CISSP学习:第3章业务连续性计划

coding

2021年2月13日

业务连续性计划 Business Continuity Plan(BCP):用于在紧急情况下维持业务的连续运营。目标是通过策略、程序、流程将潜在的破坏性事件对业务的影响降至最低。

****故事来了:比如这些年比较火的两地三中心,就是典型的业务连续性计划的实践。通过两个城市(通常要求距离1000公里以上)、三个数据中心,也就是主要城市部署两个数据中心,另一个城市部署一个数据中心,从而实现业务双活或三活,实现业务连续性。

业务连续性计划和灾难恢复计划比较类似,他们的区别在于:
业务连续性计划:战略性,关注上层,以业务流程和运营为中心。
灾难恢复计划:更具战术性,描述恢复站点、备份和容错等技术活动。

****故事来了:通常我们实施灾难恢复计划,基本都是在IT部门内部;而实施业务连续性计划,需要上到业务部门一起配合,甚至上升到CEO级别。

业务连续性计划的四个阶段:项目范围和计划、业务影响评估、连续性计划、计划批准和实施。

项目范围和计划:
1.业务组织分析,这是首要职责。
2.选择BCP团队:一般要包括IT、业务、安全、律师、人力、高层管理者。通常选择完BCP团队后,要重新做业务组织分析,主要是确保之前的业务组织分析是否有遗漏。
3.资源需求:一般需要三方面的资源:开发,测试培训维护,实施
4.法律和法规要求:政府要求,行业监管等。比如:银行的业务连续性计划要遵循银监会的要求。

业务影响评估Business Impact Assessment(BIA):定性和定量
1.确定优先级:MTD,最大允许中断时间,RTO故障恢复时间。
2.风险识别:自然风险、认为风险
3.可能性评估:BCP团队一起为风险确定ARO(年度发生率),部分风险的ARO可以从保险公司或特定机构获取数据,比如,某地地震的年度发生率一般都可以从地震局获取到,这种方式通常还是免费的。
4.影响评估:SLE=AV X EF, ALE=SLE X ARO
5.资源优先级排序:资源永远是有限的,需要对资源进行排序,知道将所有风险处理完(通常不可能),或者耗尽所有资源。

连续性计划:
1.策略开发:确定BCP将处理哪些风险,因为有些风险可能完全不考虑,比如在一些大城市,就不考虑地震风险。
2.预备和处理:人员:保证安全,提供所需的资源。比如发生问题时,要先考虑人的安全,以及加班的时候,需要提供吃喝等资源; 建筑物和设施:加固预备措施/替代站点,比如楼房的地基加固等; 基础设施:物理性加固系统/备用系统,比如UPS系统就是电力的备用系统,甚至很多大型数据中心都备有自己的柴油发电机,这比UPS的可能性更高。

计划批准和实施:
1.计划批准:需要高层批准,层面越高越好。
2.计划实施
3.培训与教育
4.BCP文档化:连续性计划的目标;重要性声明(BCP的重要性,越高层,效果越好)、优先级声明(哪些系统有限,一般是BCP组做)、组织职责声明、紧急程序和时限声明、风险评估、风险接受缓解、重要记录计划、应急响应指南、维护、测试与演练

****故事来了:某IT部门自己想做BCP,当限于资源等,最后只能做成一个简单的备份系统。当如果上升到CEO层面,则所有部门都会配合,最终将成为一个巨大的项目。

课后20个题目,作对17个

以上是 CISSP学习:第3章业务连续性计划 的全部内容, 来源链接: utcz.com/z/509033.html

回到顶部