把灾难恢复计划与安全恢复计划放在一起过于复杂 来看两者主要区别

安全加在网络搜索恢复计划,可以看到信息系统灾难恢复计划、网络灾难恢复计划、IT灾难恢复计划,看样子很多企业将其灾难安全计划和安全恢复计划混在一起,统一放置在一个可方便获取的包中。然而,这样做行得通吗?

灾难恢复计划与安全恢复计划不能混为一谈

灾难和安全恢复专家称这种做法不是很好。Marko Bourne就是持这种观点的一位专家,他负责Booz Allen公司的应急管理、灾难援助和任务保障业务。谈到灾难和安全恢复,他表示,“安全和灾难计划有一定的相关性,但不能混为一谈。”

Inigo Merino解释道,灾难恢复计划和安全恢复计划二者所要达成的目标有着本质区别,甚至在有时相互冲突。Inigo Merino曾是负责Deutsche Bank的公司安全和业务连续性的高级副总裁,目前担任网络威胁检测公司Cienaga Systems的CEO。“二者存在明显区别:灾难恢复旨在确保业务连续性,而信息安全是为了保护信息资产的安全”他表示,“当然,二者也存在细微差别,安全事件响应通常需进行详尽的根本原因分析、收集和保存证据以及协调响应(通常秘密进行)。”

以上操作通常需小心处理。Merino称,“另一方面,[业务连续性计划]从本质上讲是非常公开的事件,需多方通力配合和大规模通信,从而快速巧妙地实现业务恢复。”

“对于灾难恢复计划,您应将数据质量放在首位,其次才是业务处理。”BeyondTrust公司的负责身份管理和漏洞管理产品的技术开发人员Scott Carlson说,“您依赖防护措施确保安全,而那些措施很少关心您以前的数据是否丢失。因此,将对以前数据的防护纳入安全计划更为重要。”

把灾难恢复与安全恢复的流程混合 只会变得更复杂

很多企业因只看到了这两个计划的表面的相似性,为了方便起见,将灾难恢复和安全战略融为一体。“大体上说,灾难恢复计划和安全计划涉及的活动大同小异,”管理咨询公司Navigate的高级经理Stieven Weidner说,“两个计划首先都会实施尽量减少事件影响的过程,紧接着会实施事件恢复过程,然后进行测试并恢复生产。”一般来说,两种计划均包含一个“吸取教训”的过程,尽量避免类似事件再次发生。

但透过表面现象看,灾难恢复和安全恢复计划存在本质差别。Weidner说,“灾难恢复计划专注于恢复IT运营,而安全计划意在防止或限制IT业务中断并维持IT运营。”

安全恢复计划旨在阻断安全事件、对其进行分析,最终提供纠正措施。“灾难恢复计划可能会采用类似恢复操作,但其命名规则中不会用“检测”这样的字眼描述火灾或洪灾,其在分析过程中也不会这样说。”新英格兰的咨询公司Baker Newman Noyes的风险和业务咨询管理人Peter Fortunato称,“此外,没有多少灾难需收集证据。”

将两种计划混在一起还可能会引起不必要的公众关注。“例如,执行灾难恢复计划通常需向关键利益主体发送大量通知”Merino称,“然而,在您处理某些问题,如可疑的网络[入侵],需要收集复杂多变的电子证据而进行调查时,您肯定不愿将此事大肆宣扬。”

在整合复杂的安全和灾难恢复规则和流程时通常会生成很多内容繁杂、表意不清,甚至互相矛盾的文档。网络安全服务提供商GreyCastle Security的负责服务的副总裁Dan Didier说,“若您将流程和资源纳入同一计划会将整个计划搞乱,会导致流程太过复杂。”尽管有些灾难恢复和安全恢复流程很相似,如对事件的总体影响进行排名,但要将其他流程结合起来却并非易事。Didier解释说,“此外,您可能会纳入各种不同的资源,因此培训和测试都会非常复杂,这是因为在事件发生后会更新计划。”

从目标及要求等方面看两者的不同

火灾、暴风雪、断电以及其他自然灾害虽然无法预测,但人们对这些灾害的性质了如指掌。然而,安全威胁不仅无法预测且具备网络犯罪行为快速演进的特性,一般会搞得人们丈二和尚摸不着头脑,这就需要我们对安全恢复战略经常推敲和更新,且频度要高于恶意网络事件。

