Business Continuity Plan叫做企業永續計劃，又稱為BCP; Disater Recovery Plan叫做災後復原計劃，又稱為DRP，
企業永續的部份在近期內有相當多的企業都在推展，而這個計劃在資訊安全之中，IT人只重視DRP，
其實這個是一個相當錯誤的觀念，多數的人員在導入BCP&DRP時，只有觀注在DRP的部份…
Business Continuity Plan叫做企業永續計劃，又稱為BCP; Disater Recovery Plan叫做災後復原計劃，又稱為DRP，
企業永續的部份在近期內有相當多的企業都在推展，而這個計劃在資訊安全之中，IT人只重視DRP，
其實這個是一個相當錯誤的觀念，多數的人員在導入BCP&DRP時，只有觀注在DRP的部份，
而BCP呢?就被丟到垃報桶了。與BCP相關的內容有RM(Risk Management)及IR(Incident Response)，這些都是著重在管理端的問題
那麼BCP&DRP到底有何相關呢?DRP只是BCP中的一環，並不是兩個獨立的計劃，而DRP指的是回復的程序，
BCP則是避免因災難發生時，中斷了極重要的商業流程。
BCP主要是以提供企業永續的經營，因此在AIC中著重於A(Availability)主要是讓系統、資料、人員…等等，在發生任何衝擊時
馬上可以有備案可以接續該商業流程的持續運作，而另外兩者(I、C)則是必須在回復的過程中持續保有其完整性及機密性
BCP的運作是以SLA的角度來看整個流程回復的狀況，例如：收銀機發生問題，必須以手開發票來替代處理，
此時SLA由原本的3分鐘降低為10分鐘，此時是以企業永續的方式使商業流程持續的作下去，而收銀機也在同時執行DRP
此時IT人員判斷需送回廠中做修復，請廠商提供了另一台較舊的機器來取代本來的流程，將原本的SLA由10分鐘提升到了5分鐘
因此這個例子就包含了有BCP及DRP的程序和判斷的標準，接下來，我們再以下跟大家解整個BCP及DRP的內容在說些什麼。
在此，有幾個單字我們必須要了解;Recovery(復原)、Restoration(修復)、Resume(重返)，在我們的眼中，這個不是都指同一件事情嗎?
但是在老外的眼裡則是有著不同的定義，以上者來舉例，Resume是DRP中低的SLA，指的就是以一個回復方法讓流程能持續下去
就是當收銀機壞了，馬上以手開發票取代收銀機的作業; Restoration則是以另一個程序來取代原本的緊急回復程序，以提升SLA;
而Recovery則是回到原本的流程及site，總體而言，recovery是最終目的，而restoration則是當災難發生時將回復到正常程序的過程
因此DRP則是把重要的商業流程回復到一般或是完全的操作，也可以說整個restoration過程是DRP所必須設計的內容，
而Resume則是屬於讓流程能持續執行的BCP內容(以能運作為考量，因此有可能大幅下降SLA)。
而BCP&DRP是一個管理學問，但若應用在IT上，還是必須以Owner的角度來觀看整個商業流程中所必須保護的，
往往IT人員所觀注的是價格高的Server、有很多服務的載體…等等，但老闆很有可能只觀注業務單位的業務接單系統、
生產線的輔助系統…等等，而非IT人員所觀注的內容，那我們要透過什麼方法才能知道老闆、各部門真正所最在意的資訊資產
而透過Business Impact Analysis(BIA); 商業衝擊分析可以協助我們找到重點的商業程序，加以在後續的階段進行保護及相對應的回復政策
咦…!這個不是和風險管理嗎??在這裡跟大家說明一下，風險管理是廣範的一個管理計劃，而BCP則是針對最Critical的商業流程
做回復的政策及計劃的發展設計，那麼到底怎麼做呢?只要做BIA就好了嗎?一個好的管理計劃當然有發展的生命周期呀!
不過，隨著每套標準不同，程序個有所異，Jason建議可以參考像是NIST-800-34的Contingency Planning Guide for Information Technology Systems
或者是BSI BS25999 Business Continuity Management，都是一個不錯的參考，大致上來說BCP或是BCM的設計可以分為下列幾個程序：
1.Project Scope Development and Planning(專案範圍發展及計劃):專案精神，當然必須產出高等的企業需求並定義圍及專案資源。
2.Business Impact Analysis(BIA) and Functional Requirements(商業衝擊分析及功能需求):找出最重要的企業功能。
3.Business Continuity and Recovery Strategy(企業永續及回復政策):針對最重要的企業功能的操作定義出回復及備份政策。
4.Plan Design and Development(計劃設計及發展): 設計更細部的計劃，並將BCP&DRP的內容文件化。
5.Implementation(履行):針對每個執行者的角色及責任做定義，並測試確保計劃得當，並且確保將各個原素整合至計劃之中。
6.Restoration(修復):定義回到原站點並且確認可執行完整作業的狀態。
7.Feedback and Plan Managment(回饋及計劃管理):將每個測試回復的報告整合並且持續的改進不合宜或是有所遺露的內容。
BCP&DRP是整個IT備份備援的概念，但是，IT人員只注意在備份，而重未將備份做測試復原的計劃，以導致常常在災難發生時根本就倒不回
或者是過份的投入資源到一個整體商業保護的資訊資產，但該資產可能不是Owner所觀注的，在這樣的流程中，到底那些該投入資源
或者是備份政策及回復政策是有問題的，像IT人員對於可用性，都會以Cluster或者是Load balance 的概念，當做為HA的架構
但…是每一個都需要用到HA嗎?還是老闆根本就不知道你投入的資源做保護的資產是否正確?這個可能是多數IT人與老闆期望值不同的落差
希望今天的筆記本能給大家帶來更好的思維，而不是一味的投入資源，確在發生災難時，被老闆批評的一文不值。
Anything keeps Availability.
Anywhere keeps Integrity.
Anytime keeps Confidentiality.
keep A.I.C. = Information Security
