1、CISP应急响应与灾难应急响应与灾难恢复恢复课程内容2知识体知识域知识子域应急响应与应急响应与灾难恢复灾难恢复信息系统信息系统灾难恢复灾难恢复灾难恢复概况灾难恢复概况信息安全应急响应管理过程信息安全应急响应管理过程信息安全事件分类分级信息安全事件分类分级灾难恢复管理过程灾难恢复管理过程应急响应概况应急响应概况计算机取证计算机取证灾难恢复灾难恢复相关技术相关技术灾难恢复能力灾难恢复能力备份技术备份技术备用场所备用场所知识域：应急响应概况 知识子域：信息平安事件分类分级 理解信息平安事件和应急响应的根本概念 了解国际和我国的信息平安应急响应组织 了解我国信息平安事件应急响应工作的进展情况、政策要求
2、和相关标准 理解我国信息平安事件分类、分级方法根本概念GB/T 24363-2021 GB/T 24363-2021 信息平安应急响应方案标准信息平安应急响应方案标准应急响应应急响应 组织为了应对突发组织为了应对突发/重大信息平安事件的发生所重大信息平安事件的发生所做的准备，以及在事件发生后所采取的措施做的准备，以及在事件发生后所采取的措施信息平安事件信息平安事件 由于自然或者人为以及软硬件本身缺陷或故障的由于自然或者人为以及软硬件本身缺陷或故障的原因，对信息系统造成危害，或在信息系统内发原因，对信息系统造成危害，或在信息系统内发生对社会造成负面影响的事件生对社会造成负面影响的事件根本概念为什
3、么要做应急响应为什么要做应急响应应急响应是出现紧急情况时的行动。应急方案准备应急响应是出现紧急情况时的行动。应急方案准备的一种的一种,编制应急方案编制应急方案,对一旦出现紧急情况时人对一旦出现紧急情况时人员行动作出规定员行动作出规定,有秩序的进展排除故障有秩序的进展排除故障,以减少以减少损失损失针对各种突发公共事件而设立的各种应急方案，通针对各种突发公共事件而设立的各种应急方案，通过该方案使损失减到最小过该方案使损失减到最小网络平安应急响应的对象网络平安应急响应的对象计算机网络平安事件应急响应的对象是指针对计算计算机网络平安事件应急响应的对象是指针对计算机或网络所存储、传输、处理的信息的平安事
4、件机或网络所存储、传输、处理的信息的平安事件，事件的主体可能来自自然界、系统自身故障、，事件的主体可能来自自然界、系统自身故障、组织内部或外部的人、计算机病毒或蠕虫组织内部或外部的人、计算机病毒或蠕虫根本概念应急响应能做什么应急响应能做什么第一、未雨绸缪，即在事件发生前事先做好准备，第一、未雨绸缪，即在事件发生前事先做好准备，比方风险评估、制定平安方案、平安意识的培训比方风险评估、制定平安方案、平安意识的培训、以发布平安通告的方式进展的预警、以及各种、以发布平安通告的方式进展的预警、以及各种防范措施；防范措施；第二、亡羊补牢，即在事件发生后采取的措施，其第二、亡羊补牢，即在事件发生后采取的措施
5、，其目的在于把事件造成的损失降到最小。这些行动目的在于把事件造成的损失降到最小。这些行动措施可能来自于人，也可能来自系统，不如发现措施可能来自于人，也可能来自系统，不如发现事件发生后，系统备份、病毒检测、后门检测、事件发生后，系统备份、病毒检测、后门检测、去除病毒或后门、隔离、系统恢复、调查与追踪去除病毒或后门、隔离、系统恢复、调查与追踪、入侵者取证等一系列操作。、入侵者取证等一系列操作。GB/Z 20985-2007 GB/Z 20985-2007 信息平安事件管理指南信息平安事件管理指南信息平安事件响应组内部人员信息平安事件响应组内部人员 由组织中具备适当技能且可信的成员组成的一个由组织中
6、具备适当技能且可信的成员组成的一个小组，负责处理与信息平安事件相关的全部工作小组，负责处理与信息平安事件相关的全部工作，有时小组可能有外部专家参加，有时小组可能有外部专家参加CERT CERT 计算机应急响应组计算机应急响应组国际或国家公认的计算机应急响应组织国际或国家公认的计算机应急响应组织 根本概念根本概念国际信息平安应急响应组织 事件响应与平安组织论坛Forum of Incident Response and Security Teams,FIRST first.org 亚太地区计算机应急响应组Asia Pacific Computer Emergency Response Team,
7、APCERT 欧洲计算机网络研究教育协会Trans-European Research and Education Networking Association,TERENA)我国信息平安应急响应组织 国家计算机网络应急技术处理协调中心 National Computer network Emergency Response technical Team/Coordination Center of China,CNCERT/CC 中国教育和科研计算机网紧急响应组(China Education and Research Network Computer Emergency Response
