5.6 業務連續性管理

5.6.1　備份與恢復

5.6.1.1 數據備份和恢復

對數據備份和恢復，不同安全等級應有選擇地滿足以下要求的一項：
a）數據備份的內容和周期要求：應明確說明需定期備份重要業務信息、系統數據及軟件等內容和備份周期；確定重要業務信息的保存期以及其它需要保存的歸檔拷貝的保存期；采用離線備份或在線備份方案，定期進行數據增量備份；可使用手工或軟件產品進行備份和恢復；對數據備份和恢復的管理應保證GB/T 20271-2006中6.1.2.4所采用的安全技術能達到其應有的安全性要求；
b）備份介質及其恢復的檢查要求：在a）的基礎上，應進行數據和局部系統備份；定期檢查備份介質，保證在緊急情況時可以使用；應定期檢查及測試恢復程序，確保在預定的時間內正確恢復；應根據數據的重要程度和更新頻率設定備份周期；應指定專人負責數據備份和恢復，并同時保存幾個版本的備份；對數據備份和恢復的管理應保證GB/T 20271-2006中6.2.2.5所采用的安全技術能達到其應有的安全性要求；
c）備份和恢復措施的強化管理：在b）的基礎上，必要時應采用熱備份方式保存數據，同時定期進行數據增量備份和應用環境的離線全備份；應分別指定專人負責不同方式的數據備份和恢復，并保存必要的操作記錄；對數據備份和恢復的管理應保證GB/T 20271-2006中6.3.2.6所采用的安全技術能達到其應有的安全性要求；
d）關鍵備份和恢復的操作過程監督，在c）的基礎上，根據數據實時性和其他安全要求，采用本地或遠地備份方式，制定適當的備份和恢復方式以及操作程序，必要時對備份后的數據采取加密或數據隱藏處理，操作時要求兩名工作人員在場并登記備案；對數據備份和恢復的管理應保證GB/T 20271-2006中6.4.2.6所采用的安全技術能達到其應有的安全性要求。

5.6.1.2 設備和系統的備份與冗余

對設備和系統的備份與冗余，不同安全等級應有選擇地滿足以下要求的一項：
a）設備備份要求：應實現設備備份與容錯；指定專人定期維護和檢查備份設備的狀況，確保需要接入系統時能夠正常運行；應根據實際需求限定備份設備接入的時間；
b）系統熱備份與冗余要求：在a）的基礎上，應實現系統熱備份與冗余，并指定專人定期維護和檢查熱備份和冗余設備的運行狀況，定期進行切換試驗，確保需要時能正常運行；應根據實際需求限定系統熱備份和冗余設備切換的時間；
c）系統遠地備份要求：在b）的基礎上，選擇遠離市區的地方或其他城市，建立系統遠地備份中心，確保主系統在遭到破壞中斷運行時，遠地系統能替代主系統運行，保證信息系統所支持的業務系統能按照需要繼續運行。

5.6.2　安全事件處理

5.6.2.1 安全事件劃分

對安全事件劃分，不同安全等級應有選擇地滿足以下要求的一項：
a）安全事件內容和劃分：安全事件是指信息系統五個層面所發生的危害性情況，包括事故、故障、病毒、黑客攻擊性活動、犯罪活動、信息戰等；通常可能包括（但不限于）不可抗拒的事件、設備故障事件、病毒爆發事件、外部網絡入侵事件、內部信息安全事件、內部誤用和誤操作等事件。安全事件的處置需要貫穿整個安全管理的全過程，應依據安全事件對信息系統的破壞程度、所造成的社會影響及涉及的范圍，確定具體信息系統安全事件處置等級的劃分原則；
b）安全事件處置制度：在a）的基礎上，建立信息安全事件分等級響應、處置的制度；根據不同安全保護等級的信息系統中發生的各類事件制定相應的處置預案，確定事件響應和處置的范圍、程度及適用的管理制度等；信息安全事件發生后，按預案分等級進行響應和處置；在發現或懷疑系統或服務出現安全漏洞或受到威脅時，應按照安全事件處置要求處理；
c）安全事件管理程序：在b）的基礎上，應明確安全事件管理責任，制定相關程序，應考慮以下要求：
——制定處理預案：針對各種可能發生的安全事件制定相應的處理預案；
——分析原因：注意分析和鑒定事件產生的原因，制定防止再次發生的補救措施；
——收集證據：收集審計記錄和類似證據，包括內部問題分析，用作與可能違反合同或違反規章制度的證據；
——處理過程控制：嚴格控制恢復過程和人員，只有明確確定身份和獲得授權的人員才允許訪問正在使用的系統和數據，詳細記錄采取的所有緊急措施，及時報告有關部門，并進行有序的審查，以最小的延誤代價確認業務系統和控制的完整性；
——總結吸取教訓：對發生的安全事件的類型、規模和損失進行量化和監控；用來分析重復發生的或影響很大的事故或故障，改進控制措施降低事故發生的頻率和損失；
——責任劃分和追究：應對安全事件的有關管理或執行責任或者責任范圍進行劃分和追究，使得沒有人在其責任范圍內所犯的錯誤能夠逃脫檢查。

