7 Triển khai và vận hành
7.2 Triển khai các phần tử của chiến lược IRBC
7.2.1 Nâng cao nhận thức, kỹ năng và kiến thức
Nhận thức chung về sự sẵn sàng của các phần tử trong dịch vụ ICT (xem 5.3) - con người, trang thiết bị, công nghệ, dữ liệu, quy trình, nhà cung cấp, cũng như các phần tử trọng yếu của chúng là một yếu tố rất quan trọng trong việc đảm bảo sự hỗ trợ cần thiết cho hệ thống quản trị và quản lý tính liên tục nghiệp vụ, bao gồm cả sự sẵn sàng ICT. Vì vậy tổ chức phải:
a) Nâng cao, cải thiện và duy trì nhận thức thông qua chương trình giáo dục, truyền đạt cho nhân viên có liên quan và thiết lập một quy trình để đánh giá hiệu quả của hoạt động nâng cao nhận thức;
b) Đảm bảo chuyên viên nhận thức được việc họ đóng góp để đạt được mục tiêu của IRBC như thế nào. Tổ chức phải đảm bảo tất cả những người được phân công trách nhiệm quản lý IRBC có đủ thẩm quyền để thực hiện các công việc được yêu cầu bằng cách:
a) Nhận biết năng lực cần thiết cho các nhân viên liên quan;
b) Thực hiện phân tích nhu cầu đào tạo cần thiết cho các chuyên viên liên quan; c) Tổ chức đào tạo, tập huấn;
d) Đảm bảo năng lực cần thiết đã đạt được;
e) Duy trì các hồ sơ giáo dục, đào tạo, kỹ năng, kinh nghiệm và trình độ chuyên môn;
7.2.2 Cơ sở vật chất
Các hệ thống phục hồi và dữ liệu trọng yếu nên, hoặc nếu có thể phải được tách biệt về mặt vật lý với vị trí đang hoạt động để ngăn chặn việc chúng bị ảnh hưởng bởi cùng một sự cố.
Việc xem xét cần phải xét đến vị trí của tất cả các môi trường ICT khi thực hiện chiến lược. Ví dụ, nếu có, việc đào tạo và phát triển các hệ thống ICT phải được phân tách về mặt logic với các hệ thống đang hoạt động để chúng có thể có cơ hội cấu hình lại trong trường hợp có thảm họa bất ngờ tới các dịch vụ đang hoạt động.
Toàn bộ khả năng mở rộng, khả năng quản lý, khả năng hỗ trợ, hiệu năng và đặc tính về chi phí của các kỹ thuật triển khai khác nhau phải được kiểm tra để xác định kỹ thuật phù hợp nhất với chiến lược đã chọn nhằm hỗ trợ các mục tiêu của tính liên tục nghiệp vụ tổng thể.
7.2.3 Công nghệ
Các chiến lược công nghệ ICT phải được triển khai. Có thể có một hoặc nhiều triển khai và các thỏa thuận sau:
a) Dự phòng nóng, tại đó cơ sở hạ tầng ICT được nhân bản qua hai vị trí;
b) Dự phòng ấm, tại đó phục hồi diễn ra ở vị trí thứ hai nơi cơ sở hạ tầng ICT được chuẩn bị một phần để thực hiện phục hồi;
c) Dự phòng lạnh, tại đó cơ sở hạ tầng được xây dựng hoặc cấu hình từ đầu ở vị trí thay thế. d) Các thỏa thuận bên trong, theo đó các nhà cung cấp dịch vụ bên ngoài cung cấp phần cứng. e) Các thỏa thuận hợp tác của các chiến lược trước đó: một cách tiếp cận “lựa chọn và phối hợp”
7.2.4 Dữ liệu
Các thỏa thuận về tính sẵn sàng của dữ liệu phải phù hợp với các yêu cầu đã xác định trong các chiến lược quản lý IRBC, và có thể bao gồm:
a) Kho lưu trữ bổ sung cho dữ liệu theo một định dạng đảm bảo tính sẵn sàng trong khoảng thời gian đã xác định trong chương trình tính liên tục nghiệp vụ;
b) Các vị trí thay thế cho kho dữ liệu, có thể là vị trí vật lý, vị trí logic, cung cấp tính an toàn và tính bí mật của dữ liệu được duy trì, do đó các thủ tục truy cập thích hợp phải được xem xét và nếu các thỏa thuận được thực hiện thông qua các bên thứ ba cho các kho thông tin thì các chủ sở hữu thông tin phải tự đảm bảo an toàn khi các kiểm soát thích hợp được đưa ra.
7.2.5 Quy trình
Quy trình IRBC phải được tài liệu hóa một cách rõ ràng và chi tiết đầy đủ cho phép nhân viên có thẩm quyền thực thi chúng (một số quy trình có thể khác với các hoạt động thường ngày).