8、Team,CCERT)国家计算机病毒应急处理中心 国家计算机网络入侵防范中心 国家863方案反计算机入侵和防病毒研究中心应急响应组织的一般构成国家政策要求和相关标准?关于加强信息平安保障工作的意见?中办发200327号文指出：“信息平安保障工作的要点在于，实行信息平安等级保护制度，建立基于密码技术的网络信任体系，建立信息平安监控体系，重视信息平安应急处理工作，推动信息平安技术研发与产业开展，建立信息平安法制与标准 GB/T 24363-2021?信息平安应急响应方案标准?GB/T 20988-2007?信息系统灾难恢复标准?GB/Z 20985-2007?信息平安事件管理指南?GB/Z 209
9、86-2007?信息平安事件分类分级指南?我国信息平安事件分类方法GB/Z 20986-2007?信息平安事件分级分类指南?7个根本类别数据丧失等有害程序事件：是指蓄意制造、传播有害程序，或是因受到有害程序的影响而导致的信息平安事件。有害程序是指插入到信息系统中的一段程序，有害程序危害系统中数据、应用程序或操作系统的保密性、完整性或可用性，或影响信息系统的正常运行。有害程序事件包括计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合攻击程序事件、网页内嵌恶意代码事件和其它有害程序事件等7个子类网络攻击事件：是指通过网络或其他技术手段，利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力
10、攻击对信息系统实施攻击，并造成信息系统异常或对信息系统当前运行造成潜在危害的信息平安事件。网络攻击事件包括拒绝效劳攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件等7个子类信息破坏事件：是指通过网络或其他技术手段，造成信息系统中的信息被篡改、假冒、泄漏、窃取等而导致的信息平安事件。信息破坏事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息窃取事件、信息丧失事件和其它信息破坏事件等6个子类我国信息平安事件分类方法信息内容平安事件：是指利用信息网络发布、传播危害国家平安、社会稳定和公共利益的内容的信息内容平安事件：是指利用信息网络发布、传播危害国
11、家平安、社会稳定和公共利益的内容的平安事件。平安事件。设备设施故障：是指由于信息系统自身故障或外围保障设施故障而导致的信息平安事件，以及人设备设施故障：是指由于信息系统自身故障或外围保障设施故障而导致的信息平安事件，以及人为的使用非技术手段有意或无意的造成信息系统破坏而导致的信息平安事件。设备设施故障包括为的使用非技术手段有意或无意的造成信息系统破坏而导致的信息平安事件。设备设施故障包括软硬件自身故障、外围保障设施故障、人为破坏事故、和其它设备设施故障等软硬件自身故障、外围保障设施故障、人为破坏事故、和其它设备设施故障等4 4个子类个子类灾害性事件：是指由于不可抗力对信息系统造成物理破坏而导致
12、的信息平安事件。灾害性事件：是指由于不可抗力对信息系统造成物理破坏而导致的信息平安事件。灾害性事件灾害性事件包括水灾、台风、地震、雷击、坍塌、火灾、恐惧袭击、战争等导致的信息平安事件。包括水灾、台风、地震、雷击、坍塌、火灾、恐惧袭击、战争等导致的信息平安事件。其他事件类别是指不能归为以上其他事件类别是指不能归为以上6 6个根本分类的信息平安事件。个根本分类的信息平安事件。我国信息平安事件分级方法分级要素 GB/Z 20986-2007?信息平安事件分级分类指南?我国信息平安事件分级方法信息系统的重要程度：主要考虑信息系统所承载的业务对国家平安、经济建立、社会生活的重要性以业务对信息系统的依赖程
13、度，划分为特别重要信息系统、重要信息系统和一般信息系统。系统损失：是指由于信息平安事件对信息系统的软硬件、功能及数据的破坏，导致系统业务中断，从而给事发组织所造成的损失，其大小主要考虑恢复系统正常运行和消除平安事件负面影响所需付出的代价，划分为特别严重的系统损失、严重的系统损失、较大的系统损失和较小的系统损失社会影响：是指信息平安事件对社会所造成影响的范围和程度，其大小主要考虑国家平安、社会秩序、经济建立和公众利益等方面的影响，划分为特别重大的社会影响、重大的社会影响、较大的社会影响和一般的社会影响我国信息平安事件分级方法 GB/Z 20986特别重特别重大事件大事件 重重 大大事事 件件较较
14、 大大事事 件件一一 般般事事 件件1级2级3级4级真题演示进入21世纪以来，信息平安成为世界各国平安战略关注的重点，纷纷制定并公布网络空间平安战略，但各国历史.国情和文化不同，网络空间平安战略的内容也各不一样，以下说法不正确的选项是：a、与国家平安、社会稳定和民生密切相关的关键根底设施是各国平安保障的重点b、美国尚未设立中央政府级的专门机构处理网络信息平安问题，信息平安管理职能由不同政府部门的多个机构共同承担c、各国普遍重视信息平安事件的应急响应和处理d、在网络平安战略中，各国均强调加强政府管理力度，充分利用社会资源，发挥政府与企业之间的合作关系真题演示以下关于CSIRT的说法错误的选项是：