5.6.2.2 安全事件報告和響應

對安全事件報告和響應，不同安全等級應有選擇地滿足以下要求的一項：
a）安全事件報告和處理程序：信息安全事件實行分等級響應、處置的制度；安全事件應盡快通過適當的管理渠道報告，制定正式的報告程序和事故響應程序；使所有員工知道報告安全事件程序和責任；信息安全事件發生后，根據其危害和發生的部位，迅速確定事件等級，并根據等級啟動相應的響應和處置預案；事件處理后應有相應的反饋程序；
b）安全隱患報告和防范措施：在a）的基礎上，增加對安全弱點和可疑事件進行報告；告知員工未經許可測試弱點屬于濫用系統；對于還不能確定為事故或者入侵的可疑事件應報告；對于所有安全事件的報告應記錄在案歸檔留存；
c）強化安全事件處理的責任：在b）的基礎上，要求安全管理機構或職能部門負責接報安全事件報告，并及時進行處理，注意記錄事件處理過程；對于重要區域或業務應用發生的安全事件，應注意控制事件的影響；應追究安全事件發生的技術原因和管理責任，寫出處理報告，并進行必要的評估。

5.6.3　應急處理

5.6.3.1 應急處理和災難恢復

應急處理和災難恢復，不同安全等級應有選擇地滿足以下要求的一項：
a）應急處理的基本要求：應對信息系統的應急處理有明確的要求，制定具體的應急處理措施；安全管理人員應協助分管領導落實應急處理措施；
b）應急處理的制度化要求：在a）的基礎上，應制定總體應急計劃和災難恢復計劃并由應急處理小組負責落實；制定針對關鍵應用系統和支持系統的應急計劃和災難恢復計劃并進行測試；對計劃涉及人員進行培訓，保證這些人員具有相應執行能力；與應急需要外部有關單位應簽訂合同；制定安全事件處理制度；制定系統信息和文檔備份制度等等；
c）應急處理的檢查要求：在b）的基礎上，信息安全領導小組應有人負責或指定專人負責應急計劃和實施恢復計劃管理工作；信息系統安全機制集中管理機構應協助應急處理小組負責具體落實；檢查或驗證應急計劃和災難恢復計劃，保證應急計劃和災難恢復計劃能夠有效執行；
d）應急處理的強制保護要求：在c）的基礎上，針對應急計劃和災難恢復計劃實施進行獨立審計；針對應急計劃和災難恢復計劃進行定期評估，不斷改進和完善；
e）應急處理的持續改進要求：在d）的基礎上，制定包括全面管理細則的應急計劃和災難恢復計劃；基于應急計劃和災難恢復計劃和安全策略，進行可驗證的操作過程監督。

5.6.3.2 應急計劃

對應急計劃，不同安全等級應滿足以下要求：
a）應急計劃框架，包括以下內容：
——制定應急計劃策略，明確制定應急計劃所需的職權和相應的管理部門；
——進行業務影響分析，識別關鍵信息系統和部件，確定優先次序；
——確定防御性控制，減小系統中斷的影響，提高系統的可用性；注意采取措施，減少應急計劃生存周期費用；
——制定恢復策略，確保系統可以在中斷后快速和有效的恢復；
——制定信息系統應急計劃，包括恢復受損系統所需的指導方針和規程；
——計劃測試、培訓和演練，發現計劃的不足，培訓技術人員；
——計劃維護，有規律地更新適應系統發展；
——制定災難備份計劃，以及啟動方式。

5.6.3.3 應急計劃的實施保障

對應急計劃的實施保障，不同安全等級應有選擇地滿足以下要求的一項：
a）應急計劃的責任要求：應對明確應急計劃的組織和實施人員，使其知道在應急計劃實施過程中各自的責任；
b）應急計劃的能力要求：在a）的基礎上，對系統相關的人員進行培訓，知道如何以及何時使用應急計劃中的控制手段及恢復策略，保證執行應急計劃應具有的能力；
c）應急計劃的系統化管理：在b）的基礎上，進行系統化管理用于實施和維護整個組織的應急計劃體系，并記錄計劃實施過程；確保應急計劃的執行有足夠資源的保證；
d）應急計劃的監督措施：在c）的基礎上，從風險評估開始，考慮所有的運行管理過程，識別可能引起業務過程中斷的事件，應有業務資源和業務過程管理者的參與和監督；
e）應急計劃的持續改進：在d）的基礎上，應針對計劃的正確性和完整性進行定期檢查，在計劃發生重大變化時應立即檢查；根據業務應用的重要程度的不同，不斷對計劃內容和規程進行評估和完善。