CISSP-1-安全与风险管理

CISSP-信息系统安全专业认证思维导图，主要内容有信息安全与风险管理管理基础、安全治理与安全体系框架、信息安全策略、组织与人员安全风险管理、法律、道德、合规、BCP&DRP需求。

信息安全治理与风险管理

• 信息安全与 风险管理管理基础
  • 信息
    • 定义
    • 生命周期的处理方式
  • 信息安全 基本原则
    • 机密性 (confidentiality)
      • 确保信息在存储、使用、传输过程中 不会泄漏给非授权用户或实体
    • 完整性 (integrity)
      • 防止非授权篡改；
      • 防止授权用户不恰当修改信息
      • 保持信息内部一致性和外部一致性
        • 内部
        • 外部
    • 可用性 (availability)
      • 确保授权用户或实体对信息及资源的正常使用 不会被异常拒绝，允许其可靠而及时地访问信息
    • 相反三元组 DAD
      • 泄漏(Disclosure)
      • 篡改(Alteration)
      • 破坏(Destruction)
  • 信息安全 CIA的相关技术
    • 机密性,C
      • 数据加密（整个磁盘、数据库加密）
      • 传输数据加密（IPSec、SSL、PPTP、SSH）
      • 访问控制（物理和技术控制）
    • 完整性,I
      • 哈希（数据完整）
        • 代码签名
      • 配置管理（系统完整）
      • 变更控制（过程完整）
      • 访问控制（物理和技术控制）
      • 软件数字签名
      • 传输CRC检验功能 (可以用于网络传输的多个层)
    • 可用性,A
      • 冗余磁盘阵列（RAID）
      • 集群
      • 负载均衡
      • 冗余的数据和电源线路
      • 软件和数据备份
      • 磁盘映像
      • 位置和场外设施
      • 回滚功能
      • 故障转移配置
  • 安全控制
    • 方式方法
      • 管理性控制
        • 制订策略、标准、措施和指导原则
        • 风险管理
        • 人员安全
        • 安全意识培训
      • 技术性控制 （逻辑性控制）
        • 实现和维护逻辑访问控制机制
        • 密码和资源管理
        • 身份标识和身份验证方法
        • 安全设备
      • 物理性控制
        • 控制个人对设施和不同部门访问的措施（门禁、保安、锁）
        • 保护设施的周边（栅栏、围墙，照明）
        • 物理检测入侵
        • 环境控制
    • 作用
      • 控制功能
        • 预防(威慑)、检测、纠正/恢复（备份、BCP、DRP） 补偿（控制）
  • 信息安全风险管理基础
    • 治理、风险管理与合规（GRC）
      • Assurance鉴证
    • 风险管理框架
• 安全治理与安全体系框架
  • 安全管控参考框架
    • IT控制，COBIT
    • 《内部控制-整体框架》，COSO 企业内控管理框架
      • 定义了满足财务报告和 披露目标的五类内控要素
        • 控制环境
        • 风险评估
        • 控制活动
        • 信息与沟通
        • 监控
      • 很多组织应对 SOX 404 法案合规性的框架
    • IT服务管理，ITIL（最佳实践框架）
      • ITIL是可定制IT服务管理框架
      • 信息技术服务管理标准（ISO/IEC 20000）
      • 5大阶段
        • 服务战略
        • 服务设计
        • 服务转换
        • 服务运营
        • 持续服务改进
    • Zachman
    • TOGAF企业框架
    • SABSA 安全架构框架
    • 安全控制参考，NIST SP 800-53r4
    • 2014年关键基础设施安全控制框架：NIST CyberSecurity Framework
    • CMMI软件开发管理（第8章）
      • CMM
        • Initial, Repeatable, Defined, Managed, Optimizing
      • CMMI
        • Initial, Managed, Defined, Quantitatively Managed, Optimizing
