业务连续性、应急响应与灾备全解析（培训精华总结）
关键词：业务连续性管理（BCM）、BCP、应急响应、灾难备份、RTO/RPO、RAID、容灾等级
一、业务连续性管理（BCM）基础
1.1 什么是业务连续性（BC）？
- 定义：组织对事故和业务中断的规划与响应能力，确保业务在预定级别上持续运行。
- 本质：策略 + 战术能力，覆盖预防、响应、恢复全流程。
1.2 业务连续性管理（BCM）
- 综合管理流程：由业务驱动，集合技术、管理的一体化动态过程。
- 目标：识别潜在威胁及其对业务的影响，通过有效响应保护利益、信誉和品牌，构建恢复能力框架。
- 定位：为业务战略服务，是风险管理框架的重要补充（侧重业务中断影响）。
1.3 BCM 生命周期（六个阶段）
- 需求、组织和管理程序确定
- 业务分析（识别关键业务流程和关键因素）
- 制定业务策略
- 开发并执行业务持续计划（BCP）
- 意识培养和建立
- 计划演练
二、业务连续性计划（BCP）
2.1 BCP 概念
- 一套基于业务运行规律的管理规章和流程，使组织在突发事件中快速响应，确保关键业务功能持续。
- 建立在风险评估之上，关注资源减少或受限时的业务操作维持。
- 应融入组织管理文化，随业务模式变化而更新。
2.2 BCP 制定四步骤
步骤1：理解业务组织
- 清晰了解组织架构、每个业务流程及其依赖关系。
- 建立BCP团队：负责人 + 成员。
- 评估BCP资源：冗余设备、办公用品、测试/培训/维护人力。
- 合规性要求：法律法规、合同合规。
步骤2：业务影响分析（BIA）
- 目标：确定关键资产、威胁、评估影响，量化资源投入优先级。
- 工作内容：
- 确定业务优先级（按重要性排序，识别所需资源、依赖关系）。
- 风险分析（威胁、可能性、影响）。
- 资产优先级划分。
- 关键输出：恢复时间目标（RTO）——业务最大允许中断时间。
步骤3：制定及批准实施
- 确定要处理的风险及措施，采用四种风险处置方式：
| 处置方式 | 说明 |
|---|---|
| 风险降低 | 预防性 > 反应性，保护重点：人力资源、IT基础设施、辅助设施 |
| 风险转移 | 保险、合同、外包、第三方服务 |
| 风险规避 | 变更/停止服务，需符合组织目标 |
| 风险接受 | 成本不成比例或能力有限时 |
步骤4：文档化与批准维护
- 文档内容：目标、职责声明、优先级、风险评估、策略、关键业务记录、应急指导原则、测试演练。
- 审批：向高层汇报并获批。
- 培训：所有相关人员接受职责培训。
- 动态维护：定期讨论、复审、测试，必要时版本更新（业务动态性决定）。
三、信息安全应急响应
3.1 信息安全事件与应急响应概念
- 事件：自然/人为/软硬件缺陷导致的对信息系统或社会的负面影响。
- 应急响应：为应对突发/重大信息安全事件所做的准备及事后措施，是我国信息安全保障重点。
3.2 分类分级（GB/Z 20986-2007）
- 分类：7大类（有害程序、网络攻击、信息破坏、信息内容安全、设备设施故障、灾害性、其他）。
- 分级：4级（特别重大Ⅰ级、重大Ⅱ级、较大Ⅲ级、一般Ⅳ级），参考信息系统重要程度、系统损失、社会影响。
3.3 应急响应组织
- 国际：CERT/CC
- 国内：CNCERT/CC
- 组织架构：领导组、技术保障组、专家组、实施组、日常运行组。
3.4 应急预案
- 定义：基于突发事件后果和应急能力的预先行动计划。
- 编制原则：建立在综合防灾规划之上，平衡详细与灵活，提供简明指导。
- 参考格式：《国家网络安全事件应急预案》（含总则、职责、预警、响应流程、保障措施、附件）。
3.5 应急演练
- 方式：桌面演练、模拟演练、实战演练。
- 深度：数据级、应用级、业务级。
- 操作流程：通报 → 优先级确定 → 启动实施 → 后期运维 → 预案更新。
3.6 计算机取证
- 定义：按标准规程检查计算机系统，提取和保护电子证据。
- 原则：合法、充分授权、优先保护证据、全程监督。
- 五个步骤：
| 步骤 | 核心内容 |
|---|---|
| 准备 | 获取授权、明确目标、工具/软件/介质准备 |
| 保护 | 制作磁盘映像（不在原始盘操作）、保证完整性、第三方监督 |
| 提取 | 优先提取易消失证据（内存、进程、网络连接、缓存等），再提取文件系统和应用日志 |
| 分析 | 关联证据，寻找日志、删除文件、临时文件中的线索 |
| 提交 | 结合现实取证，文档化 |
3.7 应急响应六阶段