Các thủ tục IRBC có thể phụ thuộc vào từng tình huống và trong thực thế có thể phải điều chỉnh trong bối cảnh của gián đoạn (ví dụ mức độ thiệt hại hoặc nguy hiểm), độ ưu tiên cho các hành động của tổ chức và yêu cầu của các bên liên quan.
7.2.6 Nhà cung cấp
Tổ chức cần phải đảm bảo những nhà cung cấp cốt lõi có thể hỗ trợ các khả năng dịch vụ IRBC theo yêu cầu của tổ chức. Điều này bao gồm việc có tài liệu và thử nghiệm tính liên tục nghiệp vụ và các kế hoạch IRBC trong khả năng để hỗ trợ kích hoạt đồng thời các kế hoạch sự cố hoặc phục hồi của khách hàng. Tổ chức phải thiết lập một quy trình để đánh giá năng lực và khả năng của các nhà cung cấp trước khi tham gia sử dụng dịch vụ của họ, cũng như liên tục giám sát và theo dõi khả năng của các nhà cung cấp sau khi tham gia. Việc tuân thủ thực tế các yêu cầu theo các chuẩn liên quan là một cách hữu ích để nhận biết năng lực của nhà cung cấp, ví dụ việc áp dụng tiêu chuẩn ISO/IEC 24762 là thực hành tốt nhất cho việc lưu trữ/quản lý các trang thiết bị, quy trình thay thế và việc cung cấp các dịch vụ phục hồi sau thảm họa của nhà cung cấp.
7.3 Phản ứng sự cố
Bất kỳ sự cố ICT nào cũng cần phải được phản ứng để: a) Xác nhận bản chất và phạm vi của sự cố;
b) Kiểm soát tình hình; c) Ngăn chặn sự cố;
d) Truyền thông với các bên liên quan;
Việc phản ứng với sự cố phải kích hoạt một hành động IRBC thích hợp. Phản ứng phải phù hợp với toàn bộ phản ứng sự cố BCM, và có thể nhờ một nhóm quản lý sự cố hoặc một tổ chức quy mô nhỏ hoặc một cá nhân có trách nhiệm quản lý sự cố và tính liên tục nghiệp vụ.
Tổ chức có quy mô lớn có thể sử dụng phương pháp tiếp cận theo từng cấp và có thể thiết lập các nhóm khác nhau để phụ trách các chức năng khác nhau. Trong ICT, việc này có thể thực hiện dựa trên kỹ thuật hoặc các dịch vụ liên quan.
Những người chịu trách nhiệm quản lý sự cố phải có kế hoạch cho việc kích hoạt, hành động, điều phối và truyền đạt phản ứng sự cố.
7.4 Tài liệu kế hoạch IRBC7.4.1 Tổng quát 7.4.1 Tổng quát
Tổ chức phải có tài liệu (các kế hoạch) để quản lý gián đoạn tiềm ẩn và vì vậy cho phép khả năng liên tục của các dịch vụ ICT và phục hồi các hoạt động trọng yếu.
Các kế hoạch quản lý dịch vụ ICT của tổ chức, tính liên tục nghiệp vụ và kỹ thuật phục hồi có thể được kích hoạt liên tiếp hoặc đồng thời.
Tổ chức có thể phát triển các tài liệu kế hoạch cụ thể để phục hồi hoặc đưa các dịch vụ ICT hoạt động trở lại trạng thái “bình thường” (các kế hoạch phục hồi ). Tuy nhiên, có thể không xác định được cái gì là trạng thái “bình thường” cho tới sau khi có một vài sự cố, vì vậy không thể thực hiện các kế hoạch phục hồi ngay lập tức. Tổ chức phải đảm bảo các thỏa thuận liên tục có khả năng mở rộng hoạt động hỗ trợ tính liên tục nghiệp vụ rộng hơn, dành thời gian cho kế hoạch phát triển phục hồi (“trở lại trạng thái bình thường”).
7.4.2 Nội dung tài liệu kế hoạch
Tổ chức nhỏ có thể có một tài liệu duy nhất bao gồm tất cả các hoạt động để phục hồi các dịch vụ ICT trong toàn bộ hoạt động của tổ chức. Tổ chức lớn có thể có nhiều tài liệu kế hoạch, mỗi tài liệu quy định cụ thể việc phục hồi một phần tử cụ thể của dịch vụ ICT.