  • 信息安全管理
    • 信息安全成败的两个因素：技术与管理
    • ISO27001 （信息安全 管理体系的标准）
      • 源于BS7799，BS7799-1对应ISO27002， BS7799-2对应ISO27001
      • 信息安全方面的最佳惯例组成的一套全面的控制集
      • 2013版，14个域，35个分类，114个控制
    • 信息安全管理模型
      • PDCA模型
      • 计划，Plan
        • 根据风险评估结果，法律法规要求、组织业务， 运作自身需要来确定控制目标与控制措施
      • 实施，Do
        • 实施所选的安全控制措施。
      • 检查，Check
        • 依据策略、程序、标准和法律法规， 对安全措施的实施情况进行符合性检查
      • 措施，Act
        • 针对检查结果采取应对措施，改进安全状况
    • 信息安全绩效
      • ISO27004
• 信息安全策略、组织与人员安全
  • 安全策略
    • 安全文档的层次性
      • 方针(policy) （方针的变化频率较低，程序的变化频率较高）
        • 信息安全最一般性的声明
        • 最高管理层对信息安全承担责任的一种承诺
        • 说明要保护的对象和目标
      • 标准(standard)
        • 建立方针执行的强制机制
      • 指南(guideline)
        • 类似于标准，加强系统安全的方法，他是建议性的
      • 安全基线(baseline)
        • 满足方针要求的最低级别的安全要求
      • 程序（procedure/步骤/规程）
        • 执行特定任务的详细步骤（specific）
        • 程序则是对执行保护任务时具体步骤的详细描述（HOW）
  • 安全组织
    • 高级管理层（执行管理层/CEO、CFO、COO）
      • 全面负责信息安全，是信息安全的最终负责人
      • 规划信息安全，确定目标和有限次序，委派信息安全责任
      • 明确信息安全目标和方针为信息安全活动指引方向
      • 为信息安全活动提供资源
      • 重大事项做出决策
      • 协调组织不同单位不同环节的关系
    • 信息安全专家
      • 受高级管理层委派（通常向CIO）负责实施和维护安全
      • 设计、实施、管理和复查组织的安全策略、标准、指南和程序
      • 协调组织内部各单位之间所有的与安全相互的交互
    • 首席信息管，CIO
      • 监督和负责公司的日常技术运营
    • 首席安全官，CSO
      • 确保业务信息资产得到妥善保管
      • 扮演内部信息安全协调和促动的角色
      • 需要理解组织的业务目标，引导风险管理过程， 确保业务操作和可接受风险之间达成恰当的平衡
      • 具体职责：
        • 为信息安全活动做预算
        • 开发策略、程序、基线、标准和指南的开发
        • 开发安全意识程序
        • 参与管理会议
        • 协助内部和外部的审计
    • 安全指导委员会
      • 成员由来自组织机构各部门的人员组成，包括CEO领导，同时CFO、CIO、各部门经理、首席内审员
      • 至少每季度召开一次会议，并有明确议程
      • 职责：
        • 定义组织机构的可接受风险级别
        • 确定安全目标和找略
        • 根绝业务需求决定安全活动的优先级
        • 审查风险评估和审计报告
        • 监控安全风险的业务影响
        • 审查重大的安全违规核事故
        • 批准安全策略和计划的任何重要变更
    • 审计委员会
      • 由董事会任命，帮助其审查和评估公司的内部运作、内部审计系统以及财务报表的透明度和准确性。
      • 负责：
        • 公司财务报表以及财务信息的完整性
        • 公司的内部控制系统
        • 独立审计员的雇佣和表现
        • 内部审计功能的表现
        • 遵守与道德有关的法律要求和公司策略
    • 风险管理委员会
      • 从整体上了解该组织的风险并且协助高层管理者把风险降到可接受的程度。
      • 研究整体的业务风险，而不仅仅是IT安全风险
  • 安全计划
    • 组织的信息安全建设应该按计划行事，安全管理计划应该自上而下
    • 职责：