| 阶段 | 工作目标 | 关键内容 |
|---|---|---|
| 准备 | 确定重要资产，实施防护，编制计划 | 资源组织（人力、财力、技术） |
| 检测 | 确认事件发生，确定性质和影响 | 监测、报告、分类分级、初步响应、事件通告 |
| 遏制 | 限制影响范围，减少损失 | 启动计划、确定响应方式、实施遏制、协同用户 |
| 根除 | 长期补救，避免再发 | 详细分析原因，实施根除措施 |
| 恢复 | 恢复系统至正常状态 | 决定恢复方式（原系统/备份），按优先级恢复 |
| 跟踪总结 | 回顾总结，改进安全策略 | 评估损失、响应效果，总结经验教训，更新策略，编制报告 |
四、灾难备份与恢复
4.1 核心概念
- 灾难备份：为保证关键业务在灾难后最大限度提供服务而进行的计划与建设行为。
- 灾难恢复计划：定义恢复所需任务、行动、数据和资源的文件，用于指导恢复关键业务功能。
- 关键指标：
- RPO（恢复点目标）：允许丢失的数据量（恢复到哪个时间点）。
- RTO（恢复时间目标）：业务从停顿到恢复的最大允许时间。
4.2 灾备组织
- 领导组、规划实施组、日常运行组（可外包外部专家和实施）。
4.3 我国灾备政策与标准
- 27号文：首次提出灾备概念。
- 《重要信息系统灾难恢复指南》：工作流程、等级划分、预案框架。
- GB/T 20988-2007：详细规定恢复流程、等级、方案设计、预案、演练。
- 《灾难恢复中心建设与运维管理规范》：覆盖全生命周期和运维。
4.4 存储技术对比
| 技术 | 特点 | 优点 | 缺点 |
|---|---|---|---|
| DAS（直连存储） | 直接连接服务器，无操作系统 | 适用分散环境，扩容易，性能高，实施简单 | 依赖服务器，扩展性差，管理性差 |
| SAN（存储区域网络） | 专用网络，高效 | 效率高，扩展方便 | 成本高，实施复杂 |
| NAS（网络附加存储） | 通过网络接口连接，有独立IP和OS | 易安装，不占服务器资源，跨平台 | 性能较差，影响网络流量，安全风险 |
4.5 备份方式
- 完全备份：全量拷贝。
- 增量备份：仅备份上次备份后变化的数据。
- 差量备份：备份上次全备后变化的数据。
- 常用介质：磁带、硬盘。
4.6 RAID 常用级别
- RAID-0（条带）：提升性能，无容错。
- RAID-1（镜像）：一对一的镜像，数据不丢失。
- RAID-5（奇偶校验）：至少3块盘，允许一块盘损坏，兼顾性能和容错。
4.7 备用场所类型
- 冷站、温站、热站、移动站、镜像站（能力依次增强）。
五、灾难恢复策略与等级
5.1 国际 SHARE78 七级（0~6级）
| 等级 | 能力描述 |
|---|---|
| 0级 | 无异地备份 |
| 1级 | 简单异地备份 |
| 2级 | 热备中心备份 |
| 3级 | 电子传输备份 |
| 4级 | 自动定时备份 |
| 5级 | 实时数据备份 |
| 6级 | 数据零丢失 |
5.2 我国《重要信息系统灾难恢复指南》六级（基于7个要素）
- 第1级 基本支持
- 第2级 备用场地支持
- 第3级 电子传输 + 部分设备支持
- 第4级 电子传输 + 完整设备支持
- 第5级 实时数据传输 + 完整设备支持
- 第6级 数据零丢失 + 远程集群支持
5.3 企业容灾技术分类
- 数据容灾（首要前提）
- 系统容灾（基本基础）
- 应用容灾（主要关键）
六、灾难恢复管理过程
6.1 规划四大阶段（持续改进）
需求分析
- 风险分析（资产、威胁、脆弱性、可能性、影响）
- 业务影响分析（业务功能、资源配置、中断影响）
- 确定恢复目标（关键业务优先级、RTO/RPO范围）
策略制定：明确恢复资源需求及获取方式。
策略实现：
- 选择/建设灾备中心
- 实现备份系统技术方案
- 技术支持能力建设
- 运维管理能力建设
预案制定与管理：
- 编制预案
- 教育培训
- 演习
- 保存与分发
总结
| 域 | 核心关注 | 关键输出/指标 |
|---|---|---|
| BCM | 业务持续运行，预防+响应+恢复 | BCP文档，RTO |
| 应急响应 | 安全事件处理，取证，演练 | 应急预案，六阶段流程 |
| 灾备 | 数据/系统/应用容灾，恢复能力 | RPO/RTO，灾备等级，存储/备份技术 |
核心思想：业务连续性是一项动态、持续改进的管理工程，需要技术、流程、人员三者有机结合，并定期演练、评估和优化。
