Tiêu chuẩn quốc gia TCVN ISO/IEC 27031:2017 đảm bảo sự sẵn sàng về công nghệ thông tin

• Số hiệu: TCVNISO/IEC27031:2017
• Loại văn bản: Tiêu chuẩn Việt Nam
• Nơi ban hành: ***
• Người ký: ***
• Ngày ban hành: Năm 2017

Lập kế hoạch - Plan	Thiết lập chính sách IRBC, các mục tiêu, quy trình và các thủ tục liên quan nhằm quản lý rủi ro và cải tiến sự sẵn sàng ICT để cung cấp kết quả phù hợp với các chính sách và mục tiêu tính liên tục của hoạt động tổng thể của tổ chức.
Thực hiện - Do	Thực hiện và vận hành chính sách, các kiểm soát, quy trình và thủ tục IRBC.
Kiểm tra - Check	Đánh giá và nếu có thể, đo lường hiệu năng của quy trình theo chính sách IRBC, mục tiêu và các kinh nghiệm thực tế, và báo cáo kết quả tới lãnh đạo để xem xét.
Hành động - Act	Thực hiện các hành động khắc phục và phòng ngừa, dựa trên kết quả xem xét của lãnh đạo để đạt được sự cải tiến liên tục của IRBC.

Nếu tổ chức sử dụng TCVN ISO/IEC 27001 để thiết lập một ISMS, và sử dụng các tiêu chuẩn liên quan để thiết lập hệ thống BCM, việc thiết lập IRBC nên đi vào việc xem xét sự tồn tại hoặc sự gắn kết các quy trình tới các tiêu chuẩn này. Liên kết này có thể hỗ trợ việc thiết lập IRBC và tránh quy trình kép cho tổ chức.

Hình 1 - Tích hợp IRBC và BCM

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN ĐẢM BẢO SỰ SẴN SÀNG VỀ CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG CHO TÍNH LIÊN TỤC CỦA HOẠT ĐỘNG

Information technology - Security techniques - Guidelines for information and communication technology readiness for business continuity

1  Phạm vi áp dụng

Tiêu chuẩn này mô tả các khái niệm và nguyên tắc cho sự sẵn sàng về công nghệ thông tin và truyền thông (ICT) để đảm bảo tính liên tục của hoạt động, và cung cấp khung các phương thức và quy trình để định danh, xác định tất cả các khía cạnh (như các tiêu chí hiệu năng, thiết kế và thực hiện) để cải thiện sự sẵn sàng ICT của tổ chức nhằm đảm bảo tính liên tục của hoạt động. Tiêu chuẩn này áp dụng cho mọi tổ chức (tư nhân, chính phủ, phi chính phủ) phát triển chương trình ICT để đảm bảo tính liên tục của hoạt động, tổ chức có yêu cầu dịch vụ/cơ sở hạ tầng cần sẵn sàng hỗ trợ cho hoạt động trong trường hợp xảy ra các sự kiện và sự cố khẩn cấp, và các gián đoạn liên quan, có thể ảnh hưởng đến tính liên tục (bao gồm cả tính an toàn) của các chức năng hoạt động quan trọng. Tiêu chuẩn này cũng cho phép tổ chức đo lường các thông số hiệu năng của IRBC một cách phù hợp.

Tiêu chuẩn này áp dụng cho tất cả các sự kiện và sự cố (bao gồm cả sự kiện và sự cố liên quan đến an toàn) có thể ảnh hưởng tới các hệ thống và cơ sở hạ tầng ICT. Phạm vi của hướng dẫn này cũng bao gồm và mở rộng các thực hành về xử lý và quản lý sự cố an toàn thông tin, các dịch vụ và việc lập kế hoạch cho sự sẵn sàng ICT.

...

...

...

Các tài liệu viện dẫn sau là cần thiết cho việc áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi năm công bố thì áp dụng bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố thì áp dụng phiên bản mới nhất, bao gồm cả các sửa đổi (nếu có).

TCVN 11239 (ISO/IEC 27035), Công nghệ thông tin - Các kỹ thuật an toàn - Quản lý sự cố an toàn thông tin.

TCVN 11238 (ISO/IEC 27000), Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý an toàn thông tin - Tổng quan và từ vựng.

TCVN ISO/IEC 27001 (ISO/IEC 27001), Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý an toàn thông tin và truyền thông - Các yêu cầu.

TCVN ISO/IEC 27002 (ISO/IEC 27002), Công nghệ thông tin - Các kỹ thuật an toàn - Quy tắc thực hành cho quản lý an toàn thông tin.

TCVN 10295 (ISO/IEC 27005), Công nghệ thông tin - Các kỹ thuật an toàn - Quản lý rủi ro an toàn thông tin

3  Thuật ngữ và định nghĩa

Tiêu chuẩn này sử dụng các thuật ngữ và định nghĩa sau đây.

3.1

...

...

...

Vị trí vận hành thay thế được tổ chức lựa chọn khi các hoạt động thông thường không thể được thực hiện khi sử dụng vị trí thông thường sau khi gián đoạn đã xảy ra

3.2

Quản lý tính liên tục của hoạt động (business continuity management)

BCM

Quy trình quản lý tổng thể định danh các mối đe dọa tiềm ẩn tới tổ chức và tác động có thể tới các hoạt động có mối đe dọa, quy trình này cũng cung cấp một khung để thiết lập khả năng khôi phục tổ chức với năng lực ứng phó hiệu quả giúp bảo vệ lợi ích của các bên liên quan quan trọng, uy tín, thương hiệu và các hoạt động tạo ra giá trị của tổ chức

3.3

Kế hoạch về tính liên tục của hoạt động (business continuity plan)

BCP

Các thủ tục tài liệu hướng dẫn cho tổ chức ứng phó, phục hồi và khôi phục lại tới một mức độ hoạt động được xác định trước sau gián đoạn

...

...

...

3.4

Phân tích tác động hoạt động (business impact analysis)

BIA

Quá trình phân tích các chức năng vận hành và ảnh hưởng khi có gián đoạn.

3.5

Quan trọng (critical)

Sự mô tả định tính sử dụng để nhấn mạnh tầm quan trọng của nguồn lực, quy trình hoặc chức năng phải sẵn sàng và hoạt động liên tục hoặc sẵn sàng và hoạt động trong thời gian sớm nhất sau khi có sự cố, trường hợp khẩn cấp hoặc thảm họa xảy ra.

3.6

Gián đoạn (disruption)

...

...

...

3.7

Phục hồi sau thảm họa ICT (ICT disaster recovery)

Khả năng của các phần tử ICT trong tổ chức để hỗ trợ các chức năng hoạt động quan trọng hoạt động ở một mức có thể chấp nhận được trong một khoảng thời gian định trước sau gián đoạn.

3.8

Kế hoạch phục hồi sau thảm họa ICT (ICT disaster recovery plan)

ICT DRP

Kế hoạch được xác định rõ ràng và được lập tài liệu để phục hồi các khả năng ICT khi một gián đoạn xảy ra.

CHÚ THÍCH: Trong một số tổ chức còn được gọi là kế hoạch liên tục ICT.

3.9

...

...

...

Cách thức mà một lỗi được quan sát.

CHÚ THÍCH: Chế độ này mô tả cách thức xảy ra một lỗi và lỗi ảnh hưởng thế nào đến hoạt động của hệ thống.

3.10  Sự sẵn sàng ICT để đảm bảo tính liên tục của hoạt động (ICT readiness for business continuity)

IRBC

Khả năng hỗ trợ hoạt động của tổ chức bằng cách ngăn chặn, phát hiện và ứng phó với gián đoạn và phục hồi của các dịch vụ ICT.

3.11

Mục tiêu tính liên tục của hoạt động tối thiểu (minimum business continuity objective)

MBCO

Mức tối thiểu có thể chấp nhận của các dịch vụ và/hoặc sản phẩm để tổ chức đạt được mục tiêu hoạt động khi có gián đoạn.

...

...

...

Mục tiêu thời điểm phục hồi (recovery point objective)

RPO

Thời điểm mà dữ liệu phải được phục hồi sau khi gián đoạn đã xảy ra.

3.13

Mục tiêu thời gian phục hồi (recovery time objective)

RTO

Khoảng thời gian cho phép các dịch vụ và/hoặc sản phẩm và các hệ thống hỗ trợ, các ứng dụng, hoặc các chức năng phải được phục hồi ở mức tối thiểu sau khi gián đoạn xảy ra.

3.14

Khả năng phục hồi (resilience)

...

...

...

3.15

Kích khởi (trigger)

Sự kiện làm cho hệ thống khởi tạo một quá trình ứng phó.

CHÚ THÍCH: Còn gọi là sự kiện kích khởi

3.16

Hồ sơ quan trọng (vital record)

Hồ sơ giấy hoặc điện tử cần thiết cho việc duy trì, đảm bảo tính liên tục hoặc tái thiết lập các hoạt động của tổ chức và bảo vệ quyền của tổ chức, đội ngũ nhân viên, khách hàng và các bên liên quan.

4  Từ viết tắt

IRBC

...

...

...

Sự sẵn sàng ICT cho tính liên tục của hoạt động

ISMS

Information Security Management System

Hệ thống quản lý an toàn thông tin

5  Tổng quan

5.1  Vai trò của IRBC trong quản lý tính liên tục của hoạt động

Quản lý tính liên tục của hoạt động (BCM) là quy trình quản lý tổng thể nhận biết các mối đe dọa tiềm ẩn và các tác động tới hoạt động của tổ chức, cung cấp một khung để xây dựng khả năng phục hồi và khả năng ứng phó hiệu quả nhằm bảo vệ lợi ích của tổ chức trước các gián đoạn.

Là một phần của quy trình BCM, IRBC được coi là một hệ thống quản lý để bổ sung và hỗ trợ cho BCM và/hoặc ISMS của tổ chức, để cải thiện sự sẵn sàng của tổ chức nhằm mục đích:

a) ứng phó với môi trường rủi ro thay đổi liên tục;

...

...

...

c) sẵn sàng ứng phó trước sự xảy ra gián đoạn dịch vụ ICT, trên cơ sở phát hiện một hoặc nhiều sự kiện liên quan đã phát triển thành các sự cố;

d) ứng phó và phục hồi sau các sự cố/thảm họa và các lỗi.

Hình 2 minh hoạ các kết quả ICT dự kiến để hỗ trợ các hoạt động BCM

Hình 2 - Khung đảm bảo tính liên tục của hoạt động, đầu ra ICT liên quan và kết quả dự kiến

Tiêu chuẩn quốc tế BCM được xây dựng bởi ISO/IEC 223 tóm tắt các phương pháp tiếp cận BCM để ngăn chặn, phản ứng và phục hồi sau sự cố. Các hoạt động liên quan đến BCM gồm sẵn sàng đối phó với sự cố, quản lý hoạt động và tính liên tục, lập kế hoạch phục hồi sau thảm họa (DRP) và giảm thiểu rủi ro tập trung vào việc tăng khả năng phục hồi của tổ chức và chuẩn bị sẵn sàng để phản ứng hiệu quả với sự cố và phục hồi trong khoảng thời gian xác định trước.

Do đó, tổ chức thiết đặt các quyền ưu tiên BCM để điều khiển các hoạt động IRBC. BCM phụ thuộc vào IRBC để đảm bảo tổ chức có thể đạt được toàn bộ các mục tiêu tính liên tục tổng thể và đặc biệt là trong khoảng thời gian bị gián đoạn.

Như thể hiện trong Hình 3, các hoạt động sẵn sàng nhằm mục đích:

a) cải thiện khả năng phát hiện sự cố;

...

...

...

c) cho phép giảm trạng thái hoạt động xuống mức có thể chấp nhận khi không thể dừng lỗi;

d) rút ngắn thời gian phục hồi;

e) giảm thiểu tác động khi xảy ra sự cố.

