Q：应该如何进行灾备中心的选址？

    汪琪：如何选址，要看企业要预防什么灾难。GDS在实际服务过程中发现：单从基础设施方面来看，很多灾备中心的选址并不科学，比如，某公司将灾备中心的地址选在一座紧邻马路的四层建筑里，经过实地考察，GDS发现，路基平面高于建筑物一楼地面约三米，一旦市政管网爆裂将可能会面临水灾的风险。除此之外，该灾备中心还存在建筑的设计在平面规划、设备运输上不能满足要求，缺少消防系统，供电能力不足，避雷和接地系统不符合要求等问题。再比如，某银行将自己的灾备中心建在了太湖边上，建筑平面低于水位线，这样的设计，不亚于在刀尖上舞蹈。

    Q：灾备中心应采用何种数据传输方式？ 

    汪琪：一般而言，企业需要结合自己的容灾目标和实际情况来考虑。如果系统性能是优先的考虑对象，能够接受备份中心数据更新的较小延迟，就可以考虑采用异步数据复制方式。如果避免数据丢失是最优先的考虑，生产主机的工作负载能够承受同步拷贝带来的性能损失，运行中心和备份中心的距离不超过100公里，那就可以考虑采用同步数据复制方式。当然，对于数据宝贵、安全性要求高、依赖信息技术强和有保证高度业务持续性要求的大型企业，应该考虑两种方式的相互结合，这样才能确保关键数据的万无一失。

    Q：在灾备方面，政府和行业主管机构的管理和引导作用非常重要，您认为我国相关机构在这方面的表现和进展如何？

    汪琪：在灾备方面，我国政府一直比较重视，从国信办27号文件开始，政府在信息安全和灾备方面下发了大量文件。2004年至2005年中，国信办就下发了好几道文件。应该说，政府在指导和规范灾备建设方面，做得比较积极。从行业应用方面看，我们银行、证券、保险行业也都出台了相关的文件和规范。现在奥运临近，各行业对灾备更加重视，文件内容也从基本要求向着深化和细化的方向发展。比如银监会的57号文（《银行业重要信息系统突发事件应急管理规范(试行)》），专门就应急演练做出了指导和规范。

    当然，毕竟我国在灾备方面发展历史还很短，还有大量的工作要做。我认为，下一步我国需在以下几个方面加强工作：其一，进一步加强对灾备的监管和审计工作。为了使政策得到落实和执行，需要加大监管力度，并定期进行审计，要求行业机构和企业合规。其二，灾备要从单纯的IT应用备份向业务连续性管理方面升级。现在国际上谈的都是业务连续管理，我们要跟上时代的步伐。其三，业务连续和灾难恢复工作的颗粒度要细一些，范围广一些。在出台相关文件和规范时，在内容方面要做到细化，范围要全面；例如除了对核心业务系统作出要求外，对各种重要的业务和系统都要有相应的要求和规范。在银行业，随着城市商行的崛起，其重要性越来越高，由此而产生的风险管理需求将大大增加，响应灾备建设工作指导的进一步的深化和细化越来越重要了。

    Q：业务连续性管理很讲究整体性，任何一个环节出问题都可能导致全盘皆输，而其中统筹企业内部资源和外部资源比较复杂，那么在这一方面，GDS万国数据有哪些经验和办法可以分享？

    汪琪：从灾备管理需求方面来看，企业的灾备管理需求不能仅仅由技术部门设定，业务各部门必须参与，企业还要参考行业主管机构的指导和标准，要参考上下游、行业和企业环境等各方面的输入，要对来自各方面的风险考虑进去，整合这些信息和需求，才能制定出完善的规划。

    在建设过程中，要跟行业主管、当地相关政府机构、合作的第三方、关键的大客户、关键的渠道和业务来源甚至网上支付或结算系统的信息和资源进行协调和整合，要看一旦灾难发生时在所有这些渠道和资源有没有补救的方法和措施。

    在运行维护过程中，灾备管理体系仍然是活的，因为各方面的情况会不断发生变化，生产也在变化，那么灾备管理体系也要跟着变。还要进行各方的联合演练，最终形成合力。要在灾备建设中整合好各种资源，需要企业在管理方面做出更大投入。

    Q：如您前面所说，企业常常忽略灾备一前一后的规划工作，这样就会影响到企业在这方面的预算。在为客户服务过程中，您在企业预算方面是如何说服客户的？企业应该如何在高投入与小风险间寻求“平衡”？

    汪琪：我们的建议是，企业在做灾备建设时，一定要考虑整体拥有成本（TCO）。我们看到的是，企业往往只会考虑其中的某一项，比如在IT投资方面，他们常会忽略以后增加系统会在将来增加多少运行维护成本等问题；又比如有些企业仅把灾备作为一个IT项目，忽略了企业的灾备体系在运行5-10之后的成本问题，最后导致的结果就是浪费。

    因此，我们一直建议企业在开始灾备建设时就要做好分析和整体规划工作，要把企业内部和外部的情况都输入进来；要设置清楚长期的建设目标和分期的实施计划，这样就不会有太大疏漏。

