iT邦幫忙

第 11 屆 iT 邦幫忙鐵人賽

DAY 22
1
Security

認證信息系統安全專業人員(CISSP)學習筆記系列 第 22

持續運作與災難復原(Business Continuity Planning & Disaster Recovery Planning )

  • ISO/IEC 27031:2011
    資訊和通信技術及業務連續性設計準則,是 ISO/IEC 27000 的一部分。
  • 英國標準協會(British Standards Institute’s, BSI)
    • 業務連續性管理(business continuity management, BCM)標準
      • BS 25999-1:
        2006業務連續性管理業務守則提供BCM的原理,過程和術語的一般指南。
      • BS 25999-2:
        2007業務連續性管理規範規定了執行,操作和客觀性,可審核的要求。

商業連續性研究所(Business Continuity Institute)的良好做法指南(Good Practice Guidelines, GPG)

  • BCM最佳實踐,分為以下管理和技術實踐:

    • 管理實踐:
      • 政策與計劃管理
      • 將BCM納入組織的文化
    • 技術實踐:
      • 了解組織
      • 確定BCM策略
      • 制定和實施BCM應對措施
      • 執行、維護和審查
  • DRI國際協會針對業務連續性計劃人員的專業實踐
    允許BCM流程的最佳做法和框架,分為以下幾節:

    • 計劃啟動與管理
    • 風險評估與控制
    • 業務影響分析
    • 業務連續性策略
    • 應急響應與行動
    • 業務連續性計劃
    • 意識和培訓計劃
    • 業務連續性計劃的執行,審核和維護
    • 危機溝通
    • 與外部機構的協調

BCP團隊的負責人應由各部門的代表組成,將監督連續性和災難恢復計劃的開發,實施和測試。

BCP可以是整個企業範圍內的,也可以僅覆蓋組織的一部分。
另一個問題是,BCP是否應該僅涵蓋較大的潛在威脅(颶風,洪水等)還是要處理較小的問題(連接故障,斷電),該政策的內容包括範圍,任務說明,原則,指南,標準。

BCP團隊負責制定和修訂該策略,儘管由高層管理人員負責。

可以進行SWOT分析,以確保可以實現範圍內定義的目標。

  • 優點專案團隊的特點使其比其他人更具優勢
  • 弱點使團隊相對於其他人處於劣勢的特徵
  • 可能有助專案目成功的機會要素
  • 可能導致專案失敗的威脅因素

應該制定一個包含以下內容的專案計劃:
在採取任何進一步措施之前,應將其提交管理層,以書面批准。

  • 目標到任務的映射
  • 資源到任務的映射
  • 工作流程
  • 里程碑
  • 可交付成果
  • 預算估算
  • 成功因素
  • 截止日期

業務影響分析(business impact analysis, BIA)
一個團隊通過訪談和文獻資料收集資料;記錄業務功能,活動和交易;建立業務功能的層次結構;最後應用分類方案來指示每個功能的關鍵程度。

  • 最大可容忍的停機時間(Maximum tolerable downtime, MTD)
    在此時間段後(deadline),公司可能無法恢復。

  • 恢復時間目標(Recovery Time Objective, RTO)
    是災難發生後必須在其中恢復業務流程的最早時間段和服務級別,以避免與業務連續性中斷相關的不可接受的後果。
    RTO值小於MTD值,因為MTD值表示無法恢復重大運營將意味著對組織聲譽或底線造成嚴重甚至可能無法彌補的損失的時間。
    RTO假設有一段可接受的停機時間,從災難中恢復所花費的時間

  • 工作恢復時間(Work Recovery Time, WRT)
    是整個MTD值的剩餘部分。
    RTO通常負責使基礎結構和系統恢復正常運行,
    而WRT則負責恢復數據,測試流程,然後將所有內容"實際"用於生產目的。

  • 恢復點目標(Recovery Point Objective,RPO)
    是按時間衡量的可接受的資料遺失。
    此值表示必須恢復資料的最早時間點。
    資料的價值越高,可以投入更多的資金或其他資源來確保在發生災難時丟失較少的資料量。
    RPO是指可以從同一事件中丟失的,按時間衡量的可接受的資料量。

復原程序(Recovery procedures)
設備故障或故障導致服務中斷。
災難是導致整個設施無法使用一天或更長時間的事件。
破壞設施的重大破壞。

平均故障間隔時間(Mean time between failures)

  • 廠商估算的設備的使用壽命

平均維修時間(Mean time to repair)

  • 估計修理一件設備需要多長時間
  • 完全配置並準備在幾個小時內運行

異地備援

  • 冷備援站(Cold Backup Site)
    資料備份,需較長的復原時間。
  • 暖備援站(Warm Backup Site)
    配置了某些設備,例如空調設備(HVAC)和基礎設施、伺服器,但不包含即時的備資料備份。
  • 熱備援站(Hot Backup Site)
    可及時切換的伺服器配置,最昂貴的設置。

上一篇
持續運作與災難復原(Business Continuity Planning & Disaster Recovery Planning )
下一篇
持續運作與災難復原(Business Continuity Planning & Disaster Recovery Planning )
系列文
認證信息系統安全專業人員(CISSP)學習筆記30

尚未有邦友留言

立即登入留言