第11讲--第六章-灾难恢复与业务连续性(下).ppt

1、第十一届业务连续性管理、业务连续性管理BCM、北京邮电大学计算机学院副教授郭燕慧、BCM概要BCM计划业务影响分析BCM战略BCM的开发和实施、本讲义大纲、案例、图是世界贸易大楼北栋倒塌的连续场景。 WTO大楼，世界上最大、最快的电梯南楼有99台电梯，最多55人，45秒内容纳78楼到地面大楼的备用电源，在紧急灯的3个楼梯、楼梯扶手、天花板、走廊门上涂上荧光涂料，在避难路线上设置扬声器，在避难指挥系统大楼上消防我们没有所谓的危机处理方案！Ericsson、Nokia、灾害、灾害的定义、灾害(Disaster )是导致重大损失的突发性不幸事件，灾害、自然的Natural、人为的Man-Made、系

2、统/技术的System/Technical、系统供给对于支持组织灾害的组织来说，在一定时间内无法完成重要业务功能的事件被视为灾害，其特征被表达为： 意外服务中断超过期限的服务中断无法通过正常事件管理程序解决是重大损失，灾害危害Gartner分析报告显示，/5公司经历大灾害后，无法再次恢复功能的1 /3公司经历大灾害后， 2年内明尼苏达大学破产的研究：周内无法恢复功能，75%的企业无法在两周内完全恢复功能，43%的企业无法恢复功能，业务连续性管理是什么？ 业务连续性管理(简称BCM )提供了一种框架，通过包括识别威胁组织的潜在影响在内的全面、连续的流程，该组织提高了应对灾害和连续运营的能力。 保

3、障组织主要股东的利益和公司声誉、品牌和其他价值创造活动。 PS的目标是提高组织的持续运营能力。 通过事先发现组织中各种突发业务中断带来的潜在影响，组织计划各种业务恢复的顺序，最终协助各行业实现业务持续运营。 PS会给组织带来什么好处？ 确保组织能及时应对生死攸关的毁灭性事件。 合理的PS计划在满足规范和应对特殊风险的要求的同时，提高了组织的风险意识。 组织可以通过PS提高自己的竞争力，获得新的顾客，提高利益，提高顾客的关怀度。 能最大限度地发现低效率的业务和平时无法暴露的危险。 事先实施BCM预防措施比实施临时措施成本低。 7799 BCM流程，BS7799中记载的BCM主要有以下几点：业务持

4、续计划首先是组织顶级管理者的主要责任，他们要制定并实施完整的业务持续计划，以保护公司的资产和公司的生存。 需要进行业务影响分析和风险评价的组织高层管理者形成本企业的业务持续战略方针，然后进行业务持续计划的测试和实施计划的维持和更新，通过审计保证计划不断改善和完善。BCM生命周期、BCP VS DRP、BCP业务持续计划、DRP灾害恢复计划、天己崩溃了，我们如何继续业务(ContinuITy )，天崩了，我们如何恢复原来的it (recovery ) 恢复或BCM概述BCM计划业务影响分析BCM战略BCM开发和维护、本讲座大纲、BCM计划、角色和责任、项目准备、重要活动、团队建设、BCM需要、项

5、目计划书的制定、数据收集方法的确定、工作报告、BCP、BCM战略要求，BCM战略要求，范围，基本原则，责任，重要环节的原则要求：目的，需求，指导方针，责任，得到高级管理人员的正式批准，返回，项目计划，项目计划，里程碑， 目标和任务映射，任务和资源，目标和任务映射，目标和任务映射，目标和任务映射， 成功因素重要环节的原则要求、返回、BCM计划、角色和责任、项目准备、BCM项目负责人、业务连续性协调人作为BCM项目负责人，计划、准备项目， 全面负责培训等各工作：的高级管理人员接触高级管理人员的决策和管理人员的决策和联系的建立和指导BCM委员会直接接触计划人员，有能力理解组织业务的使命和高级管理人员

