本文摘取自CISSP 第八版官方教材。

在网络安全的范畴中， 保证组织的业务连续性是重中之重。那么怎么去控制、管理和实现组织的业务连续性呢？

我们一起来看一下，在CISSP中是怎样说的。

###########################################################################

业务连续性计划（Business Continuity Plan,BCP),涉及评估组织流程的风险，并创建策略、计划和程序，以最大限度地降低这些风险发生时对组织产生的不良影响。BCP计划者的目标是通过综合实施策略、程序和流程，将潜在的破坏性事件对业务的影响降至最低。

BCP专注于在降低的或受限的基础设施能力或资源上维持业务运营。只要能连续维持组织执行关键工作任务的能力，就可以利用BCP管理和恢复生产环境。

BCP流程有四个主要阶段：

• 项目范围和计划
• 业务影响评估
• 连续性计划
• 计划批准和实施

BCP团队应至少包含下列人员：

• 负责执行业务核心服务的每个组织部门的代表
• 根据组织分析确定的来自不同职能区域的业务单元团队成员
• BCP所涉及领域内拥有技术专长的IT的专家
• 掌握BCP流程知识的网络安全团队成员
• 负责工厂实体物理安全和设施管理的团队
• 熟悉公司法规、监管和合同责任的律师
• 可解决人员配置问题以及对员工个人产生影响的人力资源团队成员
• 需要制定在发生中断时如何与利益相关方和公众进行沟通的公共关系团队成员
• 高级管理层代表，这些代表能设定愿景，确定优先级别和分配资源

# 资源需求

BCP团队确认业务组织分析结果后，就开始评估BCP工作的资源需求。这涉及三个不同BCP阶段所需的资源。

• 开发：BCP团队需要一些资源来执行BCP流程的四个阶段，这个阶段主要耗费人力资源，即BCP团队成员和召集过来协助制定计划的支持人员。
• 测试、培训和维护：此阶段，将需要一些硬件和软件资源，同样，这个阶段的主要资源时参与这些活动的员工付出的人力。
• 实施：当灾难发生且BCP团队认为有必要全面实施业务连续性计划时，将需要大量资源。

BCP过程中消耗的最重要资源之一时人力。

# 业务影响评估 (BIA,Business Impact Assessment)

一旦BCP团队完成准备创建业务连续性计划的四个阶段，就进入工作的核心部分，业务影响评估（Business Impact Assessment，BIA。BIA确定组织持续运营所需的资源和这些资源面临的威胁，还评估每个威胁实际发生的可能性以及威胁事件对业务的影响。BIA结果提供了度量措施，可对用于解决组织面临的各种本地、区域及全球风险而投入的业务连续性资源进行优先级排序。

业务计划者在进行决策时，必须意识到需要使用以下两种不同类型的分析方法：

定量决策，涉及使用数字和公式得出结论，这类数据结果通常用货币价值表示与业务相关的选项。

定性决策，非数字因素，如声誉，投资者/客户信心，员工稳定性和其他相关事项，这类数据结果通常用优先级（高中低）表示。

#确定优先级

BIA的第一个 任务就是确定业务优先级。

制定组织资产清单，并为每项资产分配货币形式的资产价值（AV）。

BCP团队必须开发的第二个量化指标时MTD（Maximum Tolerable Downtime,最大允许中断时间），有时也称为最大容忍中断时间（Maximum Tolerable Outage，MTO）。

MTD是业务功能出现故障但不会对业务产生无法弥补的损害所允许的最长时间。

对于每个业务功能，还需要另一个度量指标，即恢复时间目标（Recovery Time Objective，RTO)

BCP过程目标是确保RTO小于MTD，这使一个业务功能不可用的时间永远不会超过最大允许终端时间。

#风险识别

风险有两种形式，自然风险和人为风险。

• 自然风险：暴风雨、飓风、龙卷风、暴风雪、雷击、地震、泥石流、雪崩、火山喷发
• 人为风险：恐怖活动、战争、内乱、盗窃、破坏、火灾、爆炸、长时间断电、建筑物倒塌、运输故障、互联网中断、服务提供商停运

BIA过程的风险识别部分本质上是纯粹的定性分析。

#可能性评估

业务影响评估的下一阶段就是确定每种风险发生的可能性。可能性的评估结果通常用年度发生率（ARO）表示。

#影响评估

影响评估是业务影响评估中最关键的部分之一。

#资源优先级排序

BIA的最后一步是划分针对各种不同风险所分配的业务连续性资源的优先级。

#连续性计划

1. 策略开发

策略开发阶段在业务影响评估与BCP开发的连续性计划阶段之间架起桥梁。

BCP团队应回顾在BIA早期阶段创建的MTD估值，并确定哪些风险是可接受的，哪些风险必须通过BCP连续性措施予以缓解。一旦BCP团队确定哪些风险需要缓解以及将为每个缓解任务提供的资源水平，他们就准备进入连续性计划的“预备和处理”阶段。

2.预备和处理

连续性计划的预备和处理阶段是整个业务连续性计划的关键部分。有三类资产必须通过BCP预备和处理进行保护：人员、建筑物/设施和基础设施。

• 人员：首先，你必须确保组织内的人员在紧急情况发生前、发生期间和发生后都是安全的。应该为人们提供完成所分配任务必需的全部资源。
• 建筑物和设施：在执行BIA时，你将确定在组织持续运营中发挥关键作用的设施，连续性计划应针对每个关键设施的以下两方面进行说明。