毫无疑问,对安全恢复计划进行实时更新要比灾难恢复计划难得多。Bass, Berry and Sims法律公司在Nashville办事处的隐私和数据安全律师Anthony McFarland说,“每周都发生新网络威胁。”相比之下,人为或自然灾害,即使会对企业带来威胁,但事件本身变化不大。McFarland说“即使企业扩大了地盘,遇到的可预测灾害也是有限的。”

灾难发生时,需立即采取应对措施,而网络事件则需更快速响应。McFarland,说“龙卷风、洪水或地震等灾难事件发生时,公司会发出预警,扩大响应范围,然而却无法提前预测定向网络攻击。”

 

灾难恢复计划

安全恢复计划

主要目标

在人为或自然原因造成中断后,提供业务持续性

在数据泄露事件后,保护数据资产

响应要求

与利益相关者沟通,关注快速数据恢复

提供证据收集与保存,以及根因分析

战略差别

快速、准确的数据恢复

防护控制,防止未来损失

计划管理人员

关注灾难恢复最佳实践和经验的专业团队

关注最新网络安全威胁并对计划进行相应修改的专业团队

 

SAP国家安全服务公司总裁兼首席执行官Mark Testoni表示,“安全恢复计划中的威胁比灾难恢复中的威胁动态性更强,因此需要不断审核和更新。例如,最近的勒索攻击(如WannaCry)具有非凡破坏力,需要通过安全恢复计划研究如何有效应对新的威胁和风险。”

Bounre认为,对于安全计划和灾难计划而言,发现过程都是最重要的。他补充说:“计划必须具有适应性,关键领导人必须了解计划目标,以获取最大的成功。”。

两个团队从长远来看 相辅相成

虽然多数专家主张单独制定和维护灾难和安全恢复计划,但他们注意到,必须定期审核这两项战略,以找出潜在的差距和冲突。“让两项计划相辅相成的最佳行动计划是确保它们由同一团队实施,”Steve Rubin(位于纽约长岛的Moritt Hock & Hamroff法律事务所的合伙人兼网络安全小组的共同主席)表示,“从长远看,它们不但会更强大、相辅相成,还会更有效、灵活。”

Weidner指出,安全和灾害计划也可以由两个团队分别负责,只要他们能够定期相互协调战略目标。他说:“每个团队,无论支持安全或IT恢复,都要管理好具体的计划要求。然而,应集中监督和治理,确保活动支持方法相同,如与管理团队、公司利益相关者和客户沟通。”

Didier表示,无论计划由一个或两个团队处理,都需要找到合适的人选。他说:“高级管理人员起着关键作用,必须监督运营。”

McFarland表示,“首席信息官、首席信息安全官和网络管理员是团队不可或缺的成员。” 然而,很多灾难恢复团队成员完全不参与安全组工作,或参与非常有限,反之亦然。McFarland说:“例如,设施管理人员是灾难恢复团队的关键成员,但通常[安全]团队不需要这样的角色,除非办公室的硬拷贝数据丢失或被盗。”

BeyondTrust技术副总裁Morey Haber建议称,操作和安全团队应以可控、建设性方式相互审核计划,了解如何互相取得支持。“这些政策不应该是独立制定的,如果可以,应该一起开发测试。这样有助于解决极端情况,同时保持职责分离与团队协作。

灾难恢复计划与安全恢复计划 需要从执行过程中吸取教训

由于企业已了解安全和灾难恢复计划中哪些奏效哪些无效,越来越多的人意识到安全恢复并非灾难恢复,并且需求各不相同。Merino说:“随着组织越来越成熟,他们发现安全事件响应的目的比仅仅恢复业务更微妙,并且通常为业务连续性的灾难恢复中的很多功能并不适用于网络安全事件,或在某些情况下,对安全事件响应和取证是不利的。”

Weidner表示,“安全和灾难恢复计划成功的关键是对计划进行记录、管理、测试和制定共同治理、沟通和升级的方法。这种统一的方法将混乱最小化并减少事件恢复时间。”

发表评论