6、的意图，中断影响组织业务的组织需求和运营，平衡相关部门的需求， 其他重要角色包括业务部门代表、用户、危机管理小组、恢复小组、系统和网络专家、信息安全部门、法律代表、BCM练习和维护、本讲座大纲、业务影响分析、BIA流程、BIA概况、 业务影响分析(Business Impact Analysis，BIA )基本上是对重要的企业功能以及这些功能一旦丧失时可能发生的损失和影响的分析。 PS是整个PS流程的工作基础。 BIA的作用、BIA重要的业务功能及其支持方面的不足BIA分析中断事件造成的影响BIA分析业务功能的中断的忍耐度和恢复的优先顺序、定量分析稳定性分析业务功能的最大允许中断时间(MTD

7、) 确定业务功能之间的依赖关系并确定恢复点目标(RPO )，确定中断的影响、收入的损失、延迟收入的损失、生产性的损失、运营成本的增加、声誉和公众信赖的损失、竞争力的损失违反法律法规，业务影响分析、BIA流程、BIA概要、信息收集技术的BIA流程， 讨论(Discussion )问卷(questionnaires )采访(Interview )、存在的问题解决建议、回答者确定重要的业务功能及其支持资源，确定最大允许中断时间(MTD )，确定弱点和威胁分析信息收集技术、讨论、问卷、采访、会议讨论在能迅速得到分析结论的同时，与各部门进行激烈的争论，最终达成一致的BIA结论。 问卷可以提供大量的BIA

8、分析数据。 问卷填写不充分会降低调查信息的质量。 采访可以提供好的信息，但是花费时间，得到的信息的形式和详细度发生了很大变化。问卷的设计根据企业文化、管理风格和自己的特征，设计适合回答者的BIA问卷，问卷的内容可包括：个基本信息(回答者的名字、部门、职位、联系方式、回答时间等)业务功能的概况(名称、规模、运行时间、员工高峰业务量、法规要求、与其他业务和支持系统的关系等)业务中断对业务成本和收入的影响(增加支出租赁设备和人员等)业务中断可能承担的法律责任(违反合同、违反有关规定等)对业务运营的影响(无法提供服务等) 依靠技术系统(例如硬件、软件、数据、网络等)的弱点和威胁(火灾、地震、罢工等)的

9、现有应对措施(如应急方案)会恢复，业务中断对声誉的影响(如失去客户的信赖、客户流失等)。 辅助资源的确定人力资源处理能力物理基础设施基于计算机的服务应用程序和数据办公室、办公室家具、环境控制。AAAAAK 物流服务等数据中心、备用数据中心、网络、小型飞机、工作站、个人计算机等操作员、专家、系统用户等在计算机设备上运行的各种程序和存储的数据，例如合同确定MTD，中断时间超过最大允许中断时间后，业务难以恢复，成为重要功能和资源的MTD必须较短：根据MTDs规划重要业务功能及其支持资源的恢复顺序， 重要： 1小时内紧急： 24小时重要： 72小时一般： 7天非必要： 30天，回复，风险分析电力中断火

10、灾，洪水，暴风雨，地震系统设备故障和软件故障引起的基础设施功能丧失(电信等)的测试和变更造成中断的重要人员的缺席恐怖活动，爆炸，罢工传染病，返回， PS概述PS计划业务影响分析PS战略PS演习和维护，本概要，PK战略流程的决定，预防，应急反应，业务继续，业务恢复，业务恢复，PS原则，预防先恢复后，通过抑制、探测或减少影响系统的防御性措施减少或消除达不到灾害水平的风险，采取预防措施回避或降低风险，采取预防措施降低风险，对无法忍受的灾害，采取恢复措施降低灾害发生的可能性，采取预防措施，阻止控制，保护企业的弱点区域，防止危险的发生，防止其影响减少威胁的可能性。 预防措施、设施使用加强材料(建筑、设备

11、等)的冗馀服务器和通信线路供电，配置UPS和发电机的消防系统(火灾探测、消防)的防水措施冗馀供应商购买保险数据的备份媒体，对保护重要设备的人员进行培训，决定BCM战略流程、战略、预防、应急反应、业务继续、业务恢复、应急反应：是指组织为应对各种事故的发生而做的准备和在事件发生初期所采取的措施。 目的避免、减少危害和损失，从危害和损失中恢复。 应急反应的必要性：网络安全困难大量的安全漏洞系统和攻击网络的程序的存在实际和潜在的财务损失不利媒体暴露的威胁有效的需要目前的入侵检测能力的限度。、根绝、准备，也就是在安全事件发生前做紧急应对的准备。 这个阶段极其重要，安全事件很多都很复杂，需要事先准备。 此

