CISSP学习：第3章 业务连续性计划

2021年2月13日

业务连续性计划 Business Continuity Plan（BCP）：用于在紧急情况下维持业务的连续运营。目标是通过策略、程序、流程将潜在的破坏性事件对业务的影响降至最低。

****故事来了：比如这些年比较火的两地三中心，就是典型的业务连续性计划的实践。通过两个城市（通常要求距离1000公里以上）、三个数据中心，也就是主要城市部署两个数据中心，另一个城市部署一个数据中心，从而实现业务双活或三活，实现业务连续性。

业务连续性计划和灾难恢复计划比较类似，他们的区别在于：
业务连续性计划：战略性，关注上层，以业务流程和运营为中心。
灾难恢复计划：更具战术性，描述恢复站点、备份和容错等技术活动。

****故事来了：通常我们实施灾难恢复计划，基本都是在IT部门内部；而实施业务连续性计划，需要上到业务部门一起配合，甚至上升到CEO级别。

业务连续性计划的四个阶段：项目范围和计划、业务影响评估、连续性计划、计划批准和实施。

项目范围和计划:
1.业务组织分析，这是首要职责。
2.选择BCP团队：一般要包括IT、业务、安全、律师、人力、高层管理者。通常选择完BCP团队后，要重新做业务组织分析，主要是确保之前的业务组织分析是否有遗漏。
3.资源需求：一般需要三方面的资源：开发，测试培训维护，实施
4.法律和法规要求：政府要求，行业监管等。比如：银行的业务连续性计划要遵循银监会的要求。

业务影响评估Business Impact Assessment（BIA）：定性和定量
1.确定优先级：MTD，最大允许中断时间，RTO故障恢复时间。
2.风险识别：自然风险、认为风险
3.可能性评估：BCP团队一起为风险确定ARO（年度发生率），部分风险的ARO可以从保险公司或特定机构获取数据，比如，某地地震的年度发生率一般都可以从地震局获取到，这种方式通常还是免费的。
4.影响评估：SLE=AV X EF， ALE=SLE X ARO
5.资源优先级排序：资源永远是有限的，需要对资源进行排序，知道将所有风险处理完（通常不可能），或者耗尽所有资源。

连续性计划：
1.策略开发：确定BCP将处理哪些风险，因为有些风险可能完全不考虑，比如在一些大城市，就不考虑地震风险。
2.预备和处理：人员：保证安全，提供所需的资源。比如发生问题时，要先考虑人的安全，以及加班的时候，需要提供吃喝等资源； 建筑物和设施：加固预备措施/替代站点，比如楼房的地基加固等； 基础设施：物理性加固系统/备用系统，比如UPS系统就是电力的备用系统，甚至很多大型数据中心都备有自己的柴油发电机，这比UPS的可能性更高。

计划批准和实施：
1.计划批准：需要高层批准，层面越高越好。
2.计划实施
3.培训与教育
4.BCP文档化：连续性计划的目标；重要性声明（BCP的重要性，越高层，效果越好）、优先级声明（哪些系统有限，一般是BCP组做）、组织职责声明、紧急程序和时限声明、风险评估、风险接受缓解、重要记录计划、应急响应指南、维护、测试与演练

****故事来了：某IT部门自己想做BCP，当限于资源等，最后只能做成一个简单的备份系统。当如果上升到CEO层面，则所有部门都会配合，最终将成为一个巨大的项目。

课后20个题目，作对17个

标签：连续性,风险,CISSP,业务,学习,计划,BCP,资源
来源： https://blog.51cto.com/314837/2630292