      • 高层定义组织安全方针
      • 中层将安全策略完成标准、基线、指南和程序，并监控执行
      • 业务经理和安全专家负责实施安全股那里文件中的制定配置
      • 最终用户负责遵守组织的所有安全策略
    • 类型
      • 战略计划， strategic plan
        • 长期计划，例如5年
        • ，相对稳定，定义了组织的目标和使命
      • 战术计划， tactical plan
        • 中期计划，例如1年
        • 对实现战略计划中既定目标的任务和进度的细节描述， 例如雇佣计划，预算计划等
      • 操作计划， operational plan
        • 短期的高度细化的计划，经常更新
        • 每月或每季度更新，例如培训计划，系统部署计划等
  • 人员安全（第7章）
    • 人员职责
      • 数据所有者
        • 负责管理某个业务部门，对特定信息自己的保护和应用负责任
        • 具有“适当关注”责任（due care）
        • 职责
          • 决定数据的分类
          • 定义每种分类的安全需求和备份需求
          • 定义用户访问准则
        • 业务角色而非技术角色
      • 数据管理员(保管员)
        • IT或安全部门的角色
        • 职责
          • 执行数据的常规备份
          • 定期验证数据的完整性
          • 备份截至还原数据
          • 实现公司关于信息安全和数据保护的信息安全策略、标准和指导原则
      • 系统所有者
        • 负责一个或多个系统，每个系统可能保存并处理由不同数据所有者拥有的数据
        • 负责将安全因素集成到应用程序和系统中
        • 确保系统系统脆弱性得到评估
        • 采用足够的安全措施保证系统安全
      • 安全管理员
        • 负责实施、监视和执行安全规定和策略
        • 向安全委员会和信息安全官报告
      • 信息系统审计师
        • 检查系统，判断是否满足安全需求以及安全控制是否有效
        • 向安全目标管理提供独立保障
      • 安全分析员
        • 帮助制订策略、标准和指南，并设立各种基准
        • 主要在设计层面，非实现层面
      • 用户
        • 具备应用的安全意识，遵守安全策略，恰当的使用系统，上报安全事件
    • 人员录用控制
      • 背景检查
        • 减少风险、减少招聘成本、减低员工的流动率
      • 技能考核
      • 保密协议
        • 保护公司敏感信息
    • 人员在职控制
      • 职责分离
        • 不应该有人从头到尾的完全控制一项敏感、有价值、或关键的任务
        • 目的：较少欺诈或失误的机会
        • 示例：
          • 金融交易中，一个负责录入、第二个负责检查、第三个负责确认最终交易
          • 开发/生产维护，安全管理/操作/审计， 加密密钥管理/密钥更改
          • 知识分割
      • 最小特权
        • 分配职责所需的最小权限
      • 工作轮换
        • 不允许某个人过长时间担任某个固定职位，避免个人获得过多的控制
        • 设置人员备份，有利于交叉培训，有利于发现欺诈行为
      • 强制休假
        • 强迫敏感部门人员休假，可以有效发现欺诈、数据修改和资源滥用等
    • 人员离岗控制
      • 离职人员访问权限的禁用
      • 回收具有身份识别的物件
    • 第三方人员控制
      • 如果第三方人员不驻场，但拥有管理员权限
        • 应当与第三方组织和个人均签订保密协议
        • 监控第三方的所有工作行为
        • 在接入时，确保对第三方人员的身份进行验证
      • 如果第三方人员驻场，并拥有管理员权限
        • 在上述措施的基础上，增加人员背景调查
        • 第三方人员离场，需要收回相关的权限
      • 在与第三方的合同条款上，增加保密要求，和相关的商务条款
    • 安全意识、培训和教育
      • 教育，Education
        • 为安全专业认识提供工作所需的专业技技术。
        • 方式：
          • 理论性指导，研讨会、阅读和学习，研究
        • 安全见解