— 加固预备措施，BCP应概述可实施的机制和程序来保护现有设施免受策略开发阶段中定义的风险的影响。

— 替代站点，如果无法通过加固设施来抵御风险，BCP应识别出可用于立即恢复业务活动（或至少可在少于最大容忍中断时间内提供所有关键业务功能）的备用站点。

3.基础设施

每个业务的关键处理都依赖与某种基础设施。对于许多业务而言，基础设施的关键部分时通信的IT主干，以及处理订单，管理供应链，处理客户交互和执行其他业务功能的计算机系统。BCP必须确定如何保护这些系统免受策略开发阶段识别出的风险的影响。可采用两种主要方法对基础设施进行保护。

• 物理性加固系统，可以引入计算机安全灭火系统和不间断电源等保护措施来保护系统。
• 备用系统，还可以引入冗余（冗余组件或依赖于不同设施的完全冗余系统、通信链路）来保护业务功能。

#计划批准和实施

一旦BCP团队完成了BCP文档的设计阶段，就应当向最高管理层申请批准该计划。（高级管理层的批准和参与对整个BCP工作的成功极为重要）

1，计划批准

如有可能，应该尝试让企业高层，如首席执行官，主席，总裁或类似的业务领导批准该计划。这可证明计划对整个组织的重要性，并展示业务领导对业务连续性的承诺。

2，计划实施

一旦获得高级管理层的批准，既可开始实施计划。BCP团队应该共同开发实施计划，该计划使用分配的资源，根据给定的修改范围和组织环境，尽快实现所描述的过程和预备目标。

完全部署所有资源后，BCP团队应监督相应BCP维护程序的执行情况，以确保计划能响应业务需求的不段变化。

3.培训和教育

培训和教育时BCP实施的基本要素。所有直接或间接参与计划的人员都应该接受关于总体计划及个人责任的培训。

4.BCP 文档化

文档化是业务连续性计划过程中的关键步骤，将BCP方法记录到纸上可提供了几个重要好处。

• 确保在紧急情况下，即使没有高级BCP团队成员来指导工作，BCP人员也有一份书面的连续性计划可以参考
• 提供BCP过程的历史记录，这有助于将来的人员理解各种过程背后的原因并对计划进行必要修改。
• 促使团队成员将想法写下来，这个过程通常有助于识别计划中的缺陷。

书面业务连续性计划的一些重要组成部分。

1. 连续性计划的目标。

最常见的BCP目标很简单：确保在紧急情况下业务的持续运营，例如可将目标设置为：呼叫中心连续停机时间不超过15分钟。或备份服务器可在启用一小时内处理75%的负载。

2. 重要性声明

重要性声明反映了BCP对组织持续运行的重要性。这份文件通常以信函形式提供给员工，说明为什么组织将大量资源用于BCP开发过程，并要求所有人员在BCP实施阶段进行配合。如果信函种有首席执行官（CEO）或类似级别领导的签名，当你尝试咋整个组织种进行改变时，这个计划将产生极大影响。

3. 优先级声明

优先级声明是业务影响评估的优先级确认阶段的直接产物。它只按优先顺序列出对业务连续运营至关重要的功能。

4.组织职责声明

组织职责声明也来自高级管理人员，可与重要性声明合并在同一文档中。组织职责声明重申组织对业务连续性计划的承诺，并告知员工、供应商和附属企业，要求他们尽力协助实施BCP过程。

5. 紧急程度和时限声明

紧急程度和时限声明表达了实施BCP的重要性，概述由BCP团队决定的并由高层管理人员批准的实施时间表。

6. 风险评估

BCP文档的风险评估部分基本上重述在业务影响评估期间的决策过程。它应该包括对BIA过程中所有风险的讨论，以及为评估这些风险进行的定量分析和定性分析。需要注意，风险评估内容必须定期更新，因为它反映的是某个时间点的评估结果。

7. 风险接受/风险缓解

BCP文件中的风险接受/风险缓解部分包含BCP过程的策略开发部分的结果。它应涵盖风险分析部分确定的所有风险，并对下面两个思考过程中的一个进行说明：

• 对于被认为可接受的风险，应概述接受原因以及未来可能需要重新考虑此决定的可能事件。
• 对于被认为不可接受的风险，应概述要采取的缓解风险的预备措施和过程，以降低风险对组织持续运营的影响。

8.重要记录计划

BCP文件还应概述组织的重要记录计划。该文档说明了存储关键业务记录的位置以及建立和存储这些记录的备份副本过程。实施重要记录计划面临的最大挑战之一通常是首先识别重要记录。

9. 应急响应指南

应急响应指南概述组织和个人立即响应紧急事件的职责。这些指南应包括以下内容：

• 立即响应程序（安全和安全程序、灭火程序，以及通知适当的应急响应机构等）
• 事故通知人员名单（高管，BCP团队成员）
• 第一响应人员在等待BCP团队集结时应采取的二级响应程序。

应急响应指南应该很容易被组织的所有人员理解，每个人都可能时紧急事件的第一响应人员。

10. 维护

BCP文件和计划本身必须即时更新。BCP团队不应在计划开发完成后就立即解散，而是应定期召开会议讨论计划并审核计划测试的结果，以确保一直能满足组织需求。

每次更改BCP时，都必须进行良好的版本控制。所有BCP旧版本都应该被物理销毁并替换为最新版本，这样便于弄清哪个是正确的BCP实施版本。

11. 测试和演练

BCP文档中还应包括一个正式的演练程序，以确保该计划仍然有效，并确保所有相关人员都经过充分培训，能在发生灾难时履行职责。