Ch3-02 业务影响分析（Business Impact Analysis, BIA）

一句话秒懂：BIA 就是”算清楚——公司哪些业务最不能停、停多久会死、会丢多少钱”，是 BCP 的心脏。

① 生活类比

你开餐馆，BIA 就是列清单：灶台（核心，停 10 分钟就崩）、收银系统（重要，停 1 小时凑合）、员工茶水间（次要，停一天没人管）。按”最不能停”排序，再算”停多久会永久伤客人”——这就是 MTD。BIA 干的就是这个，只不过对象是公司全部业务。

② 核心概念（忠于 Sybex 第10版）

BIA 是 BCP 的核心，分五个阶段：

Identifying Priorities 识别优先级
Risk Identification 风险识别
Likelihood Assessment 可能性评估
Impact Analysis 影响分析
Resource Prioritization 资源优先级

定量 vs 定性评估

Quantitative 定量：用数字/公式，常以美元价值表达（如资产值、损失金额）。
Qualitative 定性：非数值因素——声誉、客户/投资者信心、员工稳定度，结果多为高/中/低分级。
两者都重要，BCP 团队要平衡两类人才，避免”只信数字”忽略定性（如高度依赖少数大客户，宁可短期亏钱也要保客户）。

⭐ 关键时间指标（必考）

| 指标 | 全称 | 含义 | |—|—|—| | MTD / MTO | Maximum Tolerable Downtime/Outage | 业务功能能容忍中断的最长时间，超过即遭不可逆损害 | | RTO | Recovery Time Objective | 你计划在多久内恢复该功能 | | RPO | Recovery Point Objective | 能容忍的数据丢失量（时间点），如每 15 分钟备份→RPO=15 分钟 |

铁律：RTO < MTD（恢复时间必须小于最大可容忍停机，否则就”超时被毁”）。

⭐ 定量公式（与 Ch2 风险一致）

AV 资产价值（Asset Value）
EF 暴露因子（Exposure Factor）：风险对资产的损害占资产价值的百分比（如火灾毁楼 70% → EF=70%）
SLE 单次损失期望（Single Loss Expectancy）= AV × EF
ARO 年发生率（Annualized Rate of Occurrence）：每年预期发生次数
ALE 年损失期望（Annualized Loss Expectancy）= SLE × ARO

例：楼值 $500,000，火灾 EF=70% → SLE=$350,000；火灾 ARO=0.03（约 30 年一次）→ ALE=$10,500。

风险识别：自然 vs 人为

自然：风暴/飓风/龙卷风、雷击、野火、地震、泥石流、火山、大流行。
人为：恐袭/战争、职场暴力、盗窃/破坏、火灾/爆炸、长时间停电、建筑倒塌、交通中断、互联网中断、服务商中断、经济危机。

③ 真实案例

在线零售商：网站销售 MTD 仅几分钟，内部邮件 MTD 以小时计。BIA 据此把恢复资源优先砸向网站，而非邮件系统——这就是”按 MTD 排序分配资源”的真实应用。

④ 记忆口诀

时间三件套：MTD（能忍多久）> RTO（多久恢复）> RPO（丢多少数据）；记”忍 > 复 > 丢“。
公式链：AV × EF = SLE；SLE × ARO = ALE。口诀”资产乘暴露得单次，单次乘频率得年损“。
BIA 五阶段：”优·险·率·影·资”（优先级→风险→可能性→影响→资源）。

⑤ 考试怎么考（陷阱）

给场景问 RTO/MTD/RPO：记住 RTO 必须 < MTD；RPO 是”数据能回到出事前哪一刻”。
计算题：给 AV/EF/ARO 让你算 SLE 和 ALE——直接套公式，别把 ARO 当百分比算错。
“只做定量忽略定性”是错误做法；定性（声誉等）常决定优先级上调。
BIA 与 Ch2 风险评估技术相同（都用 ARO/EF 等），区别在于 BIA 聚焦业务流程而非单个资产。

⑥ 自测

（题型：计算）某系统 AV=$200,000，洪水 EF=50%，洪水 ARO=0.1，求 SLE 与 ALE。
（题型：概念）若某关键业务 MTD=4 小时，你设计的 RTO=6 小时，这方案有何问题？为什么？

关键定义以原书（Sybex 10th, Ch3）为准。