TCVN :CÔNG NGHỆ THÔNG TIN – KỸ THUẬT AN TOÀN – HƯỚNG DẪN CHO CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG CHO TÍNH LIÊN TỤC NGHIỆP VỤ

TCVN TIÊU CHUẨN QUỐC GIA TCVN ISO/IEC xxxx:yyyy ISO/IEC 27031:2011 Xuất lần CÔNG NGHỆ THÔNG TIN – KỸ THUẬT AN TỒN – HƯỚNG DẪN CHO CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THƠNG CHO TÍNH LIÊN TỤC NGHIỆP VỤ Information technology – Security techniques – Guidelines for information and communication technology readiness for business continuity HÀ NỘI – 2014 TCVN ISO/IEC xxxx:yyyy TCVN ISO/IEC xxxx:yyyy TCVN ISO/IEC xxxx:yyyy Mục lục Lời nói đầu Lời giới thiệu Phạm vi áp dụng Tài liệu viện dẫn Thuật ngữ định nghĩa Ký hiệu thuật ngữ 11 Tổng quan .11 5.1 Vai trò IRBC quản lý tính liên tục nghiệp vụ 11 5.2 Nguyên tắc IRBC 13 5.3 Phần tử IRBC 14 5.4 Thành lợi ích IRBC .15 5.5 Thiết lập IRBC 15 5.6 Sử dụng chu trình PDCA để thiết lập IRBC 16 5.7 Trách nhiệm quản lý 16 5.7.1 Lãnh đạo quản lý cam kết 16 5.7.2 Chính sách IRBC 17 Hoạch định IRBC 17 6.1 Tổng quát .17 6.2 Nguồn lực 17 6.2.1 Tổng quát 17 6.2.2 Năng lực nhân viên IRBC 18 6.3 Xác định yêu cầu 18 6.3.1 Tổng quát 18 6.3.2 Hiểu rõ dịch vụ ICT trọng yếu 18 6.3.3 Xác định khoảng trống khả sẵn sàng ICT yêu cầu tính liên tục nghiệp vụ 19 6.4 Xác định tùy chọn chiến lược IRBC .19 6.4.1 Tổng quát 19 6.4.2 Tùy chọn chiến lược IRBC .20 6.5 Phê duyệt .23 6.6 Nâng cao khả IRBC 23 6.6.1 Nâng cao khả phục hồi 23 6.7 Tiêu chí hiệu sẵn sàng ICT .23 6.7.1 Xác định tiêu chí hiệu .23 Triển khai vận hành .24 7.1 Tổng quát .24 7.2 Triển khai phần tử chiến lược IRBC 24 7.2.1 Nâng cao nhận thức, kỹ kiến thức 24 7.2.2 Cơ sở vật chất 25 7.2.3 Công nghệ 25 7.2.4 Dữ liệu 25 7.2.5 Quy trình 25 7.2.6 Nhà cung cấp 26 7.3 Phản ứng cố .26 7.4 Tài liệu kế hoạch IRBC 26 7.4.1 Tổng quát 26 7.4.2 Nội dung tài liệu kế hoạch 27 7.4.3 Tài liệu kế hoạch phản ứng phục hồi ICT 28 7.5 Chương trình nâng cao nhận thức, lực đào tạo .30 TCVN ISO/IEC xxxx:yyyy 7.6 Kiểm soát tài liệu 30 7.6.1 Kiểm soát ghi IRBC 30 7.6.2 Kiểm soát tài liệu IRBC 30 Theo dõi soát xét 30 8.1 Duy trì IRBC 30 8.1.1 Tổng quát 30 8.1.2 Giám sát, phát phân tích mối đe dọa 31 8.1.3 Thử nghiệm diễn tập 31 8.2 Đánh giá nội IRBC 35 8.3 Quản lý soát xét .36 8.3.1 Tổng quát 36 8.3.2 Soát xét đầu vào .36 8.3.3 Soát xét đầu .36 8.4 Tiêu chí hiệu sẵn sàng ICT .37 8.4.1 Giám sát đo lường sẵn sàng ICT 37 8.4.2 Định lượng định tính tiêu chí hiệu 37 Cải tiến IRBC .38 9.1 Cải tiến liên tục 38 9.2 Hành động sửa lỗi 38 9.3 Hành động phòng ngừa 38 Phụ lục A (tham khảo) IRBC mốc gián đoạn 39 Phụ lục B (tham khảo) Hệ thống nhúng sẵn sàng cao .41 Phụ lục C (tham khảo) Đánh giá kịch lỗi 42 C.1 Tổng quát 42 C.2 Phương pháp đánh giá 42 C.3 Kết đánh giá 43 Phụ lục D (tham khảo) Phát triển tiêu chí hiệu 44 Thư mục tài liệu tham khảo .45 TCVN ISO/IEC xxxx:yyyy Lời nói đầu TCVN ISO/IEC xxxx:yyyy hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 27031:2011 TCVN ISO/IEC xxxx:yyyy Học viện Công nghệ Bưu Viễn thơng Việt Nam biên soạn, Bộ Thơng tin Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học Công nghệ công bố TCVN ISO/IEC xxxx:yyyy Lời giới thiệu Trong năm qua, công nghệ thông tin truyền thông trở thành phần thiếu nhiều hoạt động, thành phần sở hạ tầng trọng yếu tất lĩnh vực tổ chức, cho dù tổ chức công, doanh nghiệp hay tổ chức tình nguyện Sự phát triển Internet dịch vụ mạng, khả hệ thống ứng dụng ngày nay, điều đồng nghĩa với việc tổ chức ngày phụ thuộc nhiều vào sở hạ tầng ICT đáng tin cậy an tồn Trong đó, nhu cầu quản lý tính liên tục nghiệp vụ, bao gồm kế hoạch nhằm đối phó với cố, phục hồi thảm họa, phản ứng khẩn cấp quản lý công nhận hỗ trợ với miền kiến thức, chuyên môncụ thể, tiêu chuẩn phát triển ban hành năm gần bao gồm chuẩn quốc tế BCM phát triển ISO/IEC 223 CHÚ THÍCH: ISO/TC 233 trình xây dựng chuẩn quốc tế quản lý liên tục nghiệp vụ ISO 22302 Lỗi, cố dịch vụ ICT, bao gồm xuất cố làm ảnh hưởng tới an toàn hệ thống xâm nhập hệ thống, lây nhiễm mã độc ảnh hưởnng tới tính liên tục hoạt động nghiệp vụ Do việc quản