有人认为，在中国目前信息化发展不均衡、应用不充分的情况下，开展灾备业务为时尚早，讨论这一话题有点“杞人忧天”。然而，现实情况究竟如何呢？
争议一:
在中国启动灾备是否太早？
金融行业也许是对开展灾备最积极的行业，这也许与行业特点和信息化应用充分有关。中国的金融业虽然逐渐走向商业化，但其一个小小的数据震动也许将直接影响国民经济，因此，金融业是最关心灾难备份，也是走在最前面的行业。中国的一些金融机构，早在3年前，就开始酝酿灾备的建设工作。事实上，国外也是如此，专家告诉记者，国外的灾备业务，60%以上集中在金融领域。
那么，其他行业呢？国务院信息化办公室在调研中发现，一些领导干部和组织机构对灾难备份工作存在许多的困惑，对其重要性、紧迫性认识还不到位，存在著麻痹和侥幸的心理，有些重要的信息系统还没有建立基本的灾备系统，不具备灾难恢复的能力。
“这些困惑点是由灾难备份本质特征所决定的。花上一大笔钱，三年五年不出事，派不上用场，自然就会有领导犹豫，建立灾难备份到底值不值？”信息安全专家曲成义说，他把灾难备份的本质特点归结为三个方面。
首先，小概率，高风险。例如，尽管网络遭到病毒入侵很常见，但并不见得在重要系统中经常性的全面爆发，造成灾难性事件。但一旦爆发，风险无比巨大。2001年，红色病毒在东京国际机场航班系统里面爆发，短短几个小时内，几百架飞机上不了天，几千人困在机场里，场面非常混乱。
“而很多领导生产任务都忙不过来，灾难几年也没有碰到过，对其高风险性自然认识不足。”
其次，高投入，低效率。灾备系统的投入并不是小钱，特别是对一些实效性很强的系统，怎样发挥效益，需要认真策划。
再者，建设易，维持难。从以往的经验来看，一些灾备系统在建立的时候，积极性相当高，但建了几年后，能人都走光了。为什么？在有灾难的时刻，灾备的效益和贡献立马就能体现出来；在没有灾难的时候，这个系统除了演练、检测、维修以后能干些什么，是值得思考的问题。
此外，行业不同、应用不同，对灾备需求的迫切程度就不同。“我们不能完全一刀切、一窝蜂地要求必须投入巨资建立灾备系统，而必须根据各个行业的不同特点，考虑是否应该建，如何建？防止出现又一轮的信息安全投资过热，造成国家资金的浪费。”国信办王渝次司长说。
铁道部信息办主任马钧培认为，目前对于铁路系统来讲，做灾难备份可能不如银行、海关、税务来得那么急迫。“铁路对安全是按照等级来划分的，不同的安全等级采取不同的标准，最重要的是看得见的人员和财产的安全。” 马均培说，但随著铁路运输业务对信息系统的依赖性加大，灾难备份的需求也会越来越迫切。他认为目前灾难备份的方案大部分是集中式的，但铁路的管理应用却是分布式的系统，因此，目前市场上还缺乏针对铁道系统的灾备方案。
浙江省信息产业厅副厅长邓国强认为，政府网络对灾难备份需求，远远没有企业那么迫切。“政府信息化应用水平比较低，工作流程对信息化系统依赖不高。即使系统出了问题，还可以依靠传统的方式进行运转。” 邓国强说，但有些应用例外，比如社保、医保，这些网络系统一旦瘫痪，就会造成极大的负面社会影响。因此，电子政务也不能笼统地说该不该上灾备，而必须根据情况来定。
邓国强认为，目前有四大因素制约灾备在中国的建设步伐：法律、标准、制度和经济因素。首先，对一些重要系统，要完善法制，加大强制性，“在经过上一轮信息化投入‘烧钱’后，再投入到灾备，各级党委政府自然会‘吝啬’。”第二，要评估各个系统对信息化的依赖程度，分等级，什么样的系统一定要做灾备，什么样的系统暂缓灾备，“信息化本身就是在冒险。所以要建立一个科学的标准化的制度。”第三，要考虑到经济因素，要考虑周全，投入和效益要成正比，才是比较好的机制。
而除了银行外，税务、海关、民航、电力等关键行业系统，由于严重依赖信息化，并且关系到公众的切身利益、关系到社会稳定，目前都已经开始启动灾备的建设工作，并且得到最高领导的重视和支持。海关总署信息中心副主任何瑜说：“海关平均每个小时进出口的货物价值在5亿美元左右，如果系统停了，后果特别严重。海关的数据不怕公开，怕的是被篡改，一旦数据出现问题，将扰乱整个国家的经济秩序。”因此，各个关口都提出要做灾备，并已经开始实施，例如深圳海关的灾备中心，1小时之内就可以接管业务。目前，海关的灾备建设，全年算起来，一年中断不会超过2个小时。