        • “为什么”
      • 培训，Training
        • 传授安全相关工作技能，主要对象为信息系统管理和维护人员
        • 方式：
          • 实践性指导，讲座，个案研究，实验
        • 获取知识
        • “如何做”
      • 意识，Awareness
        • 组织员工对安全和控制重要性的一般性的集体意识
        • 方式：
          • 视频，媒体，海报等
        • 传递信息
        • “是什么”
• 风险管理
  • 概念：
    • 识别并评估风险、将风险降低至可接受水平、 执行适当机制来维护这种级别的过程
    • 100%安全的环境是不存在的，风险管理是 收益/成本，安全性/可用性之间的平衡
    • 风险=威胁*脆弱性*资产价值
    • 风险=可能性*影响
  • 相关要素
    • 资产：对组织具有价值的信息资产
    • 可能对资产或组织造成损害的 某种安全事件发生的潜在原因
      • 威胁
        • 威胁建模 (STRIDE)
          • 威胁建模具有一种结构化的方法，对最可 能影响系统的威胁进行系统地识别和评价。
          • 看看谁最有可能想要攻击我们，可以先头脑风 暴式地设想他们如何能够完成攻击目的，然后 提出对策来阻止这类的攻击行为
    • 脆弱性 （vulnerability）
      • 也成漏洞或弱点，即资产或资产组中存在的可被威胁利用 的弱点，弱点一旦被利用可能对资产造成损害
    • 风险
      • 特定威胁利用资产弱点给资产或资产组带来损害的潜在可能性
    • 可能性
    • 影响
      • 后果，意外事件给组织带来的直接或间接的损害或伤害
    • 安全措施
      • 控制或对策，即通过防范威胁、较少弱点，限制意外事件 带来影响等途径来削尖风险的机制、方法和措施
    • 残留风险
      • 再实施安全措施之后仍然存在的风险
  • 风险评估 (Assessment)
    • 主要任务：
      • 识别构成风险的要素
      • 评估风险发生的可能性和造成的影响，并最终评价风险水平或大小
      • 确定组织承受风险的能力
      • 确定风险消减和控制的策略、目标和优先顺序
      • 推荐风险消减对策以供实施
    • 方法
      • 风险评估（ISO27005）
        • 识别风险
        • 分析风险
        • 评价风险
      • NIST SP800-30和 SP800-66
        • 定性RA方法，关注IT风险
        • 1，系统分类；2，弱点识别；3，威胁识别； 4，对策识别；5，可能性评估；6，影响评估； 7，风险评估；8，新对策推荐；9，文件报告
      • OCTAVE
        • 一种基于信息资产风险的自主式信息安全风险评估规范， 强调以资产为驱动，由3个阶段、8个过程构成
        • OCTAVE方法在全组织范围内部署风险管理程序并与安全计划集成
      • CRAMM
        • 基本过程：资产识别和评价；威胁和弱点评估；对策选择和建议
      • FRAP
        • 经过预先筛选，只关注那些的确需要评估以降低成本和时间的系统
        • 预算有限的情况
      • STA
        • 创建一个系统可能面临的所有威胁的树，树枝可以代表诸如网络威胁、 物理威胁、组件失效等类别，进行RA时，需要剪除不用的树枝
      • FEMA
        • 源自硬件分析。考察每个部件或模块的潜在失效，并考察失效影响
      • AS/NZS 4360
        • 澳大利亚的一种风险评估方法，不是专门为了安全而使用的
    • 评估的过程
      • 识别信息资产
        • 识别每项资产的拥有者、保管者和使用者
        • 建立资产清单，根据业务流程来识别信息资产
        • 信息资产存在的形式
          • 电子数据：数据库和数据文件、用户手册等
          • 书面合同：合同，策略方针，归档文件，重要商业结果
          • 软件资产：应用软件、系统软件、开发工具、软件程序
          • 实物资产：磁介质、电源和空调、网络基础设施、服务器等
          • 人员：承担特定只能和责任的人员或角色
          • 服务：计算和通信服务、外包服务，其他技术性服务
          • 组织形象与声誉：无形资产
      • 评价信息资产
        • 评价因素