Hình 3 - Khái niệm về sự sẵn sàng ICT cho tính liên tục của hoạt động

5.2  Nguyên tắc của IRBC

IRBC dựa trên các nguyên tắc chính sau:

a) Ngăn chặn sự cố - Bảo vệ các dịch vụ ICT khỏi các mối đe dọa như: lỗi phần cứng và môi trường, lỗi hoạt động, tấn công mã độc và thảm họa tự nhiên, nguyên tắc này rất quan trọng để duy trì tính sẵn sàng mức hệ thống đối với tổ chức;

b) Phát hiện sự cố - Phát hiện các sự cố sớm nhất có thể sẽ giảm thiểu tác động tới các dịch vụ, tiết kiệm công sức phục hồi và bảo vệ chất lượng cho dịch vụ;

...

...

...

d) Phục hồi - Việc xác định và triển khai chiến lược phục hồi phù hợp sẽ đảm bảo sự khôi phục dịch vụ kịp thời và duy trì tính toàn vẹn của dữ liệu. Việc hiểu các ưu tiên phục hồi sẽ cho phép các dịch vụ quan trọng nhất được phục hồi đầu tiên. Các dịch vụ ít quan trọng hơn có thể được phục hồi sau hoặc trong một số tình huống, nhưng không phải tất cả;

d) Cải tiến - Bài học kinh nghiệm từ các sự cố nhỏ và sự cố lớn được lập tài liệu, phân tích và xem xét lại. Việc hiểu các bài học cho phép tổ chức chuẩn bị, kiểm soát và tránh các sự cố và gián đoạn tốt hơn.

Hình 4 minh họa phần tử IRBC tương ứng hỗ trợ việc phục hồi sau thảm họa ICT điển hình theo thời gian và hỗ trợ các hoạt động liên tục hoạt động. Việc thực hiện IRBC cho phép tổ chức ứng phó hiệu quả với các mối đe dọa mới và đang phổ biến cũng như khả năng phản ứng với gián đoạn và phục hồi sau gián đoạn.

Hình 4 - Nguyên tắc của IRBC theo tiến độ phục hồi sau thảm họa ICT điển hình

CHÚ THÍCH: Giai đoạn phục hồi bao gồm các hoạt động phục hồi/đưa dịch vụ hoạt động trở lại kịp thời, các vận hành ICT DR ổn định, phục hồi và trở lại hoạt động bình thường. Để biết chi tiết tham khảo Hình A.1 trong Phụ lục A.

5.3  Phần tử của IRBC

Các phần tử chính của IRBC có thể được tóm tắt như sau:

a) Con người: các chuyên gia với kỹ năng và kiến thức phù hợp, và nhân sự dự phòng có trình độ;

...

...

...

c) Công nghệ:

1) Phần cứng (bao gồm tủ rack, máy chủ, thiết bị lưu trữ, thiết bị băng từ và các phụ kiện cố định);

2) Mạng (bao gồm kết nối dữ liệu và các dịch vụ âm thanh), các bộ chuyển mạch và bộ định tuyến;

3) Phần mềm, gồm hệ điều hành và phần mềm ứng dụng, các liên kết, giao diện giữa ứng dụng và chương trình xử lý hàng loạt;

d) Dữ liệu: dữ liệu ứng dụng, dữ liệu thoại và các kiểu dữ liệu khác;

e) Quy trình: bao gồm tài liệu mô tả cấu hình của các nguồn lực ICT, cho phép vận hành hiệu quả giúp phục hồi và duy trì các dịch vụ ICT;

f) Nhà cung ứng: các phần tử khác của dịch vụ đầu-cuối nơi khi việc cung cấp dịch vụ ICT phụ thuộc vào một nhà cung cấp dịch vụ bên ngoài hoặc tổ chức khác trong chuỗi cung ứng, ví dụ nhà cung cấp dữ liệu thị trường tài chính, nhà cung cấp dịch vụ Internet hoặc dịch vụ viễn thông.

5.4  Thành quả và lợi ích của IRBC

Lợi ích của IRBC đối với tổ chức:

...

...

...

b) xác định các ảnh hưởng của gián đoạn tới dịch vụ ICT;

c) khuyến khích cải thiện sự cộng tác giữa các nhà quản lý hoạt động của tổ chức và các nhà cung cấp dịch vụ ICT (trong và ngoài);

d) phát triển và nâng cao năng lực của nhân viên ICT bằng cách thể hiện các ứng phó thông qua việc thực hiện kế hoạch liên tục ICT và các bố trí kiểm thử IRBC;

e) cung cấp sự đảm bảo cho quản lý cấp cao rằng tổ chức có thể tùy thuộc vào các mức dịch vụ ICT định trước và nhận được hỗ trợ và truyền đạt đầy đủ khi có gián đoạn;

f) cung cấp sự đảm bảo cho lãnh đạo cao nhất rằng an toàn thông tin (tính bí mật, tính toàn vẹn và tính sẵn sàng) được đảm bảo đúng cách, đảm bảo tuân thủ các chính sách an toàn thông tin;

g) cung cấp thêm độ tin cậy trong chiến lược liên tục hoạt động thông qua việc kết nối đầu tư trong các giải pháp IT vào nhu cầu hoạt động và đảm bảo rằng các dịch vụ ICT được bảo vệ ở mức độ phù hợp với tầm quan trọng của chúng với tổ chức;

h) có các dịch vụ ICT hiệu quả về chi phí và không dưới hoặc vượt mức đầu tư thông qua việc hiểu biết về mức độ phụ thuộc của tổ chức vào các dịch vụ ICT; bản tính, vị trí, sự phụ thuộc lẫn nhau và việc sử dụng các phần tử tạo nên dịch vụ ICT;

i) có thể cải thiện uy tín cho tổ chức một cách an toàn và hiệu quả;

j) tiềm năng giành được lợi thế cạnh tranh thông qua khả năng cung cấp tính liên tục của hoạt động, duy trì sản phẩm và dịch vụ cung cấp trong các thời điểm bị gián đoạn;

...

...

...

IRBC cung cấp một cách để xác định trạng thái các dịch vụ ICT của tổ chức trong việc hỗ trợ các mục tiêu của tính liên tục của hoạt động của tổ chức bằng cách giải quyết câu hỏi “ICT của chúng tôi có khả năng đáp ứng” thay vì “ICT của chúng tôi an toàn”.

5.5  Thiết lập IRBC

IRBC sẽ hiệu quả và tiết kiệm chi phí khi được thiết kế và tích hợp vào dịch vụ ICT từ khi thiết lập dịch vụ ICT như một phần của chiến lược IRBC để hỗ trợ mục tiêu BC của tổ chức. Điều này đảm bảo các dịch vụ ICT được xây dựng tốt hơn, được hiểu rõ ràng hơn, mềm dẻo hơn. Việc cải tiến IRBC có thể dẫn đến phức tạp, gây xáo trộn và tốn kém.

Các tổ chức nên xây dựng, thực hiện, duy trì và cải tiến thường xuyên bộ quy trình đã được lập tài liệu để hỗ trợ IRBC.

Các quy trình cần đảm bảo: các mục tiêu IRBC được nêu rõ ràng, dễ hiểu, dễ truyền tải, và thể hiện cam kết của lãnh đạo cao nhất tới IRBC.

Hình 5 mô tả các hoạt động trong các giai đoạn của IRBC.

Hình 5 - Các giai đoạn trong IRBC

5.6  Sử dụng chu trình PDCA để thiết lập IRBC

...

...

...

5.7  Trách nhiệm của lãnh đạo

5.7.1  Sự lãnh đạo và cam kết của quản lý

Một chương trình IRBC hiệu quả nên là một quy trình tích hợp đầy đủ với các hoạt động quản lý của tổ chức, được định hướng từ người quản lý cấp cao, được ủng hộ và khuyến khích từ lãnh đạo cao nhất. Các nhân viên IRBC chuyên nghiệp và nhân viên từ các lĩnh vực quản lý và các phòng ban khác có thể được yêu cầu để hỗ trợ và quản lý chương trình IRBC. Số lượng nguồn lực yêu cầu để hỗ trợ một chương trình IRBC phụ thuộc vào quy mô và độ phức tạp của tổ chức.

5.7.2  Chính sách IRBC

Tổ chức cần có chính sách IRBC được lập tài liệu. Ban đầu, tài liệu này có thể ở mức chung chung so với sự tinh tế và việc cải thiện của toàn bộ quy trình IRBC. Sau đó chính sách cần được rà soát và cập nhật phù hợp với nhu cầu tổ chức và cần nhất quán với mục tiêu BCM.

Chính sách IRBC cần cung cấp cho tổ chức các quy tắc được lập tài liệu trong đó có các nguyên tắc về những gì tổ chức mong muốn và những nguyên tắc để có thể đo lường hiệu quả của IRBC. Chính sách IRBC cần:

a) Thiết lập và giải thích cam kết của lãnh đạo cao nhất về chương trình IRBC;

b) Bao gồm hoặc tham chiếu đến các mục tiêu IRBC của tổ chức;

c) Xác định phạm vi của IRBC, bao gồm cả các hạn chế và ngoại lệ;

...

...

...

e) Được thông báo cho các bên liên quan trong và ngoài tổ chức;

f) Định danh và cung cấp quyền tương ứng về tính sẵn sàng của các nguồn lực như ngân sách, nhân viên cần thiết để thực hiện các hoạt động phù hợp với chính sách IRBC;

g) Được xem xét ở những khoảng thời gian theo kế hoạch và khi có thay đổi lớn, như thay đổi môi trường, thay đổi cơ cấu và hoạt động của tổ chức.

6  Lập kế hoạch IRBC

6.1  Tổng quát

Mục tiêu chính của giai đoạn lập kế hoạch là thiết lập các yêu cầu sự sẵn sàng ICT bao gồm:

a) chiến lược IRBC và kế hoạch IRBC cần thiết để hỗ trợ các yêu cầu hoạt động, pháp lý, luật pháp liên quan tới phạm vi và kết quả xác định của các mục tiêu tính liên tục của hoạt động của tổ chức.

b) tiêu chí hiệu năng cần thiết để giám sát mức độ sẵn sàng ICT mà tổ chức yêu cầu nhằm đạt được những mục đích và mục tiêu đó.

6.2  Nguồn lực

...

...

...

Là một phần của chính sách bắt buộc, tổ chức cần xác định sự cần thiết của một chương trình IRBC như một phần mục tiêu BCM tổng thể, xác định và cung cấp các nguồn lực cần thiết để thiết lập, thực hiện, vận hành và duy trì chương trình IRBC.

Vai trò, trách nhiệm, năng lực và thẩm quyền trong IRBC cần được xác định và lập tài liệu.

Lãnh đạo cao nhất cần:

a) chỉ định hoặc đề cử người có kinh nghiệm và quyền phù hợp để chịu trách nhiệm và thực hiện chính sách IRBC;

b) chỉ định một hoặc nhiều người có năng lực, ngoài các trách nhiệm khác, thực hiện và duy trì hệ thống quản lý IRBC như mô tả trong chuẩn này.

6.2.2  Năng lực của nhân viên IRBC

Tổ chức cần đảm bảo tất cả những người được giao trách nhiệm IRBC có đủ năng lực để thực hiện các nhiệm vụ theo yêu cầu. Chi tiết được nêu trong 7.2.1.

6.3  Xác định yêu cầu

6.3.1  Tổng quát

...

...

...

6.3.2  Hiểu rõ các dịch vụ ICT quan trọng

Có thể có một số dịch vụ ICT được coi là quan trọng và được yêu cầu cho phép thực hiện phục hồi. Mỗi dịch vụ ICT quan trọng cần có RTO và RPO được lập tài liệu cho MBCO của dịch vụ ICT đó. (Điều này có thể bao gồm các khía cạnh của việc cung cấp dịch vụ ICT như chăm sóc khách hàng). RTO của dịch vụ ICT quan trọng sẽ ít thay đổi hơn so với RTO của tính liên tục của hoạt động, (xem Phụ lục A để biết chi tiết về RTO và RPO).