由此我们看到，灾备在中国的大部分行业，是箭在弦上，而对关系到国民经济的关键行业系统，则已是离弦之箭！灾备到了不能不做的时候，即将进入规模发展时期。
就像任何一个刚刚启动、受到广泛关注的产业一样，当灾备产业在全国即将轰轰烈烈全面启动时，标准化问题随之浮出水面。作为最高管理者，该如何通过制定标准来管理整个灾备行业？
争议二:
灾备标准如何确立？
目前，国家正在考虑用标准的方法管理这一行业，在这次大会上，国务院信息化办公室熊四皓处长针对灾备标准建设的问题，征求与会代表的意见。灾备标准应不应该搞？如果必须要搞，该如何搞？
国家税务总局信息中心安全处处长李建彬认为，建立一个统一的标准虽然有难度，但各个行业仍然需要一个关于灾难备份建设共性的东西，比如通用的技术指南或技术标准。“七大关键部门的灾难备份建设可以按照这个‘尚方宝剑’去做。”李建彬说，“而各个部门可以按照自己的特点进一步细化。”
人民银行科技司安全处处长郭全明也表示，在灾难备份工作的贯彻和实施过程中，会遇到法律和政策方面的问题，但目前缺乏大纲性的文件。希望在共性的方面，例如技术上，出台一个共性的标准；在业务上，出台一个大纲性的指导意见。
中国民航总局科技处副处长江志强也赞同要有一个权威性的指导意见或标准，由国家统一来制定，而各个行业和部门可以根据自己的实际情况对本行业本部门做一些补充。
也有部分行业和地方信息化主管并不是很赞同用一个统一的标准或指导性意见来指导灾难备份的全盘工作。
铁道部信息中心主任马钧培认为，建立一个统一的灾难备份标准有点不切实际，既然安全要分等级，在安全等级划分清楚后，不同的安全等级要予以不同的灾备等级，而不同的等级的标准应该是不同的，不可能一刀切。
上海市信息化委员会副局级巡视员施兴德认为，搞一个全国性的标准很难做到左右逢源。从区域性来讲，大城市和经济发达的地区对信息化依赖程度较高，对灾备的需求要高；从技术角度来讲，可以搞出一个标准来，但怎么来实施和应用难度很大；在某些特殊领域和部门，则需要该领域和部门的强制性标准。 他谈到上海的一些经验，上海就搞了一份灾备规划，对一些重要领域和部门出台了一些技术性的规范。
广东省信息产业厅电子政务处处长神志雄也赞同施兴德的观点，认为目前政府做指导性的东西和形成标准的实践还不够多，而且各地的差异也很大。“就拿电子政务来讲，就很难做到一刀切。” 神志雄说，“灾难备份需要跟各地的实际需求相结合起来。”
海关总署信息中心副主任何瑜则认为，从当前灾难备份的实际工作来看，希望出一个指南，但做灾难备份的标准，还为期过早。“现在没有人可以告诉别人灾备该怎么做，怎么建。中国也还缺乏很专业的公司给我们来做咨询，提供真正有价值的服务。”
信息安全专家曲成义则从另一个角度对标准问题进行阐释。他认为，给业界提供一个共性的标准性的东西，对工作有利，但标准的进程很慢，因此建议各个行业和部门可以先搞出本行业和部门的灾难备份指南类的文件。
目前，灾难备份最重要的是国家一定要有规范，要有灾备等级。“例如要明确人民银行进入哪一等，工商银行进入哪一等，市政府进入哪一等。” 曲成义说，“应该搞这种框架型的规范，然后由各个行业根据自己的特点制定自己的标准。”
而且，曲成义认为，标准主要是指技术标准，技术层面的标准企业去做会更好。“象SAN，在国际上就有一个组织在做。” 曲成义说，“而对用户来说，主要是规范，行业按照规范去确定不同的等级，至于采用什么样的技术，用户无法发明，只能依靠厂商的力量。”
为此，从原则上看，政府制定一个统一的大而全的标准是不现实的，可操作的方法是，政府制定一个粗框架，由各个行业根据自己的行业特点细化，形成行业标准，然后报国家备案。
从灾备产业链来看，厂商是灾备技术的供应者，厂商参与到灾备的建设中是不争的事实。如果用户自建灾备系统，投入大不说，还很难长期维持队伍的稳定性。如果采用第三方外包服务的方法，关键部门谁能放心将自己的关键信息交给第三方？靠什么机制化解由此带来的更大的、具不确定性的风险？
争议三:
是自建，还是外包？