          • 受损后造成的直接损失
          • 资产恢复需要的代价，包括检测、控制、修复的人力和物理
          • 组织公众形象和名誉损失，竞争优势损失
          • 其他损失，如保险费用的增加
        • 根据重要性（影响或后果）来划分资产等级， 同时考虑保密性、完整性和可用性的受损可能引发的后果
      • 识别和评价威胁
        • 一项资产可能面临多个威胁，一个威胁也可能对多个资产造成影响
        • 识别威胁源
          • 人员威胁
          • 系统威胁
          • 环境威胁
          • 自然威胁
        • 评估威胁可能性是要考虑威胁源的动机和能力因素
      • 识别和评估弱点
        • 针对每个资产可能被利用的弱点
          • 技术性弱点
          • 操作弱点
          • 管理型弱点
        • 识别途径
          • 审计报告、实践报告、安全检查报告、系统测试和评估报告
          • 自动化漏洞扫描工具
      • 风险评价 (Evaluation)
        • • 风险影响（Risk impact）
          • 风险可能性（probability）
      • 风险处置策略
        • 风险处置方法
          • 缓解/减少/削弱风险 (Mitigate/Reduce Risk) （上控制措施）
            • 减少威胁
              • 实施恶意代码控制措施
            • 减少弱点
              • 通过安全意识培训，强化安全操作能力
            • 降低影响
              • 灾难恢复计划和业务连续 性计划，做好备份
          • 避免风险 (Avoid/Risk)
          • 转移风险 (Transfer Risk) （外包/买保险）
          • 接受风险 (Accept Risk)
        • 风险控制措施选择对策
          • 成本/效益分析
            • 基本原则：实施安全措施的代价 不应该大于所要保护资产的价值
            • 对策成本：购买费用，对业务效率的影响 ，额外人力物力，培训费用，维护成本费用等
            • 控制价值 = 实施控制之前的ALE-实施控制后的ALE - 控制的年成本
          • 约束条件
            • 时间约束，技术约束，环境约束
            • 法律约束，社会约束
          • 防护措施基本功能和有效性
      • 评价残留风险
        • 实施安全控制后残留或残存的风险
          • 残留风险Rr=原有风险R0-控制效力R
          • 残留风险<=可接受的风险Rt
    • 定量风险评估
      • 定量风险分析会尝试为风险分析过程的所有元素 都赋予具体的和有意义的数字
      • 防护措施的成本、资产价值、业务影响、威胁频率 防护措施的有效性、漏洞利用的可能性等每个元素 都被量化，最后计算出总风险和剩余风险
      • 定量分析步骤：
        • 为资产赋予价值
        • 估计每种威胁的潜在损失
          • 评估威胁和弱点，评价特定威胁 作用于特定资产所造成的影响，即EF（0%～100%）
        • 执行威胁分析
          • 计算年发生比率（ARO）
            • 事件发生的频率：ARO（年发生比率）
        • 针对每种资产和威胁计算 的单一损失期望（SLE）
          • SLE（单一损失期望）=asset value（资产价值）×EF（暴露因子）
        • 计算每种威胁的潜在年度损失
          • 每种威胁计算年度损失期望（ALE）
            • ALE = SLE × ARO
    • 定性风险评估
      • 考虑各种风险可能发生的场景，并基于不同的观点对 各种威胁的严重程度和各种对策的有效性进行等级排列
      • 定性分析技术
        • 判断、最佳实践、直觉和经验
      • 收集数据的定性分析技术
        • 群体决策方法，delphi
        • 调查问题卷
        • 检查
        • 访谈
    • 定性和定量方法对比
      • 定性方法及结果相对主观
      • 定性方法无法为成本/效益分析建立货币价值