Các kế hoạch phản ứng và phục hồi ICT phải ngắn gọn và dễ tiếp cận đối với những người có trách nhiệm được quy định trong kế hoạch. Tài liệu kế hoạch phải bao gồm những nội dung sau:
a) Mục đích và phạm vi;
Mục đích và phạm vi của mỗi kế hoạch phải được xác định, được duyệt bởi quản lý cao nhất, và những người chịu trách nhiệm thực hiện kế hoạch phải hiểu. Bất kỳ kế hoạch hoặc tài liệu khác có liên quan trong tổ chức, đặc biệt là các kế hoạch BC phải được đề cập rõ ràng và phương pháp truy cập, lấy thông tin phải được mô tả trong tài liệu này.
Mỗi kế hoạch quản lý sự cố, phản ứng và phục hồi ICT phải đặt ra tập các mục tiêu theo nhóm về: i) Dịch vụ ICT trọng yếu được phục hồi;
ii) Khoảng thời gian dịch vụ được phục hồi;
iii) Mức độ phục hồi cần thiết cho mỗi hoạt động dịch vụ ICT trọng yếu; iv) Tình huống thực hiện mỗi kế hoạch;
Kế hoạch có thể bao gồm điều kiện phù hợp, thủ tục và danh sách hỗ trợ quy trình đánh giá sự cố. b) Vai trò và trách nhiệm
Vai trò và trách nhiệm của người và nhóm có quyền (cả nhóm ra quyết định và thẩm quyền để sử dụng) trong và sau sự cố phải được tài liệu hóa rõ ràng;
c) Trình kế hoạch;
CHÚ THÍCH: Thời gian tiêu tốn trong quá trình phản ứng là không thể lấy lại. Nên việc phản ứng và làm giảm sự cố ICT từ khi bắt đầu tốt hơn là bỏ qua cơ hội để nắm bắt một sự cố sớm và chống sự cố leo thang.
Tổ chức cần sử dụng việc quản lý sự cố mở rộng và cách thức đệ trình cùng với các kế hoạch quản lý sự cố tính liên tục nghiệp vụ rộng hơn để tạo cơ sở cho việc quản lý các gián đoạn tiềm ẩn của dịch vụ ICT.
Phương pháp thực hiện kế hoạch phản ứng và phục hồi ICT phải được tài liệu ghi rõ ràng. Quy trình này phải cho phép kế hoạch và bộ phận liên quan được thực hiện trong thời gian ngắn nhất có thể, hoặc trước một sự kiện có khả năng gián đoạn hoặc ngay sau khi sự kiện xảy ra.
Kế hoạch phải bao gồm mô tả rõ ràng và chính xác về:
i) Cách thức để huy động cá nhân hoặc nhóm được phân công; ii) Các điểm họp tức thời;
iii) Địa điểm họp nhóm tiếp theo và chi tiết về địa điểm của cuộc họp khác (trong tổ chức lớn, những nơi diễn ra cuộc họp có thể gọi là trung tâm chỉ huy/điều khiển);
iv) Trường hợp tổ chức xét thấy một phản ứng IRBC là không cần thiết (ví dụ như các lỗi nhỏ và khả năng ngừng hoạt động với các dịch vụ ICT trọng yếu, nhưng được quản lý bởi các nhân viên chăm sóc khách hàng).
Tổ chức phải tài liệu hoá quy trình xử lý rõ ràng cho nhóm phản ứng ICT khi sự cố kết thúc, và trở lại nghiệp vụ bình thường.
d) Bên sở hữu và bên duy trì tài liệu kế hoạch phản ứng và phục hồi ICT
Nhà quản lý phải chỉ định người sở hữu tài liệu phản ứng và phục hồi ICT, người sở hữu có trách nhiệm rà xoát và cập nhật tài liệu.
Tổ chức nên sử dụng một hệ thống kiểm soát phiên bản và các thay đổi chính thức cần được thông báo tới tất cả các bên quan tâm tới tài liệu.
e) Địa chỉ liên hệ
CHÚ THÍCH: các hồ sơ liên lạc có thểm bao gồm địa chỉ liên lạc “ngoài giờ”. Tuy nhiên khi các kế hoạch tham chiếu đến thông tin cá nhân như vậy, việc tôn trọng thông tin cá nhân phải xem xét cẩn thận.
Khi thích hợp, mỗi tài liệu kế hoạch nên có hoặc cung cấp tham chiếu tới địa chỉ liên lạc cần thiết của tất cả các bên liên quan.
7.4.3 Tài liệu kế hoạch phản ứng và phục hồi ICT
Tài liệu kế hoạch phản ứng và phục hồi ICT cần: a) Linh hoạt, khả thi và phù hợp;
b) Dễ đọc và dễ hiểu;
c) Cung cấp cơ sở cho việc quản lý các vấn đề nghiêm trọng được xem xét bởi tổ chức để có khen thưởng với phản ứng IRBC (thường sau sự kiện gián đoạn đáng chú ý, nghiêm trọng).
