業務連續性計劃概述（Day008）

為什麼我們要做業務連續性和災難恢復？

雖然我們努力降低風險對組織的負面影響，但我們可以肯定的是：某種事件遲早會因為矇混過關而造成負面影響。理想情況下，損失會被遏制，且不會影響到主要業務的運營。然而，作為安全專業人員，我們需要為意想不到的情況制定好各種計劃。在這些極端（有時是不可預測的）條件下，我們需要確保我們的組織能夠繼續以最低可接受的閾值運行，並迅速全面地恢復生產力。

什麼是業務連續計劃？

業務連續性計劃（BCP）涉及到對組織各種過程的風險評估，還有在發生風險的情況下為了使風險對組織的影響降至最小程度而制定的各種策略、計劃和措施。組織應當預先計劃好以下過程：

? 出現緊急情況時提供即時和適當的應對措施

? 保護生命和確保安全

? 減少對業務的影響

? 恢復關鍵業務功能

? 與外部供應商和合作夥伴一起完成系統恢復工作

? 在災難時減少混亂

? 確保企業的生存能力

? 在災難發生後迅速「啟動並運行」

什麼是災難恢復計劃？

如果這種連續性受到破壞，那麼業務過程就會停止，並且組織進入災難模式；此時，系統將釆用災難恢復計劃（DRP）。

業務連續性計劃 VS. 災難恢復計劃

災難恢復計劃（DRP）是當一切事情仍處於緊急模式下時實施的計劃，其中每個人都爭相讓所有關鍵系統重新聯機。業務連續性規劃（BCP）採取一個更廣泛的解決問題的方法。它可以包括在計劃實施中對原有設施進行修復的同時在另外一個環境中恢復關鍵系統，使正確的人在這段時間內回到正確的位置，在不同的模式下執行業務直到常規條件恢復為止。它也涉及通過不同的渠道應對客戶、合作夥伴和股東，直到一切都恢復到正常。因此，災難恢復處理「我的天哪，天要塌了」，而連續性規劃處理「好了，天塌下來了。現在，我們該如何繼續經營？直到有人讓天空回到原本屬於它的地方」？

DRP和BCP都面向計劃開發，而業務連續性管理（BCM）是整體的管理過程，應該包括DRP和BCP。BCM提供了一個框架，以整合恢復能力和有效應對的能力的方式，保護組織中主要利益相關者的利益。BCM 的主要目的是允許該組織繼續在不同條件下進行業務操作。

NIST 在其SP 800-34 第一修訂版中概述了聯邦信息系統的業務連續性規劃指南：

1. 制定業務連續性規劃策略聲明。為制定業務連續性規劃撰寫提供必要指導的策略文檔，並給權威機構分配必要的職位來完成這些任務。
2. 進行業務影響分析（BIA）。識別關鍵功能和系統，並允許組織根據功能和系統的必要性，對其進行優先順序排序。識別漏洞和威脅，並計算出風險。
3. 制定預防性控制方法。一旦識別到威脅，需要確定並實施控制和對策，以較為經濟的方式來降低組織的風險級別。
4. 制定連續性戰略。制定方法，以確保系統和關鍵功能可以快速恢復。
5. 制訂信息系統應急計劃。制定組織在危急的狀態下仍然可以保持業務正常運行的措施和指引。
6. 確保對計划進行測試、培訓與演練。測試計劃，以確定業務連續性計劃中的不足之處，進行培訓以確保個人對他們應該負責的任務做好充分的準備。
7. 維護計劃。把步驟安排得井井有條，確保BCP得到定期更新。

ISO/IEC 27031：2011 業務連續性的ICT（信息和通信技術）準備指南。此標準是ISO/IEC 27000整個系列標準的一個組成部分。

ISO 22301：2012 業務連續性管理體系的國際標準。該規範文檔面向那些準備進行認證的組織。該標準取代了BS 25999-2 。

業務連續性協會的優秀實踐指南（GPG） BCM的最佳實踐，它被分解為以下的管理和技術實踐。

DRI 國際協會的業務連續性規劃人員專業實踐最佳實踐和框架，用於將業務連續性管理流程分解成以下幾個部分：

• 項目啟動和管理
• 風險評估和控制
• 業務影響分析
• 業務連續性戰略
• 應急響應和運作
• 計劃實施與文檔化
• 宣傳和培訓計劃
• 業務持續計劃演練、審核和維護
• 危機溝通
• 與外部代理機構的協調

ISC2定義的業務連續性計划過程包括以下四個主要步驟：

• 項目範圍和計劃編製；
• 業務影響評估；
• 連續性計劃；
• 批准和實現。