      • 定量方法需要大量的计算，实施比较困难
  • 信息分类分级管理
    • 目的：说明需要为每种数据集设定的机密性、完整性和可用性保护等级
    • 根据信息敏感程度，公司采取不同的安全控制措施， 确保信息受到适当的保护，指明安全保护的优先顺序（同时避免过度保护）
    • 商业公司
      • 机密
      • 隐私
      • 敏感
      • 公开
    • 军事机构
      • 绝密 (Top Secret)
      • 秘密（Secret
      • 机密 （Confidential）
      • 敏感但未分类
      • 未分类
• 法律、道德、合规
  • 计算机犯罪
    • 计算机犯罪特点：
      • 调查取证比较困难，证据容易遭到破坏
      • 相关法律不完善
      • 跨地域的特征
      • 从统计来看，内部人员实施犯罪几率比较高
      • 受害机构有时不报告，担心影响机构的正常运作和损害用户对机构的信任
    • 计算机犯罪的类型
      • 计算机辅助犯罪
        • 使用计算机作为工具来帮助实施犯罪； 计算机在犯罪中并非必要因素，只是作为工具协助犯罪分子。
      • 以计算机为目标的犯罪
        • 针对计算机、网络以及这些系统中所存储的信息的犯罪
      • 计算机牵涉型犯罪
        • 计算机不一定是攻击者或被攻击者， 只是在攻击的发生时碰巧涉及其中。
  • 计算机相关法律
    • 法律体系
      • 普通法系
        • 民法
        • 刑法
        • 行政法
      • 大陆法系
      • 习惯法体系
      • 宗教法律体系
      • 混合法律体系
    • 知识产权法
      • 商业秘密
        • 与公司的竞争或市场能力至关重要
        • 不是众所周知的，公司付出了相关的资源和努力开发的
        • 收到公司适当保护以防止泄漏或非授权使用
        • 示例：
          • 产品配发
          • 程序源代码
          • 加密算法
      • 著作权
        • 最作品公开发表、复制、展示和修改的法律保护的权利
        • 并不保护作品的创意，保护创意的表现形式
        • 示例：
          • 程序代码，源代码和可执行文件，甚至是用户界面
          • 文学作品
          • 绘画
          • 歌曲旋律
      • 商标
        • 它保护代表公司形象的单词、名称、符号、形状、声音、颜色
        • 商标通常在商标注册机构进行注册
        • 商标是公司在市场运作过程中建立起来的质量和信誉标志
      • 专利
        • 对专利注册人或公司专利拥有权的法律认可，禁止他人或公司未经授权使用
        • 专利有效期20年
        • 示例：
          • 药品的配方
          • 加密算法
    • 软件分类
      • 免费软件
      • 共享软件
      • 开源软件
      • 商业软件
      • 学术软件
  • 隐私
    • 处理目标
      • 主动寻求保护公民的个人可标识信息（PII）
      • 在政府和业务的需求与银安全问题而考虑收集和使用PII之间，主动寻求平衡
    • 个人隐私
      • 类型：
        • 独处权利
        • 免受对个人不合理权利
        • 决定何种个人信息可以被传播以及传播给何人的权利
      • 注意的问题：
        • 防止不合理侵犯，底线是知情同意，采取适当的保护措施
        • 防止缺乏适当的方法，底线是“公平公正”，有纠错机制
    • 个人信息使用原则
      • 个人数据控制者的义务
        • 收集个人数据需要征得数据主体的同意并告知用途
        • 只收集与用途有关的数据，只在用途所需期限内使用和保存
        • 数据收集的方法数据的用途迎合法
        • 采取合理措施，技术、管理和操作措施，防止个人信息遭到恶意侵犯， 保证数据的完整性和保密性，并清除过时数据，防止无用途相关工作需要的人访问
      • 个人数据主体的义务和权利
        • 查看所收集的信息，更正错误信息
  • 数据泄密
    • 每一个安全事件之后都应该调查有没有数据泄露的情况。
  • 道德规范
    • ISC2道德规范
