9.3.14　業(yè)務(wù)連續(xù)性管理

14.1　業(yè)務(wù)連續(xù)性管理的信息安全方面

目標(biāo)：防止業(yè)務(wù)活動(dòng)的中斷，保護(hù)關(guān)鍵業(yè)務(wù)流程不會(huì)受信息系統(tǒng)重大失效或自然災(zāi)害的影響，并確保它們的及時(shí)恢復(fù)。

為通過預(yù)防和恢復(fù)控制的組合，將對(duì)機(jī)構(gòu)的影響減少到最低水平，并能從信息資產(chǎn)的損失中（例如，它們可能是自然災(zāi)害、事故、設(shè)備故障和故意動(dòng)作的結(jié)果）恢復(fù)到可接受的程度，應(yīng)實(shí)現(xiàn)業(yè)務(wù)連續(xù)性管理過程。這個(gè)過程需要確定關(guān)鍵的業(yè)務(wù)過程，需要將業(yè)務(wù)可連續(xù)性的信息安全管理需求同其他可連續(xù)性需求如企業(yè)動(dòng)作、員工、材料、運(yùn)輸和設(shè)備結(jié)合起來。

應(yīng)對(duì)災(zāi)難、安全故障、服務(wù)丟失和服務(wù)可行性的影響當(dāng)做業(yè)務(wù)影響進(jìn)行分析。應(yīng)制定和實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃，以確?；静僮髂芗皶r(shí)恢復(fù)。信息安全應(yīng)該是整體業(yè)務(wù)過程和機(jī)構(gòu)內(nèi)其他管理過程的一個(gè)完整的部分。

業(yè)務(wù)連續(xù)性管理應(yīng)包括標(biāo)識(shí)和減少風(fēng)險(xiǎn)，加上大致的風(fēng)險(xiǎn)評(píng)估過程、限制有害事故的影響以及確保業(yè)務(wù)過程需要的信息能夠容易地得到。

14.1.1　在業(yè)務(wù)連續(xù)性管理過程中包含信息安全

控制

應(yīng)在組織內(nèi)開發(fā)并保持業(yè)務(wù)連續(xù)性管理過程，該過程闡明了組織的業(yè)務(wù)連續(xù)性對(duì)信息安全的要求。

實(shí)施指南

這個(gè)過程應(yīng)集合下列業(yè)務(wù)連續(xù)性管理的關(guān)鍵要素：

a)根據(jù)風(fēng)險(xiǎn)的可能性及其影響，推斷組織所面臨的風(fēng)險(xiǎn)，包括關(guān)鍵業(yè)務(wù)過程的標(biāo)識(shí)和優(yōu)先權(quán)（見14.1.2）；

b) 確定關(guān)鍵業(yè)務(wù)流程中涉及的所有資產(chǎn)；

c) 推斷由信息安全事故引起的業(yè)務(wù)中斷對(duì)業(yè)務(wù)可能產(chǎn)生的影響（重要的是找到處理較小事故以及可能威脅組織生存能力的重大事故的解決辦法），并且建立信息處理設(shè)施的業(yè)務(wù)目標(biāo)；

d) 考慮購買相應(yīng)的保險(xiǎn)，該保險(xiǎn)可以形成業(yè)務(wù)連續(xù)性過程的一部分，也作為運(yùn)行風(fēng)險(xiǎn)管理的一部分；

e) 確定和考慮實(shí)施附加的預(yù)防和減輕控制；

f) 確定足夠的金融的、機(jī)構(gòu)的、技術(shù)的和環(huán)境資源去滿足確定的信息安全需求；

g) 確保人員的安全，保護(hù)信息處理設(shè)備和機(jī)構(gòu)財(cái)產(chǎn)；

h) 正式提出將信息安全需求同商定的業(yè)務(wù)連續(xù)戰(zhàn)略一致的業(yè)務(wù)連續(xù)性戰(zhàn)略，并將其形成文檔（見14.1.3）；

i) 將定期測試和更新適當(dāng)?shù)挠?jì)劃和過程（見14.1.5）；

j) 確保把業(yè)務(wù)連續(xù)性的管理包含在組織的過程和結(jié)構(gòu)中。業(yè)務(wù)連續(xù)性管理過程的職責(zé)應(yīng)分配給組織范圍內(nèi)的適當(dāng)級(jí)別的管理層（見6.1.1）。