Tổ chức cần xác định và lập tài liệu các dịch vụ ICT quan trọng bao gồm mô tả ngắn gọn và tên có ý nghĩa với tổ chức ở mức người dùng dịch vụ. Điều này sẽ đảm bảo sự hiểu biết chung giữa nhân viên nghiệp vụ và nhân viên ICT vì có thể sử dụng các tên khác nhau cho cùng một dịch vụ ICT. Mỗi dịch vụ ICT quan trọng được liệt kê cần xác định sản phẩm và dịch vụ mà nó hỗ trợ và lãnh đạo cao nhất cần đồng ý với các dịch vụ ICT và các yêu cầu IRBC liên quan của chúng.

Với mỗi dịch vụ ICT quan trọng đã xác định và thống nhất, tất cả các phần tử ICT của dịch vụ đầu-cuối cần được mô tả và lập tài liệu, chỉ ra cách cấu hình hoặc liên kết để cung cấp từng dịch vụ. Cả cấu hình của môi trường cung cấp dịch vụ ICT thông thường và môi trường cung cấp dịch vụ ICT liên quan đều cần được lập tài liệu.

Đối với mỗi dịch vụ ICT quan trọng, khả năng liên lục hiện thời (ví dụ sự tồn tại của điểm lỗi đơn lẻ) cần được xem xét từ góc độ phòng chống để đánh giá rủi ro gián đoạn hoặc thất bại của dịch vụ (mà có thể được thực hiện như một phần của việc đánh giá rủi ro BCM tổng thể). Cũng cần tìm các cơ hội để cải thiện khả năng phục hồi dịch vụ ICT và làm giảm khả năng và/hoặc tác động của gián đoạn dịch vụ. Cũng có thể chú trọng vào các cơ hội để phát hiện sớm và phản ứng với các gián đoạn dịch vụ ICT. Tổ chức có thể quyết định việc có đầu tư vào cơ hội xác định tình huống để cải thiện khả năng phục hồi cho dịch vụ không, việc đánh giá rủi ro dịch vụ (có thể là một phần của khung đánh giá rủi ro tổng thể của tổ chức) có thể gợi ý tình huống nghiệp vụ để cải thiện khả năng phục hồi dịch vụ ICT.

6.3.3  Xác định chênh lệch giữa các khả năng sẵn sàng ICT và các yêu cầu tính liên tục của hoạt động

Với mỗi dịch vụ ICT quan trọng, các bố trí về sự sẵn sàng ICT như ngăn chặn, giám sát, phát hiện, ứng phó và phục hồi cần được so sánh với các yêu cầu tính liên tục của hoạt động và mọi chênh lệch giữa khả năng sẵn sàng ICT và yêu cầu tính liên tục của hoạt động cần được lập tài liệu.

Lãnh đạo cao nhất cần được thông báo về mọi chênh lệch giữa khả năng của IRBC và các yêu cầu liên tục hoạt động. Các chênh lệch như vậy có thể cho thấy rủi ro và nhu cầu đối với các nguồn lực bổ sung cho khôi phục và phục hồi, ví dụ:

a) chuyên viên, bao gồm cả số lượng, kỹ năng và kiến thức;

...

...

...

c) công nghệ, máy móc, thiết bị và mạng (công nghệ) hỗ trợ;

d) ứng dụng và cơ sở dữ liệu;

e) tài chính hoặc phân bổ ngân sách;

f) dịch vụ bên ngoài và nhà cung ứng.

Lãnh đạo cao nhất cần ký duyệt các định nghĩa dịch vụ ICT, danh sách được lập tài liệu của dịch vụ ICT quan trọng, các rủi ro liên quan đến chênh lệch giữa khả năng IRBC và các yêu cầu liên tục hoạt động. Việc này cần bao gồm cả việc ký duyệt các rủi ro đã xác định nếu có thể. Các tùy chọn để giải quyết các chênh lệch và rủi ro xác định sau đó sẽ được nghiên cứu khi xác định các chiến lược IRBC.

6.4  Xác định các tùy chọn chiến lược IRBC

6.4.1  Tổng quát

Các chiến lược IRBC cần xác định các phương pháp tiếp cận để thực hiện phục hồi theo yêu cầu sao cho các nguyên tắc phòng ngừa, phát hiện, ứng phó, phục hồi và khôi phục sự cố cũng được thực hiện.

Các tùy chọn chiến lược IRBC cần được đánh giá. Các chiến lược được lựa chọn cần có khả năng hỗ trợ các yêu cầu liên tục hoạt động của tổ chức.

...

...

...

Chiến lược IRBC cần đủ linh hoạt để phục vụ cho các chiến lược hoạt động khác nhau tại các thị trường khác nhau. Ngoài ra chiến lược của tổ chức cần tính đến các ràng buộc và yếu tố nội bộ như:

a) ngân sách;

b) sự sẵn sàng của nguồn lực;

c) chi phí và lợi ích tiềm ẩn;

d) các ràng buộc kỹ thuật;

e) khẩu vị rủi ro của tổ chức (loại hình rủi ro và mức rủi ro mà tổ chức sẵn sàng chấp nhận để đạt được mục tiêu đầu tư);

f) chiến lược IRBC hiện tại của tổ chức;

g) các trách nhiệm pháp lý.

6.4.2  Tùy chọn chiến lược IRBC

...

...

...

Các tùy chọn cần cân nhắc đến các thành phần khác nhau đã được yêu cầu để đảm bảo tính liên tục và phục hồi của các dịch vụ ICT quan trọng. IRBC có thể đạt được bằng nhiều cách, và cần giải quyết các phần tử của IRBC như mô tả trong 5.3.

6.4.2.1  Kỹ năng và kiến thức

Tổ chức cần xác định chiến lược phù hợp cho việc duy trì các kỹ năng và kiến thức ICT cốt lõi. Việc này có thể mở rộng ra ngoài các nhân viên tới các nhà thầu và các bên liên quan khác, những người có kiến thức và kỹ năng chuyên môn ICT sâu rộng. Các chiến lược để bảo vệ hoặc cung cấp các kỹ năng bao gồm:

a) lập tài liệu cách thức các dịch vụ ICT quan trọng được thực hiện;

b) đào tạo đa kỹ năng cho nhân viên ICT và các nhà thầu để nâng cao dự phòng kỹ năng;

c) phân tách các kỹ năng cốt lõi để giảm việc tập trung rủi ro (điều này có thể đòi hỏi sự phân tách về vật lý của nhân viên với các kỹ năng cốt lõi hoặc đảm bảo có nhiều hơn một người có kỹ năng cốt lõi);

d) duy trì và quản lý kiến thức.

6.4.2.2  Trang thiết bị

Với các rủi ro đã xác định, tổ chức cần đặt ra chiến lược để giảm ảnh hưởng trong việc trang thiết bị ICT thông thường không sẵn sàng. Chiến lược này có thể bao gồm:

...

...

...

b) trang thiết bị thay thế được cung cấp bởi tổ chức khác;

c) trang thiết bị thay thế được cung cấp bởi chuyên gia bên thứ 3;

d) làm việc từ nhà hoặc từ xa;

e) các trang thiết bị làm việc phù hợp khác được chấp thuận;

f) sử dụng nguồn lực thay thế tại một vị trí thiết lập;

g) trang thiết bị thay thế có thể được vận chuyển tới vị trí bị gián đoạn và được sử dụng để thay thế trực tiếp một số tài sản vật chất liên quan.

Các chiến lược cho trang thiết bị ICT có thể thay đổi đáng kể và rất nhiều tùy chọn có thể đã sẵn sàng. Các kiểu sự cố hoặc mối đe dọa khác nhau có thể yêu cầu thực hiện nhiều chiến lược (lựa chọn và kết hợp các phương pháp) mà bị ảnh hưởng một phần bởi quy mô tổ chức, độ rộng của các hành động, vị trí, công nghệ và ngân sách,...

Trong khi xem xét việc sử dụng các trang thiết bị thay thể cần xem xét các vấn đề sau:

a) sự an toàn của vị trí;

...

...

...

c) khoảng cách tới các tiện ích hiện tại;

d) tính sẵn sàng.

6.4.2.3  Công nghệ

Các dịch vụ ICT mà các hoạt động quan trọng phụ thuộc vào cần sẵn sàng trước khi kết nối vào hoạt động quan trọng. Vì vậy các giải pháp được yêu cầu để đảm bảo tính sẵn sàng của các ứng dụng trong các khung thời gian cụ thể, ví dụ RTO cần được xác định như một phần của BIA. Nền tảng công nghệ và phần mềm ứng dụng cần sẵn sàng trong các khoảng thời gian được tổ chức yêu cầu.

Các công nghệ hỗ trợ các dịch vụ ICT quan trọng thường cần những bố trí phức hợp để đảm bảo tính liên tục, vì vậy khi lựa chọn các chiến lược IRBC cần xem xét các nội dung sau:

a) RTO và RPO cho các dịch vụ ICT quan trọng có hỗ trợ các hoạt động quan trọng được xác định bởi chương trình BCM;

b) địa điểm và khoảng cách giữa các vị trí đặt trang thiết bị;

c) số lượng các địa điểm đặt trang thiết bị;

d) truy cập từ xa tới hệ thống

...

...

...

f) yêu cầu điện năng;

g) việc sử dụng các vị trí chưa có nhân viên (vùng tối) so với vị trí đã có nhân viên;

h) kết nối viễn thông và định tuyến dự phòng;

i) bản chất của “khôi phục lại từ lỗi” (cho dù can thiệp thủ công được yêu cầu để kích hoạt dự phòng ICT thay thế hoặc việc khôi phục là tự động);

j) yêu cầu về mức độ tự động;

k) sự lỗi thời về công nghệ;

l) kết nối với nhà cung cấp dịch vụ thuê ngoài và các liên kết ra ngoài khác.

6.4.2.4  Dữ liệu

Ngoài ra, các hoạt động quan trọng có thể phụ thuộc vào việc cung cấp dữ liệu đến hạn hoặc gần đến hạn. Các giải pháp liên tục dữ liệu cần được thiết kế để đáp ứng PRO của mỗi hoạt động quan trọng do chúng có liên quan tới các hoạt động quan trọng.

...

...

...

Kho dữ liệu và các chiến lược IRBC cần đáp ứng các yêu cầu tính liên tục của hoạt động của tổ chức và cần tính đến:

a) các yêu cầu RPO;

b) cách thức dữ liệu được lưu trữ bảo mật, ví dụ đĩa, băng từ, thiết bị quang dẫn, cơ chế sao lưu và phục hồi phù hợp cần được xem xét để đảm bảo dữ liệu là an toàn và nằm trong môi trường an toàn;

c) nơi thông tin được lưu trữ, vận chuyển hoặc truyền tải, khoảng cách, vị trí, các kết nối mạng...(trực tuyến, ngoại tuyến hay bên thứ 3) và thời gian dự kiến để lấy dữ liệu từ trang thiết bị dự phòng;

d) khoảng thời gian phục hồi phụ thuộc vào khối lượng dữ liệu, cách thức lưu trữ và độ phức tạp của quy trình phục hồi, cùng với các yêu cầu của người dùng dịch vụ và sự cần thiết của tính liên tục.

Việc hiểu toàn bộ việc sử dụng dữ liệu trong tổ chức là rất quan trọng. Việc này có thể bao gồm nguồn thông tin tới và từ các bên thứ ba.

Cần nhớ rằng bản chất, sự lưu hành và giá trị của dữ liệu sẽ thường xuyên thay đổi trong mỗi tổ chức.

6.4.2.5  Quy trình

Khi lựa chọn chiến lược IRBC, tổ chức cần xem xét các quy trình cần thiết để đảm bảo tính khả thi của chiến lược đó, bao gồm ngăn chặn sự cố, phát hiện sự cố, ứng phó sự cố và phục hồi sau thảm họa.

...

...

...