lý ICT, tính liên tục khía cạnhan tồn khác tạo thành phần yêu cầu liên tục nghiệp vụ Hơn nữa, hầu hết trường hợp, chức nghiệp vụ quan trọng địi hỏi tính liên tục nghiệp vụ thường phụ thuộc vào ICT Sự phụ thuộc có nghĩa gián đoạn ICT mang lại rủi ro ảnh hưởng tới khả hoạt động uy tín tổ chức Sự sẵn sàng ICT thành phần thiết yếu nhiều tổ chức việc thực quản lý liên tục nghiệp vụ quản lý an tồn thơng tin Như phần việc thực vận hành hệ thống quản lý an tồn thơng tin ISMS quy định TCVN ISO/IEC 27001:2009 hệ thống quản lý tính liên tục nghiệp vụ tương ứng, việc xây dựng thực kế hoạch liên tục nghiệp vụ cho dịch vụ ICT quan trọng để đảm bảo tính liên tục nghiệp vụ Hiệu BCM thường xuyên phụ thuộc vào hiệu sẵn sàng ICT để đảm bảo mục tiêu tổ chức tiếp tục đạt thời gian bị gián đoạn Điều đặc biệt quan trọng hậu gián đoạn ICT làm tăng phức tạp tiềm ẩn gây khó khăn để phát Để tổ chức đạt sẵn sàng ICT cho tính liên tục nghiệp vụ, tổ chức phải đưa quy trình để ngăn chặn, dự đốn quản lý gián đoạn ICT cố làm gián đoạn dịch vụ ICT Điều đạt việc áp dụng chu trình PDCA phần hệ thống quản lý ICT IRBC Theo cách IRBC hỗ trợ BCM cách đảm bảo dịch vụ ICT linh hoạt phục hồi đến mức độ xác định trước khoảng thời gian cần thiết đồng ý tổ chức TCVN ISO/IEC xxxx:yyyy Chu trình PDCA IRBC Hoạch định – Plan Thiết lập sách IRBC, mục tiêu, quy trình thủ tục liên quan nhằm quản lý rủi ro cải tiến sẵn sàng ICT để cung cấp kết phù hợp với sách mục tiêu tính liên tục nghiệp vụ tổng thể tổ chức Thực – Do Thực vận hành sách IRBC, kiểm sốt, quy trình thủ tục Kiểm tra – Check Đánh giá có thể, thực biện pháp chống lại sách, mục tiêu IRBC, kinh nghiệm thực tế báo cáo kết tới nhà quản lý để soát xét Hành động - Act Đưa hành động khắc phục ngăn chặn, dựa kết soát xét nhà quản lý để đạt cải tiến IRBC Nếu tổ chức sử dụng TCVN ISO/IEC 27001:2009 để thiết lập ISMS, sử dụng tiêu chuẩn liên quan để thiết lập hệ thống BCM, việc thiết lập IRBC nên vào việc xem sét tồn gắn kết quy trình tới tiêu chuẩn Liên kết hỗ trợ việc thiết lập IRBC tránh quy trình kép cho tổ chức Hình - Tích hợp IRBC BCM TIÊU CHUẨN QUỐC GIA TCVN ISO/IEC xxx:yyyy TCVN ISO/IEC xxxx:yyyy Công nghệ thông tin – Kỹ thuật an tồn – Hướng dẫn cho cơng nghệ thơng tin truyền thơng cho tính liên tục nghiệp vụ Information technology – Security techniques – Guidelines for information and communication technology readiness for business continuity Phạm vi áp dụng Tiêu chuẩn mô tả khái niệm nguyên tắc cho sẵn sàng công nghệ thơng tin truyền thơng để đảm bảo tính liên tục nghiệp vụ, cung cấp khung phương thức quy trình để định danh, xác định tất khía cạnh (như tiêu chí hiệu năng, thiết kế thực hiện) cải thiện sẵn sàng ICT tổ chức nhằm đảm bảo tính liên tục nghiệp vụ Tiêu chuẩn áp dụng cho tổ chức (tư nhân, phủ, phi phủ, kích cỡ) mà phát triển chương trình ICT để đảm bảo tính liên tục nghiệp vụ, tổ chức có yêu cầu dịch vụ/cơ sở hạ tầng phải sẵn sàng hỗ trợ cho hoạt động nghiệp vụ trường hợp xảy kiện mới, cố khẩn cấp, kiện làm gián đoạn, ảnh hưởng đến tính liên tục (bao gồm tính an tồn) chức nghiệp vụ trọng yếu Tiêu chuẩn cho phép tổ chức đánh giá thông số hiệu IRBC cách phù hợp Tiêu chuẩn áp dụng cho tất kiện cố (bao gồm kiện cố liên quan đến an tồn) ảnh hưởng tới hệ thống sở hạ tầng ICT Phạm vi hướng dẫn bao gồm mở rộng thực hành quản lý, xử lý cố an tồn thơng tin, dịch vụ việc hoạch định cho sẵn sàng ICT Tài liệu viện dẫn ISO/IEC TR 18044:2004, Information technology — Security techniques — Information security incident management (Công nghệ thông tin – Các kỹ thuật an toàn – Quản lý cố an tồn thơng tin) ISO/IEC 27000, Information technology — Security techniques — Information security management systems — Overview and vocabulary TCVN ISO/IEC 27001:2009, Công nghệ thông tin – Các kỹ thuật an toàn – Hệ thống quản lý an tồn thơng tin truyền thơng – Các u cầu (ISO/IEC 27001) TCVN ISO/IEC 27002:2011, Công nghệ thông tin – Các kỹ thuật an toàn – Quy tắc thực hành cho quản lý an tồn thơng tin (ISO/IEC 27002) ISO/IEC 27005, Information technology — Security techniques — Information security risk management Thuật ngữ định nghĩa Tiêu chuẩn sử dụng thuật ngữ định nghĩa sau 3.1 Vị trí thay (alternate site) TCVN ISO/IEC xxxx:yyyy Vị trí vận hành thay lựa chọn sử dụng tổ hoạt động nghiệp vụ thông thường thực cách sử dụng vị trí thơng thường sau gián đoạn xảy 3.2 Quản lý tính liên tục nghiệp vụ (business continuity management) BCM Quy trình quản lý tổng thể định danh mối đe dọa tiềm ẩn tới tổ chức tác động tới hoạt động nghiệp vụ mà mối đe dọa thực gây gián đoạn, cung cấp khung để xây dựng khả phục hồi tổ chức với khả phản ứng hiệu giúp bảo vệ lợi ích, uy tín, thương hiệu hoạt động kinh doanh bên liên quan 3.3 Kế hoạch tính liên tục nghiệp vụ (business continuity plan) BCP Các thủ tục tài liệu hướng dẫn cho tổ chức phản ứng, phục hồi khôi phục lại tới mức độ hoạt động xác định trước sau gián đoạn CHÚ THÍCH: Điều bao gồm tài nguyên, dịch vụ hoạt động cần thiết để đảm bảo tính liên tục cho chức nghiệp vụ 3.4 Phân tích tác động nghiệp vụ (business impact analysis) BIA Q trình phân tích chức vận hành ảnh hưởng có gián đoạn 3.5 Trọng yếu (critical) Mơ tả định tính sử dụng để nhấn mạnh tầm quan trọng tài nguyên, quy trình chức phải sẵn dùng hoạt động liện tục sẵn sàng hoạt động thời gian sớm sau có cố, trường hợp khẩn cấp thảm họa xảy 3.6 Gián đoạn (disruption) Sự cố, dự báo (ví dụ bão) khơng dự báo (như điện, động đất công hệ thống/cơ sở hạ tầng ICT) làm gián đoạn hoạt động thơng thường vị trí tổ chức 3.7 Phục hồi thảm họa ICT (ICT disaster recovery) 10 TCVN ISO/IEC xxxx:yyyy c) Quy trình phát triển dịch vụ ICT bao gồm việc ký duyệt mà khả phục hồi không bị ảnh hưởng cải tiến nâng cấp đơn giản nhất; d) Thẩm định sát nhập hoạt động thu hồi bao gồm đánh giá khả phục hồi; e) Việc ngừng hoạt động phần tử ICT cần phản ánh hệ thống quản lý IRBC có liên quan 8.1.2 Giám sát, phát phân tích mối đe dọa Tổ chức phải thiết lập quy trình giám sát liên tục phát xuất mối đe dọa an toàn ICT bao gồm không giới hạn lĩnh vực sau: a) Duy trì đội ngũ nhân viên, kỹ kiến thức; b) Quản lý sở hạ tầng chứa thiết bị ICT (ví dụ cách theo dõi số lượng chất cố an tồn/lỗ hổng liên quan tới phịng máy); c) Những thay đổi việc hỗ trợ cơng nghệ, máy móc, thiết bị, mạng lưới; d) Những thay đổi ứng dụng thông tin sở liệu; e) Tài chính, ngân sách phân bổ; f) Hiệu dịch vụ bên nhà cung cấp 8.1.3 Thử nghiệm diễn tập 8.1.3.1 Tổng quát Các tổ chức nên diễn tập không để phục hồi dịch vụ ICT mà để thuyết phục khả phục hồi yếu tố để nhận biết: a) Các dịch vụ bảo vệ, trì và/hoặc thu hồi khơng phụ thuộc vào mức độ nghiêm trọng cố; b) Việc xếp quản lý IRBC giảm thiểu tác động đến nghiệp vụ; c) Các thủ tục để đưa nghiệp vụ trạng thái bình thường 8.1.3.2 Chương trình thử nghiệm diễn tập Trong hầu hết trường hợp, tồn phần tử q trình IRBC bao gồm phục hồi ICT khơng chứng minh việc thử nghiệm diễn tập Do chế độ diễn tập tăng dần thích hợp với việc mô đầy đủ cố thực tế Chương trình bao gồm cấp độ diễn tập khác để làm quen với khả phục hồi từ phịng máy tính, định nghĩa Hình nên xem xét tất khía cạnh việc cung cấp dịch vụ ICT đầu-cuối Những rủi ro liên quan tới việc thử nghiệm diễn tập hoạt động tương tự không đặt tổ chức vào rủi ro không chấp nhận Chương trình thử nghiệm diễn tập phải xác địnhrủi ro diễn tập cá nhân giải Quản lý cao ký duyệt chương trình diễn tập cần giải thích rõ ràng tài liệu rủi ro liên quan tới 32 TCVN ISO/IEC xxxx:yyyy Mục tiêu chương trình thử nghiệm diễn tập phải phù hợp hoàn toàn với phạm vi mục tiêu quản lý tính liên lục nghiệp vụ bổ sung cho chương trình diễn tập mở rộng tổ chức Mỗi chương trình thử nghiệm diễn tập phải có mục tiêu kinh doanh (kể trường hợp khơng có tham gia trực tiếp doanh nghiệp liên quan) xác định mục tiêu kỹ thuật để thử nghiệm kiểm duyệt phần tử cụ thể chiến lược IRBC Các thành phần diễn tập môi trường cách ly mức thành phần bổ sung tới diễn tập hệ thống tổng thể phải trì phần chương trình thử nghiệm diễn tập Chương trình thử nghiệm diễn tập phải xác định tần xuất, phạm vi, định dạng tập Sau ví dụ mức