14.1.2　業(yè)務(wù)連續(xù)性和風(fēng)險(xiǎn)評(píng)估

控制

應(yīng)識(shí)別可能導(dǎo)致業(yè)務(wù)過程中斷的事故，以及這類中斷發(fā)射給你的可能性和影響、中斷的信息安全后果。

實(shí)施指南

業(yè)務(wù)連續(xù)性的信息安全方面要從標(biāo)識(shí)可能引起機(jī)構(gòu)業(yè)務(wù)過程中斷的事件（一系列事件）開始，例如，設(shè)備故障、人為錯(cuò)誤、盜竊、火災(zāi)、自然災(zāi)害和恐怖事件。這之后是風(fēng)險(xiǎn)評(píng)估，以確定這些中斷發(fā)生的概率和影響，根據(jù)損壞程度和復(fù)原所需時(shí)間。

應(yīng)在業(yè)務(wù)資源和過程的擁有者全面參與的情況下，進(jìn)行業(yè)務(wù)風(fēng)險(xiǎn)評(píng)估。這種評(píng)估考慮到所有業(yè)務(wù)過程，并且不局限于信息處理設(shè)施，但要包含指定信息安全的結(jié)果。重要的是要將不同方面的風(fēng)險(xiǎn)結(jié)合起來，得到整個(gè)機(jī)構(gòu)業(yè)務(wù)連續(xù)性需求的整體構(gòu)圖。評(píng)估應(yīng)該確認(rèn)、量化、確認(rèn)優(yōu)先級(jí)與違背機(jī)構(gòu)原則和目標(biāo)的風(fēng)險(xiǎn)，這些風(fēng)險(xiǎn)包括重要資源，中斷影響，允許中斷時(shí)間，恢復(fù)的優(yōu)先級(jí)。

根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，應(yīng)開發(fā)業(yè)務(wù)連續(xù)性戰(zhàn)略，以確定業(yè)務(wù)連續(xù)性的總體途徑。該戰(zhàn)略一旦被制定，就應(yīng)由管理層簽署，并制訂計(jì)劃，簽署實(shí)施戰(zhàn)略。

14.1.3　開發(fā)并實(shí)施包括信息安全的連續(xù)性計(jì)劃

控制

應(yīng)開發(fā)并實(shí)施計(jì)劃，以確保在關(guān)鍵業(yè)務(wù)流程中斷或失效后能夠在要求的時(shí)間內(nèi)和要求的等級(jí)上保持和恢復(fù)運(yùn)營并確保信息的可用性。

實(shí)施指南

業(yè)務(wù)連續(xù)性計(jì)劃過程應(yīng)考慮下列內(nèi)容：

a) 全部職責(zé)和業(yè)務(wù)連續(xù)性規(guī)程的標(biāo)識(shí)和協(xié)議；

b) 信息和服務(wù)可接受損失的標(biāo)識(shí)；

c) 實(shí)施規(guī)程，以在所要求的時(shí)段內(nèi)恢復(fù)和復(fù)原業(yè)務(wù)操作和可用性信息。特別注意對(duì)處于適當(dāng)位置的內(nèi)部和外部業(yè)務(wù)相關(guān)方和合同的評(píng)估；

d) 恢復(fù)和復(fù)原未完成時(shí)應(yīng)遵循的操作規(guī)程；

e) 將已商定的規(guī)程和過程形成文檔；

f) 用已商定的應(yīng)急規(guī)程和過程（包括危機(jī)管理）教育員工；

g) 檢驗(yàn)和更新計(jì)劃。

計(jì)劃過程應(yīng)集中于所要求的業(yè)務(wù)目標(biāo)，例如，在可接受的時(shí)間內(nèi)恢復(fù)為顧客的特定通信服務(wù)。應(yīng)確認(rèn)業(yè)務(wù)連續(xù)性運(yùn)行所需要的服務(wù)和資源，包括配備人員、非信息處理資源以及信息處理設(shè)施可基本維持運(yùn)行的安排。那些可基本維持運(yùn)行的安排包括以互惠協(xié)議的形式，或者以商業(yè)簽署服務(wù)的形式安排第三方。

