CISA D4 營運韌性:BIA、備份、BCP、DRP 最常錯的 10 個觀念

營運韌性題(D4 後半)很會騙人:四個選項都在講備份、演練、復原,每個都像對的。差別常在一個細節:題目問哪個數字、哪一種測試,要的是不停機還是救得回來。D4 和 D5 合計過半,下面 10 個觀念值得先弄通。

先決定救誰:BIA

• 1. BIA 是起點:問「制定 BCP 或 DRP 最先做什麼」,答營運衝擊分析(BIA)。選場地、寫程序、做測試都在後面。選項同時有「訂營運持續政策」和 BIA 時看題目:問計畫怎麼制定、復原怎麼排,答 BIA;問整個計畫要先取得什麼,高階管理層的支持與政策在前。BIA 用來排復原優先順序、訂 RTO 和 RPO,不是決定要不要加某項控制的方法。
• 2. 順序由業務端定:哪個流程關鍵、能停多久,由業務流程擁有者判定。問誰是最重要的資訊來源,答業務流程擁有者,不是 IT 主管。相依的系統、資料、人員、供應商也要列進來,漏一個,關鍵流程復原了還是跑不起來。

三個數字:最常對調

• 3. RPO 與 RTO 別對調:題幹寫「備份頻率」「能丟多少資料」是 RPO,寫「還原速度」「多久恢復」是 RTO;RTO 越短,備援越貴。名稱像 MTD 的 MTO,管的是替代作業模式能撐多久。
• 4. 越快越貴,夠用就好:停機損失加復原花費最低的那一點,才是經濟的復原時間,只看停機成本就訂 RTO 是錯的。幾個系統共用一台主機時,還原以 RTO 最短的關鍵系統為準,不取平均。

冗餘不是備份

• 5. 問備份,別選冗餘:叢集、雙 SAN、熱站都是冗餘,目標是少停機。題目問「備份策略」,選它們就上當了。RAID 也一樣:誤刪與毀損會同步寫入,任何等級都取代不了異地備份。複寫會把錯誤一起複製;快照通常和原始資料在同一套儲存,設備壞了一起消失。冗餘裡,允許短暫切換是高可用性,完全不中斷才是容錯。
• 備援要放在不同的故障範圍:兩條線路走同一條管道、負載平衡器自己沒備援,都留下單點。所有關鍵系統放在同一個雲端區域也一樣,區域出事,關鍵業務同時停擺,RTO 訂得再好也用不上。

備份:撐得過攻擊,還原得回來

• 6. 備份要撐過勒索軟體:連線中的備份會被一起加密或刪除,要確保備份可用,選不可變或離線儲存並與正式環境隔離。提高備份頻率只改善 RPO,投保資安保險只轉移財務損失,資料都還是回不來。

• 還原得回來才算備份:每天備份、也有異地副本,卻從未做過還原測試,稽核人員最大的疑慮就是沒有證據證明還原得回來;這通常比「備份失敗沒人處理」更嚴重。SaaS 的資料層備份,在共同責任下多半是客戶的責任,別假設是服務商的事。

完整、增量、差異:看基準點

• 7. 看基準點,不要背速度:增量的基準是上次任何一次備份,差異的基準是上次完整備份。

鏡像備份原樣複製,問「還原時間最短」常選它,但來源被刪或被加密,下次備份也同步過去,不留舊版。

場地怎麼選

• 8. RPO 定資料怎麼複製,RTO 定場地:RPO 趨近零用同步鏡像,寬鬆的用便宜備份;RTO 很短選熱站,幾天內可接受且預算有限選溫站,很長或非關鍵選冷站,零停機選鏡射站(資料即時同步)。選最便宜、但都達標的,夠用卻選更貴的就是錯。溫站要先補設備、載入系統與資料,不能給 RTO 以小時計的關鍵應用。
• 互惠協議便宜,風險在對方:容量可能不夠、各自升級後軟硬體不相容、難以強制執行;兩邊在同一棟或同一區,會同時受災。
• 選址:備援站和異地備份存放處都要離主站夠遠,不被同一場災害波及;備援站還不能共用主站的電力或通訊來源,但別遠到人和資料趕不到。存放處要看實體與環境控制、備份清冊有沒有同步更新。災後搬回主站時,先搬最不關鍵的系統。

演練:每一種證明不同的事

• 9. 由簡入繁:桌上演練在紙上走角色與程序;模擬測試由人員執行部分復原步驟,但不啟用備援站;平行測試在備援站處理實際資料並與正式結果比對,正式作業不中斷;完全中斷測試真的切換過去,最真實,風險與成本也最高。BCP 另有一套三階分法:紙上測試、準備度測試、完整營運測試。
• 怎麼選:問程序、角色、溝通到不到位,桌上演練就夠;問「下一步」,選比已做的再高一級的。要「最能證明計畫有效、確保達成 RTO」才選完全中斷測試(桌上演練和平行測試都沒真的切換),而且要事先規劃、經管理階層核准,不能無預警停機。
• 誰該上場:業務流程擁有者、使用者部門、各復原小組的成員與代理人,不只是 IT。演練後比對實際與目標,沒達標先找根本原因再修訂計畫,結果報告管理階層。

人命永遠第一

• 10. 人先於系統:選項裡有人員安全,選它,壓過備份、資料和設備。災害當下先疏散、確保人員安全,接著常是啟動通報樹。計畫最該寫清楚的是人:誰負責、誰有權宣告災難、怎麼聯絡得到人,所以最常要更新的是關鍵人員的聯絡資訊。