Tiêu chuẩn Quốc gia TCVN ISO/IEC 27031:2017

Tiêu chuẩn này mô tả các khái niệm và nguyên tắc cho sự sẵn sàng về công nghệ thông tin và truyền thông (ICT) để đảm bảo tính liên tục của hoạt động, và cung cấp khung các phương thức và quy trình để định danh, xác định tất cả các khía cạnh (như các tiêu chí hiệu năng, thiết kế và thực hiện) để cải thiện sự sẵn sàng ICT của tổ chức nhằm đảm bảo tính liên tục của hoạt động. Tiêu chuẩn này áp dụng cho mọi tổ chức (tư nhân, chính phủ, phi chính phủ) phát triển chương trình ICT để đảm bảo tính liên tục của hoạt động, tổ chức có yêu cầu dịch vụ/cơ sở hạ tầng cần sẵn sàng hỗ trợ cho hoạt động trong trường hợp xảy ra các sự kiện và sự cố khẩn cấp, và các gián đoạn liên quan, có thể ảnh hưởng đến tính liên tục (bao gồm cả tính an toàn) của các chức năng hoạt động quan trọng. Tiêu chuẩn này cũng cho phép tổ chức đo lường các thông số hiệu năng của IRBC một cách phù hợp.

TIÊU CHUẨN QUỐC GIA TCVN ISO/IEC 27031:2017 ISO/IEC 27031:2011

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN ĐẢM BẢO SỰ SẴN SÀNG VỀ CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG CHO TÍNH LIÊN TỤC CỦA HOẠT ĐỘNG

Information technology - Security techniques - Guidelines for information and communication

technology readiness for business continuity

Lời nói đầu

TCVN ISO/1EC 27031:2017 hoàn toàn tương đương ISO/IEC 27031:2011

TCVN ISO/IEC 27031:2017 do Học viện Công nghệ Bưu chính Viễn thông biên soạn, Bộ Thông tin và Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học và Công nghệ công bố

Lời giới thiệu

Trong những năm qua, công nghệ thông tin và truyền thông đã trở thành một phần không thể thiếu của rất nhiều hoạt động, là những thành phần của cơ sở hạ tầng quan trọng trong tất cả các lĩnh vực của tổ chức, cho dù là tổ chức công, doanh nghiệp hay tổ chức tình nguyện Sự phát triển của Internet và các dịch vụ mạng, khả năng của các hệ thống và ứng dụng ngày nay, điều này đồng nghĩa với việc tổ chức ngày càng phụ thuộc nhiều vào cơ sở hạ tầng công nghệ thông tin và truyền thông (ICT) đáng tin cậy

và an toàn

Trong khi đó, nhu cầu quản lý tính liên tục của hoạt động, bao gồm sự sẵn sàng đối phó với sự cố, phục hồi sau thảm họa, ứng phó khẩn cấp và quản lý, đã được thừa nhận và hỗ trợ bằng các lĩnh vực kiến thức, chuyên môn cụ thể, các tiêu chuẩn được phát triển và ban hành trong những năm gần đây, bao gồm chuẩn quốc tế BCM được phát triển bởi ISO/IEC 223

Lỗi, sự cố của các dịch vụ ICT, bao gồm sự xuất hiện của sự cố làm ảnh hưởng tới an toàn hệ thống như xâm nhập hệ thống, lây nhiễm mã độc cũng sẽ ảnh hưởng tới tính liên tục của các hoạt động Do vậy việc quản lý ICT, tính liên tục và các khía cạnh an toàn khác tạo thành một phần của các yêu cầu liên tục hoạt động Hơn nữa, trong hầu hết các trường hợp, các chức năng hoạt động quan trọng đòi hỏi tính liên tục của hoạt động thường phụ thuộc vào ICT Sự phụ thuộc này có nghĩa là sự gián đoạn ICT có thể mang lại rủi ro ảnh hưởng tới khả năng hoạt động và uy tín của tổ chức

Sự sẵn sàng ICT là thành phần thiết yếu của nhiều tổ chức trong việc thực hiện quản lý liên tục hoạt động và quản lý an toàn thông tin Là một phần của việc thực hiện và vận hành hệ thống quản lý an toàn thông tin ISMS được quy định trong TCVN ISO/IEC 27001 và hệ thống quản lý tính liên tục của hoạt động tương ứng, việc xây dựng và thực hiện kế hoạch liên tục hoạt động cho dịch vụ ICT là rất quan trọng để đảm bảo tính liên tục của hoạt động

BCM hiệu quả thường phụ thuộc vào hiệu quả của sự sẵn sàng ICT để đảm bảo mục tiêu của tổ chức

có thể tiếp tục đạt được trong thời gian bị gián đoạn Điều này đặc biệt quan trọng vì hậu quả của các gián đoạn ICT làm tăng sự phức tạp tiềm ẩn hoặc gây khó khăn để phát hiện

Để tổ chức đạt được sự sẵn sàng ICT cho tính liên tục của hoạt động, tổ chức cần đưa ra một quy trình để ngăn chặn, dự đoán và quản lý sự gián đoạn ICT và các sự cố có thể làm gián đoạn các dịch

vụ ICT Điều này có thể đạt được bằng việc áp dụng chu trình PDCA như một phần của hệ thống quản

lý trong ICT IRBC Theo cách này IRBC hỗ trợ BCM bằng cách đảm bảo các dịch vụ ICT là linh hoạt và

có thể được phục hồi đến các mức độ xác định trước trong khoảng thời gian cần thiết và được sự đồng

ý của tổ chức

Chu trình PDCA trong IRBC

Lập kế hoạch -

Plan Thiết lập chính sách IRBC, các mục tiêu, quy trình và các thủ tục liên quan nhằm quản lý rủi ro và cải tiến sự sẵn sàng ICT để cung cấp kết

quả phù hợp với các chính sách và mục tiêu tính liên tục của hoạt động tổng thể của tổ chức