Tài liệu phải xác định một khung tổng thể cho các kế koạch phục hồi, bao gồm: a) Chiến lược tổng thể;
b) Các dịch vụ trọng yếu (với RTO/RPO); c) Thời gian phục hồi;
Các kế hoạch phải được tài liệu hóa để người thực hiện có thể sử dụng chúng trong trường hợp xảy ra sự cố, bao gồm:
a) Mục tiêu: mô tả ngắn gọn các mục tiêu của kế hoạch;
b) Phạm vi: bao gồm những nội dung sau cùng với tham chiếu tới kết quả BIA:
i) mức độ quan trọng của các dịch vụ: mô tả dịch vụ có liên quan và xác định mức độ quan trọng của chúng;
ii) công nghệ: tổng quan về công nghệ chính hỗ trợ các dịch vụ bao gồm cả nơi sử dụng công nghệ;
iii) tổ chức: tổng quan về tổ chức quản lý công nghệ (các phòng ban, cá nhân và thủ tục quan trọng).
iv) tài liệu: tổng quan về tài liệu của công nghệ bao gồm cả vị trí lưu trữ tài liệu.
c) Các yêu cầu về tính sẵn sàng: các yêu cầu nghiệp vụ đã quy định cho tính sẵn sằng của dịch vụ và công nghệ liên quan.
d) Các yêu cầu an toàn thông tin: yêu cầu về an toàn thông tin của các dịch vụ, hệ thống và dữ liệu bao gồm yêu cầu về tính bí mật, tính toàn vẹn và tính sẵn sàng.
e) Các thủ tục phục hồi công nghệ: mô tả các thủ tục cần tuân theo để phục hồi dịch vụ ICT bao gồm: i) danh sách hành động, ví dụ hỗ trợ viên và thông tin liên lạc;
ii) danh sách hoạt động để phục hồi mạng, các hệ thống, ứng dụng, cơ sở dữ liệu...tới một mức đã thỏa thuận ở một vị trí thay thế, có tính đến thay đổi môi trường;
iii) danh sách các hoạt động để phục hồi các chức năng cơ bản như chức năng an toàn, định tuyến, nhật ký;
iv) sự kết hợp bên trong một ứng dụng, giữa các ứng dụng, đồng bộ dữ liệu, các thủ tục tự động để điều khiển nhật ký của thông tin;
v) quy trình cần thiết để phục hồi dịch vụ ICT và đưa dịch vụ hoạt động trở lại trong chế độ phục hồi;
vi) các thủ tục sao lưu;
vii) ở đâu và làm thế nào mọi người có thể biết thông tin, được hướng dẫn… ví dụ số đường dây nóng, các bước cần thực hiện để đưa dịch vụ ICT trở về hoạt động bình thường.
f) Các phụ lục
i) Bản kiểm kê các hệ thống thông tin, ứng dụng và cơ sở dữ liệu; ii) Tổng quan về cơ sở hạ tầng mạng và tên máy chủ;
iii) Bản kiểm kê phần cứng và phần mềm hệ thống; iv) Hợp đồng và thỏa thuận cấp độ bảo mật.
g) Nhà cung cấp dịch vụ ICT chính
i) Nghiệp vụ như nhà cung cấp thông thường; ii) Nhà cung cấp dịch vụ phục hồi.
7.5 Chương trình nâng cao nhận thức, năng lực và đào tạo
Một chương trình hợp tác cần được thực hiện để đảm bảo các quy trình được đưa ra để nâng cao nhận thức IRBC nói chung cũng như đánh giá và nâng cao năng lực của tất cả các nhân viên quan trọng có liên quan đến việc thực hiện thành công IRBC (xem 7.2.1).
7.6 Kiểm soát tài liệu
7.6.1 Kiểm soát các bản ghi IRBC
Các kiểm soát có thể được thiết lập trên hồ sơ IRBC để:
a) Đảm bảo chúng là rõ ràng, sẵn sàng để có thể định danh và có thể khôi phục; b) Cung cấp cho việc lưu trữ, bảo vệ và phục hồi chúng;
7.6.2 Kiểm soát tài liệu IRBC
Các kiểm soát phải được thiết lập trên tài liệu IRBC để đảm bảo: a) Tài liệu được phê duyệt trước khi phát hành;
b) Tài liệu được xem xét và cập nhật khi cần thiết và phê duyệt lại; c) Thay đổi và sửa đổi trạng thái của tài liệu hiện thời được xác định;
d) Các phiên bản có liên quan của tài liệu có sẵn ở những vị trí có thể sử dụng; e) Các tài liệu có nguồn gốc bên ngoài được xác định và kiểm soát việc phân phối;
f) Việc sử dụng các tài liệu cũkhông mong muốn được ngăn chặn và nếu chúng được giữ lại vì bất kỳ