      • 保护社会、公共利益与基础设施，赢得必要的公众信心与信任 行事端正、诚实、公正、负责、守法 推动行业发展、维护职业声誉 勤奋尽责、专业胜任
    • 计算机道德协会
    • Internet体系结构研究委员会
    • 计算机犯罪谬论
      • 
• BCP&DRP需求
  • BCP/DRP概述（第7章）
    • 什么是灾难
      • 突发的，导致重大损失的不幸意外事件。
      • 包括：
        • 自然灾害，如地震、洪水、自然火灾，火山爆发、强对流天气
        • 系统/技术的，如硬件、软件中断，系统/编程错误
        • 供应系统，通讯中断，配电系统故障，管道破裂
        • 人为的，爆炸，火灾、故意破坏、化学污染、有害代码
        • 政治的，恐怖活动，骚乱、罢工
      • 组织的灾难
        • 对于机构来说，任何导致关键业务功能在 一定时间内无法进行的事件都被视为灾难
        • 特点：
          • 计划之外的服务中断
          • 长时间的服务中断
          • 中断无法通过正常的问题管理规程得到解决
          • 中断造成重大的损失
        • 两个要素
          • 中断所影响的业务功能的关键程度
          • 中断的时间长度
    • 灾难恢复计划，DRP
      • 灾难恢复目标
        • 降低灾难或业务中断的影响
        • 采取必要的步骤保证资源、人员和业务流程尽快恢复运作
      • 往往更加关注IT层面
    • 业务连续性计划，BCP
      • 业务连续性目标
        • 保障组织面对各种状况时依然保持业务的运营
        • 从更加长远的角度来解决问题，主要为长期停产和灾难事件提供方法和措施
      • 目标 objective
        • 出现紧急情况时提供及时和适当的应对措施
        • 保护生命和确保安全
        • 减少对业务的影响
        • 恢复关键业务功能
        • 在灾难时减少混乱
        • 确保企业的生存能力
        • 在灾难发生后迅速“启动并运行”
      • BCP应该与是机构的业务目标一致，是整体决策的一部分
      • BCP应该是机构安全项目的一部分，并与安全项目的其他内容相协调
    • 标准和最佳实践
      • NISTSP800-34
        • 制定连续性规划策略（policy）
        • 执行业务影响分析（Business impact analysis，BIA）
        • 确定预防性控制方法
        • 制定恢复战略
        • 制定BCP
        • 测试BCP
        • 维护业务连续性计划
      • ISO27031
      • ISO22301
  • BCP项目规划
    • BCP项目启动前准备活动
      • 确定BCP需求，可以包括有针对性的风险分析 以识别关键系统可能的中断
      • 了解相关法律、法规、行业规范以及机构的业务 和技术规划的要求，以确保BCP与其一致
      • 任命BCP项目负责人，建立BCP团队，包括业务和技术部门的代表
      • 制定项目管理计划书，其中应明确项目范围、目标、 方法、责任、任务以及进度
      • 召开项目启动会，获得管理层支持
      • 确定收集数据所需的自动化工具
      • 设施必要的技能培训和意识提升活动
    • BCP项目负责人
      • 业务连续性协调人作为BCP项目负责人全面负责项目的规划、 准备、培训等各项工作
      • 工作任务
        • 计划的开发团队与管理层的沟通和联络
        • 有权与计划相关所有人进行直接接触和沟通
        • 充分了解业务中断对机构业务的影响
        • 熟悉机构的需求和运作，有能力平衡机构相关部门的不同需求
        • 比较容易接触到高级管理层
        • 了解机构业务方向和高管理层的意图
        • 有能力影响高级管理层的决策
    • BCP项目的关键角色
      • 恢复团队，灾难后进行评估、恢复、复原等相关工作的多个团队
      • 业务部门代表，识别机构的关键业务功能，协助恢复策略的选择和制定
      • IT部门
      • 通信部门
      • 信息安全部门
      • 法律代表
    • BCP策略
      • BCP规划最终应该形成业务连续性策略条框， 该条款记录的BCP的