    Q：考核一家灾备服务企业的服务水平，大致有哪些指标？

    汪琪：SLA（服务等级协议）是非常复杂的东西，涉及许多非常细致的指标和标准，包括基础设施建设、可用性、各项服务的水平、响应标准、环境准备时间和安全等。这需要服务方一项一项地落实到工作的细节中去，做到各个层次都就绪。

    Q：大家都在谈虚拟化技术在灾备中的应用，您怎么看待这一技术，GDS万国数据的服务和方案中又如何体现这一技术？

    汪琪：虚拟化技术在我们的有些方案中有采用。这一技术主要适用于多平台、多存储的用户；利用这一技术，我们可以把企业的前台和后台的存储进行更有效的整合。但这种技术对某些特殊的体系系统并不适用，比如像AS/400这样的非开放式系统，对要求特别高的客户来说也不适用。其优势主要还是在存储和平台的整合。

    Q：灾备会涉及到企业安全保密性的问题。据我所知，前几年很多企业在找外包服务方时，经常会谈到这个问题。在您与客户打交道的过程中，近几年还会遇到这样的问题吗？

    汪琪：确实，前几年时，我们的客户经常会跟我们谈到这个问题，为此我们做了大量的工作。我们的数据中心是我国灾备行业第一个通过BS 7799标准的数据中心，还通过了ISO 20000、ISO 9001认证及ISO 27001认证；我们在操作流程上面为客户做了不少工作，通过制度、流程和技术手段保证客户信息的私密性和安全性。

    经过我们的努力，现在安全保密性已经不是我们的客户最常谈起的问题了，甚至已经不是他们特别担心的问题了。现在客户与我们探讨更多的是，他们的灾备质量应该达到什么程度，为此我们应该给他们提供什么样的服务等。

    Q：您怎么看SaaS在数据服务和灾备市场的应用和前景？

    汪琪：SaaS与灾备的联系是，把很多小企业的灾备工作，从不可能变成了可能。而在传统的模式下，小企业没资金、没能力做灾备。

    Q：贵公司在做这方面的尝试吗？有需要这种服务的客户吗？

    汪琪：我们在SaaS方面有尝试，是跟合作伙伴一起做，也有这方面的客户。不过，就目前的情况来看，对小企业来说，灾备可能不是他们最着急的事儿，这也就决定了目前SaaS的服务模式跟部分企业的灾备需求没有太直接的联系。但我们也看到，有了SaaS服务，我们是给企业提供了一种具备增加值的服务。

    Q：之前，GDS已经获得ISO 9001、ISO 27001认证，今年7月底，GDS又获得了ISO 20000认证，这对GDS来说意味着什么？

    汪琪：通过ISO 20000的审核对我们的影响非常深远。ISO 20000规划了非常完整的IT服务体系架构，它是完全以服务为导向的一个标准，是完全面向客户的服务体验和满意度的。通过此标准审核，意味着我们可以向客户提供更高水平的、成体系的服务；同时，这一标准也促进了我们公司管理的改进和提升。该标准把IT服务划成了一个个的流程，把管理架构从原来的部门制转变成了流程制，这些流程是跨部门的，由一个流程经理来负责管理，这样大大提高了我们的工作效率，减少了出错率。

    现在，我们把我们通过的三个标准——ISO 9001、ISO 27001和ISO 20000进行有机结合，把相关规范和标准落实到我们具体的工作中，同时根据标准与客户做对接。以后我们的客户也会在我们的指导下走向ISO 20000，这样一来，通过与客户进行对接和系统集成，我们会创造出新的服务模式，把我们和客户的管理都提高到新的层次。

    Q：目前国内和业内通过ISO 20000审核的还有其他企业吗？

    汪琪：在数据中心的达标建设方面，我们在国内是领先的。国内第一个通过ISO 20000审核的数据中心是交通银行总行的数据中心，我们是它的项目咨询方。我还没听说业内其他企业数据中心通过此标准。

    Q：我知道您还负责贵公司咨询部门的工作，和其他领域的咨询人员一样，灾备行业的咨询人员也需要具备许多条件和素质，能否介绍一下您是怎么选择、培训咨询人员的？

    汪琪：第一，我们看重有行业背景的人。因为每个行业的流程和需求都有所不同，行业背景有助我们更了解我们的客户。其实在跟客户打交道过程中，我们做的很多工作不仅是IT方面的，也会帮客户梳理业务流程和业务需求。这就要求我们的咨询人员行业背景要强。第二，我们注重咨询人员的综合素养，这包括沟通能力、逻辑思维能力、创造能力、应变能力等。做咨询没有一定之规，没有固定的模式，有很强的互动性，所以对人的要求比较高。第三，我们要求咨询人员要具备专业知识和相关能力。这些知识包括业务连续性管理方面的知识、IT方面的知识、对客户的特殊业务学习和了解的能力等。

    对咨询人员，我们有定期不定期的培训，包括项目的培训、工作实践中的培训等。在部门内部和部门之间，我们也有知识共享的机制。