3.4.3 IT事件预警与预警响应
IT事件预警指IT事件预警人员在发现IT事件发生或发现其先兆信息时，第一时间向IT事件应急处置组织发出IT事件预警或报警信号，报告可能发生的危险情况。
IT事件预警的目的是避免IT事件应急处置组织在对IT事件不知情或准备不足的情况下造成的损害。
IT事件预警方式通常包括面对面、电话、短信群、微信群或RTX、自动通知系统、工单管理系统等。
“IT事件预警响应”指IT事件应急处置组织在接收到IT事件预警或报警信号后所进行的紧急准备、人员集结、召开紧急会议等行动。
通常设置IT事件预警与预警响应时限，以要求IT事件预警与预警响应人员在预定的时间内完成预警与预警响应任务。
IT事件预警与预警响应过程需要企业各条线合理的分工协作，IT事件预警与预警响应行动框架如图3-17所示。
图3-17 IT事件预警与预警响应行动框架
下面，详细说明IT事件预警与预警响应行动框架中的各项任务。
1．IT事件预警
IT条线负责执行IT事件预警。
IT事件预警的原则包括以下几点。
（1）在IT事件发生后或发现其先兆信息时，IT事件预警人员需要第一时间向执行抢险救援等先期处置任务的人员告警。告警时，应以减少人员伤害、保障人员安全作为第一要务，首先评估人员伤害情况并及早通知紧急医疗救援负责人，然后评估人员安全威胁并通知人员疏散计划负责人，最后通知机房环境或IT系统一线值班人员进行先期处置。
（2）在所有级别的IT事件中，通常只有重大IT事件上报企业应急领导小组。重大IT事件通常导致IT服务中断、业务运营中断、严重的企业影响和社会影响，对重大IT事件进行应急处置，需要企业应急领导小组对重大恢复事项进行决策，需要企业应急领导小组协调企业各条线的应急处置行动。
（3）保留预警时的通话记录，以便回溯和追责。
IT事件预警的流程通常用呼叫树来描述，呼叫树是用于描述呼叫责任、呼叫层次和呼叫顺序的树状图形。IT事件预警流程如图3-18所示。
图3-18 IT事件预警流程
在IT事件预警流程中，涉及的人员包括IT监控人员、IT帮助台人员、机房环境监控人员、IT系统一线值班人员、机房环境一线值班人员、IT运维值班经理、IT应急领导小组成员，各人员担负的预警责任如下。
（1）IT监控人员和IT帮助台人员负责IT系统类事件的预警，需要向IT系统一线值班人员、IT运维值班经理和IT事件经理发出告警通知。
（2）机房环境监控人员负责机房环境类IT事件的预警，需要向机房环境一线值班人员、IT运维值班经理和IT事件经理发出告警通知。
（3）IT运维值班经理负责自然与社会环境类IT事件的预警。
（4）IT运维值班经理在接收到IT监控人员、IT帮助台人员或机房环境监控人员的告警通知后，或者在监测到自然与社会环境类IT事件的发生迹象后，首先判断是否存在人员伤害或人员安全威胁并联络相应的紧急医疗救援负责人或人员疏散负责人，然后初步判断事件是否符合重大IT事件特征，如果是则向IT应急领导小组发出告警通知。
（5）IT应急领导小组在预判重大IT事件发生后，需要在指定时限向企业应急领导小组办公室（该办公室是企业应急领导小组的办事机构）发出重大IT事件告警通知，如果预判重大IT事件为灾难性事件，立即通知灾难恢复团队成员进行紧急准备，同时通知组内成员召开紧急会议。
2．业务运营中断事件预警
这里的“业务运营中断事件”是指引发业务运营中断的IT事件，二者其实是一个事件，只是从IT视角和业务视角来分别命名，只是从事件起因和事件结果来分别命名。
业务条线负责业务运营中断事件的预警。
业务运营中断事件预警流程如图3-19所示。
图3-19 业务运营中断事件预警流程
业务运营中断事件预警流程有以下描述。
（1）一线业务人员发现IT服务中断后，立即与IT服务台人员确认，并向业务流程负责人和业务部门值班经理发出业务运营中断告警，告警内容包括事发时间、地点、初步业务运营影响、已经采取的措施等。
（2）业务部门值班经理向业务条线应急领导小组发出业务运营中断事件告警。业务条线应急领导小组成员由业务运营管理机构负责人、各业务部门负责人组成。
（3）业务条线应急领导小组在预判重大业务运营中断事件发生后向企业应急领导小组办公室发出重大业务运营中断事件告警，并即刻执行紧急准备、人员集结、召开紧急会议等行动。
3．企业重大IT事件预警响应
企业应急领导小组办公室通常负责企业重大IT事件预警响应。
企业应急领导小组办公室负责人在接收到IT条线的重大IT事件预警或业务条线的重大业务运营中断事件预警之后，依次通知企业应急领导小组成员和企业应急保障小组成员，呼叫树如图3-20所示。
图3-20 企业重大IT事件预警响应呼叫树
企业应急领导小组成员在接收到企业应急领导小组办公室的重大IT事件预警通知后，立即赶往企业应急指挥中心集结，或在不能集结时接入电话会议系统，参加由企业应急领导小组成员共同召开的紧急会商会议。
企业应急保障小组成员在接收到企业应急领导小组办公室的预警通知后，立即与事发部门紧急沟通，以尽快启动必须的应急保障预案。例如，HR紧急医疗救援负责人在接收到IT运维值班经理的人员伤害告警通知后，立即按照《紧急医疗救援计划》启动紧急医疗救援行动。人员疏散负责人在接收到IT运维值班经理的人员安全威胁告警通知后，立即启动人员紧急疏散计划。
企业应急保障小组成员的职责见“3.4.8重大IT事件应急保障”。