12、阶段的准备包括根据威胁建立合理的防御控制措施。建立一组尽可能有效的安全事件处理程序。 获得处理问题所需的资源和人员。 建立支持紧急反应活动的基础设施。 返回，检查，检查意味着明确恶意代码、文件、目录是否未被篡改，或者是否出现其他特征，如果是，问题在哪里，影响范围有多大？ 检测包括软件检测和手动检测。 面对软件检查、今天这样的复杂攻击，检查软件(如杀毒软件、入侵检查软件、完整性检查软件等)是成功应对紧急所必需的。 很多供应商的软件都可以快速发现桌面系统和邮件服务器上的病毒。 这些软件通常还会检测在Windows系统上是否秘密安装了后门木马程序。 手动发现，用不活动的或系统的默认帐户登录。 非上班

13、时间有系统活动。 这不是系统管理员创建的帐户。 出现了不熟悉的文件和程序。 无法说明用户权限的提高或超级用户权限的使用。 Web服务器的主页或其他页面已更改。 系统日志在一段时间内出现空白或擦除。 无法用DNS表、路由器或防火墙规则说明的更改。 系统的性能会下降。 返回，抑制，抑制的目的是限制攻击的范围，同时限制潜在的损失和破坏。 这只能在第二阶段观察到事件确实发生的情况下进行，可能的抑制措施：关闭所有的系统。 切断网络。 修改所有防火墙和路由器的过滤规则，并拒绝来自发起攻击的主机的所有通信。 阻止或删除被破坏的登录帐户。 提高系统或网络行为的监视水平。 设置诱饵服务器作为“蜜罐”等陷阱。 关

14、闭有漏洞的服务。 反击攻击者的系统。 回到，根绝(Eradication )，事件被抑制后，必须找到事件的根源，彻底根除。 根绝手段：工具软件。 例如，杀毒软件可以清除感染了大部分小系统的病毒和特洛伊木马程序。 独立事件主要是根据各种操作系统平台的具体检查和根除程序进行操作的。此外，在独立事件中，还可以使用不同的操作系统平台。 根除大规模爆炸的蠕虫性恶意程序比较复杂。 回来，恢复(Recovery )，事件的根源被根除后，恢复阶段定义了下一阶段的行动。 恢复的目标是使所有破坏的系统和网络设备恢复到完全正常的任务状态。 返回，跟踪，跟踪是最后阶段。 总体目标是审查和整合有关发生的事件的信息。 跟

15、踪的重要性：有助于事件处理者吸取经验教训，提高他们的技能，应对将来发生的同一事件。 有助于评估和管理组织的应急反应能力。 所学到的教训可以作为应急反应工作组新成员的培训教材。 可以作为应急反应工作组建设的基础。 可以生成对法律行为有用的信息。 回来，紧急应对预案是一种为在突发信息安全事件中维持或恢复业务运行(包括计算机运行)而设计的战略和规章。 应该有系统的完整设计、标准化的文本文件、行的有效操作程序、持续改进的执行机制。 基本原则、集中管理、统一指挥、规范运行、标准操作、反应迅速、响应效率。 抑制和消除紧急事件的发展，使事故对人、财产和环境的损失和影响最小化。目标、应急反应的制定过程：初稿的制定：参照应急反应预案框架，根据IT系统风险分析和业务影响分析确定的应急内容，根据应急反应水平要求，结合其他相关应急计划，制定应急反应预案初稿。 初稿审查：组织对应急预案初稿的全面性、易用性、明确性、有效性和兼容性进行严格审查。 审查需要相应的过程保证。初稿的修订：根据审查结果，修订预案，纠正初稿审查过程中发现的问题和缺陷，形成预案的修订原稿。 预案的测试：请事先制定测试计划，