afrexai-business-continuity

核心用法

Business Continuity Planner 是一款纯指导型的业务连续性规划工具，通过六步结构化流程帮助组织从零构建完整的BCP与DR策略。用户只需描述企业基本情况（如"40人SaaS公司，AWS托管主系统"），Agent即会引导完成：业务影响分析（识别核心收入功能、设定RTO/RPO）、风险评估（技术/人员/设施/供应链/外部威胁五维评分）、恢复策略制定（主备方案+人工降级+责任人矩阵）、沟通计划（危机联络树与升级机制）、标准化BCP文档输出（Markdown格式，含表格与版本控制），以及测试维护计划（季度桌面演练、年度全量DR测试）。

显著优点

零技术门槛：无需安全、运维或合规背景，通过自然语言对话即可完成专业级BCP；输出即合规：生成的Markdown文档直接满足SOC 2、ISO 27001等审计要求，含版本控制、评审周期等治理要素；风险量化清晰：采用Likelihood×Impact的5×5风险矩阵，将主观判断转化为可比较的数字评分；实战导向设计：强调"从赚钱功能开始"、"5页可读计划优于50页摆设"等务实原则，避免文档工程；单点故障识别：专门设计环节挖掘隐藏的依赖风险（如关键人员、唯一供应商）。

潜在缺点与局限性

非自动化工具：仅生成文档指导，无法对接AWS/Azure API执行实际故障转移或监控告警；依赖用户输入质量：RTO/RPO的合理性完全取决于用户对业务影响的自我评估，缺乏行业基准数据校验；无实时数据集成：无法自动拉取系统监控数据、财务流水或供应商SLA状态，风险评分依赖人工判断；模板化输出：生成的BCP结构固定，对金融、医疗等强监管行业的特殊合规条款（如HIPAA、PCI-DSS）需人工补充；测试执行脱节：虽规划了演练时间表，但实际演练的组织、记录、改进跟踪仍需企业自行落地。

适合的目标群体

• 早期创业公司：首次应对客户审计或投资人尽调，需快速产出合规文档
• 中小企业运营/IT负责人：无专职BCM团队，需自助式规划工具
• CTO/技术VP：准备SOC 2、ISO 27001认证，需DR策略文档化
• 咨询顾问：为客户交付BCP项目时加速文档产出
• 非营利组织/教育机构：预算有限，需零成本启动业务连续性建设

使用风险

规划与执行落差：生成的BCP若未实际演练，危机时刻可能发现联系人失效、备用方案不可行；过度简化风险：5×5评分矩阵对复杂系统性风险（如供应链级联故障）的刻画能力有限；版本管理责任：文档建议6个月评审周期，但企业可能忽视更新导致计划过时；无加密传输提示：虽Skill本身不收集数据，但用户若在不安全渠道传输含敏感联系信息的BCP文档存在泄露风险。

核心用法

Business Continuity Planner 是一款面向企业风险管理的专业规划工具，通过六步结构化流程帮助组织建立完整的业务连续性计划（BCP）与灾难恢复（DR）策略：

1. 业务影响分析（BIA）：识别核心营收功能、客户系统、内部运营及第三方依赖，量化停机损失（每小时营收损失、合同违约金、声誉损害），设定关键恢复指标——RTO（恢复时间目标）与RPO（恢复点目标）

2. 多维度风险评估：覆盖技术（服务器故障、网络攻击、云中断）、人员（关键岗位风险、大规模缺勤）、设施（办公场地、电力网络）、供应链（供应商故障、支付中断）及外部威胁（监管变化、自然灾害、疫情），采用 1-5 概率×影响评分机制量化风险等级

3. 恢复策略设计：为每个关键功能制定主备恢复方案、手动降级预案，明确责任人与恢复优先级依赖

4. 应急通信体系：构建危机管理团队联系树、内外部通知序列、媒体公关模板，解决"危机时不知联系谁"这一头号 outage 延长因素

5. 标准化文档输出：生成包含版本控制、测试计划、审查周期的完整 BCP 文档，支持 Markdown/PDF 导出

6. 持续验证机制：推荐季度桌面推演、半年模拟测试、年度全量 DR 演练，确保计划从"纸面文档"转化为"可执行能力"

显著优点

• 方法论成熟：遵循 ISO 22301 业务连续性管理标准与 NIST SP 800-34 指南，覆盖 BIA→风险评估→策略制定→测试维护全生命周期
• 实战导向设计：强调"从赚钱功能开始""5页可读计划优于50页无人看"等原则，避免过度工程化
• 无技术门槛：纯对话式交互，无需预置系统访问权限或集成现有基础设施
• 零安全负担：纯 Markdown 文档结构，无代码执行、无外部 API、无数据收集，通过 S 级安全认证

潜在局限

• 高度依赖用户输入质量：BIA 准确性完全取决于用户对自身业务的认知深度，存在主观偏差风险
• 行业特异性不足：未内置金融、医疗、制造业等垂直行业的合规模板（如 HIPAA、SOX、PCI-DSS），需用户自行补充监管要求
• 技术细节有限：AWS/云原生场景的 DR 架构设计停留在策略层，具体实施（如多区域故障转移、数据库复制配置）需技术团队深化
• 无实时监控集成：仅输出静态计划文档，不具备 RTO/RPO 实时监控、自动告警等运营能力

适合人群

• 中小企业 CTO/运营负责人：快速建立基础 BCP 框架，满足客户审计或投资人尽调要求
• SaaS 创业公司：在规模化前补齐业务连续性短板，避免单点故障导致客户流失
• 风险管理顾问/审计师：作为标准化交付模板，提升 BCP 咨询项目效率
• 非技术主导的组织：人力资源、行政团队主导的业务连续性建设

常规风险

• 计划与执行脱节风险：工具输出文档后，若缺乏季度测试与年度演练，易形成"有文档无能力"的虚假安全感
• RTO/RPO 设定激进风险：用户可能低估恢复成本，设定不可实现的恢复目标，导致真实危机时决策混乱
• 第三方依赖盲区：SaaS 供应商（如支付网关、身份认证服务）的 BCP 未纳入评估，形成隐性单点故障
• 人员流动性风险：文档中指定的关键联系人离职后未及时更新，危机时联系失效