Thực hiện - Do Thực hiện và vận hành chính sách, các kiểm soát, quy trình và thủ tục

IRBC

Kiểm tra - Check Đánh giá và nếu có thể, đo lường hiệu năng của quy trình theo chính

sách IRBC, mục tiêu và các kinh nghiệm thực tế, và báo cáo kết quả tới lãnh đạo để xem xét

Hành động - Act Thực hiện các hành động khắc phục và phòng ngừa, dựa trên kết quả

xem xét của lãnh đạo để đạt được sự cải tiến liên tục của IRBC

Nếu tổ chức sử dụng TCVN ISO/IEC 27001 để thiết lập một ISMS, và sử dụng các tiêu chuẩn liên quan

để thiết lập hệ thống BCM, việc thiết lập IRBC nên đi vào việc xem xét sự tồn tại hoặc sự gắn kết các quy trình tới các tiêu chuẩn này Liên kết này có thể hỗ trợ việc thiết lập IRBC và tránh quy trình kép cho tổ chức

Hình 1 - Tích hợp IRBC và BCM

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN ĐẢM BẢO SỰ SẴN SÀNG

VỀ CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG CHO TÍNH LIÊN TỤC CỦA HOẠT ĐỘNG

Information technology - Security techniques - Guidelines for information and communication

technology readiness for business continuity

Tiêu chuẩn này áp dụng cho tất cả các sự kiện và sự cố (bao gồm cả sự kiện và sự cố liên quan đến

an toàn) có thể ảnh hưởng tới các hệ thống và cơ sở hạ tầng ICT Phạm vi của hướng dẫn này cũng bao gồm và mở rộng các thực hành về xử lý và quản lý sự cố an toàn thông tin, các dịch vụ và việc lập

kế hoạch cho sự sẵn sàng ICT.

2 Tài liệu viện dẫn

Các tài liệu viện dẫn sau là cần thiết cho việc áp dụng tiêu chuẩn này Đối với các tài liệu viện dẫn ghi năm công bố thì áp dụng bản được nêu Đối với các tài liệu viện dẫn không ghi năm công bố thì áp dụng phiên bản mới nhất, bao gồm cả các sửa đổi (nếu có)

TCVN 11239 (ISO/IEC 27035), Công nghệ thông tin - Các kỹ thuật an toàn - Quản lý sự cố an toàn thông tin

TCVN 11238 (ISO/IEC 27000), Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý an toàn thông tin - Tổng quan và từ vựng

TCVN ISO/IEC 27001 (ISO/IEC 27001), Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý

an toàn thông tin và truyền thông - Các yêu cầu

TCVN ISO/IEC 27002 (ISO/IEC 27002), Công nghệ thông tin - Các kỹ thuật an toàn - Quy tắc thực hành cho quản lý an toàn thông tin

TCVN 10295 (ISO/IEC 27005), Công nghệ thông tin - Các kỹ thuật an toàn - Quản lý rủi ro an toàn thông tin

3 Thuật ngữ và định nghĩa

Tiêu chuẩn này sử dụng các thuật ngữ và định nghĩa sau đây

3.1

Vị trí thay thế (alternate site)

Vị trí vận hành thay thế được tổ chức lựa chọn khi các hoạt động thông thường không thể được thực hiện khi sử dụng vị trí thông thường sau khi gián đoạn đã xảy ra

Gián đoạn (disruption)

Sự cố, được dự báo (ví dụ như bão) hoặc không được dự báo (như mất điện, động đất hoặc tấn công

và hệ thống/cơ sở hạ tầng ICT) làm gián đoạn các hoạt động thông thường ở một vị trí nào đó của tổ chức

3.7

Phục hồi sau thảm họa ICT (ICT disaster recovery)

Khả năng của các phần tử ICT trong tổ chức để hỗ trợ các chức năng hoạt động quan trọng hoạt động

ở một mức có thể chấp nhận được trong một khoảng thời gian định trước sau gián đoạn

Chế độ lỗi (failure mode)

Cách thức mà một lỗi được quan sát

CHÚ THÍCH: Chế độ này mô tả cách thức xảy ra một lỗi và lỗi ảnh hưởng thế nào đến hoạt động của

Khả năng phục hồi (resilience)

Khả năng chống lại tác động gián đoạn của tổ chức

3.15

Kích khởi (trigger)

Sự kiện làm cho hệ thống khởi tạo một quá trình ứng phó.

CHÚ THÍCH: Còn gọi là sự kiện kích khởi

3.16

Hồ sơ quan trọng (vital record)

Hồ sơ giấy hoặc điện tử cần thiết cho việc duy trì, đảm bảo tính liên tục hoặc tái thiết lập các hoạt động của tổ chức và bảo vệ quyền của tổ chức, đội ngũ nhân viên, khách hàng và các bên liên quan

4 Từ viết tắt

IRBC ICT Readiness for Business Continuity Sự sẵn sàng ICT cho tính liên tục của

hoạt độngISMS Information Security Management System Hệ thống quản lý an toàn thông tin

5 Tổng quan

5.1 Vai trò của IRBC trong quản lý tính liên tục của hoạt động

Quản lý tính liên tục của hoạt động (BCM) là quy trình quản lý tổng thể nhận biết các mối đe dọa tiềm

ẩn và các tác động tới hoạt động của tổ chức, cung cấp một khung để xây dựng khả năng phục hồi và khả năng ứng phó hiệu quả nhằm bảo vệ lợi ích của tổ chức trước các gián đoạn