6.4.2.6  Nhà cung ứng

Tổ chức cần xác định và lập tài liệu các phụ thuộc bên ngoài có hỗ trợ cung cấp dịch vụ ICT và có những bước thích hợp để đảm bảo thiết bị và các dịch vụ quan trọng có thể được cung cấp bởi các nhà cung trong khoảng thời gian định trước và đã được thỏa thuận. Các phụ thuộc này có thể tồn tại trong phần cứng, phần mềm viễn thông, các ứng dụng, dịch vụ lưu trữ bên thứ ba, các tiện ích và các vấn đề môi trường như điều kiện nhiệt độ, theo dõi môi trường và hệ thống chữa cháy.

Chiến lược cho các dịch vụ này có thể bao gồm:

a) lưu trữ các thiết bị bổ sung và sao chép phần mềm ở vị trí khác;

b) các bố trí với nhà cung ứng để cung cấp các thiết bị thay thế trong thời gian ngắn;

c) sửa chữa và/hoặc thay thế nhanh chóng các bộ phận bị lỗi trong trường hợp thiết bị gặp lỗi;

d) cung ứng kép các tiện ích như nguồn điện, kết nối viễn thông;

e) thiết bị phát điện khẩn cấp;

f) xác định các nhà cung ứng khác/thay thế.

...

...

...

6.5  Phê duyệt

Các tùy chọn chiến lược IRBC được chọn nên được trình lên lãnh đạo cao nhất cùng với các khuyến nghị về quyết định dựa trên khẩu vị rủi ro và chi phí.

Lãnh đạo cao nhất cần được thông báo nếu việc các tùy chọn chiến lược IRBC được chọn không thể đáp ứng các yêu cầu tính liên tục của hoạt động, khi đó họ cần được thông báo về khả năng hiện tại.

Lãnh đạo cao nhất cần lựa chọn chiến lược IRBC từ các tùy chọn đã trình tới họ, phê duyệt và ký duyệt tài liệu các tùy chọn để xác nhận rằng các tùy chọn được thực hiện đúng cách và họ hỗ trợ các yêu cầu tính liên tục của hoạt động này.

Việc lựa chọn các tùy chọn chiến lược IRBC cần:

a) chú trọng cho các rủi ro và ảnh hưởng dự kiến của gián đoạn;

b) kết hợp với các chiến lược tính liên tục của hoạt động đã chọn của tổ chức;

c) phù hợp với mục tiêu chung của tổ chức trong phạm vi khẩu vị rủi ro của tổ chức.

6.6  Nâng cao khả năng IRBC

...

...

...

Tổ chức cần có chiến lược IRBC mức cao và kế hoạch cho các nâng cao cụ thể về khả năng IRBC được yêu cầu để đáp ứng các yêu cầu IRBC đã xác định. Các cải thiện này có thể đạt được thông qua các hành động phòng ngừa và khắc phục (tham khảo 9.2 và 9.3) cũng như các quy trình hoặc phương pháp cụ thể khác là các ứng phó phù hợp với BIA và khẩu vi rủi ro của tổ chức.

Thông tin về các quy trình và các phương pháp có thể tham khảo Phụ lục B và C.

6.7  Tiêu chỉ hiệu năng sự sẵn sàng ICT

6.7.1  Xác định tiêu chí hiệu năng

Trong bất kỳ môi trường ICT nào có nhiều mối đe dọa tiềm ẩn như lỗi phần cứng, xâm nhập bảo mật và một tổ chức cần có khả năng giám sát các mối đe dọa và hiểu biết liệu hệ thống IRBC có khả năng đối phó với các mối đe dọa đó không.

Tổ chức cần xác định tiêu chí hiệu năng để đo lường hiệu quả sự sẵn sàng ICT. Các tiêu chí có thể được sử dụng để nhận biết chất lượng mong muốn của việc ứng phó với gián đoạn, cả về hiệu quả và hiệu lực của nó.

Tiêu chí hiệu năng của IRBC cần dựa trên các yêu cầu IRBC cũng như mục tiêu tổng thể BCM trong nhóm ứng phó sự cố và các yêu cầu tính liên tục (xem 8.3.1).

7  Triển khai và vận hành

7.1  Tổng quát

...

...

...

Tổ chức cần quản lý nguồn lực (xem 7.2), các thủ tục và hoạt động của IRBC, cũng như các chương trình đào tạo triển khai và nâng cao nhận thức. Việc triển khai cần được quản lý như một dự án thông qua quy trình kiểm soát thay đổi và kiểm soát quản lý dự án BCM nhằm đảm bảo minh bạch và báo cáo quản lý đầy đủ.

Có thể tham khảo các tiêu chuẩn liên quan trong quá trình triển khai các thành phần phát hiện sự cố, ứng phó, và phục hồi sau thảm họa bao gồm:

a) ISO/IEC 18043 cho chọn lựa và vận hành hệ thống phát hiện xâm nhập;

b) TCVN 11239 cho quy trình ứng phó sự cố;

c) ISO/IEC 24762 cho các dịch vụ phục hồi sau thảm họa.

7.2  Triển khai các phần tử của chiến lược IRBC

7.2.1  Nhận thức, kỹ năng và kiến thức

Nhận thức chung về sự sẵn sàng của các phần tử trong dịch vụ ICT (xem 5.3) - con người, trang thiết bị, công nghệ, dữ liệu, quy trình, nhà cung ứng, cũng như các phần tử quan trọng của chúng là một yếu tố rất quan trọng trong việc đảm bảo sự hỗ trợ cần thiết cho hệ thống quản trị và quản lý tính liên tục của hoạt động, bao gồm cả sự sẵn sàng ICT. Vì vậy tổ chức cần:

a) nâng cao, cải thiện và duy trì nhận thức thông qua chương trình giáo dục, truyền đạt cho nhân viên có liên quan và thiết lập một quy trình để đánh giá hiệu quả của hoạt động nâng cao nhận thức;

...

...

...

Tổ chức cần đảm bảo tất cả những người được phân công trách nhiệm quản lý IRBC có đủ thẩm quyền để thực hiện các công việc được yêu cầu bằng cách:

a) xác định năng lực cần thiết cho các nhân viên này;

b) thực hiện phân tích nhu cầu đào tạo cho các nhân viên này;

c) đào tạo;

d) đảm bảo họ đã đạt được năng lực cần thiết;

e) duy trì các hồ sơ giáo dục, đào tạo, kỹ năng, kinh nghiệm và trình độ chuyên môn.

7.2.2  Trang thiết bị

Các hệ thống phục hồi ICT và dữ liệu quan trọng nếu có thể cần được tách biệt về mặt vật lý với vị trí đang hoạt động để ngăn chặn việc chúng bị ảnh hưởng bởi cùng một sự cố.

Việc xem xét cần xét đến vị trí của tất cả các môi trường ICT khi thực hiện chiến lược. Ví dụ, nếu có, việc đào tạo và phát triển các hệ thống ICT cần được phân tách về mặt logic với các hệ thống đang hoạt động để chúng có thể có cơ hội cấu hình lại trong trường hợp có thảm họa bất ngờ tới các dịch vụ đang hoạt động.

...

...

...

7.2.3  Công nghệ

Các chiến lược công nghệ ICT cần được triển khai. Có thể có một hoặc nhiều triển khai và các bố trí sau:

a) dự phòng nóng, tức là cơ sở hạ tầng ICT được cung cấp giống nhau ở hai vị trí;

b) dự phòng ấm, tức là sự phục hồi xảy ra ở vị trí thứ hai nơi cơ sở hạ tầng ICT được cung cấp một phần;

c) dự phòng lạnh, tức là cơ sở hạ tầng được xây dựng hoặc cấu hình từ đầu ở một vị trí thay thế;

d) các bố trí ship-in, theo đó các nhà cung cấp dịch vụ bên ngoài cung cấp phần cứng;

e) các bố trí phối hợp giữa các chiến lược trước đó: cách tiếp cận “lựa chọn và phối hợp”.

7.2.4  Dữ liệu

Các bố trí về tính sẵn sàng của dữ liệu cần phù hợp với các yêu cầu đã xác định trong các chiến lược quản lý IRBC, và có thể bao gồm:

...

...

...

b) các vị trí thay thế để lưu trữ dữ liệu, có thể là vị trí vật lý, vị trí logic, cung cấp tính an toàn và tính bí mật của dữ liệu được duy trì, do đó các thủ tục truy cập thích hợp cần được xem xét và nếu các bố trí được thực hiện thông qua các bên thứ ba cho các kho thông tin thì các chủ sở hữu thông tin cần tự đảm bảo an toàn khi các kiểm soát thích hợp được đưa ra.

7.2.5  Quy trình

Quy trình IRBC cần được lập tài liệu một cách rõ ràng và chi tiết đầy đủ cho phép nhân viên có thẩm quyền thực thi chúng (một số quy trình có thể khác với các hoạt động thường ngày).

Các thủ tục IRBC có thể phụ thuộc vào từng tình huống và trong thực thế có thể cần điều chỉnh trong bối cảnh của gián đoạn (ví dụ mức độ thiệt hại hoặc nguy hiểm), độ ưu tiên cho các hành động của tổ chức và yêu cầu của các bên liên quan.

7.2.6  Nhà cung ứng

Tổ chức cần đảm bảo những nhà cung ứng quan trọng có thể hỗ trợ các khả năng dịch vụ IRBC theo yêu cầu của tổ chức. Điều này bao gồm việc có tài liệu và thử nghiệm tính liên tục của hoạt động và các kế hoạch IRBG trong khả năng để hỗ trợ kích hoạt đồng thời các kế hoạch sự cố hoặc phục hồi của khách hàng. Tổ chức cần thiết lập một quy trình để đánh giá năng lực và khả năng của các nhà cung ứng trước khi thuê dịch vụ của họ, cũng như liên tục giám sát và xem xét khả năng của các nhà cung ứng sau khi thuê. Việc tuân thủ thực tế các yêu cầu theo các chuẩn liên quan là một cách hữu ích để nhận biết năng lực của nhà cung ứng, ví dụ việc áp dụng tiêu chuẩn ISO/IEC 24762 là thực hành tốt nhất cho việc thuê chỗ/quản lý các trang thiết bị, quy trình thay thế và việc cung cấp các dịch vụ phục hồi sau thảm họa của nhà cung ứng.

7.3  Ứng phó sự cố

Mọi sự cố ICT đều cần được ứng phó để:

a) xác nhận bản chất và phạm vi của sự cố;

...

...

...

c) ngăn chặn sự cố;

d) truyền thông với các bên liên quan;

Việc ứng phó với sự cố cần kích hoạt một hành động IRBC thích hợp. Ứng phó cần phù hợp với ứng phó sự cố BCM tổng thể, và có thể nhờ một nhóm quản lý sự cố hoặc một tổ chức quy mô nhỏ hoặc một cá nhân có trách nhiệm quản lý sự cố và tính liên tục của hoạt động.

Tổ chức có quy mô lớn có thể sử dụng phương pháp tiếp cận theo từng cấp và có thể thiết lập các nhóm khác nhau để phụ trách các chức năng khác nhau. Trong ICT, việc này có thể thực hiện dựa trên kỹ thuật hoặc các dịch vụ liên quan.

Những người chịu trách nhiệm quản lý sự cố cần có kế hoạch cho việc kích hoạt, hành động, điều phối và truyền đạt ứng phó sự cố.

7.4  Tài liệu kế hoạch IRBC

7.4.1  Tổng quát

Tổ chức cần có tài liệu (các kế hoạch) để quản lý gián đoạn tiềm ẩn và vì vậy cho phép khả năng liên tục của các dịch vụ ICT và phục hồi các hoạt động quan trọng.

Các kế hoạch quản lý dịch vụ ICT của tổ chức, tính liên tục của hoạt động và kỹ thuật phục hồi có thể được kích hoạt liên tiếp hoặc đồng thời.

...

...

...

7.4.2  Nội dung tài liệu kế hoạch

Tổ chức nhỏ có thể lập một tài liệu duy nhất bao gồm tất cả các hoạt động để phục hồi các dịch vụ ICT trong toàn bộ hoạt động của tổ chức. Tổ chức lớn có thể lập nhiều tài liệu kế hoạch, mỗi tài liệu quy định cụ thể việc phục hồi một phần tử cụ thể của dịch vụ ICT.

Các kế hoạch ứng phó và phục hồi ICT cần ngắn gọn và dễ tiếp cận đối với những người có trách nhiệm được quy định trong kế hoạch. Tài liệu kế hoạch cần bao gồm những nội dung sau:

a) Mục đích và phạm vi;

Mục đích và phạm vi của mỗi kế hoạch cần được xác định, được duyệt bởi lãnh đạo cao nhất, và những người chịu trách nhiệm thực hiện kế hoạch cần hiểu về chúng. Mọi kế hoạch hoặc tài liệu khác có liên quan trong tổ chức, đặc biệt là các kế hoạch BC cần được đề cập rõ ràng và phương pháp truy cập, lấy thông tin cần được mô tả trong tài liệu này.

Mỗi kế hoạch quản lý sự cố, ứng phó và phục hồi ICT cần đặt ra tập các mục tiêu theo nhóm về:

i) các dịch vụ ICT quan trọng cần được phục hồi;

ii) khoảng thời gian dịch vụ được phục hồi;

iii) mức độ phục hồi cần thiết cho mỗi hoạt động dịch vụ ICT quan trọng;

...

...

...

Kế hoạch có thể bao gồm điều kiện phù hợp, thủ tục và danh sách hỗ trợ quy trình đánh giá sự cố.

b) Vai trò và trách nhiệm

Vai trò và trách nhiệm của người và nhóm có  quyền (cả nhóm ra quyết định và thẩm quyền để sử dụng) trong và sau sự cố cần được lập tài liệu rõ ràng;

c) Trình kế hoạch;

CHÚ THÍCH: Thời gian tiêu tốn trong quá trình ứng phó là không thể lấy lại. Nên việc ứng phó và làm giảm sự cố ICT từ khi bắt đầu tốt hơn là bỏ qua cơ hội để nắm bắt một sự cố sớm và phòng ngừa sự cố leo thang.

Tổ chức cần sử dụng việc quản lý sự cố mở rộng và cách thức để trình cùng với các kế hoạch quản lý sự cố tính liên tục của hoạt động rộng hơn để tạo cơ sở cho việc quản lý các gián đoạn tiềm ẩn của dịch vụ ICT.

Phương pháp thực hiện kế hoạch ứng phó và phục hồi ICT cần được lập tài liệu rõ ràng. Quy trình này cần cho phép kế hoạch và bộ phận liên quan được thực hiện trong thời gian ngắn nhất có thể, hoặc trước một sự kiện có khả năng gián đoạn hoặc ngay sau khi sự kiện xảy ra.

Kế hoạch cần bao gồm mô tả rõ ràng và chính xác về:

i) cách thức để huy động cá nhân hoặc nhóm được phân công;

...

...

...

iii) địa điểm họp nhóm tiếp theo và chi tiết về địa điểm của cuộc họp khác (trong tổ chức lớn, những nơi diễn ra cuộc họp có thể gọi là trung tâm chỉ huy/điều khiển);

iv) trường hợp tổ chức xét thấy một ứng phó IRBC là không cần thiết (ví dụ như các lỗi và khả năng ngừng hoạt động nhỏ với các dịch vụ ICT quan trọng, nhưng chúng đã được quản lý bởi các nhân viên chăm sóc thông thường và các bố trí và thỏa thuận hỗ trợ).

Tổ chức cần lập tài liệu quy trình xử lý rõ ràng cho nhóm ứng phó ICT khi sự cố kết thúc, và trở lại hoạt động bình thường.

d) Bên sở hữu và bên duy trì tài liệu kế hoạch ứng phó và phục hồi ICT

Lãnh đạo cần chỉ định người sở hữu tài liệu ứng phó và phục hồi ICT, người sở hữu có trách nhiệm rà soát và cập nhật tài liệu.

Tổ chức nên sử dụng một hệ thống kiểm soát phiên bản và các thay đổi chính thức cần được thông báo tới tất cả các bên quan tâm tới tài liệu.

e) Địa chỉ liên hệ

CHÚ THÍCH: Hồ sơ liên lạc có thể bao gồm cả địa chỉ liên lạc “ngoài giờ”. Tuy nhiên khi các kế hoạch cho các thông tin cá nhân như vậy, việc tôn trọng thông tin cá nhân cần được xem xét cẩn thận.

Nếu có thể thì mỗi tài liệu kế hoạch nên có hoặc cung cấp thông tin liên lạc cần thiết của tất cả các bên liên quan.

...

...

...

Tài liệu kế hoạch ứng phó và phục hồi ICT cần:

a) linh hoạt, khả thi và phù hợp;

b) dễ đọc và dễ hiểu;

c) cung cấp cơ sở cho việc quản lý các vấn đề nghiêm trọng được xem xét bởi tổ chức để có khen thưởng với ứng phó IRBC (thường sau sự kiện gián đoạn đáng chú ý, nghiêm trọng).

Tài liệu cần xác định một khung tổng thể cho các kế hoạch phục hồi, bao gồm:

a) chiến lược tổng thể;

b) các dịch vụ quan trọng (với RTO/RPO);

c) thời gian phục hồi;

d) nhóm phục hồi và trách nhiệm của họ.

...

...

...

a) Mục tiêu: mô tả ngắn gọn các mục tiêu của kế hoạch;

b) Phạm vi: bao gồm những nội dung sau cùng với tham chiếu tới kết quả BIA:

i) mức độ quan trọng của các dịch vụ: mô tả dịch vụ có liên quan và xác định mức độ quan trọng của chúng;

ii) công nghệ: tổng quan về công nghệ chính hỗ trợ các dịch vụ bao gồm cả nơi sử dụng công nghệ;

iii) tổ chức: tổng quan về tổ chức quản lý công nghệ (các phòng ban, cá nhân và thủ tục quan trọng).

iv) tài liệu: tổng quan về tài liệu của công nghệ bao gồm cả vị trí lưu trữ tài liệu.

c) Các yêu cầu về tính sẵn sàng: các yêu cầu hoạt động đã quy định cho tính sẵn sàng của dịch vụ và công nghệ liên quan.

d) Các yêu cầu an toàn thông tin: yêu cầu về an toàn thông tin của các dịch vụ, hệ thống và dữ liệu bao gồm yêu cầu về tính bí mật, tính toàn vẹn và tính sẵn sàng.

e) Các thủ tục phục hồi công nghệ: mô tả các thủ tục cần tuân theo để phục hồi dịch vụ ICT bao gồm:

...

...

...

ii) danh sách hoạt động để phục hồi mạng, hệ thống, ứng dụng, cơ sở dữ liệu,...tới một mức thỏa thuận ở một vị trí thay thế, có tính đến thay đổi môi trường;

iii) danh sách các hoạt động để phục hồi các chức năng cơ bản như chức năng an toàn, định tuyển, nhật ký;

iv) sự kết hợp bên trong một ứng dụng, giữa các ứng dụng, đồng bộ dữ liệu, các thủ tục tự động để điều khiển nhật ký của thông tin;

v) quy trình cần thiết để phục hồi dịch vụ ICT và đưa dịch vụ hoạt động trở lại trong chế độ phục hồi;

vi) các thủ tục sao lưu;

vii) nơi và cách thức để lấy thêm thông tin, hướng dẫn,... ví dụ số đường dây nóng, các bước cần thực hiện để đưa dịch vụ ICT trở về hoạt động bình thường.

f) Các phụ lục

i) Bản kiểm kê các hệ thống thông tin, ứng dụng và cơ sở dữ liệu;

ii) Tổng quan về cơ sở hạ tầng mạng và tên máy chủ;

...

...

...

iv) Hợp đồng và thỏa thuận mức dịch vụ.

g) Nhà cung ứng dịch vụ ICT chính

i) Nhà cung ứng nghiệp vụ dưới dạng nhà cung ứng thông thường;

ii) Nhà cung ứng dịch vụ phục hồi.

7.5  Chương trình nâng cao nhận thức, năng lực và đào tạo

Một chương trình hợp tác cần được thực hiện để đảm bảo các quy trình được đưa ra để nâng cao nhận thức IRBC nói chung cũng như đánh giá và nâng cao năng lực của tất cả các nhân viên quan trọng có liên quan đến việc thực hiện thành công IRBC (xem 7.2.1).

7.6  Kiểm soát tài liệu

7.6.1  Kiểm soát báo cáo IRBC

Các kiểm soát có thể được thiết lập trên hồ sơ IRBC để:

...

...

...

b) Cung cấp cho việc lưu trữ, bảo vệ và phục hồi chúng.

7.6.2  Kiểm soát tài liệu IRBC

Các kiểm soát cần được thiết lập trên tài liệu IRBC để đảm bảo:

a) Tài liệu được phê duyệt trước khi phát hành;

b) Tài liệu được xem xét và cập nhật khi cần thiết và phê duyệt lại;

c) Thay đổi và sửa đổi trạng thái của tài liệu hiện thời được xác định;

d) Các phiên bản có liên quan của tài liệu có sẵn ở những vị trí có thể sử dụng;

e) Các tài liệu có nguồn gốc bên ngoài được xác định và kiểm soát việc phân phối;

f) Việc sử dụng ngoài dự kiến các tài liệu cũ được ngăn chặn và chúng cần được xác định một cách thỏa đáng nếu được giữ lại vì bất kỳ mục đích gì.

...

...

...

8.1  Duy trì IRBC

8.1.1  Tổng quát

Sự thay đổi đi kèm các rủi ro; không chỉ là rủi ro của lỗi mà còn là những rủi ro do mất ổn định về chính sách và chiến lược hiện tại. Do đó, chiến lược IRBC cần mềm dẻo và thích hợp.

Việc thay đổi các dịch vụ ICT có thể ảnh hưởng đến khả năng IRBC cần được thực hiện sau những tác động tính liên tục của hoạt động của sự thay đổi đã được đánh giá và giải quyết.

Để đảm bảo các chiến lược và kế hoạch IRBC vẫn phù hợp với tổ chức:

a) Lãnh đạo cao nhất cần đảm bảo các chiến lược IRBC tiếp tục hỗ trợ các yêu cầu BCM của tổ chức;

b) Quy trình quản lý thay đổi bao gồm tất cả các bên có trách nhiệm về chiến lược IRBC, cả bên lập kế hoạch và việc thực hiện của họ;

c) Quy trình phát triển các dịch vụ ICT mới bao gồm việc ký duyệt sao cho khả năng phục hồi không bị ảnh hưởng ngay cả những cải tiến và nâng cấp đơn giản nhất;

d) Thẩm định về sát nhập và hoạt động thu hồi bao gồm đánh giá khả năng phục hồi;

...

...

...

8.1.2  Giám sát, phát hiện và phân tích các mối đe dọa

Tổ chức cần thiết lập một quy trình giám sát liên tục và phát hiện sự xuất hiện của các mối đe dọa an toàn ICT bao gồm nhưng không giới hạn các lĩnh vực sau:

a) Duy trì đội ngũ nhân viên, kỹ năng và kiến thức;

b) Quản lý cơ sở hạ tầng chứa các thiết bị ICT (ví dụ bằng cách theo dõi số lượng và bản chất của sự cố an toàn/điểm yếu liên quan tới các phòng máy);

c) Những thay đổi trong việc hỗ trợ công nghệ, máy móc, thiết bị, mạng lưới;

d) Những thay đổi trong các ứng dụng thông tin và cơ sở dữ liệu;

e) Tài chính, ngân sách phân bổ;

f) Hiệu quả của các dịch vụ bên ngoài và nhà cung ứng.

8.1.3  Thử nghiệm và diễn tập

...

...

...

