业务连续性计划制定人专业实务..doc

国际灾难恢复协会 业务连续性计划制定人专业实务 2002年修订 北美版 翻译：陈海燕，CISSP（phrackchen@） 英文版PDF 中文版PDF 注：以下内容因排版原因有所省略，完全信息请查阅中文版PDF。 介 绍 很多职业是根据其从业人员所共同拥有或在工作中使用的知识来划分的。与专业相关的一系列知识体系转化和演变为专业特定的技能、任务或活动。为了对从事特定领域工作的专家进行认证，诸如国际灾难恢复协会（DRI）和业务连续性协会（BCI）这样的机构必须定义、分享和不断地修订相关专业人员所需的共同知识体系。 拥有这样的共同知识体系是必须的，但还无法充分证明专家所应具备的专业素养。正确的应用和对共同知识体系的定期更新也是成功的专业素养所必须的。所以，不间断的教育和持续的专业发展对于专家维护和加强其专业领域的水平是非常重要的。 出于认证的目的，从业者必须证明其在相关专业领域中的最低持续相关性和经验，另外还必须证明其能够成功地通过基于共同知识体系的书面测验。所证明的经验必须与共同知识体系相关。 本文定义了业务连续性计划的专业范围以及国际灾难恢复协会（DRI）设定的用于认证助理业务连续性计划制定人（ABCP）、业务连续性认证专家（CBCP）和业务连续性高级专家（MBCP）的知识。业务连续性协会（BCI）也使用本文做为其进行业务连续性协会成员资格（MBCI）和业务连续性协会会员资格（FBCI）考试的基础。 本文中的每一个主题包含： 主题领域的描述 专业角色 专家在该领域中所应具备知识的要点 在适当的位置还包含有实例和参考内容。 主 题 概 述 1. 项目启动和管理确定业务连续性计划（BCP）过程的需求，包括获得管理支持、以及组织和管理项目使其符合时间和预算的限制。 2. 风险评估和控制确定可能造成机构及其设施中断和灾难、具有负面影响的事件和周边环境因素，以及事件可能造成的损失、防止或减少潜在损失影响的控制措施。提供成本效益分析以调整控制措施方面的投资达到消减风险的目的。 3. 业务影响分析确定由于中断和预期灾难可能对机构造成的影响以及用来定量和定性分析这种影响的技术。确定关键功能、其恢复优先顺序和相关性以便确定恢复时间目标。 4. 制定业务连续性策略确定和指导备用业务恢复运行策略的选择，以便在恢复时间目标范围内恢复业务和信息技术，并维持机构的关键功能。 5. 应急响应和运作制定和实施用于事件响应以及稳定事件所引起状况的规程，包括建立和管理紧急事件运作中心，该中心用于在紧急事件中发布命令。 6. 制定和实施业务连续性计划设计、制定和实施业务连续性计划以便在恢复时间目标范围内完成恢复。 7. 意识培养和培训项目准备建立对机构人员进行意识培养和技能培训的项目，以便业务连续性计划能够得到制定、实施、维护和执行。 8. 维护和演练业务连续性计划对预先计划和计划间的协调性进行演练、并评估和记录计划演练的结果。制定维持连续性能力和BCP文档更新状态的方法使其与机构的策略方向保持一致。通过与适当标准的比较来验证BCP的效率，并使用简明的语言报告验证的结果。 9. 公共关系和危机通信制定、协调、评价和演练在危机情况下与媒体交流的计划。制定、协调、评价和演练与员工及其家庭、主要客户、关键供应商、业主／股东以及机构管理层进行沟通和在必要情况下提供心理辅导的计划。确保所有利益群体能够得到所需的信息。 10. 与公共当局的协调建立适用的规程和策略用于同地方当局协调响应、连续性和恢复活动以确保符合现行的法令和法规。 主题 1：项目启动和管理 确定业务连续性计划（BCP）过程的需求，包括获得管理支持、以及组织和管理项目使其符合时间和预算的限制。 A. 专业角色是： 1. 引导项目发起人定义目标、政策和关键成功要素 a. 范围和目标b. 法律和需求动机c. 案例和业界最佳实务 2. （通过策划指导委员会和项目任务组）协调和组织／管理BCP项目和整体BCP过程3. 使用效益控制方法和更改管理机制检查BCP过程4. 向管理层和关键人员介绍（推销）BCP过程。5. 制定项目计划和预算（来启动BCP过程）6. 定义和建议过程结构和管理方式7. 管理项目以制定和实施BCP过程 B. 专家应该证明其具有以下领域的实务知识： 1. 确定业务连续性需求 a. 参考相关的法律／法规／法令／合同的需求和约束b. 如果合适，参考相关的行业贸易组织或机构的规定c. 参考相关当局的当前建议d. 将立法、规章和要求与机构的政策相联系e. 识别机构政策与相关外部需求的任何冲突f. 识别任何审计记录g. 提出解决机构政策与相关外部需求之间任何冲突的方法，可以包括BCP在内h. 识别可能对机构灾难恢复能力具有负面影响的业务措施。 2. 传播