Là một phần của quy trình BCM, IRBC được coi là một hệ thống quản lý để bổ sung và hỗ trợ cho BCM và/hoặc ISMS của tổ chức, để cải thiện sự sẵn sàng của tổ chức nhằm mục đích:

a) ứng phó với môi trường rủi ro thay đổi liên tục;

b) đảm bảo tính liên tục của các hoạt động quan trọng được hỗ trợ bởi các dịch vụ ICT;

c) sẵn sàng ứng phó trước sự xảy ra gián đoạn dịch vụ ICT, trên cơ sở phát hiện một hoặc nhiều sự kiện liên quan đã phát triển thành các sự cố;

d) ứng phó và phục hồi sau các sự cố/thảm họa và các lỗi

Hình 2 minh hoạ các kết quả ICT dự kiến để hỗ trợ các hoạt động BCM

Hình 2 - Khung đảm bảo tính liên tục của hoạt động, đầu ra ICT liên quan và kết quả dự kiến

Tiêu chuẩn quốc tế BCM được xây dựng bởi ISO/IEC 223 tóm tắt các phương pháp tiếp cận BCM để ngăn chặn, phản ứng và phục hồi sau sự cố Các hoạt động liên quan đến BCM gồm sẵn sàng đối phó với sự cố, quản lý hoạt động và tính liên tục, lập kế hoạch phục hồi sau thảm họa (DRP) và giảm thiểu rủi ro tập trung vào việc tăng khả năng phục hồi của tổ chức và chuẩn bị sẵn sàng để phản ứng hiệu quả với sự cố và phục hồi trong khoảng thời gian xác định trước.

Do đó, tổ chức thiết đặt các quyền ưu tiên BCM để điều khiển các hoạt động IRBC BCM phụ thuộc vào IRBC để đảm bảo tổ chức có thể đạt được toàn bộ các mục tiêu tính liên tục tổng thể và đặc biệt là trong khoảng thời gian bị gián đoạn

Như thể hiện trong Hình 3, các hoạt động sẵn sàng nhằm mục đích:

a) cải thiện khả năng phát hiện sự cố;

b) ngăn chặn lỗi bất thường hoặc tác động mạnh;

c) cho phép giảm trạng thái hoạt động xuống mức có thể chấp nhận khi không thể dừng lỗi;

d) rút ngắn thời gian phục hồi;

e) giảm thiểu tác động khi xảy ra sự cố

Hình 3 - Khái niệm về sự sẵn sàng ICT cho tính liên tục của hoạt động 5.2 Nguyên tắc của IRBC

IRBC dựa trên các nguyên tắc chính sau:

a) Ngăn chặn sự cố - Bảo vệ các dịch vụ ICT khỏi các mối đe dọa như: lỗi phần cứng và môi trường, lỗi hoạt động, tấn công mã độc và thảm họa tự nhiên, nguyên tắc này rất quan trọng để duy trì tính sẵn sàng mức hệ thống đối với tổ chức;

b) Phát hiện sự cố - Phát hiện các sự cố sớm nhất có thể sẽ giảm thiểu tác động tới các dịch vụ, tiết kiệm công sức phục hồi và bảo vệ chất lượng cho dịch vụ;

c) Ứng phó - Việc ứng phó với sự cố theo cách phù hợp nhất sẽ giúp việc phục hồi hiệu quả và giảm thiểu thời gian không sẵn sàng Việc phản ứng không tốt có thể dẫn đến sự cố nhỏ leo thang thành sự

cố nghiêm trọng hơn;

d) Phục hồi - Việc xác định và triển khai chiến lược phục hồi phù hợp sẽ đảm bảo sự khôi phục dịch vụ kịp thời và duy trì tính toàn vẹn của dữ liệu Việc hiểu các ưu tiên phục hồi sẽ cho phép các dịch vụ quan trọng nhất được phục hồi đầu tiên Các dịch vụ ít quan trọng hơn có thể được phục hồi sau hoặc trong một số tình huống, nhưng không phải tất cả;

d) Cải tiến - Bài học kinh nghiệm từ các sự cố nhỏ và sự cố lớn được lập tài liệu, phân tích và xem xét lại Việc hiểu các bài học cho phép tổ chức chuẩn bị, kiểm soát và tránh các sự cố và gián đoạn tốt

Hình 4 minh họa phần tử IRBC tương ứng hỗ trợ việc phục hồi sau thảm họa ICT điển hình theo thời gian và hỗ trợ các hoạt động liên tục hoạt động Việc thực hiện IRBC cho phép tổ chức ứng phó hiệu quả với các mối đe dọa mới và đang phổ biến cũng như khả năng phản ứng với gián đoạn và phục hồi sau gián đoạn

Hình 4 - Nguyên tắc của IRBC theo tiến độ phục hồi sau thảm họa ICT điển hình

CHÚ THÍCH: Giai đoạn phục hồi bao gồm các hoạt động phục hồi/đưa dịch vụ hoạt động trở lại kịp thời, các vận hành ICT DR ổn định, phục hồi và trở lại hoạt động bình thường Để biết chi tiết tham khảo Hình A.1 trong Phụ lục A

5.3 Phần tử của IRBC

Các phần tử chính của IRBC có thể được tóm tắt như sau:

a) Con người: các chuyên gia với kỹ năng và kiến thức phù hợp, và nhân sự dự phòng có trình độ;b) Trang thiết bị: môi trường vật lý cho nguồn lực ICT;

c) Công nghệ:

1) Phần cứng (bao gồm tủ rack, máy chủ, thiết bị lưu trữ, thiết bị băng từ và các phụ kiện cố định);2) Mạng (bao gồm kết nối dữ liệu và các dịch vụ âm thanh), các bộ chuyển mạch và bộ định tuyến;3) Phần mềm, gồm hệ điều hành và phần mềm ứng dụng, các liên kết, giao diện giữa ứng dụng và chương trình xử lý hàng loạt;

d) Dữ liệu: dữ liệu ứng dụng, dữ liệu thoại và các kiểu dữ liệu khác;

e) Quy trình: bao gồm tài liệu mô tả cấu hình của các nguồn lực ICT, cho phép vận hành hiệu quả giúp phục hồi và duy trì các dịch vụ ICT;

f) Nhà cung ứng: các phần tử khác của dịch vụ đầu-cuối nơi khi việc cung cấp dịch vụ ICT phụ thuộc vào một nhà cung cấp dịch vụ bên ngoài hoặc tổ chức khác trong chuỗi cung ứng, ví dụ nhà cung cấp

dữ liệu thị trường tài chính, nhà cung cấp dịch vụ Internet hoặc dịch vụ viễn thông

5.4 Thành quả và lợi ích của IRBC

Lợi ích của IRBC đối với tổ chức:

a) hiểu rủi ro ảnh hưởng đến tính liên tục của các dịch vụ ICT và các điểm yếu của chúng;

b) xác định các ảnh hưởng của gián đoạn tới dịch vụ ICT;

c) khuyến khích cải thiện sự cộng tác giữa các nhà quản lý hoạt động của tổ chức và các nhà cung cấp dịch vụ ICT (trong và ngoài);

d) phát triển và nâng cao năng lực của nhân viên ICT bằng cách thể hiện các ứng phó thông qua việc thực hiện kế hoạch liên tục ICT và các bố trí kiểm thử IRBC;

e) cung cấp sự đảm bảo cho quản lý cấp cao rằng tổ chức có thể tùy thuộc vào các mức dịch vụ ICT định trước và nhận được hỗ trợ và truyền đạt đầy đủ khi có gián đoạn;

f) cung cấp sự đảm bảo cho lãnh đạo cao nhất rằng an toàn thông tin (tính bí mật, tính toàn vẹn và tính sẵn sàng) được đảm bảo đúng cách, đảm bảo tuân thủ các chính sách an toàn thông tin;

g) cung cấp thêm độ tin cậy trong chiến lược liên tục hoạt động thông qua việc kết nối đầu tư trong các giải pháp IT vào nhu cầu hoạt động và đảm bảo rằng các dịch vụ ICT được bảo vệ ở mức độ phù hợp với tầm quan trọng của chúng với tổ chức;

h) có các dịch vụ ICT hiệu quả về chi phí và không dưới hoặc vượt mức đầu tư thông qua việc hiểu biết về mức độ phụ thuộc của tổ chức vào các dịch vụ ICT; bản tính, vị trí, sự phụ thuộc lẫn nhau và việc sử dụng các phần tử tạo nên dịch vụ ICT;

i) có thể cải thiện uy tín cho tổ chức một cách an toàn và hiệu quả;

j) tiềm năng giành được lợi thế cạnh tranh thông qua khả năng cung cấp tính liên tục của hoạt động, duy trì sản phẩm và dịch vụ cung cấp trong các thời điểm bị gián đoạn;

k) hiểu, lập tài liệu kỳ vọng của các bên liên quan và mối quan hệ của họ với và việc sử dụng các dịch

vụ ICT

IRBC cung cấp một cách để xác định trạng thái các dịch vụ ICT của tổ chức trong việc hỗ trợ các mục tiêu của tính liên tục của hoạt động của tổ chức bằng cách giải quyết câu hỏi “ICT của chúng tôi có khả năng đáp ứng” thay vì “ICT của chúng tôi an toàn”

5.5 Thiết lập IRBC

IRBC sẽ hiệu quả và tiết kiệm chi phí khi được thiết kế và tích hợp vào dịch vụ ICT từ khi thiết lập dịch

vụ ICT như một phần của chiến lược IRBC để hỗ trợ mục tiêu BC của tổ chức Điều này đảm bảo các dịch vụ ICT được xây dựng tốt hơn, được hiểu rõ ràng hơn, mềm dẻo hơn Việc cải tiến IRBC có thể dẫn đến phức tạp, gây xáo trộn và tốn kém

Các tổ chức nên xây dựng, thực hiện, duy trì và cải tiến thường xuyên bộ quy trình đã được lập tài liệu

Hình 5 - Các giai đoạn trong IRBC 5.6 Sử dụng chu trình PDCA để thiết lập IRBC

IRBC liên quan đến tổ chức trong việc thiết lập các quy trình để phát triển và cải thiện các phần tử chính của nó (xem 5.2), nhằm cải thiện khả năng của chúng khi ứng phó với mọi gián đoạn, bao gồm thay đổi các tình huống rủi ro thông qua việc sử dụng phương pháp tiếp cận PDCA Hình 5 thể hiện các hoạt động trong các giai đoạn khác nhau của IRBC

5.7 Trách nhiệm của lãnh đạo

5.7.1 Sự lãnh đạo và cam kết của quản lý

Một chương trình IRBC hiệu quả nên là một quy trình tích hợp đầy đủ với các hoạt động quản lý của tổ chức, được định hướng từ người quản lý cấp cao, được ủng hộ và khuyến khích từ lãnh đạo cao nhất Các nhân viên IRBC chuyên nghiệp và nhân viên từ các lĩnh vực quản lý và các phòng ban khác có thể được yêu cầu để hỗ trợ và quản lý chương trình IRBC Số lượng nguồn lực yêu cầu để hỗ trợ một chương trình IRBC phụ thuộc vào quy mô và độ phức tạp của tổ chức

5.7.2 Chính sách IRBC

Tổ chức cần có chính sách IRBC được lập tài liệu Ban đầu, tài liệu này có thể ở mức chung chung so với sự tinh tế và việc cải thiện của toàn bộ quy trình IRBC Sau đó chính sách cần được rà soát và cập nhật phù hợp với nhu cầu tổ chức và cần nhất quán với mục tiêu BCM