Các tổ chức cần diễn tập phục hồi, bảo vệ và khôi phục các dịch vụ ICT để xác định rằng:

a) các dịch vụ có thể được bảo vệ, duy trì và/hoặc phục hồi không phụ thuộc vào mức độ nghiêm trọng của sự cố;

b) các bố trí quản lý IRBC có thể giảm thiểu tác động đến hoạt động;

c) các thủ tục để đưa hoạt động về trạng thái bình thường.

8.1.3.2  Chương trình thử nghiệm và diễn tập

Trong hầu hết các trường hợp, toàn bộ các phần tử và quy trình IRBC bao gồm phục hồi ICT có thể không được chứng minh trong một cuộc thử nghiệm và diễn tập. Do đó một chế độ diễn tập tăng dần có thể thích hợp với việc mô phỏng đầy đủ một sự cố thực tế. Chương trình sẽ bao gồm các cấp độ diễn tập khác nhau để làm quen với khả năng phục hồi phòng máy tính, như định nghĩa trong Hình 5 và nên xem xét tất cả các khía cạnh của việc cung cấp dịch vụ ICT đầu-cuối.

Những rủi ro liên quan tới việc thử nghiệm và diễn tập và các hoạt động tương tự không được đặt tổ chức vào những rủi ro không chấp nhận được. Chương trình thử nghiệm và diễn tập cần xác định cách thức giải quyết rủi ro của các cuộc diễn tập riêng lẻ. Lãnh đạo cao nhất ký duyệt chương trình diễn tập và cần được giải thích rõ ràng về các tài liệu rủi ro liên quan.

Mục tiêu chương trình thử nghiệm và diễn tập cần phù hợp hoàn toàn với phạm vi và mục tiêu quản lý tính liên tục hoạt động và bổ sung cho chương trình diễn tập mở rộng của tổ chức. Mỗi chương trình thử nghiệm và diễn tập cần có cả mục tiêu hoạt động (kể cả trường hợp không có sự tham gia trực tiếp của hoạt động) và xác định các mục tiêu kỹ thuật để thử nghiệm và kiểm duyệt phần tử cụ thể của chiến lược IRBC.

Các thành phần diễn tập trong môi trường cách ly ở mức thành phần bổ sung tới diễn tập hệ thống tổng thể và cần được duy trì như một phần của chương trình thử nghiệm và diễn tập.

...

...

...

a) phục hồi dữ liệu: phục hồi dữ liệu của một tập tin đơn lẻ hoặc cơ sở dữ liệu lỗi;

b) phục hồi một máy chủ đơn (bao gồm việc xây dựng lại từ đầu);

c) phục hồi một ứng dụng (có thể bao gồm một số máy chủ, các ứng dụng phụ và cơ sở hạ tầng);

d) chuyển đổi dự phòng các dịch vụ lưu trữ trên một nền tảng có tính sẵn sàng cao (ví dụ, phân nhóm: mô phỏng sự mất mát của bất kỳ thành viên của nhóm - xem Phụ lục B);

e) phục hồi dữ liệu từ băng đĩa (phục hồi các tập tin đơn lẻ hoặc một loạt các tập tin từ băng đĩa);

f) thử nghiệm mạng;.

g) kiểm tra dự phòng lỗi cơ sở hạ tầng truyền thông.

Các diễn tập nên được nâng cao dần để có một kiểm tra tăng dần về sự phụ thuộc và các mối liên hệ bên trong và cộng đồng người dùng cuối có liên quan.

8.1.3.3  Phạm vi của diễn tập

...

...

...

a) xây dựng độ tin cậy trong toàn bộ tổ chức về khả năng phục hồi và chiến lược phục hồi đáp ứng được các yêu cầu hoạt động;

b) chứng minh các dịch vụ ICT quan trọng có thể được duy trì và phục hồi cùng với các mức dịch vụ đã được chấp thuận hoặc các mục tiêu phục hồi liên quan tới sự cố;

c) chứng minh các dịch vụ ICT quan trọng có thể được phục hồi tới trạng thái đã thử nghiệm trong trường hợp xảy ra sự cố ở vị trí phục hồi;

d) tạo cơ hội cho nhân viên làm quen với quy trình phục hồi;

e) đào tạo nhân viên và đảm bảo họ có đủ kiến thức về kế hoạch và các thủ tục IRBC;

f) kiểm tra việc duy trì IRBC được đồng bộ với cơ sở hạ tầng ICT và cơ sở hạ tầng chung;

g) xác định các cải tiến được yêu cầu cho chiến lược, kiến trúc hoặc các quy trình phục hồi IRBC;

h) cung cấp bằng chứng cho mục đích đánh giá và chứng minh thẩm quyền dịch vụ ICT của tổ chức.

Việc diễn tập cần áp dụng cho toàn bộ môi trường ICT và tất cả các phần tử cung cấp dịch vụ điểm - điểm từ phòng máy tính đến máy tính người dùng hoặc mọi kênh cung cấp dịch vụ khác.

...

...

...

Tổ chức cần thực hiện diễn tập tất cả các yếu tố của phục hồi dịch vụ ICT phù hợp với quy mô của tổ chức, độ phức tạp và phạm vi quản lý tính liên tục của hoạt động. Việc diễn tập cần chú trọng vào việc phục hồi và tái thiết lập dịch vụ, nhưng cần bao gồm tính tin cậy của khả năng phục hồi, giám sát hệ thống và quản lý cảnh báo.

Tổ chức cần diễn tập ở mức độ phần tử thông qua toàn bộ hệ thống thử nghiệm dựa trên vị trí để đạt được mức độ tin tưởng và khả năng phục hồi cao.

Hình 6 - Chương trình thử nghiệm và diễn tập mức độ tăng dần

Các thành phần sau cần được diễn tập:

a) phòng máy tính, ví dụ như an toàn vật lý, các hệ thống phát hiện cháy và rò rỉ nước, quy trình sơ tán, hệ thống sưởi, thông gió và điều hòa nhiệt độ, giám sát môi trường, các phương thức cảnh báo và các dịch vụ điện;

b) cơ sở hạ tầng, bao gồm khả năng phục hồi kết nối mạng, sự đa dạng và an toàn mạng, bao gồm chống virut, phát hiện và chống xâm nhập;

c) phần cứng, bao gồm các máy chủ, thiết bị viễn thông, thiết bị lưu động và lưu trữ;

d) phần mềm;

...

...

...

f) các dịch vụ;

g) vai trò và ứng phó của nhà cung ứng.

8.1.3.5  Lập kế hoạch diễn tập

Để đảm bảo việc diễn tập không gây ra sự cố hoặc làm suy giảm khả năng dịch vụ, một cuộc diễn tập cần được lên kế hoạch cẩn thận để tối thiểu hóa rủi ro xảy ra sự cố.

Quản lý rủi ro cần phù hợp với mức độ diễn tập được thực hiện (tức là các yếu tố của phục hồi dịch vụ). Điều này có thể bao gồm:

a) đảm bảo tất cả dữ liệu được sao lưu ngay trước khi diễn tập;

b) thực hiện diễn tập trong các môi trường cô lập;

c) lập lịch các bài diễn tập “ngoài giờ” hoặc trong thời gian tĩnh của chu trình hoạt động, với kiến thức của người dùng cuối.

Các bài diễn tập cần sát với thực tế, có kế hoạch cẩn thận và thống nhất với các bên liên quan, để tối thiểu hoá rủi ro gián đoạn của các quy trình hoạt động. Tuy nhiên, không được thực hiện diễn tập khi xảy ra sự cố.

...

...

...

Mỗi diễn tập nên có một “điều khoản tham chiếu” được sự đồng ý và ký duyệt trước bởi nhà tài trợ diễn tập, mà có thể bao gồm những điều sau:

a) mô tả;

b) mục tiêu;

c) phạm vi;

d) các giả định;

e) các ràng buộc;

f) rủi ro;

g) chỉ tiêu hoàn thành;

h) nguồn lực;

...

...

...

j) tiến độ/lịch trình mức cao;

k) thu thập dữ liệu diễn tập;

l) ghi nhật ký diễn tập/sự cố;

m) trao đổi;

n) các hoạt động sau diễn tập (theo dõi và báo cáo).

Kế hoạch diễn tập cần cho phép tổ chức đạt được chỉ tiêu thành công đã xác định.

8.1.3.6  Quản lý diễn tập

Cấu trúc lệnh diễn tập rõ ràng cần được giao cho nhân viên có vai trò và trách nhiệm phù hợp xây dựng. Cấu trúc lệnh diễn tập có thể bao gồm:

a) người điều khiển diễn tập (các bên tham gia với vai trò kiểm soát toàn bộ chương trình thử nghiệm và diễn tập);

...

...

...

c) xác nhận có đủ nhân viên để thực hiện diễn tập an toàn;

d) đủ giám sát viên và hỗ trợ viên để nắm bắt các thủ tục diễn tập và duy trì nhật ký các vấn đề;

e) các mốc diễn tập chính;

f) phương thức kết thúc diễn tập;

g) phương thức diễn tập dừng khẩn cấp.

Diễn tập cần tuân theo lệnh diễn tập để đảm bảo:.

a) mục tiêu và các mốc diễn tập chính được đáp ứng;

b) tất cả tài liệu và hoạt động diễn tập có mức độ bí mật phù hợp;

c) mọi rủi ro xảy ra cần được giám sát và giảm thiểu;

...

...

...

e) thủ tục diễn tập được nắm bắt một cách nhất quản;

f) tất cả các bên tham gia được yêu cầu và thu thập phản hồi.

8.1.3.7  Xem xét, báo cáo và theo dõi

Kết thúc diễn tập, kết quả cần được xem xét và theo dõi kịp thời, điều này bao gồm:

a) thu thập kết quả và các phát hiện;

b) phân tích kết quả và các phát hiện so sánh với mục tiêu và chỉ tiêu hoàn thành của diễn tập;

c) xác định các chênh lệch;

d) gán các điểm hành động với khung thời gian đã quy định;

e) tạo báo cáo diễn tập để nhà tài trợ xem xét một cách chính thức;

...

...

...

8.2  Đánh giá nội bộ IRBC

Kế hoạch đánh giá nội bộ IRBC cần được định nghĩa và lập tài liệu tiêu chí, phạm vi, phương thức và tần xuất đánh giá (ví dụ đánh giá nội bộ IRBC được thực hiện hàng năm), kế hoạch đánh giá cần đảm bảo chỉ đánh giá viên nội bộ đủ điều kiện được chỉ định để đánh giá. Việc lựa chọn đánh giá viên và việc tiến hành đánh giá cần đảm bảo tính khách quan và công bằng của quy trình đánh giá. Đánh giá viên thực hiện đánh giá nội bội IRBC phải có đủ năng lực để thực hiện các nhiệm vụ. Ví dụ đánh giá viên cần tham dự khóa đào tạo đánh giá viên để họ có được những kỹ năng và kiến thức cần thiết để thực hiện việc đánh giá.

Một thủ tục cần được thiết lập để đảm bảo sự thiếu hụt đã xác định trong các đánh giá nội bộ được sửa chữa.

Kế hoạch đánh giá cần bao gồm cả các đối tác bên ngoài. Ví dụ, nhà cung cấp dịch vụ thuê ngoài cần được đánh giá khả năng hỗ trợ chiến lược IRBC của tổ chức, các kế hoạch trong hoạt động hàng ngày, ứng phó với thảm hoạ và phục hồi sau thảm họa.

Đánh giá nội bộ cần được tiến hành khi có sự thay đổi đáng kể từ dịch vụ ICT quan trọng, các yêu cầu tính liên tục của hoạt động (do liên quan tới phạm vi IRBC), hoặc các yêu cầu IRBC.

Kết quả của đánh giá nội bộ IRBC cần được ghi và báo cáo. Lãnh đạo cần xem xét kết quả đánh giá nội bộ IRBC và tình trạng của hoạt động khắc phục tiếp theo.