cao phạm vi diễn tập: a) Phục hồi liệu: phục hồi liệu tập tin đơn lẻ sở liệu lỗi; b) Phục hồi máy chủ đơn (bao gồm việc xây dựng lại từ đầu); c) Phục hồi ứng dụng (có thể bao gồm số máy chủ, ứng dụng phụ sở hạ tầng); d) Chuyển đổi dự phòng dịch vụ lưu trữ tảng có tính sẵn sàng cao (ví dụ, phân nhóm: mô mát thành viên nhóm- xem Phụ lục B); e) Phục hồi liệu từ băng đĩa (phục hồi tập tin đơn lẻ loạt tập tin từ băng đĩa); f) Thử nghiệm mạng; g) Kiểm tra dự phòng lỗi sở hạ tầng truyền thông Các diễn tập nên nâng cao dần để có kiểm tra tăng dần phụ thuộc mối liên hệ bên cộng đồng người dùng cuối có liên quan 8.1.3.3 Phạm vi diễn tập Diễn tập phải thực để: a) Xây dựng độ tin cậy toàn tổ chức khả phục hồi chiến lược phục hồi đáp ứng yêu cầu nghiệp vụ; b) Chứng minh dịch vụ ICT trọng yếu trì phục hồi với mức độ dịch vụ chấp thuận mục tiêu phục hồi liên quan tới cố; c) Chứng minh dịch vụ ICT trọng yếu phục hồi tới trạng thái thử nghiệm trường hợp xảy cố vị trí phục hồi; d) Tạo hội cho nhân viên làm quen với quy trình phục hồi; e) Đào tạo nhân viên đảm bảo họ có đủ kiến thức kế hoạch thủ tục IRBC; f) Kiểm tra việc trì IRBC đồng với sở hạ tầng ICT sở hạ tầng chung; g) Xác định cải tiến yêu cầu cho chiến lược, kiến trúc quy trình phục phồi IRBC; h) Cung cấp chứng cho mục đích đánh giá chứng minh thẩm quyền dịch vụ ICT tổ chức 33 TCVN ISO/IEC xxxx:yyyy 8.1.3.4 Các phần tử phục hồi dịch vụ Tổ chức phải thực diễn tập tất yếu tố phục hồi dịch vụ ICT tương thích với kích thước nó, độ phức tạp phạm vi quản lý tính liên tục nghiệp vụ Các luyện tập phải trọng tâm vào việc phục hồi tiếp tục lại dịch vụ, phải bao gồm tính tin cậy khả phục hồi, giám sát hệ thống quản lý cảnh báo Tổ chức phải diễn tập mức độ phần tử thơng qua tồn hệ thống thử nghiệm dựa vị trí để đạt mức độ tin tưởng khả phục hồi cao Hình - Chương trình thử nghiệm diễn tập mức độ tăng dần Các yếu tố sau cần thiết để diễn tập: a) Phịng máy tính, ví dụ an tồn vật lý, hệ thống phát cháy rò rỉ nước, quy trình sơ tán, hệ thống sưởi, thơng gió điều hịa nhiệt độ, giám sát mơi trường, phương thức cảnh báo dịch vụ điện; b) Cơ sở hạ tầng, bao gồm khả phục hồi kết nối mạng, đa dạng an toàn mạng, bao gồm chống virut, phát chống xâm nhập; c) Phần cứng, bao gồm máy chủ, thiết bị viễn thông, thiết bị lưu động lưu trữ; d) Phần mềm; e) Dữ liệu; f) Các dịch vụ; 34 TCVN ISO/IEC xxxx:yyyy g) Vai trò phản ứng nhà cung ứng 8.1.3.5 Hoạch định diễn tập Để đảm bảo việc diễn tập nguyên nhân gây cố làm suy giảm khả dịch vụ, diễn tập phải lên kế hoạch cẩn thận để tối thiểu hóa rủi ro cố xảy Quản lý rủi ro phải phù hợp với mức độ diễn tập thực (tức yếu tố phục hồi dịch vụ) Điều bao gồm: - Đảm bảo tất liệu lưu trước diễn tập; - Thực diễn tập môi trường cô lập; - Lập lịch diễn tập “ngoài giờ” thời gian chu trình nghiệp vụ, với kiến thức người dùng cuối Các diễn tập phải sát với thực tế, có kế hoạch cẩn thận thống với bên liên quan, để tối thiểu hóa rủi ro gián đoạn quy trình nghiệp vụ Chúng khơng vượt ngồi cố Quy mô phức tạp diễn tập phải phù hợp với mục tiêu phục hồi tổ chức Mỗi diễn tập nên có “điều khoản tham chiếu” đồng ý ký duyệt trước nhà tài trợ diễn tập, mà bao gồm điều sau: a) Mô tả; b) Mục tiêu; c) Phạm vi; d) Các giả định; e) Các ràng buộc; f) Rủi ro; g) Chỉ tiêu hoàn thành; h) Tài nguyên; i) Vai trò trách nhiệm; j) Luồng thời gian/tiến độ mức cao; k) Thu thập liệu diễn tập; i) Ghi nhật ký diễn tập/sự cố; m) Trao đổi; n) Các hoạt động sau diễn tập (theo dõi báo cáo) Kế hoạch diễn tập phải cho phép tổ chức đạt tiêu hoàn thành xác định 8.1.3.6 Quản lý diễn tập Cấu trúc lệnh diễn tập rõ ràng phải giao cho nhân viên có vai trò trách nhiệm phù hợp xây dựng Cấu trúc lệnh diễn tập bao gồm: 35 TCVN ISO/IEC xxxx:yyyy a) Người điều khiển diễn tập(các bên tham gia với vai trị kiểm sốt tồn chương trình thử nghiệm diễn tập); b) Kênh liên lạc diễn tập; c) Xác nhận có đủ nhân viên để thực diễn tập an toàn; d) Đủ giám sát viên hỗ trợ viên để nắm bắt thủ tục diễn tập trì nhật ký vấn đề; e) Các mốc diễn tập chính; f) Phương thức kết