Chính sách IRBC cần cung cấp cho tổ chức các quy tắc được lập tài liệu trong đó có các nguyên tắc về những gì tổ chức mong muốn và những nguyên tắc để có thể đo lường hiệu quả của IRBC Chính sách IRBC cần:

a) Thiết lập và giải thích cam kết của lãnh đạo cao nhất về chương trình IRBC;

b) Bao gồm hoặc tham chiếu đến các mục tiêu IRBC của tổ chức;

c) Xác định phạm vi của IRBC, bao gồm cả các hạn chế và ngoại lệ;

d) Được phê duyệt và ký bởi lãnh đạo cao nhất;

e) Được thông báo cho các bên liên quan trong và ngoài tổ chức;

f) Định danh và cung cấp quyền tương ứng về tính sẵn sàng của các nguồn lực như ngân sách, nhân viên cần thiết để thực hiện các hoạt động phù hợp với chính sách IRBC;

g) Được xem xét ở những khoảng thời gian theo kế hoạch và khi có thay đổi lớn, như thay đổi môi trường, thay đổi cơ cấu và hoạt động của tổ chức

6 Lập kế hoạch IRBC

6.1 Tổng quát

Mục tiêu chính của giai đoạn lập kế hoạch là thiết lập các yêu cầu sự sẵn sàng ICT bao gồm:

a) chiến lược IRBC và kế hoạch IRBC cần thiết để hỗ trợ các yêu cầu hoạt động, pháp lý, luật pháp liên quan tới phạm vi và kết quả xác định của các mục tiêu tính liên tục của hoạt động của tổ chức.b) tiêu chí hiệu năng cần thiết để giám sát mức độ sẵn sàng ICT mà tổ chức yêu cầu nhằm đạt được những mục đích và mục tiêu đó

6.2 Nguồn lực

6.2.1 Tổng quát

Là một phần của chính sách bắt buộc, tổ chức cần xác định sự cần thiết của một chương trình IRBC như một phần mục tiêu BCM tổng thể, xác định và cung cấp các nguồn lực cần thiết để thiết lập, thực hiện, vận hành và duy trì chương trình IRBC

Vai trò, trách nhiệm, năng lực và thẩm quyền trong IRBC cần được xác định và lập tài liệu

6.2.2 Năng lực của nhân viên IRBC

Tổ chức cần đảm bảo tất cả những người được giao trách nhiệm IRBC có đủ năng lực để thực hiện các nhiệm vụ theo yêu cầu Chi tiết được nêu trong 7.2.1

6.3 Xác định yêu cầu

6.3.1 Tổng quát

Là một phần của chương trình BCM, tổ chức sẽ phân loại các hoạt động theo mức độ ưu tiên của tính liên tục (như được xác định bởi BIA) và xác định mức tối thiểu mà mỗi hoạt động quan trọng cần được thực hiện sau khi được khôi phục Lãnh đạo cao nhất cần đồng ý với các yêu cầu của tính liên tục của hoạt động và các yêu cầu này sẽ cho Mục tiêu thời gian phục hồi (RTO) và Mục tiêu thời điểm phục hồi (RPO) của Mục tiêu tính liên tục của hoạt động tối thiểu (MBCO) với mỗi sản phẩm, dịch vụ hoặc hoạt động RTO hồi bắt đầu từ thời điểm mà tại đó gián đoạn xảy ra và chạy tới khi có sản phẩm, dịch vụ hoặc hoạt động

6.3.2 Hiểu rõ các dịch vụ ICT quan trọng

Có thể có một số dịch vụ ICT được coi là quan trọng và được yêu cầu cho phép thực hiện phục hồi Mỗi dịch vụ ICT quan trọng cần có RTO và RPO được lập tài liệu cho MBCO của dịch vụ ICT đó (Điều này có thể bao gồm các khía cạnh của việc cung cấp dịch vụ ICT như chăm sóc khách hàng) RTO của dịch vụ ICT quan trọng sẽ ít thay đổi hơn so với RTO của tính liên tục của hoạt động, (xem Phụ lục A

để biết chi tiết về RTO và RPO)

Tổ chức cần xác định và lập tài liệu các dịch vụ ICT quan trọng bao gồm mô tả ngắn gọn và tên có ý nghĩa với tổ chức ở mức người dùng dịch vụ Điều này sẽ đảm bảo sự hiểu biết chung giữa nhân viên nghiệp vụ và nhân viên ICT vì có thể sử dụng các tên khác nhau cho cùng một dịch vụ ICT Mỗi dịch vụ ICT quan trọng được liệt kê cần xác định sản phẩm và dịch vụ mà nó hỗ trợ và lãnh đạo cao nhất cần đồng ý với các dịch vụ ICT và các yêu cầu IRBC liên quan của chúng

Với mỗi dịch vụ ICT quan trọng đã xác định và thống nhất, tất cả các phần tử ICT của dịch vụ đầu-cuối cần được mô tả và lập tài liệu, chỉ ra cách cấu hình hoặc liên kết để cung cấp từng dịch vụ Cả cấu hình của môi trường cung cấp dịch vụ ICT thông thường và môi trường cung cấp dịch vụ ICT liên quan đều cần được lập tài liệu

Đối với mỗi dịch vụ ICT quan trọng, khả năng liên lục hiện thời (ví dụ sự tồn tại của điểm lỗi đơn lẻ) cần được xem xét từ góc độ phòng chống để đánh giá rủi ro gián đoạn hoặc thất bại của dịch vụ (mà có thể được thực hiện như một phần của việc đánh giá rủi ro BCM tổng thể) Cũng cần tìm các cơ hội để cải thiện khả năng phục hồi dịch vụ ICT và làm giảm khả năng và/hoặc tác động của gián đoạn dịch vụ Cũng có thể chú trọng vào các cơ hội để phát hiện sớm và phản ứng với các gián đoạn dịch vụ ICT Tổ chức có thể quyết định việc có đầu tư vào cơ hội xác định tình huống để cải thiện khả năng phục hồi cho dịch vụ không, việc đánh giá rủi ro dịch vụ (có thể là một phần của khung đánh giá rủi ro tổng thể của tổ chức) có thể gợi ý tình huống nghiệp vụ để cải thiện khả năng phục hồi dịch vụ ICT.

