风险评估模板供下载，以便你在计划中使用。

为什么要进行风险评估？

风险评估可以让你找到对可能对企业组织产生不利影响的事件。这其中包括可能造成潜在损害的各类事故、恢复操作所需时间，以及减轻事故发生可能性的预防或控制措施。风险评估还将帮助你确定正确执行哪些操作步骤可以减缓事故的严重性。

要开始风险评估，首先确定BIA中最关键的业务流程着手；在此之后，你应该收集有关企业组织潜在威胁的信息。

许多源头可以帮助你收集有关威胁的信息，包括：

• 公司破产事件的记录；
• 员工对灾难性事故的回忆；
• 地方或国家媒体的记录；
• 当地图书馆；
• 应急响应机构组织；
• 国家气象局的历史数据；
• 美国地质调查局的地图和其它文件；
• 关键的利益相关者和机构的经历；
• 和公司有业务往来的供应商的经验；
• 联邦应急管理局（FEMA）、国土安全部、美国能源部等政府机构。

这些信息源可以帮助你确定发生特定事件的可能性，以及真实事件的严重程度。如果确认没有任何可能性，你便可以排除掉某些事件。比如说，假如美国地质调查局的地图显示你所处的位置并不处于地震带附近，那么排除对地震的考虑便不失为上策。使用所提供的风险评估模板列举整理企业和组织中潜在的威胁。

这份优秀的文档可以帮你对风险做好准备的，它来自于国家标准与技术研究所特刊800-30，《信息技术系统风险管理指南特刊》。

了解威胁和漏洞

风险分析中设计到明确风险、评估事件发生的可能性并确定事件后果的严重性。进行脆弱性方面的评估同样会是有效的，可以有助于明确假如不执行某些活动的话会增加怎样的风险。例如假设不使用最新的防病毒软件，受病毒工具的几率会有多大。

最后，风险分析结果应当总结成为可提交给管理层的报告，并提议采取何种缓解措施。在执行风险分析时寻找漏洞会是相当有用的。

防守的类型

确定了风险和漏洞后，可以采取何种防御措施呢？

• 保护措施：这些措施旨在减少发生破坏性事件的机会；一个很简单的例子是用安全摄像头识别未经授权的访问者，并在攻击者造成任何破坏之前提醒机构。
• 缓解措施：这些活动旨在尽量减缓事件发生后所造成的影响。减缓措施的例子包括用浪涌抑制器来减少雷击对不间断电力系统的影响，从而将停电或掉电所导致的关键系统宕机的可能性限制在最小程度。
• 恢复活动：这些活动用于将系统和基础架构的系统恢复到能够支撑业务运营的水平。例如，存储在外部站点的关键数据可用于将业务操作重新恢复到某个适当的时间点。
• 应急计划：这些流程层面的文件描述了企业和组织在破坏性事故发生后可以怎么做。他们通常是由应急管理团队引起。

执行这些措施的顺序在很大程度上取决于风险评估后的结果。在找出特定的威胁及其相关漏洞后，你可以制定出最有效的防御策略。记住，应急计划必须和结果，而非起因挂钩。

灾害的类型

灾害是触发因素和环境条件的特殊组合，有两大分类：人为的和自然的。

人为的危害甚至个人或多人需要为灾害事故承担责任。可能是有目的性的，又或者只是意外。

可能对组织产生不利影响的自然灾害和人为灾难

自然灾害通常被视作由不可抗拒力索引起，无法归咎于个人的灾害，例如天气、地震和火灾。假如你所在的企业或组织处于飓风易发的地区，又或者建筑物存在施工漏洞，都应当在风险评估中注明。

影响因素的分组归类

在确定风险之后，你需要明确事故的潜在影响、症状和引发的后果。

基本效应：在以下五个方面的影响可能会造成灾难性的后果：

• 拒绝访问；
• 数据丢失；
• 人力资源损失；
• 职能丧志；
• 缺乏信息；

征兆：征兆的出现往往是某方面的短板（或缺失）所引起的：

• 拒绝访问；
• 数据；
• 保密；
• 信息一致性；
• 环境因素；
• 人员（短时间的缺失）；
• 系统功能；
• 控制；
• 通讯。

后果：继而引发的后果或影响可能包括：

• 现金流的中断；
• 数据镜像的丢失；
• 损害品牌价值；
• 丢失市场份额；
• 打击员工士气；
• 增加人员流失率；
• 更高的修复成本；
• 更高的恢复成本；
• 罚款；
• 法务费用。

风险评估的类型

风险评估通常有以下两种形式：定量评估：用数字来度量风险，进行量化（例如从0.0到1.0，或者从1到10）；定性评估：根据对风险的一般印象，对其进行明确。该过程使用主观评价标准，如高中低，或是优良可劣，而非数值。

用数字来对风险进行定量的方法通常要有可靠的统计数据，以此预测未来风险的可能性。如上文所述，定性访问通常更为主观，用低、中、高等。不过，有时候定性方式在管理方面更加可行。在我们的风险评估模板中你可以找到某些参照列，让你对所在的企业组织分配定性标准。

定量评估的一个例子

风险 = 可能性  x 影响力，这个公式，亦称为风险评估矩阵，通常可用来计算风险值。通过将事件的可能性和导致的损害程度综合衡量，风险评估矩阵是管理层用以规划可能发生灾难的说明性工具。

举例来说，我们可以用0.0到1.0的比例，其中0.0表示不太可能发生威胁，而1.0表示威胁会绝对发生；影响力0.0意味着对企业和组织没有任何损害或破坏，而1.0则意味着公司将被彻底毁灭，无法进一步开展业务。数字之间可能代表对威胁的统计分析结果，以及公司的经验。采取这种方式时，可以下载风险评估模板。

使用0.0到1.0的定量范围，你可以据此结果进行定性（例如0.0至0.4=低风险，0.5至0.7 =中等风险，0.8至1.0 =高风险）。

风险矩阵是分享风险评估的定性工具

一旦所有的风险都被逐一分析，并分配了定性类别，你就可以制定处理最高风险的策略，或者为所有的风险类别准备解决方案。风险管理计划将取决于管理层的风险偏好，即他们处理风险的意愿。基于风险定义的策略可以用于帮助设计业务连续性计划，以及灾难恢复策略。

进行风险评估：谁该在何时做什么

项目经理及其团队通常负责实施风险评估与风险管理计划。这其中可能涉及到未来需要在某个级别执行某项行为的具体人员。

依据效果、征兆和后果，各家企业组织在风险评估中的细节水平各不相同。一般的风险评估中不会要求确定风险层级，这将交由执行特定的评估公司决定。在我们的风险评估模板中，有50多项人为何自然的潜在灾害领域。

风险评估是业务连续性或灾难恢复计划中的关键工作；假如你已经选择了使用定性方式，那么定量方式会对你会显得过于严苛，因为你得借助统计学证据证实所用的数字。

进行风险评估的频率也需由你自行决定。当然，结果应该定期更新，以确定是否有任何可能性和影响力方面的变化。不管使用何种方式，结果应当对应到业务影响分析中明确的关键业务流程中去，同时明确应对已知风险的策略。假如风险评估过时，那么用来对应潜在威胁的策略将同样失效。