CISSP-淺談 BCP

此篇主要來探討所謂的 營運持續管理(Business Continuity Planning),其實一般人可能比較少聽到這個詞彙,他的核心意義就是以下兩點:

  1. 培養組織的持續交付產品及服務的能力
  2. 持續交付產品服務

大致上展開可以參考Wuson老師的圖

此張圖就展示了,整個BCP的概念。

從一開始的計畫到BIA到辨識出核心業務然後找出MTD以及SLA,最後再透過七種不同程度的演練方式來進行演練。

總體來說可以分成七個步驟:

  1. 內外部環境議題分析,辨識出哪些議題與業務有關 (如TEMPLES, Value Chain, SWOT等)
  2. 識別出利害關係人並了解利害關係人的需求
  3. 訂範圍  Scope
    1. 找出業務需持續的範圍
    2. 找出組織架構以及核心產品服務
    3. 產出清單list(類似資訊資產盤點)-> ex: 越南廠/台灣廠,鞋子/毛巾

  4. Business Impact Analysis (BIA)

    1. 找出關鍵流程和關鍵資源
    2. 關鍵:範圍內產品及服務中斷
    3. 定義出MTD 在進而推導出RTO 以及 RPO
    4. MTD : 最大可容忍的服務停止時間 (Maximum tolerable downtime, MTD) (與業務單位訂出)
    5. RTO : 恢復時間目標(Recovery Time Objective, RTO) (復原目標時間,業務單位給IT的目標)

    6. RPO:Recovery Point Objective,最大資料可丟失的資料時間(倒回去的資料是多久前)
    7. 簡單來說BIA就是要找出的關鍵流程(MTD)及關鍵資源(RTO),以了解關鍵流程停擺對於業務衝擊有多大。MTD是指關鍵流程可以停多久,不是機器;因此,MTD不要說成【停機】時間,停機會讓人誤以為是指機器停機。RTO 復原時間目標。

       

  5. 風險評鑑(前面有考到的)

  6. 風險處置
  7. 計畫書測試與演練(用來測試我們的計畫)

    1. 查核表(Checklist):檢查是否每份計畫書都有寫

    2. 讀一次(Read-through):計劃書看一遍內容,用眼睛看, 文件審查

    3. 走一遍(Walkthrough):情境模擬(Tabletop),在會議室想定一個情境, 耍嘴皮子

    4. 模擬(Simulation):模擬測試,動手作作看, 地震演練(躲桌子底下), 消防演練(噴滅火器)

    5. 平行(Parallel):找人到另一個系統進行中斷測試,人員到備援站點一日遊, 主站點系統繼續跑

    6. 全中斷(Full interruption):實戰演練,直接中斷測試

       

在討論RTO以及RPO時,就會討論到備援站點的問題,以下簡述幾種不同的備援站點類型。

  • Cold Site  ( 節省選址與評估時間)

    • RTO:數天到數周。冷備站點需要較長時間來準備和配置,適合那些對恢復時間要求不高的應用。

    • RPO:數天到數周。由於這類站點不進行定期的資料同步,資料遺失的風險較高。

  • Warm Site(整備比冷站好,可能資料還要恢復,設備要設定開機)

    • RTO: 幾小時到一天。溫備站點需要一定時間來啟動和配置,但相比冷備站點來說,恢復速度更快。

    • RPO:數小時到一天。資料同步的頻率低於熱備站點,因此可能會有更長的資料遺失時間。

  • Hot Site(熱站點)

    • RTO:數分鐘到幾小時。由於熱備站點能夠快速接管業務運行,適合那些對業務中斷極其敏感的應用。

    • RPO:幾乎為零到幾分鐘。這類站點通常能夠實現實時數據同步或接近實時的數據同步

  • Mirror Site (Active – Active)

    • RTO:近乎就是即時同步的站點

    • RPO:沒有資料延遲

接下來是一些計畫書

  • OEP :OEP 概述了在人員、環境或財產的健康和安全受到威脅或事故的情況下,設施居住者的第一響應程序。此類事件包括火災、炸彈威脅、化學品洩漏、工作場所的家庭暴力或醫療緊急情況。OEP 還規定了需要人員留在建築物內而不是撤離的事件的就地避難程序。OEP 是在設施級別開發的,具體針對建築物的地理位置和結構設計。總務管理局 (GSA) 擁有的設施根據 GSA OEP 模板維護計劃。設施 OEP 可以附加到 COOP 或 BCP,但單獨執行並作為對事件的第一響應。

  • COOP 僅適用於美國政府部門/代理商;它是 BCP 的重定位版本。大多數企業開發的BCP都包含了COOP的要求

發佈留言