thúc diễn tập; g) Phương thức diễn tập dừng khẩn cấp Diễn tập phải tuân theo lệnh diễn tập để đảm bảo: a) Mục tiêu mốc diễn tập đáp ứng; b) Tất tài liệu hoạt động diễn tập có mức độ bí mật phù hợp; c) Bất kỳ rủi ro xảy cần giám sát giảm thiểu; d) Các khách mời/giám sát viên cấp quyền phù hợp; e) Thủ tục diễn tập nắm bắt cách quán; f) Tất bên tham gia yêu cầu thu thập phản hồi 8.1.3.7 Soát xét, báo cáo theo dõi Kết thúc diễn tập, kết phải soát xét theo dõi kịp thời, điều bao gồm: a) Thu thập kết phát hiện; b) Phân tích kết phát so sánh với mục tiêu tiêu hoàn thành diễn tập; c) Xác định khoảng trống; d) Gán điểm hành động với khung thời gian quy định; e) Tạo báo cáo diễn tập để nhà tài trợ xem xét cách thức; f) Củng cố theo dõi hành động báo cáo diễn tập 8.2 Đánh giá nội IRBC Kế hoạch đánh giá nội IRBC phải định nghĩa tài liệu hóa tiêu chí, phạm vi, phương thức tần xuất đánh giá (ví dụ đánh giá nội IRBC thực hàng năm), kế hoạch đánh giá phải đảm bảo đánh giá viên nội đủ điều kiện định để đánh giá Việc lựa chọn đánh giá viên việc tiến hành đánh giá phải đảm bảo tính khách quan cơng quy trình đánh giá Đánh giá viên thực đánh giá nội bội IRBC phải có đủ thẩm quyền để thực nhiệm vụ Ví dụ đánh giá viên phải tham dự khóa đào tạo đánh giá viên để họ có kỹ kiến thức cần thiết để thực việc đánh giá 36 TCVN ISO/IEC xxxx:yyyy Một thủ tục cần thiết lập để đảm bảo thiếu hụt xác định đánh giá nội sửa chữa Kế hoạch đánh giá phải bao gồm đối tác bên ngồi Ví dụ việc thuê nhà cung cấp phải đánh giá cho khả hỗ trợ chiến lược IRBC tổ chức, kế hoạch hoạt động hàng ngày, phản ứng với thảm hoạ phục hồi từ thảm họa Đánh giá nội phải tiến hành có thay đổi đáng kể từ dịch vụ ICT trọng yếu, yêu cầu tính liên tục nghiệp vụ (như liên quan tới phạm vi IRBC), yêu cầu IRBC Kết đánh giá nội IRBC phải ghi báo cáo lại Quản lý phải soát xét kết đánh giá nội IRBC trạng thái hoạt động khắc phục 8.3 Quản lý soát xét 8.3.1 Tổng quát Lãnh đạo cao phải đảm bảo hệ thống quản lý IRBC soát xét theo kế hoạch Sốt xét lấy đầu vào đánh giá bên hay bên tự đánh giá Soát xét bao gồm việc đánh giá hội cải tiến nhu cầu thay đổi quản lý IRBC, sách mục tiêu IRBC Ngồi ra, lãnh đạo cao phải sốt xét lại, ký duyệt thường niên yêu cầu IRBC, bao gồm định nghĩa dịch vụ ICT, danh sách tài liệu dịch vụ ICT quan trọng rủi ro liên quan tới việc xác định lỗ hổng khả sẵn sàng ICT trọng yếu yêu cầu tính nghiệp vụ liên tục Kết việc soát xét phải ghi rõ ràng hồ sơ phải trì 8.3.2 Sốt xét đầu vào Đầu vào để soát xét quản lý bao gồm thơng tin về: a) Mức độ an tồn nội bộ; b) Khả nhà cung cấp dịch vụ bên ngồi để trì mức độ thích hợp dịch vụ; c) Kết đánh giá có liên quan; d) Thơng tin phản hồi từ bên liên quan, bao gồm quan sát độc lập; e) Trạng thái hành động ngăn chặn khắc phục; f) Mức độ rủi ro lại rủi ro chấp nhận; g) Theo dõi hành động soát xét quản lý trước kiến nghị; h) Bài học kinh nghiệm rút từ thử nghiệm diễn tập, cố chương trình đào tạo nâng cao nhận thức; i) Hướng dẫn diễn tập khẩn cấp; 8.3.3 Soát xét đầu Đầu từ việc soát xét phải ký duyệt lãnh đạo cao bao gồm: a) Thay đổi phạm vi hệ thống quản lý IRBC; b) Nâng cao hiệu hệ thống quản lý IRBC; 37 TCVN ISO/IEC xxxx:yyyy c) Các yêu cầu sửa đổi IRBC, bao gồm định nghĩa dịch vụ ICT, danh sách tài liệu dịch vụ ICT trọng yếu rủi ro liên quan đến việc xác định khoảng trống khả sẵn sàng ICT trọng yếu yêu cầu tính liên tục nghiệp vụ; d) Sửa đổi thủ tục chiến lược IRBC cần thiết để đáp ứng tới kiện bên và/hoặc bên mà ảnh hưởng đến dịch vụ ICT, bao gồm thay đổi i) Yêu cầu tính liên tục nghiệp vụ; ii) Yêu cầu khả phục hồi; iii) Mức độ rủi ro và/hoặc mức độ rủi ro chấp nhận e) Nhu cầu tài nguyên; f) Các yêu cầu kinh phí ngân sách 8.4 Tiêu chí hiệu sẵn sàng ICT 8.4.1 Giám sát đo lường sẵn sàng ICT Các tổ chức phải giám sát đo lường sẵn sàng ICT thơng qua việc thực quy trình đo lường tiêu chí hiệu sẵn sàng ICT xác định (xem 6.7) 8.4.2 Định lượng định tính tiêu chí hiệu Tiêu chí hiệu cho IRBC phải định tính định lượng Tiêu chí định lượng bao gồm: a) Trong thời gian định, số