8.3  Xem xét của lãnh đạo

8.3.1  Tổng quát

Lãnh đạo cao nhất cần đảm bảo hệ thống quản lý IRBC được xem xét theo kế hoạch. Xem xét này có thể lấy đầu vào của các đánh giá nội bộ hay bên ngoài hoặc tự đánh giá. Xem xét bao gồm việc đánh giá cơ hội cải tiến và các nhu cầu thay đổi quản lý IRBC, các chính sách và mục tiêu IRBC.

...

...

...

Kết quả của việc xem xét cần được ghi rõ ràng và các hồ sơ cần được duy trì.

8.3.2  Đầu vào xem xét

Đầu vào của xem xét của lãnh đạo bao gồm các thông tin về:

a) mức dịch vụ nội bộ;

b) khả năng của các nhà cung cấp dịch vụ bên ngoài để duy trì mức thích hợp của dịch vụ;

c) kết quả của các đánh giá có liên quan;

d) thông tin phản hồi từ các bên liên quan, bao gồm các quan sát độc lập;

e) tình trạng của các hành động phòng ngừa và khắc phục;

f) mức rủi ro tồn đọng và rủi ro có thể chấp nhận;

...

...

...

h) bài học kinh nghiệm rút ra từ các thử nghiệm và diễn tập, các sự cố và các chương trình đào tạo và nâng cao nhận thức;

i) thực hành và hướng dẫn phù hợp gần đây.

8.3.3  Đầu ra xem xét

Đầu ra từ việc xem xét cần được ký duyệt bởi lãnh đạo cao nhất và bao gồm:

a) thay đổi phạm vi của hệ thống quản lý IRBC;

b) nâng cao hiệu quả của hệ thống quản lý IRBC;

c) các yêu cầu IRBC được sửa đổi, bao gồm các định nghĩa dịch vụ ICT, danh sách các dịch vụ ICT quan trọng đã được lập tài liệu và các rủi ro liên quan tới các chênh lệch xác định giữa khả năng sẵn sàng ICT quan trọng và các yêu cầu tính liên tục của hoạt động;

d) sửa đổi các thủ tục và chiến lược IRBC nếu cần để đáp ứng tới các sự kiện bên ngoài và/hoặc bên trong mà có thể ảnh hưởng đến các dịch vụ ICT, bao gồm các thay đổi:

i) các yêu cầu hoạt động:

...

...

...

iii) mức độ rủi ro và/hoặc mức chấp nhận rủi ro,

e) nhu cầu về nguồn lực;

f) các yêu cầu về kinh phí và ngân sách.

8.4  Đo lường tiêu chỉ hiệu năng sự sẵn sàng ICT

8.4.1  Giám sát và đo lường sự sẵn sàng ICT

Các tổ chức cần giám sát và đo lường sự sẵn sàng ICT của mình thông qua việc thực hiện quy trình đo lường Tiêu chí hiệu năng sự sẵn sàng ICT đã xác định (xem 6.7).

8.4.2  Tiêu chí hiệu năng định lượng và định tính

Tiêu chí hiệu năng cho IRBC có thể là định tính hoặc định lượng.

Tiêu chí đính lượng có thể bao gồm:

...

...

...

b) thời gian phát hiện các sự cố;

c) số lượng các sự cố không thể ngăn chặn hiệu quả để giảm thiểu tác động;

d) tính sẵn sàng của các nguồn dữ liệu chỉ báo về sự xuất hiện của các sự cố thông qua giám sát xu hướng các sự kiện;

e) thời gian phản ứng và ứng phó với các sự cố đang xảy ra.

Tiêu chí định tính mang tính chủ quan khi được sử dụng để xác định hiệu năng của IRBC nhưng thường đòi hỏi ít nguồn lực trong quy trình đo lường (có thể thích hợp cho một tổ chức quy mô vừa và nhỏ do hạn chế nguồn lực). Tiêu chí định tính có thể bao gồm xác định hiệu quả của các quy trình được sử dụng trong lập kế hoạch, chuẩn bị và thực thi các hoạt động của IRBC và có thể được đo lường thông qua:

a) khảo sát sử dụng bảng câu hỏi có cấu trúc hoặc câu hỏi mở;

b) thông tin phản hồi từ các bên tham gia và các bên liên quan;

c) tiến hành hội thảo phản hồi;

d) các cuộc họp nhóm tập trung khác.

...

...

...

9.1  Cải tiến liên tục

Tổ chức cần cải tiến liên tục IRBC thông qua việc áp dụng các hành động phòng ngừa và khắc phục phù hợp với các tác động tiềm ẩn đã được xác định bằng việc phân tích tác động hoạt động và khẩu vị rủi ro của tổ chức.

9.2  Hành động khắc phục

Tổ chức cần có hành động để khắc phục mọi lỗi trên thực tế của dịch vụ ICT và các yếu tố của IRBC. Thủ tục được lập tài liệu về hành động khắc phục cần xác định các yêu cầu để:

a) xác định các lỗi;

b) xác định nguyên nhân của lỗi;

c) ước lượng nhu cầu đối với các hành động để đảm bảo sự không phù hợp không tái diễn;

d) xác định và thực hiện các hành động khắc phục cần thiết;

e) ghi lại các kết quả của hành động được thực hiện;

...

...

...

9.3  Hành động phòng ngừa

Tổ chức cần xác định các điểm yếu tiềm ẩn trong các yếu tố của IRBC và thiết lập một thủ tục được lập tài liệu để:

a) xác định các lỗi tiềm ẩn;

b) xác định nguyên nhân của lỗi;

c) xác định và thực hiện các hành động phòng ngừa cần thiết;

d) ghi lại và xem xét các kết quả của hành động được thực hiện.

Phụ lục A

(Tham khảo)

...

...

...

Hình A.1 minh họa cách thức các phần tử của IRBC hỗ trợ các mốc chỉnh trong một gián đoạn. Các sự kiện và mốc quan trọng xảy ra theo thời gian bắt đầu từ Thời điểm gốc khi một sự kiện gián đoạn dịch vụ ICT/thảm họa xảy ra. Một ví dụ về kịch bản thảm họa xuất hiện từ một cuộc tấn công xâm nhập hệ thống mục tiêu (thường được gọi là “hacking”) vào hệ thống ICT quan trọng của tổ chức.

RPO liên quan đến lượng dữ liệu bị mất và không thể phục hồi do gián đoạn. Điều này được thể hiện trên luồng thời gian là khoảng thời gian giữa lần sao lưu tốt nhất cuối cùng và thời điểm gián đoạn xảy ra. RPO thay đổi tùy theo chiến lược phục hồi dịch vụ ICT được áp dụng, cụ thể là phụ thuộc vào bố trí sao lưu.

Tại thời điểm gốc, hệ thống ICT quan trọng đã bị tin tặc xâm nhập và các dịch vụ đã bị ảnh hưởng. Mốc đầu tiên sau khi gián đoạn dịch vụ xảy ra là sự phát hiện trực tiếp sự cố an toàn (tức là sự kiện xâm nhập) hoặc sự phát hiện không trực tiếp việc mất dịch vụ (hoặc suy giảm), có một khoảng thời gian trôi qua trước khi có thông báo; ví dụ, trong một số trường hợp thông báo có thể là một cuộc gọi từ một người dùng tới trung tâm hỗ trợ IT.

Thời gian có thể tiếp tục trôi qua trong khi gián đoạn dịch vụ ICT được điều tra, phân tích, truyền đạt và một quyết định được đưa ra để khởi động IRBC. Có thể mất vài giờ từ thời điểm bắt đầu gián đoạn dịch vụ ICT cho tới khi một quyết định khởi động IRBC được đưa ra nếu như thời gian truyền đạt và đưa ra quyết định được tính đến. Quyết định khởi động có thể cần được xem xét cẩn thận trong một số trường hợp, ví dụ khi dịch vụ chưa hoàn toàn bị mất hoặc khả năng phục hồi dịch vụ sắp được thực hiện, do việc khởi động IRBC thường tác động đến hoạt động thông thường.

Khi đã được khởi động, việc phục hồi dịch vụ ICT có thể bắt đầu. Việc này có thể được chia thành phục hồi cơ sở hạ tầng (mạng, phần cứng, hệ điều hành, phần mềm sao lưu,...) và phục hồi ứng dụng (cơ sở dữ liệu, ứng dụng, các quy trình xử lý hàng loạt, các giao diện). (Tham khảo thêm tiêu chuẩn ISO/IEC 24762).

Một khi dịch vụ ICT đã được phục hồi và việc kiểm thử hệ thống đã được thực hiện bởi nhân viên ICT thì dịch vụ có thể được cung cấp sẵn sàng cho kiểm thử chấp nhận của người dùng trước khi nó được cung cấp cho nhân viên để sử dụng cho những hoạt động liên tục hoạt động.

Từ góc độ tính liên tục của hoạt động, mỗi sản phẩm, dịch vụ hoặc hoạt động có một RTO và RTO này bắt đầu từ thời điểm gián đoạn xảy ra và kéo dài cho tới khi sản phẩm, dịch vụ hoặc hoạt động được phục hồi, nhưng có thể có nhiều dịch vụ ICT yêu cầu có tính năng này, và mỗi dịch vụ ICT này có thể bao gồm nhiều hệ thống hoặc ứng dụng ICT. Mỗi phần tử hệ thống hoặc ứng dụng ICT có RTO của mình là một tập RTO dịch vụ ICT đầu-cuối và cần ít hơn so với RTO của tính liên tục của hoạt động, tính cả thời gian phát hiện và đưa ra quyết định và thời gian kiểm thử sự chấp nhận của người dùng (trừ khi sản phẩm, dịch vụ, và hoạt động liên tục nghiệp vụ có thể được hỗ trợ mà không có ICT trong một khoảng thời gian, ví dụ sử dụng các thủ tục thủ công).

Các dịch vụ ICT đã phục hồi thường hoạt động trong một khoảng thời gian hỗ trợ hành động tính liên tục của hoạt động và nếu việc này là một khoảng thời gian mở rộng thì các dịch vụ ICT đã phục hồi có thể cần được nâng cấp lên để hỗ trợ các hành động với số lượng ngày càng gia tăng, có khả năng tăng tới điểm mà tại đó sản phẩm, dịch vụ, hoặc hành động được phục hồi hoàn toàn đạt tới số lượng giao dịch bình thường.

Sau đó, tại một số thời điểm trên luồng thời gian, việc phục hồi sẽ khả thi và các hoạt động DR sẽ được đưa trở lại các hoạt động bình thường. Các hoạt động đã trở lại bình thường có thể là môi trường hoặc trạng thái ban đầu như trước gián đoạn, hoặc một bố trí hoạt động mới (đặc biệt khi gián đoạn do thảm họa gây ra sự thay đổi vĩnh viễn về hoạt động).

...

...

...

Các mũi tên trên sơ đồ cho thấy các nguyên tắc của IRBC trong chuẩn ISO/IEC 27031 đồng bộ theo dòng thời gian gián đoạn.

Hình A.1 - IRBC yà các mốc trong một gián đoạn

Phụ lục B

(Tham khảo)

Hệ thống nhúng có tính sẵn sàng cao

Trong công nghệ thông tin và truyền thông, “tính sẵn sàng cao” đề cập tới các hệ thống hoặc phần tử có thể hoạt động liên lục cho một khoảng thời gian dài. Tính sẵn sàng cao có thể được xác định tương đối là “hoạt động 100%” hoặc “không bao giờ lỗi”. Có một mức chuẩn đã được chấp nhận rộng rãi nhưng rất khó để đạt được cho tính sẵn sàng đối với hệ thống hoặc sản phẩm là độ sẵn sàng “năm số 9” (99.999%).

Một hệ thống hoặc mạng máy tính được tạo thành từ nhiều phần tử, tất cả trong số đó thường đều cần thể hiện và vận hành chức năng để cả bộ máy hoạt động, và trong khi đó việc lập kế hoạch cho tính sẵn sàng cao thường tập trung vào sao lưu và xử lý dự phòng lỗi, lưu trữ và truy cập dữ liệu, thì các thành phần khác như nguồn điện, làm mát cũng quan trọng không kém.