6.3.3 Xác định chênh lệch giữa các khả năng sẵn sàng ICT và các yêu cầu tính liên tục của hoạt động

Với mỗi dịch vụ ICT quan trọng, các bố trí về sự sẵn sàng ICT như ngăn chặn, giám sát, phát hiện, ứng phó và phục hồi cần được so sánh với các yêu cầu tính liên tục của hoạt động và mọi chênh lệch giữa khả năng sẵn sàng ICT và yêu cầu tính liên tục của hoạt động cần được lập tài liệu

Lãnh đạo cao nhất cần được thông báo về mọi chênh lệch giữa khả năng của IRBC và các yêu cầu liên tục hoạt động Các chênh lệch như vậy có thể cho thấy rủi ro và nhu cầu đối với các nguồn lực bổ sung cho khôi phục và phục hồi, ví dụ:

a) chuyên viên, bao gồm cả số lượng, kỹ năng và kiến thức;

b) trang thiết bị chứa các thiết bị ICT, ví dụ như phòng máy tính;

c) công nghệ, máy móc, thiết bị và mạng (công nghệ) hỗ trợ;

d) ứng dụng và cơ sở dữ liệu;

e) tài chính hoặc phân bổ ngân sách;

f) dịch vụ bên ngoài và nhà cung ứng

Lãnh đạo cao nhất cần ký duyệt các định nghĩa dịch vụ ICT, danh sách được lập tài liệu của dịch vụ ICT quan trọng, các rủi ro liên quan đến chênh lệch giữa khả năng IRBC và các yêu cầu liên tục hoạt động Việc này cần bao gồm cả việc ký duyệt các rủi ro đã xác định nếu có thể Các tùy chọn để giải quyết các chênh lệch và rủi ro xác định sau đó sẽ được nghiên cứu khi xác định các chiến lược IRBC

6.4 Xác định các tùy chọn chiến lược IRBC

6.4.1 Tổng quát

Các chiến lược IRBC cần xác định các phương pháp tiếp cận để thực hiện phục hồi theo yêu cầu sao cho các nguyên tắc phòng ngừa, phát hiện, ứng phó, phục hồi và khôi phục sự cố cũng được thực hiện

Các tùy chọn chiến lược IRBC cần được đánh giá Các chiến lược được lựa chọn cần có khả năng hỗ trợ các yêu cầu liên tục hoạt động của tổ chức

Tổ chức cần cân nhắc việc thực hiện và các yêu cầu nguồn lực khi phát triển chiến lược Nhà cung ứng bên ngoài có thể được ký hợp đồng để cung cấp dịch vụ và kỹ thuật đặc biệt đóng một vai trò quan trọng trong việc hỗ trợ chiến lược

Chiến lược IRBC cần đủ linh hoạt để phục vụ cho các chiến lược hoạt động khác nhau tại các thị trường khác nhau Ngoài ra chiến lược của tổ chức cần tính đến các ràng buộc và yếu tố nội bộ như:a) ngân sách;

Tổ chức cần xem xét một loạt các tùy chọn về sự sẵn sàng với sự cố của các dịch vụ ICT quan trọng Các tùy chọn cần xem xét tăng cường sự bảo vệ và khả năng phục hồi, cũng như cung cấp phục hồi

và khôi phục sau các gián đoạn ngoài kế hoạch, và có thể bao gồm sự bố trí nội bộ; các dịch vụ đã cung cấp tới tổ chức và dịch vụ cung cấp bên ngoài bởi một hoặc nhiều bên thứ ba

Các tùy chọn cần cân nhắc đến các thành phần khác nhau đã được yêu cầu để đảm bảo tính liên tục

và phục hồi của các dịch vụ ICT quan trọng IRBC có thể đạt được bằng nhiều cách, và cần giải quyết các phần tử của IRBC như mô tả trong 5.3

a) lập tài liệu cách thức các dịch vụ ICT quan trọng được thực hiện;

b) đào tạo đa kỹ năng cho nhân viên ICT và các nhà thầu để nâng cao dự phòng kỹ năng;

c) phân tách các kỹ năng cốt lõi để giảm việc tập trung rủi ro (điều này có thể đòi hỏi sự phân tách về vật lý của nhân viên với các kỹ năng cốt lõi hoặc đảm bảo có nhiều hơn một người có kỹ năng cốt lõi);d) duy trì và quản lý kiến thức

6.4.2.2 Trang thiết bị

Với các rủi ro đã xác định, tổ chức cần đặt ra chiến lược để giảm ảnh hưởng trong việc trang thiết bị ICT thông thường không sẵn sàng Chiến lược này có thể bao gồm:

a) trang thiết bị (vị trí) thay thế bên trong tổ chức, bao gồm cả thay thế của các hành động khác;

b) trang thiết bị thay thế được cung cấp bởi tổ chức khác;

c) trang thiết bị thay thế được cung cấp bởi chuyên gia bên thứ 3;

d) làm việc từ nhà hoặc từ xa;

e) các trang thiết bị làm việc phù hợp khác được chấp thuận;

f) sử dụng nguồn lực thay thế tại một vị trí thiết lập;

g) trang thiết bị thay thế có thể được vận chuyển tới vị trí bị gián đoạn và được sử dụng để thay thế trực tiếp một số tài sản vật chất liên quan