業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)解決機(jī)構(gòu)的弱點(diǎn)，因而可能包含需要適當(dāng)保護(hù)的敏感信息。業(yè)務(wù)連續(xù)性計(jì)劃的拷貝應(yīng)在異地保存，且保存地距離應(yīng)該足夠遠(yuǎn)，以便主要站點(diǎn)的災(zāi)難性破壞不會(huì)殃及它。應(yīng)制定管理措施，以確保業(yè)務(wù)連續(xù)性計(jì)劃的拷貝能夠及時(shí)更新，并對(duì)其進(jìn)行與主站點(diǎn)程序同樣的保護(hù)。執(zhí)行連續(xù)性計(jì)劃需要的其他材料也需要在遠(yuǎn)程保存。

如果使用了一個(gè)臨時(shí)站點(diǎn)，則對(duì)臨界時(shí)站點(diǎn)的安全控制級(jí)別應(yīng)同主站點(diǎn)一致。

其他信息

需要注意的是，危機(jī)管理計(jì)劃與行為可能同業(yè)務(wù)連續(xù)性管理不同，例如正常管理程序可能適應(yīng)危機(jī)的發(fā)生。

14.1.4　業(yè)務(wù)連續(xù)性計(jì)劃框架

控制

應(yīng)保持一個(gè)單一的業(yè)務(wù)連續(xù)性計(jì)劃框架，以確保所有計(jì)劃的一致性，以維護(hù)信息安全要求的一致性并識(shí)別測試和保持的優(yōu)先級(jí)。

實(shí)施指南

每一個(gè)業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)該說明進(jìn)行連續(xù)性的方法，如確保信息或信息系統(tǒng)安全可行的方法。每個(gè)計(jì)劃也應(yīng)清晰地規(guī)定擴(kuò)大的計(jì)劃和計(jì)劃啟動(dòng)的條件，以及執(zhí)行該計(jì)劃每一部分的各個(gè)職責(zé)。當(dāng)標(biāo)識(shí)出新的要求時(shí)，應(yīng)相應(yīng)地修正所建立的應(yīng)急規(guī)程，例如，撤離計(jì)劃或任何現(xiàn)有的基本維持運(yùn)行的安排。這些規(guī)程應(yīng)包含在組織變化管理程序中，以確保業(yè)務(wù)連續(xù)性事物能夠適當(dāng)?shù)亟鉀Q。

每個(gè)計(jì)劃應(yīng)具有一個(gè)特定的責(zé)任人。應(yīng)急規(guī)程、人工基本維持運(yùn)行的計(jì)劃和重新使用計(jì)劃應(yīng)屬于相應(yīng)業(yè)務(wù)資源或所涉及過程的責(zé)任人的職責(zé)范圍?？商鎿Q技術(shù)服務(wù)，諸如信息處理和通信設(shè)施的基本維持運(yùn)行的安排通常應(yīng)是該服務(wù)提供者的職責(zé)。

業(yè)務(wù)連續(xù)性計(jì)劃框架應(yīng)該提出確定的信息安全需求，且應(yīng)考慮下列內(nèi)容：

a) 在啟動(dòng)每個(gè)計(jì)劃前，啟動(dòng)計(jì)劃的條件，而該條件描述了要遵循的過程（如何評(píng)估這種情況，誰將參與等）；

b) 描述危及業(yè)務(wù)操作的事故之后所要采取的動(dòng)作的應(yīng)急規(guī)程；

c) 描述要采取行動(dòng)的可依靠的規(guī)程，以便將基本業(yè)務(wù)活動(dòng)或支持服務(wù)移到替代的臨時(shí)地方，并在要求的時(shí)段內(nèi)使業(yè)務(wù)過程回到運(yùn)行狀態(tài)；