lượng cố chưa phát trước gián đoạn (điều cung cấp số hoàn thành chế phát cảnh báo); b) Thời gian phát cố; c) Số lượng cố ngăn chặn hiệu để giảm thiểu tác động; d) Tính sẵn sàng nguồn liệu biết khẩn cấp cố thông qua giám sát xu hướng kiện; e) Thời gian phản ứng lại cố khẩn cấp phát Tiêu chí định tính mang tính chủ quan sử dụng để nhận biết hiệu IRBC thường địi hỏi tài ngun quy trình đo lường (có thể thích hợp cho tổ chức quy mơ vừa nhỏ tùy thuộc vào nguồn tài nguyên hạn chế) Nó bao gồm việc nhận biết hiệu quy trình sử dụng hoạch định, chuẩn bị thực thi hoạt động IRBC đánh giá thông qua: a) Khảo sát sử dụng bảng câu hỏi có cấu trúc khơng có cấu trúc; b) Thông tin phản hồi từ bên tham gia bên liên quan; c) Tiến hành hội thảo phản hồi; d) Các họp nhóm tập trung khác 38 TCVN ISO/IEC xxxx:yyyy Cải tiến IRBC 9.1 Cải tiến liên tục Tổ chức cần cải tiến liên tục IRBC thông qua việc áp dụng hành động ngăn chặn khắc phục phù hợp với tác động tiềm ẩn nhận biết cách phân tích tác động nghiệp vụ tổ chức chấp nhận rủi ro 9.2 Hành động sửa lỗi Tổ chức nên có hoạt động để sửa chữa lỗi thực tế dịch vụ ICT yếu tố IRBC Các thủ tục tài liệu hành động khắc phục phải xác định yêu cầu để: a) Xác định lỗi; b) Xác định nguyên nhân lỗi; c) Ước lượng cần thiết phải hành động để đảm bảo không phù hợp không tái diễn; d) Xác định thực hành động khắc phục cần thiết; e) Ghi nhận kết hành động đưa ra; f) Soát xét hành động khắc phục thực 9.3 Hành động phòng ngừa Tổ chức cần xác định điểm yếu tiềm ẩn yếu tố IRBC thiết lập thủ tục tài liệu để: a) Xác định lỗi tiềm ẩn; b) Xác định nguyên nhân lỗi; c) Nhận biết thực hành động phòng ngừa cần thiết; d) Ghi lại soát xét kết hành động đưa 39 TCVN ISO/IEC xxxx:yyyy Phụ lục A (tham khảo) IRBC mốc gián đoạn Hình A.1 minh họa phần tử IRBC hỗ trợ mốc gián đoạn Các kiện mốc quan trọng xảy theo thời gian thời điểm gốc (thời điểm gốc - thời điểm gián đoạn bắt đầu xảy ra) kiện dịch vụ gián đoạn/thảm họa ICT xảy Một ví dụ kịch thảm họa phát sinh từ công xâm nhập nhắm vào mục tiêu hệ thống (thường gọi “hacking”) vào hệ thống ICT trọng yếu tổ chức RPO liên quan đến lượng liệu bị phục hồi gián đoạn Điều thể luồng thời gian khoảng thời gian lần lưu tốt cuối thời điểm gián đoạn xảy Các RPO thay đổi tùy theo chiến lược phục hồi dịch vụ ICT áp dụng, đặc biệt việc xếp lưu Tại thời điểm gốc hệ thống ICT trọng yếu bị tin tặc xâm nhập dịch vụ bị ảnh hưởng Mốc quan trọng sau gián đoạn dịch vụ xảy việc phát trực tiếp cố an toàn (tức kiện xâm nhập) phát trực tiếp việc dịch vụ (hoặc suy giảm), mà có khoảng thời gian trôi qua trước thông báo; ví dụ, số trường hợp thơng báo gián đoạn phải qua gọi tới trung tâm hỗ trợ IT từ người dùng Thời gian tiếp tục trôi qua gián đoạn dịch vụ ICT điều tra, phân tích, truyền đạt đưa định để gọi IRBC Có thể vài từ thời điểm bắt đầu gián đoạn dịch vụ ICT định gọi IRBC đưa thời gian truyền đạt làm định tính đến Quyết định gọi phải yêu cầu xem xét cẩn thận số trường hợp, ví dụ dịch vụ chưa hồn tồn bị khả phục hồi dịch vụ thực hiện, định gọi IRBC thường tác động vào hoạt động nghiệp vụ thông thường Khi gọi, việc phục hồi dịch vụ ICT bắt đầu Việc chia thành phục hồi sở hạ tầng (mạng, phần cứng, hệ điều hành, phần mềm lưu, ) phục hồi ứng dụng (cơ sở liệu, ứng dụng, quy trình xử lý hàng loạt, giao diện) (Tham khảo thêm tiêu chuẩn ISO/IEC 24762) Một dịch vụ ICT phục hồi việc thử nghiệm hệ thống thực nhân viên ICT dịch vụ cung cấp cho người sử dụng kiểm tra nghiệm thu trước phát hành tới nhân viên để sử dụng tính liên tục nghiệp vụ Từ góc độ tính liên tục nghiệp vụ, có RTO cho sản phẩm, dịch vụ hoạt động RTO thời điểm gián đoạn xảy kéo dài sản phẩm, dịch vụ hoạt động phục hồi, số dịch vụ ICT yêu cầu có tính này, dịch vụ ICT bao gồm số hệ thống ứng dụng ICT Mỗi phần tử hệ thống ứng dụng ICT có RTO tập RTO dịch vụ ICT đầu-cuối phải so với RTO tính liên tục nghiệp vụ, đưa vào tính đến phát định thời gian người dụng kiểm tra nghiệm thu thời gian thử 40 TCVN ISO/IEC xxxx:yyyy nghiệm (trừ tính liên tục nghiệp vụ sản phẩm, dịch vụ, hoạt