Các chiến lược cho trang thiết bị ICT có thể thay đổi đáng kể và rất nhiều tùy chọn có thể đã sẵn sàng Các kiểu sự cố hoặc mối đe dọa khác nhau có thể yêu cầu thực hiện nhiều chiến lược (lựa chọn và kết hợp các phương pháp) mà bị ảnh hưởng một phần bởi quy mô tổ chức, độ rộng của các hành động, vị trí, công nghệ và ngân sách,

Trong khi xem xét việc sử dụng các trang thiết bị thay thể cần xem xét các vấn đề sau:

a) sự an toàn của vị trí;

b) truy cập của nhân viên;

c) khoảng cách tới các tiện ích hiện tại;

d) tính sẵn sàng

6.4.2.3 Công nghệ

Các dịch vụ ICT mà các hoạt động quan trọng phụ thuộc vào cần sẵn sàng trước khi kết nối vào hoạt động quan trọng Vì vậy các giải pháp được yêu cầu để đảm bảo tính sẵn sàng của các ứng dụng trong các khung thời gian cụ thể, ví dụ RTO cần được xác định như một phần của BIA Nền tảng công nghệ và phần mềm ứng dụng cần sẵn sàng trong các khoảng thời gian được tổ chức yêu cầu

Các công nghệ hỗ trợ các dịch vụ ICT quan trọng thường cần những bố trí phức hợp để đảm bảo tính liên tục, vì vậy khi lựa chọn các chiến lược IRBC cần xem xét các nội dung sau:

a) RTO và RPO cho các dịch vụ ICT quan trọng có hỗ trợ các hoạt động quan trọng được xác định bởi chương trình BCM;

b) địa điểm và khoảng cách giữa các vị trí đặt trang thiết bị;

c) số lượng các địa điểm đặt trang thiết bị;

d) truy cập từ xa tới hệ thống

e) yêu cầu làm mát;

f) yêu cầu điện năng;

g) việc sử dụng các vị trí chưa có nhân viên (vùng tối) so với vị trí đã có nhân viên;

h) kết nối viễn thông và định tuyến dự phòng;

i) bản chất của “khôi phục lại từ lỗi” (cho dù can thiệp thủ công được yêu cầu để kích hoạt dự phòng ICT thay thế hoặc việc khôi phục là tự động);

j) yêu cầu về mức độ tự động;

k) sự lỗi thời về công nghệ;

l) kết nối với nhà cung cấp dịch vụ thuê ngoài và các liên kết ra ngoài khác

6.4.2.4 Dữ liệu

Ngoài ra, các hoạt động quan trọng có thể phụ thuộc vào việc cung cấp dữ liệu đến hạn hoặc gần đến hạn Các giải pháp liên tục dữ liệu cần được thiết kế để đáp ứng PRO của mỗi hoạt động quan trọng

do chúng có liên quan tới các hoạt động quan trọng

Các tùy chọn IRBC được lựa chọn cần đảm bảo tính bí mật, toàn vẹn và sẵn sàng hiện tại của dữ liệu quan trọng có hỗ trợ các hoạt động quan trọng (xem TCVN ISO/IEC 27001 và TCVN ISO/IEC 27002).Kho dữ liệu và các chiến lược IRBC cần đáp ứng các yêu cầu tính liên tục của hoạt động của tổ chức

và cần tính đến:

a) các yêu cầu RPO;

b) cách thức dữ liệu được lưu trữ bảo mật, ví dụ đĩa, băng từ, thiết bị quang dẫn, cơ chế sao lưu và phục hồi phù hợp cần được xem xét để đảm bảo dữ liệu là an toàn và nằm trong môi trường an toàn;c) nơi thông tin được lưu trữ, vận chuyển hoặc truyền tải, khoảng cách, vị trí, các kết nối mạng (trực tuyến, ngoại tuyến hay bên thứ 3) và thời gian dự kiến để lấy dữ liệu từ trang thiết bị dự phòng;

d) khoảng thời gian phục hồi phụ thuộc vào khối lượng dữ liệu, cách thức lưu trữ và độ phức tạp của quy trình phục hồi, cùng với các yêu cầu của người dùng dịch vụ và sự cần thiết của tính liên tục.Việc hiểu toàn bộ việc sử dụng dữ liệu trong tổ chức là rất quan trọng Việc này có thể bao gồm nguồn thông tin tới và từ các bên thứ ba

Cần nhớ rằng bản chất, sự lưu hành và giá trị của dữ liệu sẽ thường xuyên thay đổi trong mỗi tổ chức

Chiến lược cho các dịch vụ này có thể bao gồm:

a) lưu trữ các thiết bị bổ sung và sao chép phần mềm ở vị trí khác;

b) các bố trí với nhà cung ứng để cung cấp các thiết bị thay thế trong thời gian ngắn;

c) sửa chữa và/hoặc thay thế nhanh chóng các bộ phận bị lỗi trong trường hợp thiết bị gặp lỗi;

d) cung ứng kép các tiện ích như nguồn điện, kết nối viễn thông;

e) thiết bị phát điện khẩn cấp;

f) xác định các nhà cung ứng khác/thay thế

Tổ chức cần có các yêu cầu quản lý tính liên tục của hoạt động và ICT trong hợp đồng với đối tác và các nhà cung cấp dịch vụ Các điều khoản của hợp đồng cần gồm nghĩa vụ của mỗi bên, mức dịch vụ thỏa thuận, ứng phó với các sự cố chính, phân bổ chi phí, tần suất diễn tập và các hành động khắc phục

Việc lựa chọn các tùy chọn chiến lược IRBC cần:

a) chú trọng cho các rủi ro và ảnh hưởng dự kiến của gián đoạn;

b) kết hợp với các chiến lược tính liên tục của hoạt động đã chọn của tổ chức;

c) phù hợp với mục tiêu chung của tổ chức trong phạm vi khẩu vị rủi ro của tổ chức