        • 目标、范围、需求
        • 基本原则和指导方针
        • 职责和责任
        • 关键环节的基本要求
      • 策略条款应得到高级管理层的正式批准，并公布成为机构的政策，指导业务连续性的相关工作。
  • 业务影响分析BIA
    • 业务影响性分析概述
      • 识别可能会在灾难中造成重大损失或运营中断的区域
      • BIA分析方法
        • 定性分析以划分严重程度的方式得出灾难或中断事件造成的影响
        • 定量分析以货币的方式得出灾难或中断事件造成的影响
    • BIA目的
      • 协助管理层了解潜在的中断影响
      • 识别关键业务功能以及支持这些功能的IT资源
      • 协助管理人员识别机构功能支持方面的不足
      • 排定IT资源的恢复顺序
        • 分析中断的影响
          • • 收入的损失（Loss in revenue） • 延迟收入的损失（Delayed income costs） • 生产力的损失（Loss in productivity） • 营运成本的增加（Increase in operational expenses） • 声誉和公众信任的损失（Loss in reputation and public confidence） • 竞争力的损失（Loss of competitive advantages） • 违约责任（Violations of contract agreements） • 违背法律法规（Violations of legal and regulatory requirements）
        • 确定每项业务功能的恢复窗口
    • BIA过程
      • 确定信息收集技术
        • – 查勘检测(surveys)、调查问卷(questionnaires) – 定性(qualitative)、定量(quantitative)
      • 选择受访者
      • 识别关键业务功能(critical business functions)及其支持资源
      • 确定如果失去这些资源的支持这些功能能存活多久
      • 识别弱点和威胁
      • 计算每个业务功能的风险
      • 准备提交BIA报告
        • 存在的问题
        • 应对建议
    • BIA的信息分析
      • 整理（Organize） 归纳（Correlate） 分析（Analyses）、和确认（Confirm）
        • 定性和定量的自动化工具 辅助进行信息的整体和分析
        • 业务的代表检查和确认信息分析的结果
    • 确定允许中断时间 MTD
      • 业务影响分析的核心任务是确定关键业务功能及 其支持资源的最大允许中断时间MTDs
      • 支持多个业务功能的资源其关键程度较高
      • 中断时间超过最大允许中断时间 （Maximum Tolerable Downtime） 将造成业务难以恢复，越是关键的功能或资源
      • 根据MTDs排定关键业务功能及其支持资源的恢复顺序
    • 支持资源的确定
      • • 人力资源（Human resources） – 如操作员、专家、系统用户等 • 处理能力（Processing capability） – 如数据中心、备用数据中心、网络、小型机、工作站、个人计算机等 • 物理基础设施（Physical infrastructure） – 如办公室、办公家具、环境控制系统、电力、上下水、物流服务等 • 基于计算机的服务（Computer-based services） – 如语音和数据通信服务、数据库服务、公告服务等 • 应用和数据（Application and Data） – 计算机设备上运行的各种程序和存储的数据 • 文档和票据（Documents and papers） 如合同票据操作程序等文件文档和资料
      • 确定关键功能的所有支持资源（包括非计算机资源）、 资源的使用时间段、缺少该资源对功能的影响 以及资源之间的相互依赖
    • 灾难恢复的度量
      • 工作复原时间， Work Recovery Time，WRT
        • 工作复原时间相对固定
      • 恢复时间目标，Recovery Time Object，RTO
        • 在系统的不可用性严重影响到机构之前 所允许消耗的最长时间
      • 恢复点目标，Recovery Point Objectives，RPO
        • 数据必须被恢以便继续进行处理的点。 也就是所允许的最大数据损失量
      • RTO+WRT=MTD