động hỗ trợ khơng có ICT khoảng thời gian, ví dụ sử dụng thủ tục thủ công) Các dịch vụ ICT phục hồi thường hoạt động khoảng thời gian hành động tính liên tục nghiệp vụ hỗ trợ việc mở rộng khoảng thời gian sau dịch vụ ICT phục hồi cần phải mở rộng để hỗ trợ tăng số lượng hành động giao dịch, có khả tăng tới điểm mà sản phẩm, dịch vụ, hành động phục hồi hoàn toàn đạt tới trạng thái số lượng giao dịch bình thường Sau đó, số thời điểm luồng thời gian, việc phục hồi có khả hoạt động DR đưa trở lại hoạt động bình thường Các hoạt động trở lại bình thường mơi trường trạng thái bắt đầu trước gián đoạn, thỏa thuận hoạt động (đặc biệt thảm họa gián đoạn bắt buộc phải thay đổi nghiệp vụ) Trong nhân viên ICT có hội để lên kế hoạch phục hồi cẩn thận lập lịch để kế hoạch diễn khoảng thời gian hoạt động thấp, công việc quan trọng quyền Các mũi tên sơ đồ nguyên tắc IRBC chuẩn ISO/IEC 27031 kết hợp với dịng thời gian gián đoạn Hình A.1 - IRBC mốc gián đoạn 41 TCVN ISO/IEC xxxx:yyyy Phụ lục B (tham khảo) Hệ thống nhúng sẵn sàng cao Trong công nghệ thông tin truyền thơng, “tính sẵn sàng cao” đề cập tới hệ thống phần tử có hoạt động liên lục cho khoảng thời gian dài Tính sẵn sàng cao đo tương đối tới “hoạt động 100%” “khơng lỗi” Có phạm vi rộng khó để đạt chuẩn tính sẵn sàng cho hệ thống sản phẩm biết sẵn sàng “năm số 9” (99.999%) Một hệ thống mạng máy tính tạo thành từ nhiều phần tử, tất số thường phải có mặt chức toàn vào hoạt động, hoạch định cho tính sẵn sàng cao thường tập trung vào lưu xử lý dự phòng lỗi, lưu trữ truy cập liệu, thành phần khác nguồn điện, làm mát quan trọng khơng Ví dụ, tính sẵn sàng nguồn điện đảm bảo biện pháp như: a) Bộ lưu điện UPS; b) Máy phát điện khẩn cấp; c) Hai nguồn điện song song từ lưới điện Sao lưu liệu tính sẵn sàng đạt cách sử dụng loạt công nghệ lưu trữ mảng dư thừa ổ đĩa RAID, mạng lưu trữ SAN Tính sẵn sàng ứng dụng cần xem xét thường đạt thông qua cơng nghệ “Song hành” Các cơng nghệ thực hiệu việc cung cấp tính sẵn sàng cao thông qua việc thực đồng thời nhiều vị trí Ví dụ đơn giản có máy chủ “dự phịng lỗi” vị trí máy chủ “sản xuất” không cung cấp mức độ cần thiết khả phục hồi vị trí bị ảnh hưởng gián đoạn nghiêm trọng Cả hai máy chủ bị ảnh hưởng gián đoạn Máy chủ “dự phịng lỗi” cơng nghệ đặt vị trí khác để đạt mức độ tính sẵn sàng Với nhiều tổ chức, chi phí nỗ lực liên quan để đạt mức độ sẵn sàng cao gặp khó khăn năm gần có phát triển việc sử dụng nhà cung cấp dịch vụ thứ ba, bêncó thể cung cấp kỹ năng, tài nguyên công nghệ mềm dẻo với mức giá chấp nhận thơng qua dịch vụ điện tốn đám mây Tuy nhiên tính sẵn sàng cao cách hiệu để tăng khả phục hồi, khả lỗi cịn Vì việc hoạch định thử nghiệm quy trình DR thủ thục quan trọng 42 TCVN ISO/IEC xxxx:yyyy Phụ lục C (tham khảo) Đánh giá kịch lỗi C.1 Tổng quát Một loạt kỹ thuật quản lý rủi rõ tiềm ần tồn bao gồm việc đánh giá sẵn sàng ICT cho BC việc phát triển khung phù hợp cho phát triển liên tục nâng cao khả phục hồi ICT Chuẩn ISO 31010:2009 “Quản lý rủi ro - Các kỹ thuật quản lý rủi ro” cung cấp thực hành tốt việc lựa chọn sử dụng kỹ thuật đánh giá rủi ro Có thể tham khảo chuẩn để xác định kỹ thuật phù hợp sử dụng tổ chức Việc đánh giá kịch lỗi kỹ thuật có ích việc nâng cao hiệu IRBC phụ lục cung cấp thông tin bổ sung việc làm thực C.2 Phương pháp đánh giá Vấn đề rủi ro chưa biết xuất đánh kết thay đổi bên bên ngồi mơi trường tổ chức mà cản trở tính liên tục khả phục hồi nghiệp vụ Mục đích việc đánh giá kịch lỗi để xác định số kiện phù hợp đảm bảo kế hoạch IRBC có khả phát vấn đề rủi ro chuẩn bị hành động phù hợp thực trước lỗi xảy Một số phương pháp cụ thể phục vụ sẵn cho mục đích này, bao gồm Phân tích hiệu chế độ lỗi (FMEA - Failure Mode Effect Analysis) Phân tích tác động lỗi phần tử (CFIA - Component Failure Impact Analysis) Nhằm mục đích chứng minh, phụ lục làm rõ phương pháp FMEA cụ thể tổ chức phải chọn phương pháp phù hợp với môi trường tảng họ FMEA quy trình để định danh phân tích chế độ lỗi tiềm ẩn hệ thống để phân loại mức độ nghiêm trọng xác định ảnh hưởng lỗi tới hệ thống Trong phạm vi tiêu chuẩn này, FMEA áp dụng để xác định số kiện quan trọng phải giám sát để phát chế độ lỗi tiềm ẩn hệ thống ICT tổ chức Quy trình, dựa cách tiếp cận FMEA, áp dụng tới phần tử trọng yếu dịch vụ ICT mô tả 6.3.2 Cho phần tử trọng yếu: a) Xác định chế độ lỗi tiềm ẩn; b) Xác định ảnh hưởng tiềm ẩn tới dịch vụ ICT, tức mức độ nghiêm trọng chế độ lỗi, hậu kết quả; c) Xác định tần số xuất chế độ lỗi mà tổ chức phải có kinh nghiệm trước giám sát theo dõi chế độ lỗi; d) Xác định số cung cấp dấu hiệu thông tin phần tử lỗi; e) Xác định kiện trực tiếp gián tiếp liên quan tới, thay đổi trạng thái số; 43 TCVN ISO/IEC xxxx:yyyy f) Xác định kiểm soát tồn để tránh phần tử quan trọng từ lỗi phát lỗi xảy g) Xác định tài nguyên liệu liên quan, phương pháp giám sát phát thay đổi giá trị số, phân loại số kiện tính sẵn sàng phương pháp giám sát h) Xác định liệu việc giảm kiểm soát triệt để rủi ro phù hợp áp dụng để ngăn chặn xuất C.3 Kết đánh giá Đầu FMEA bao gồm danh sách chế độ lỗi tiềm ẩn ảnh hưởng, kiện liên quan sử dụng để xác định số kiện cần giám sát Các chế độ lỗi xác định thơng qua quy trình FMEA ưu tiên theo mức độ nghiêm trọng đánh giá, tần số xuất lỗi, việc dễ dàng giám sát phát Một FMEA ghi nhận kiến thức hành động rủi ro lỗi, để sử dụng cải tiến tính liên tục Nếu FMEA sử dụng giai đoạn thiết kế với mục đích để tránh lỗi tương lai sử dụng cho quy trình kiểm sốt trước suốt quy trình vận hành Lý tưởng FMEA bắt đầu giai đoạn thiết kế sớm tiếp thục theo suốt vòng đời sản phầm dịch vụ 44 TCVN ISO/IEC xxxx:yyyy Phụ lục D (tham khảo) Phát triển tiêu chí hiệu Hiệu IRBC tổ chức khác nhau, tổ chức phải phát triển tiêu chí hiệu IRBC mình, trì chúng phần quy trình cải tiến liên tục Một cách tiếp cận sử dụng kịch cố biết kiện liên quan để thiết lập đường phản ứng sở cho loại cố kiện liên quan sau: a) Như phần quy trình ISMS BCM, số cố kiện biết thiết lập làm đầu vào bước tiếp theo; b) Cho tập cố biết (ví dụ cơng xâm nhập mật khẩu, lỗi máy chủ không đủ không gian đĩa cứng); c) Xác định kiện dẫn đến cố (ví dụ cố gắng đăng nhập lỗi, sử dụng đĩa cứng); d) Xác định thời gian phát phù hợp (ví dụ ngưỡng kiện để báo cáo/cảnh báo tới hệ thống/quản trị); e) Xác định thời gian phảm ứng phù hợp (ví dụ khung thời gian cho nhà quản trị đưa hành động để chống cố trở thành thực); f) Phân loại kiện theo nhóm thời gian phản ứng mong muốn kiểu hoạt động phản ứng, kiện phân loại theo nhóm mối đe dọa, ứng dụng, hành động phản ứng và/hoặc thời gian phản ứng; g) Hoàn thiện ma trận phép đo thông qua kịch thử nghiệm diễn tập; h) Tiến hành thử nghiệm để xác định hành động phản ứng hoàn toàn khả thi đạt mục tiêu; i) Hoàn thiện phân loại, thời gian phản ứng kiện dự kiến hành động phản ứng kiện dự kiến (ví dụ, tìm kiếm phương pháp thay để giám sát, phát hành động); j) Cải tiến cách nắm bắt kiện kịch lỗi lặp lại quy trình 45 TCVN ISO/IEC xxxx:yyyy Thư mục tài liệu tham khảo [1] SS 540:2008, Singapore Standard for Business Continuity Management [2] BS 25999-1:2006, Business continuity management — Part 1: Code of practice [3] ISO 9000:2005, Quality management systems — Fundamentals and vocabulary [4] ISO/IEC 18043:2006, Information technology — Security techniques — Selection, deployment and operations of intrusion detection systems [5] ISO/IEC 20000-1:2005, Information technology — Service management — Part 1: Specification [6] ISO/IEC 20000-2:2005, Information technology — Service management — Part 2: Code of practice [7] ISO 22301, Societal security — Preparedness and continuity management systems — Requirements 2) [8] ISO/IEC 24762:2008, Information technology — Security techniques — Guidelines for information andcommunications technology disaster recovery services [9] ISO/IEC 27003, Information technology — Security techniques — Information security management system implementation guidance [10] ISO/IEC 27004, Information technology — Security techniques — Information security management —Measurement [11] ISO 31010:2009, Risk management — Risk assessment techniques 46