“无论是自建，还是外包都有风险。”广东省信息产业厅电子政务处处长神志雄认为，如果自建，一方面投入比较大，要建立灾难备份的专门机构；另一方面，不如专业的灾难备份服务商那么有经验；如果外包，整个社会的商业诚信体系、法律环境还不完善，一旦机密信息和数据不在自己的控制范围内就会产生更大的风险。
海关总署信息中心副主任何瑜则强调：“灾备绝对不可以外包，因为目前没有任何机制做保障。”他认为，从海关来看，故障基本上是出在管理和人员身上，要做的是加强管理。如果外包了安全，别人就可以访问你的环境，掌握一些重要数据，这种风险更是不可预测。
国家电网公司科技信息部崔炜也说:“怎么去判断服务商是值得信任的？这个问题实在难以回答。”银行、税务、民航等行业信息化主管都表示，从目前来讲，灾备外包，风险还比较大，不敢贸然行动。
曲成义认为，有三个方面的原因制约了我国IT外包（包括IT安全外包）的发展。一是法律规范。目前国家还没有出台同IT外包相关的条文，没有建立起一个相应法制化的环境；二是商业信用体系在中国还不完善，政府和企业担心将核心数据交给他人，容易泄露，用户和服务商在权利和义务的界定上也存在著很多模糊地带；三是用户担心IT外包服务商（包括IT安全外包服务商）是否具有可持续生存和发展能力。如果在协议期间，IT外包服务商倒闭或出现经营困难，会对用户业务产生非常可怕的负面作用。
“不过，目前信息安全外包不成熟的状态是有一个前提──我国信息化发展尚处在一个低级阶段，各种制度保障还没有跟上。” 曲成义说，“各国的经验表明，只有信息化发展到了一定程度，政府才会慢慢跟上。但从国家有这个意识到拿出一套制度、规范、准则、依据，还需要一个过程。”
铁道部信息中心主任马钧培则表示，安全外包有风险，但好的安全外包商的灾备经验很丰富，而且相对来讲成本低，效率高，尽管铁道系统目前还没考虑外包，但随著信息化应用水平的提高，外包的整体环境趋好，外包是大势所趋。
而中国民航信息网络股份有限公司技术管理部李银也认为,在企业领导考虑到效益、经济等因素的情况下，每个企业都去建立灾备中心也是不现实的，IT安全外包也有其市场需求，关键是看国家怎样管制。曲成义也赞同这一观点，“对于大的银行系统和税务系统，它们有技术实力和经济实力自己去建立灾备中心，像工行、中行等，但光大、中信就可以借助外包了。”
事实上，IT安全外包，有诸多优点：与安全服务提供商打交道的是一系列广泛客户，正因为如此，也就拥有了一系列广泛的技能；信息安全外包使得用户能够利用服务提供商从其他客户处获得的最佳策略，另外还可以利用服务商的规模经济，提供系列资源的同时还能降低成本；最后，就口令重置、安全监控、安全管理及其他日常事务而言，信息安全外包所需的资源比较少。
国外60%以上的灾备采用的是外包服务，灾备已经完全成为一个巨大的产业。政府采取了一系列措施，包括法律的、技术的等，保障服务商的可信度，那么，中国应该怎么做呢？
争议四: "
如何保证服务商的可信度？
目前，在信息安全领域是否要建立一严格的服务商准入制度呢？国务院信息化办公室网络与信息安全小组组长王渝次司长坦承，在没有充分研究透彻和看清楚之前，是有些顾虑和矛盾的，还没有拿定主意，需要听听专家、用户、厂商各方面的意见。
“IT的高度市场化促进了整个信息产业的发展。”王渝次说，“但安全企业，不管也不行；管也很难，管死了也不行；到底该如何把握好一个‘度’呢？”
大部分重要行业的信息化主管都认为目前需要建立一个服务商准入的制度，而不能完全靠市场化的自发运作。
铁道部信息中心主任马钧培认为，即使大的方向在向市场化方向走，但涉及到关键部门，不能完全走市场化。他的理由有三点：其一，国外的灾难备份事业市场化是因为它法制健全，而我们的法制健全还要一段时间，目前关于IT外包的法律条文几乎是一片空白；其二，我们整个社会的商业诚信体系还不如西方国家那么健全，怎么去制约和约束服务提供商还是个问题；其三，在灾难备份领域，我们还处在一个起步阶段，还没涌现出资金、技术背景都很强的企业，用户对其信任需要有一个保证。
海关总署信息中心副主任何瑜、中国民航总局科技处副处长江志强一致认为，在信息安全领域，需要建立一个服务商准入的制度。“市场准入是为了更好地规范和运作。” 何瑜说，“和市场化并不矛盾，但不能放任自流。” 江志强则说：“服务商一定要管，如果不规范起来，出了事情再来管理，残局到最后肯定难以收拾。”
