当谈到灾难恢复和业务连续性计划(BCP)时，IT工作人员的谈论迅速转向确保系统和服务的可用性达到“5个9”标准，也即每年的可用时间达到99.999%或者每年的宕机时间大约在5分钟左右。

　　于是，人们开始考虑BS 25999。BS 25999是英国标准协会(BSI)的公用规范56(PAS 56：2003)中“业务连续性管理向导”的修订版。他们是否能这么考虑呢?这是一件令人犹豫和头疼的事。

　　从玩笑到灾难

　　然而，当灾难恢复计划(DRP)的任务降临到信息安全管理员和IT员工的身上时，这将不再是一个玩笑。理由在于安全风险管理C-I-A(Confidentiality机密性-Intergrity完整性-Availability可用性)的最后一部分——可用性问题上。按照这种思路发展，DRP演变为一种安全问题，通常被转交到一个组织的信息安全官(ISO)或IT主管手中，而往往缺乏其它人的支持，即便有也很少。这样的结果通常要么是因收集程序不足而使得在风险评估中缺乏坚实的基础保障，要么是因冗长的信息超越了高层管理和兼容性要求，从而超出了IT的预测范围。

　　在本文中，灾难恢复计划可能弊大于利。想想，灾难恢复被认定为是初学者的磁带周期计划和近距离机柜异地存储的保障，这会导致过分自信和依赖灾难恢复，成为审核或合同谈判时的伪证，甚至使数据、网络和服务管理陷入危险境地。混淆数据恢复过程和完整的灾难恢复计划，或者有意识地将一个针对数据的恢复计划提升为一种管理策略和标准，这些对于业务的生存来说都是相当危险的。

　　更糟糕的是，有可能存在这样一种情况，保护信息资产最起码的IT行为将引起高层管理终结对企业风险管理、灾难恢复和业务连续性的支持。从小型企业到中型企业，组织在不断的转变，当它们手中拥有信息资产保护策略时，它们会时不时地在列表中核对灾难恢复，而忽略了提高灾难响应的决策和方法，这其中需要考虑人力资本的安全性，而实际上人才是真正存在风险的地方。

　　助手

　　如果信息安全官在缺乏必要支持的情况下取消了灾难恢复计划，那么接下来要做什么?一切都不会失去，选择DRP并非完全是一种让人摸不着头脑的艺术。贸易杂志及大量的书籍都涉及到这个话题，其并不缺乏来自像Sungard的咨询和服务销售研究，Sungard提供了联邦紧急管理机构(FEMA)公布的各种响应机制。接着就是BS 25999。

　　简单地说，一切都旨在告诉你，当你奢侈地、不紧不慢地，或者是站在最终用户的立场上考虑管理和响应问题时，要首先懂得思考。最终计划的内容是次要的，因为，在灾难期间，即便是一个缺乏赞助、脆弱的或是未经测试的计划也通常(尽管并非经常如此)要比停留在优柔寡断的层面要好。任何首先保证人的安全的、大概服从企业计划以及未考虑计算机系统和数据的计划都脱离一个良好的开端。

　　IT挽救了公司?

　　但是我们可以做到更好。通过理解IT灾难恢复是如何适应更大范围的企业响应，使得IT和信息安全管理者处在一个比以往更有利的位置来支持(即便不是推动)灾难恢复和业务持续性在整个企业内部的发展。有些人可能会轻蔑地说，这并不是一个合理的方法，并且他们有足够的理由来证明这一点，在此之前，这只是一个美丽的梦，直到最近才有所改变。然而，即便这个计划中呈现出一丝曙光， 对于那些过去使用ISO 27001的人来说，BS 25999看上去还是让人很熟悉。我们可以了解一下ISO 27001的演变过程。

　　学习ISO 27001

　　几年之前，IT的管理使命是在缺乏企业管理支持的情况下贯彻信息安全策略，这有可能会导致控制上的混乱，就像ISO17799。ISO17799是HIPAA安全规则，或者可以称作是信用卡行业数据安全标准(Payment Card Industry Data Security Standard)的前身。虽然，支持安全管理和风险管理原则可能出自NIST文件或者是控制建议书的前言，但是随后IT担负起保护其中关于高层管理应该如何做的声明。即使与IT相关的管理方面的好建议也更有可能因缺乏行政赞助或者是理解而死亡。

　　在没有支持的情况下，很难贯彻一个相当好的风险管理和控制计划，标准之间的争论并没有任何作用。还记得NIST管理建议书(PDF格式)和贸然出现的ISO 17799之间的矛盾吗?在修订版标准中，将ISO 27001：2005中管理系统和原则和ISO 27002中安全控制对象(你所选择的任何特定平台或技术的性能标准)清楚地分离开来。在这些标准中融入了大量的行业要求和控制的一致性，从而使得其有可能混合匹配各种管理和控制对象，而不会在运转或审核过程中产生基础脱节。

　　关键在于，你可以从策略层级结构的底层开始，这样的风险要比之前的小。随着跨行业的关于信息安全管理系统的通用形式的舆论的不断增加，很有可能使人们开始定义低级安全策略和来自于ISO 27002(或 ISO 27001附件)的技术实施，这些甚至在高层管理考虑管理系统之前就出现了。实际上，这意味着其是一个安全的赌局，例如为安全应用程序发展开发一个策略，使用ISO 27001中的“A.12.2-应用程序的正确处理”部分，即便董事会需要花费好几年的时间来筹建一个正式的 ISO 兼容的信息安全管理系统(ISMS)。当管理考虑到这点时，他们已经毫无理由不追随最普通的标准了。

　　前进

　　同样，一家在缺乏实际企业DR或BCP内容情况下被授予贯彻DRP使命的IT组织，依旧能够为企业部署轨迹和格调。BS 25999正沿着ISO 27001同样的步伐演进，一方面，其越来越有可能成为一种普遍存在的ISO标准，另一方面，其正将业务持续性和灾难恢复管理系统从控制中清晰地分离出来。

　　就像ISO 27001，“BS 25999-1：2006业务持续性管理—实用规范”中定义了管理系统的范围，从策略和计划的建立，到审核、培训和评论。抛开那些感觉良好的计划—实施—检查—行动(Plan-Do-Check-Act(PDCA))术语的圈套，下一部分——“BS 25999-2：2007业务持续性管理规范”感觉很像ISO 17799，或者说ISO 17799新的化身就是ISO 27002。那些在寻找特定事件的组织将在第4部分花费时间——实现和运行BCMS。

　　即便缺乏企业业务持续性策略和灾难恢复过程的支持，IT可以通过努力降低风险以取得进步，从而使其重新适应另一项管理机制。当然，负面效应在于ISO标准通常并不是免费的，你可以下载。无论哪一种方法是合理的，包括为等级提供原料支持、使用直接的观察技术来获取信息(肩窥)、团体采购或者是访问图书馆，如果你自己没有一个独立的BCP/DRP，看看BS 25999的资源和计划，提出一个有根据的关于风险的推测，以及推测哪一个控制更合适，然后着手贯彻它。