6.6 Nâng cao khả năng IRBC

6.6.1 Nâng cao khả năng phục hồi

Tổ chức cần có chiến lược IRBC mức cao và kế hoạch cho các nâng cao cụ thể về khả năng IRBC được yêu cầu để đáp ứng các yêu cầu IRBC đã xác định Các cải thiện này có thể đạt được thông qua các hành động phòng ngừa và khắc phục (tham khảo 9.2 và 9.3) cũng như các quy trình hoặc phương pháp cụ thể khác là các ứng phó phù hợp với BIA và khẩu vi rủi ro của tổ chức

Thông tin về các quy trình và các phương pháp có thể tham khảo Phụ lục B và C

6.7 Tiêu chỉ hiệu năng sự sẵn sàng ICT

6.7.1 Xác định tiêu chí hiệu năng

Trong bất kỳ môi trường ICT nào có nhiều mối đe dọa tiềm ẩn như lỗi phần cứng, xâm nhập bảo mật

và một tổ chức cần có khả năng giám sát các mối đe dọa và hiểu biết liệu hệ thống IRBC có khả năng đối phó với các mối đe dọa đó không

Tổ chức cần xác định tiêu chí hiệu năng để đo lường hiệu quả sự sẵn sàng ICT Các tiêu chí có thể được sử dụng để nhận biết chất lượng mong muốn của việc ứng phó với gián đoạn, cả về hiệu quả và hiệu lực của nó

Tiêu chí hiệu năng của IRBC cần dựa trên các yêu cầu IRBC cũng như mục tiêu tổng thể BCM trong nhóm ứng phó sự cố và các yêu cầu tính liên tục (xem 8.3.1)

7 Triển khai và vận hành

7.1 Tổng quát

Các chiến lược IRBC chỉ được thực hiện sau khi lãnh đạo cao nhất chấp thuận Việc triển khai bắt đầu tại thời điểm này Điều này cung cấp các khuyến nghị để triển khai chiến lược IRBC đã chọn theo cơ cấu tổ chức, các kế hoạch và thủ tục yêu cầu để hỗ trợ việc triển khai

Tổ chức cần quản lý nguồn lực (xem 7.2), các thủ tục và hoạt động của IRBC, cũng như các chương trình đào tạo triển khai và nâng cao nhận thức Việc triển khai cần được quản lý như một dự án thông qua quy trình kiểm soát thay đổi và kiểm soát quản lý dự án BCM nhằm đảm bảo minh bạch và báo cáo quản lý đầy đủ

Có thể tham khảo các tiêu chuẩn liên quan trong quá trình triển khai các thành phần phát hiện sự cố, ứng phó, và phục hồi sau thảm họa bao gồm:

a) ISO/IEC 18043 cho chọn lựa và vận hành hệ thống phát hiện xâm nhập;

b) TCVN 11239 cho quy trình ứng phó sự cố;

c) ISO/IEC 24762 cho các dịch vụ phục hồi sau thảm họa

7.2 Triển khai các phần tử của chiến lược IRBC

7.2.1 Nhận thức, kỹ năng và kiến thức

Nhận thức chung về sự sẵn sàng của các phần tử trong dịch vụ ICT (xem 5.3) - con người, trang thiết

bị, công nghệ, dữ liệu, quy trình, nhà cung ứng, cũng như các phần tử quan trọng của chúng là một yếu tố rất quan trọng trong việc đảm bảo sự hỗ trợ cần thiết cho hệ thống quản trị và quản lý tính liên tục của hoạt động, bao gồm cả sự sẵn sàng ICT Vì vậy tổ chức cần:

a) nâng cao, cải thiện và duy trì nhận thức thông qua chương trình giáo dục, truyền đạt cho nhân viên

có liên quan và thiết lập một quy trình để đánh giá hiệu quả của hoạt động nâng cao nhận thức;

b) đảm bảo nhân viên nhận thức được việc họ đóng góp để đạt được mục tiêu của IRBC như thế nào

Tổ chức cần đảm bảo tất cả những người được phân công trách nhiệm quản lý IRBC có đủ thẩm quyền để thực hiện các công việc được yêu cầu bằng cách:

a) xác định năng lực cần thiết cho các nhân viên này;

b) thực hiện phân tích nhu cầu đào tạo cho các nhân viên này;

c) đào tạo;

d) đảm bảo họ đã đạt được năng lực cần thiết;

e) duy trì các hồ sơ giáo dục, đào tạo, kỹ năng, kinh nghiệm và trình độ chuyên môn

Toàn bộ khả năng mở rộng, khả năng quản lý, khả năng hỗ trợ, hiệu năng và đặc tính về chi phí của các kỹ thuật triển khai khác nhau cần được kiểm tra để xác định kỹ thuật phù hợp nhất với chiến lược

đã chọn nhằm hỗ trợ các mục tiêu của tính liên tục của hoạt động tổng thể

7.2.3 Công nghệ

Các chiến lược công nghệ ICT cần được triển khai Có thể có một hoặc nhiều triển khai và các bố trí sau:

a) dự phòng nóng, tức là cơ sở hạ tầng ICT được cung cấp giống nhau ở hai vị trí;

b) dự phòng ấm, tức là sự phục hồi xảy ra ở vị trí thứ hai nơi cơ sở hạ tầng ICT được cung cấp một phần;

c) dự phòng lạnh, tức là cơ sở hạ tầng được xây dựng hoặc cấu hình từ đầu ở một vị trí thay thế;d) các bố trí ship-in, theo đó các nhà cung cấp dịch vụ bên ngoài cung cấp phần cứng;

e) các bố trí phối hợp giữa các chiến lược trước đó: cách tiếp cận “lựa chọn và phối hợp”