d) 恢復(fù)和復(fù)原未完成時(shí)應(yīng)遵循的臨時(shí)操作規(guī)程；

e) 描述要采取行動(dòng)的重新使用規(guī)程，以恢復(fù)正常業(yè)務(wù)操作；

f) 規(guī)定如何及何時(shí)要檢驗(yàn)該計(jì)劃以及維護(hù)該計(jì)劃的過程的安排；

g) 用來創(chuàng)建理解業(yè)務(wù)連續(xù)性過程，并確保過程連續(xù)有效的意識(shí)和教育活動(dòng)；

h) 各個(gè)人的職責(zé)，描述誰負(fù)責(zé)執(zhí)行該計(jì)劃的哪個(gè)部分。若要求，可指定可替換的人；

i) 關(guān)鍵的資產(chǎn)和資源能夠?qū)嵭芯o急的、維持運(yùn)行和恢復(fù)規(guī)程。

14.1.5　BCP的測試、保持和再評(píng)估

控制

應(yīng)定期測試并更新BCP，以確保BCP的更新和有效。

實(shí)施指南

業(yè)務(wù)連續(xù)性計(jì)劃的測試應(yīng)能確保復(fù)原隊(duì)伍中的所有成員和其他有關(guān)人員能夠知道這個(gè)計(jì)劃，能夠明確他們在業(yè)務(wù)連續(xù)性和信息安全中的責(zé)任，知道計(jì)劃啟動(dòng)后他們的角色。

業(yè)務(wù)連續(xù)性計(jì)劃的檢驗(yàn)安排應(yīng)指出如何和何時(shí)應(yīng)檢驗(yàn)該計(jì)劃的每個(gè)部分，計(jì)劃中的每一個(gè)部分都應(yīng)該經(jīng)常測試。

應(yīng)使用各種方法，為該計(jì)劃在實(shí)際壽命中可操作提供保障，這些應(yīng)包括：

a) 會(huì)議檢驗(yàn)各種情況（使用中斷例子討論業(yè)務(wù)恢復(fù)安排）；

b) 模擬（特別是按其事故后/危險(xiǎn)期管理的角色來培訓(xùn)人們）；

c) 技術(shù)恢復(fù)檢驗(yàn)（確保信息系統(tǒng)可以有效地予以恢復(fù)）；

d) 在可替換場地檢驗(yàn)恢復(fù)（遠(yuǎn)離主場地，在恢復(fù)操作同時(shí)運(yùn)行業(yè)務(wù)過程）；

e) 供應(yīng)商設(shè)施和服務(wù)的檢驗(yàn)（確保外部提供的服務(wù)和產(chǎn)品將滿足合同的承諾）；

f) 完整的演習(xí)（組織、人員、設(shè)備、設(shè)施和過程能否應(yīng)付中斷的檢驗(yàn)）。

任何組織可以使用這些方法。這些方法可以用一種與指定恢復(fù)計(jì)劃相關(guān)的方式來使用。需要的話，應(yīng)該記錄測試結(jié)果，并采取措施改進(jìn)計(jì)劃。

對(duì)于每個(gè)業(yè)務(wù)連續(xù)性計(jì)劃的定期評(píng)審應(yīng)分配職責(zé)；在業(yè)務(wù)連續(xù)性計(jì)劃中尚未反映業(yè)務(wù)安排變更的標(biāo)識(shí)，應(yīng)按適當(dāng)?shù)挠?jì)劃更新進(jìn)行。這種正式的變更控制過程應(yīng)確保通過整個(gè)計(jì)劃的定期評(píng)審來分配和補(bǔ)充已更新的計(jì)劃。

可能需要更新計(jì)劃的情況例子包括新設(shè)備的采辦，或運(yùn)行系統(tǒng)的升級(jí)和以下幾方面的變更：

a) 人員；

b) 地址或電話號(hào)碼；

c) 業(yè)務(wù)戰(zhàn)略；

d) 位置、設(shè)備和資源；

e) 法律；

f) 合同商、供應(yīng)商和關(guān)鍵顧客；

g) 進(jìn)程或新的/撤銷的進(jìn)程；

h) 風(fēng)險(xiǎn)（運(yùn)行的和財(cái)務(wù)的）。