Erklären Sie BCP versus DRP und definieren Sie RTO und RPO.
Kurzantwort
Geschäftskontinuität (BCP) ist die umfassende Strategie, um kritische Geschäftsfunktionen während und nach einer Störung am Laufen zu halten; Notfallwiederherstellung (DRP) ist die IT-fokussierte Teilmenge, die Systeme und Daten wiederherstellt. RTO ist die maximal tolerierbare Zeit zur Wiederherstellung einer Funktion; RPO ist der maximal tolerierbare, in Zeit gemessene Datenverlust.
Kontinuitäts- und Wiederherstellungsplanung ist ein stark geprüfter CISSP-Bereich, weil er zwingt, an das Geschäft zu denken, nicht nur an die Technik. Interviewer wollen den Unterschied im Umfang hören und die beiden Schlüsselmetriken präzise definiert bekommen.
BCP versus DRP
Die Geschäftskontinuitätsplanung (BCP) ist die übergreifende Disziplin: Sie stellt sicher, dass die kritischen Geschäftsfunktionen der Organisation während und nach einer Störung weiterlaufen — Menschen, Prozesse, Gebäude, Kommunikation und Lieferkette, nicht nur Computer. Die Notfallwiederherstellungsplanung (DRP) ist eine Teilmenge des BCP, die sich speziell auf die Wiederherstellung von IT-Systemen, Daten und Infrastruktur nach einem Vorfall konzentriert. Einfach gesagt: DRP bringt die Server zurück; BCP hält das Unternehmen am Laufen.
Von der BIA gesteuert
Beide Pläne gehen aus der Business-Impact-Analyse (BIA) hervor, die kritische Funktionen und die Kosten ihres Ausfalls über die Zeit ermittelt. Die BIA liefert die Zielwerte, gegen die alles andere ausgelegt wird.
RTO und RPO
- RTO (Recovery Time Objective) — die maximal akzeptable Zeit, die eine Funktion ausfallen darf, bevor unzumutbarer Schaden entsteht. Sie treibt die Wiederherstellungs-geschwindigkeit: Ein kurzes RTO drängt zu Hot Sites und automatisiertem Failover.
- RPO (Recovery Point Objective) — die maximal akzeptable Menge an in Zeit gemessenem Datenverlust. Ein RPO von 15 Minuten bedeutet Sicherungen oder Replikation alle 15 Minuten.
- MTD (Maximum Tolerable Downtime) — die absolute Obergrenze; das RTO muss kürzer sein als der MTD.
Eine häufige Falle ist das Vertauschen von RTO und RPO. Merkhilfe: RTO geht um die Zeit bis zur Wiederherstellung, RPO um wie viele Daten.
Worauf Interviewer achten
Dass Sie DRP als technische Teilmenge des breiteren BCP einordnen, RTO und RPO definieren, ohne sie zu verwechseln, und beide Metriken auf die BIA sowie auf konkrete Entscheidungen wie Sicherungstakt und Wiederherstellungsstandort-Stufen zurückführen.
Wahrscheinliche Anschlussfragen
- Was ist eine Business-Impact-Analyse (BIA) und warum geht sie beiden Plänen voraus?
- Wie beeinflussen RTO und RPO die Sicherungsfrequenz und die Standortstrategie (Hot/Warm/Cold)?
- Was ist der MTD und wie verhält er sich zum RTO?