...

...

...

a) bộ lưu điện (UPS);

b) máy phát điện khẩn cấp;

c) hai nguồn điện song song từ một lưới điện.

Sao lưu dữ liệu và tính sẵn sàng có thể đạt được thông qua sử dụng nhiều công nghệ lưu trữ như ghép nhiều ổ đĩa cứng vật lý thành một hệ thống ổ đĩa cứng (RAID, mạng lưu trữ (SAN),...

Tính sẵn sàng của ứng dụng cũng cần được xem xét và thường đạt được thông qua công nghệ “song hành” (clustering).

Các công nghệ này chỉ có thể thực sự hiệu quả trong việc cung cấp tính sẵn sàng cao thông qua việc thực hiện đồng thời ở một hoặc nhiều vị trí. Ví dụ đơn giản có một máy chủ “dự phòng lỗi” ở cùng một vị trí như một máy chủ chính hoặc máy chủ chính sẽ không cung cấp mức độ phục hồi cần thiết nếu vị trí này bị ảnh hưởng bởi một gián đoạn nghiêm trọng. Cả hai máy chủ sẽ bị ảnh hưởng bởi cùng một gián đoạn. Máy chủ “dự phòng lỗi” và các công nghệ hỗ trợ khác có thể cần đựợc đặt ở một vị trí khác để đạt được các mức độ sẵn sàng yêu cầu.

Với nhiều tổ chức, chi phí và nỗ lực liên quan để đạt được mức độ sẵn sàng cao có thể gặp khó khăn và trong những năm gần đây đã có sự phát triển trong việc sử dụng nhà cung cấp dịch vụ thứ ba, họ có thể cung cấp các kỹ năng, nguồn lực và công nghệ mềm dẻo với mức giá có thể chấp nhận hoặc thông qua các dịch vụ điện toán đám mây.

Tuy nhiên khi tính sẵn sàng cao là cách hiệu quả để tăng khả năng phục hồi, thì khả năng lỗi vẫn còn. Vì vậy quan trọng là cần có các quy trình và thủ tục DR được lập kế hoạch cẩn thận và được thử nghiệm.

...

...

...

(Tham khảo)

Đánh giá kịch bản lỗi

C.1  Tổng quát

Có rất nhiều các kỹ thuật quản lý rủi ro tiềm ẩn có thể hỗ trợ trong việc đánh giá sự sẵn sàng ICT cho BC và phát triển khung phù hợp để liên tục phát triển và nâng cao khả năng phục hồi ICT.

Chuẩn ISO 31010:2009 “Quản lý rủi ro - Các kỹ thuật đánh giá rủi ro” cung cấp thực hành tốt nhất trong việc lựa chọn và sử dụng các kỹ thuật đánh giá rủi ro. Có thể tham khảo chuẩn này để xác định kỹ thuật phù hợp nhất được sử dụng trong một tổ chức.

Việc đánh giá các kịch bản lỗi là một kỹ thuật có thể có ích trong việc nâng cao hiệu quả của IRBC và phụ lục này cung cấp thông tin bổ sung về việc làm thế nào nó có thể được thực hiện.

C.2  Phương pháp đánh giá

Vấn đề rủi ro chưa biết có thể xuất hiện giữa các đánh giá như một kết quả của các thay đổi bên trong và bên ngoài môi trường tổ chức mà có thể cản trở tính liên tục và khả năng phục hồi hoạt động. Mục đích của việc đánh giá kịch bản lỗi là để xác định các chỉ báo sự kiện phù hợp và đảm bảo các kế hoạch IRBC có thể phát hiện các vấn đề rủi ro xuất hiện và chuẩn bị về tổ chức để đảm bảo các hành động phù hợp có thể được thực hiện trước khi lỗi xảy ra.

Hiện có một số phương pháp cho mục đích này, bao gồm Phân tích hiệu quả chế độ lỗi (FMEA - Failure Mode Effect Analysis) và Phân tích tác động lỗi phần tử (CFIA - Component Failure Impact Analysis). Nhằm mục đích chứng minh, phụ lục này làm rõ phương pháp FMEA cụ thể mặc dù tổ chức cần lựa chọn một phương pháp phù hợp với môi trường và nền tảng của họ.

...

...

...

Đối với mỗi phần tử quan trọng:

a) xác định chế độ lỗi tiềm ẩn;

b) xác định ảnh hưởng tiềm ẩn tới dịch vụ ICT, tức là mức độ nghiêm trọng của mỗi chế độ lỗi, và hậu quả có thể;

c) xác định tần suất xuất hiện chế độ lỗi mà tổ chức đã từng gặp trước kia, cũng như sự dễ dàng trong việc giám sát và phát hiện chế độ lỗi đó;

d) xác định các chỉ báo sẽ cung cấp dấu hiệu hoặc thông tin về phần tử đang lỗi;

e) xác định các sự kiện trực tiếp và gián tiếp có liên quan, và sẽ làm thay đổi trạng thái của mỗi chỉ báo;

f) xác định các kiểm soát hiện có để phòng tránh lỗi cho các phần tử quan trọng hoặc có thể phát hiện lỗi xảy ra;

g) xác định các nguồn dữ liệu liên quan, và các phương pháp giám sát có thể để phát hiện thay đổi giá trị của chỉ báo, phân loại các chỉ báo sự kiện bằng tính sẵn sàng của phương pháp giám sát và độ dễ dàng giám sát;

h) xác định liệu việc giảm rủi ro phù hợp hoặc các kiểm soát loại trừ có thể được áp dụng để ngăn chặn sự xuất hiện rủi ro.

...

...

...

Đầu ra FMEA bao gồm danh sách các chế độ lỗi tiềm ẩn và các ảnh hưởng, các sự kiện liên quan - có thể được sử dụng để xác định các chỉ báo sự kiện cần được giám sát.

Các chế độ lỗi được xác định thông qua quy trình FMEA có thể được phân cấp ưu tiên theo mức độ nghiêm trọng đã được đánh giá, tần suất xuất hiện lỗi, và sự dễ dàng trong giám sát và phát hiện.

FMEA cũng lập tài liệu kiến thức và các hành động hiện tại về rủi ro của các lỗi, để sử dụng trong cải tiến tính liên tục. Nếu FMEA được sử dụng trong giai đoạn thiết kế với mục đích để tránh các lỗi trong tương lai thì nó có thể được sử dụng cho kiểm soát quy trình trước và trong khi vận hành quy trình. Lý tưởng nhất là FMEA được bắt đầu trong giai đoạn thiết kế khái niệm sớm nhất và tiếp tục theo suốt vòng đời của sản phẩm và dịch vụ.

Phụ lục D

(Tham khảo)

Phát triển tiêu chí hiệu năng

Do hiệu năng của IRBC giữa các tổ chức là khác nhau nên mỗi tổ chức cần phát triển tiêu chí hiệu năng IRBC của mình, và duy trì chúng như một phần của quy trình cải tiến liên tục.

Một cách tiếp cận cơ bản là sử dụng các kịch bản sự cố đã biết và các sự kiện liên quan để xây dựng hướng ứng phó cơ bản cho mỗi loại sự cố và sự kiện liên quan như sau:

...

...

...

b) Cho một tập các sự cố đã biết (ví dụ tấn công xâm nhập mật khẩu, lỗi máy chủ do không đủ không gian đĩa cứng).

c) Xác định các sự kiện dẫn đến sự cố (ví dụ cố gắng đăng nhập lỗi, sử dụng đĩa cứng).

d) Xác định thời gian phát hiện phù hợp (ví dụ ngưỡng để các sự kiện được báo cáo/cảnh báo tới hệ thống/người quản trị).

e) Xác định thời gian ứng phó phù hợp (ví dụ khung thời gian cho nhà quản trị đưa ra hành động để ngăn chặn sự cố trở thành hiện thực).

f) Phân loại các sự kiện theo nhóm thời gian ứng phó mong muốn và kiểu hoạt động ứng phó; các sự kiện có thể được phân loại theo nhóm mối đe doạ, nhóm ứng dụng, nhóm hành động ứng phó và/hoặc nhóm thời gian ứng phó.

g) Hoàn thiện các ma trận và các phép đo thông qua việc kiểm thử kịch bản và diễn tập.

h) Tiến hành kiểm thử để xác định liệu các hành động ứng phó có khả thi và có đạt được mục tiêu không.

i) Hoàn thiện các phân loại, thời gian ứng phó sự kiện dự kiến và các hành động ứng phó sự kiện dự kiến (ví dụ, tìm phương pháp thay thế để giám sát, phát hiện và hành động).

j) Cải tiến bằng cách nắm bắt các sự kiện và kịch bản lỗi mới và lặp lại quy trình.

...

...

...

Thư mục tài liệu tham khảo

[1] SS 540:2008, Singapore Standard for Business Continuity Management

[2] BS 25999-1:2006, Business continuity management - Part 1: Code of practice

[3] TCVN ISO 9000:2007 (ISO 9000:2005), Hệ thống quản lý chất lượng - Cơ sở và từ vựng

[4] ISO/IEC 18043:2006, Information technology - Security techniques - Selection, deployment and operations of intrusion detection systems

[5] ISO/IEC 20000-1:2005, Information technology - Service management - Part 1: Specification

[6] ISO/IEC 20000-2:2005, Information technology - Service management - Part 2: Code of practice

[7] ISO 22301, Societal security - Preparedness and continuity management systems - Requirements 2)

[8] ISO/IEC 24762:2008, Information technology - Security techniques - Guidelines for information and communications technology disaster recovery services

...

...

...

[10] TCVN 10542 (ISO/IEC 27004), Công nghệ thông tin - Các kỹ thuật an toàn - Quản lý an toàn thông tin - Đo lường

[11] ISO 31010:2009, Risk management - Risk assessment techniques

MỤC LỤC

Lời nói đầu

Lời giới thiệu

1  Phạm vi áp dụng

2  Tài liệu viện dẫn

3  Thuật ngữ và định nghĩa

...

...

...

5  Tổng quan

5.1  Vai trò của IRBC trong quản lý tính liên tục của hoạt động

5.2  Nguyên tắc của IRBC

5.3  Phần tử của IRBC

5.4  Thành quả và lợi ích của IRBC

5.5  Thiết lập IRBC

5.6  Sử dụng chu trình PDCA để thiết lập IRBC

5.7  Trách nhiệm của lãnh đạo

6  Lập kế hoạch IRBC

...

...

...

6.2  Nguồn lực

6.3  Xác định yêu cầu

6.4  Xác định các tùy chọn chiến lược IRBC

6.5  Phê duyệt

6.6  Nâng cao khả năng IRBC

6.7  Tiêu chí hiệu năng sự sẵn sàng ICT

7  Triển khai và vận hành

7.1  Tổng quát

7.2  Triển khai các phần tử của chiến lược IRBC

...

...

...

7.4  Tài liệu kế hoạch IRBC

7.5  Chương trình nâng cao nhận thức, năng lực và đào tạo

7.6  Kiểm soát tài liệu

8  Giám sát và xem xét

8.1  Duy trì IRBC

8.2  Đánh giá nội bộ IRBC

8.3  Xem xét của lãnh đạo

8.4  Đo lường tiêu chí hiệu năng sự sẵn sàng ICT

9  Cải tiến IRBC

...

...

...

9.2  Hành động khắc phục

9.3  Hành động phòng ngừa

Phụ lục A (Tham khảo) IRBC và các mốc trong một gián đoạn

Phụ lục B (Tham khảo) Hệ thống nhúng có tính sẵn sàng cao

Phụ lục C (Tham khảo) Đánh giá kịch bản lỗi

Phụ lục D (Tham khảo) Phát triển tiêu chí hiệu năng

Thư mục tài liệu tham khảo