上海市信息化委员会副局级巡视员施兴德认为，在市场准入方面，这个领域因其特殊性，一定要设置门坎，要根据服务商的商业信用、技术水平和服务能力来确定其资质，而且对安全资质的认可要有所区别。 “什么样资质的企业，可以提供什么样的服务，政府要拿出一个政策性的东西来。” 施兴德说，“要形成一个体制内的市场化运作模式。”
曲成义的意见是，要给予适当的监管，但对一个新兴起步的市场绝对不能管得过死，涉及到政府、企业敏感问题的外包服务商，一定要建立准入制度，要有资质认可，要有法律监督。“但现在就做准入制度，时机显然还不成熟。” 曲成义说，“还需要做大量工作，有一段路要走。”
首先，建立市场准入制度需要有认证机构，需要认证机构对安全服务商做资质认证，服务商符合什么条件，才能承担服务任务。而目前安全测评、监理有认证机构，但外包认证还是空白，国家应该先推这件事情。
其次，要建立一系列具体的制度，把资质和准入联系起来，明确服务商需要与用户签署什么样的协议。比如，要不要签保密协议？或者连续作业的协议？“目前，这些协议还只是用户和服务商各自为政在做。” 曲成义说“将来需要在法律上规定。”
再者，准入制度还需要同整个信用体系建设联系起来，国家要创造这么一个商业环境。目前我国的信用体系正在由人民银行在做，包括个人和企业的信用。信用既要靠个人和企业的实践活动，又要靠国家的体系，使得信用有账可查。如果信用只靠市场去自发调节，就会给用户增加负担与风险。
小资料：何为灾难备份？
部分或全部的计算机软件、硬件设备、附属设备、文挡表格或机房环境损害以至于严重影响数据处理中心的事件就是灾难。灾难备份是指利用技术、管理手段以及相关资源确保既定的关键数据，关键数据处理系统和关键业务在灾难发生后可以恢复的过程。一个完整的灾难备份系统主要由数据备份系统、备份数据处理系统、备份通信网络系统和完善的灾难恢复计划所组成。
◆ 国务院信息化办公室安全组组长王渝次：对灾备，我们不能一刀切，必须根据各个行业的特点考虑是否该建？如何建？防止出现投资过热，造成国家资金的浪费。
◆ 《计算机世界》报社副总编辑孙定：中国的灾备建设正在启动，《计算机世界》召开这次大会非常有意义，是为中国的灾备事业预热。
◆ 信息安全专家、研究员曲成义：人们对灾备的困惑是由灾备本身的行业特点决定的，大投入、小效率，自然就有人犹豫，建立灾备系统到底值不值？
◆ 铁道部信息办主任马钧培：虽然对铁路系统来说，做灾备不如其他行业来得迫切，但随著铁路运输业对信息系统的依赖性加大，对灾备的需求会越来越强烈。
◆ 上海市信息化委员会副局级巡视员施兴德：从国家层面，对灾备搞一个全国性的通用标准很难做到左右逢源。在某些特殊领域，需要该领域强制性的标准。
◆ 浙江省信息产业厅副厅长邓国强：目前有四大因素，制约灾备在中国的发展，他们是法律、标准、制度和经济因素。
◆ 海关总署信息中心副主任何瑜：海关系统如果停了，后果不堪设想。因此，各个关口都必须做灾备。并且，绝对不能依赖第三方的服务，而必须自己做。
◆ 《计算机世界》报社网络与通信版副主编胡英主持会议：灾难备份是一个沉重的话题，希望能在中国大规模启动灾备建设之际，提前将很多问题考虑到，为国家的宏观决策提供支持。
◆ 人民银行科技司安全处处长郭全明：银行业是灾备的重要市场，但也有其特殊需求，需要国家在技术等共性的问题上，给出标准，而在具体业务上，给出一个大纲性的文件。
◆ 国家税务总局信息中心安全处处长李建彬：我们正在启动灾备业务，但是，在如何建立灾备系统方面，希望政府领导给出一个明确的方案。
◆ 广东省信息产业厅电子政务处处长神志雄：灾备需要与各地的情况结合起来考虑，而不能一刀切。
◆ 民航总局科技处副处长江志强：民航系统出一点小事故在社会上都会产生恶劣影响，民航已经开始做灾备业务。希望国家能给出一个权威性的指导意见。
◆ 国务院信息化办公室处长熊四皓：从国家层面，灾备标准应该怎么做？做到什么程度？如何利用社会力量做灾备？
◆ 中国民航信息网络股份有限公司技术管理部李银：在领导考虑效益、经济等因素的情况下，每个企业都建灾备中心不现实，IT外包有市场，关键是看国家怎样管制。