15、a、CSIRT是“计算机平安应急响应小组的英文缩写b、CSIRT应当包括法律、技术和其他专家，以及刑侦管理人员c、CSIRT应当是一个常设机构，其成员应当专职从事应急响应，以便最快速地做出反响d、应急响应工作本质上是被动的，因此CSIRT应当在事件发生前做好充分准备，尽可能争取主动知识域：应急响应概况 知识子域：信息平安应急响应管理过程 掌握信息平安应急响应阶段方法论 掌握准备、检测、遏制、铲除等应急响应阶段的主要工作内容 掌握信息平安应急响应方案编制方法应急响应六阶段第一阶段：准备第一阶段：准备让我们严阵以待让我们严阵以待第二阶段：检测第二阶段：检测对情况综合判断对情况综合判断第三阶段：遏制
16、第三阶段：遏制制止事态的扩大制止事态的扩大第四阶段：铲除第四阶段：铲除彻底的补救措施彻底的补救措施第五阶段：恢复第五阶段：恢复系统恢复常态系统恢复常态第六阶段：跟踪总结第六阶段：跟踪总结还会有第二次吗还会有第二次吗第一阶段 准备 预防为主 微观 确定重要资产和风险，实施针对风险的防护措施 编制和管理应急响应方案 建立和训练应急响应组织 准备相关的资源 人力资源、财力资源、物质资源、技术资源、社会关系资源 宏观 建立协作体系和应急制度 建立信息沟通渠道和通报机制 如有条件，建立数据汇总分析的体系和能力 有关法律法规的制定编制和管理应急响应方案 应急响应方案，是指在突发/重大信息平安事件后对包括计
17、算机运行在内的业务运行进展维持或恢复的策略和规程 应急响应方案的制定是一个周而复始、持续改进的过程，包含以下几个阶段 1应急响应需求分析和应急响应策略确实定 2编制应急响应方案文档 3应急响应方案的测试、培训、演练和维护 应急响应方案主要内容总那么、角色及职责、预防和预警机制、应急响应流程、应急响应保障措施、附件第二阶段 检测检测事件、确定事件性质和处理人微观进展监测、报告及信息收集确定事件类别和级别指定事件处理人，进展初步响应评估事件的影响范围事件通告信息通报、信息上报、信息披露宏观：通过汇总，确定是否发生了全网的大规模事件确定应急等级，以决定启动哪一级应急方案第三阶段 遏制限制事件影响的范
18、围、损失微观启动应急响应方案确定适当的响应方式实施遏制行动要求用户按应急行为标准要求配合遏制工作宏观确保封锁方法对各网业务影响最小通过协调争取各网一致行动，实施隔离汇总数据，估算损失和隔离效果第四阶段 铲除长期的补救措施微观详细分析，确定原因实施铲除措施，消除原因宏观加强宣传，公布危害性和解决方法，呼吁用户解决终端的问题加强检测工作，发现和清理行业与重点部门的问题第五阶段 恢复微观根据破坏程度决定是在原系统还是备份系统中恢复按恢复优先顺序恢复系统和业务运行可能需要执行以下事务性步骤和技术性恢复操作获得访问相关区域和资源的授权获取备份介质等相关资源恢复系统数据启用备份系统重建主系统宏观持续汇总分
19、析，判断遏制、铲除效果通过汇总分析的结果判断仍然受影响的终端的规模适当时解除封锁措施第六阶段 跟踪总结 关注系统恢复以后的平安状况，记录跟踪结果 评估损失、响应措施效果 分析和总结经历、教训 重新评估和修改平安策略、措施和应急响应方案 对进入司法程序的事件，进展进一步调查，打击违法犯罪活动 编制并提交应急响应报告 处理人 时间和时段 地点 工作量事件的类类别、级别对事件的处置情况损失经历、教训知识域：应急响应概况 知识子域：计算机取证 了解计算机取证的概念和目的 了解计算机取证的根本步骤计算机取证的概念、目的、原那么 计算机取证 使用先进的技术和工具，按照标准规程全面地检查计算机系统，以提取和
20、保护有关计算机犯罪的相关证据的活动 提取和保护的是电子证据，相关工作主要围绕两个方面进展：证据的获取和证据的分析 目的 查找肇事者、推断犯罪过程、判断受害者损失程度、提供法律支持 原那么 合法原那么、充分授权原那么、优先保护证据原那么、全程监视原那么计算机取证的步骤计算机取证-准备 获取授权 取证工作获得明确的授权授权书 目标明确 对取证的目的有清晰的认识 工具准备 对取证环境的了解及需要准备的工具 软件准备 对取证的软件进展过有效的验证 介质准备 确保有符合要求的干净的介质可用于取证计算机取证-保护v保证数据平安性v制作磁盘映像不在原始磁盘上操作v保证数据完整性v取证中不使用可能破坏完整性的
21、操作v第三方监视v所有操作都有第三方在场监视计算机取证-提取v优先提取易消失的证据内存信息、系统进程、网络连接信息、路由信息、临时文件、缓存v文件系统数据恢复、隐藏文件、加密文件、系统日志 应用系统系统日志计算机取证-分析及提交 证据在什么地方？日志、删除的文件、临时文件、缓存 从证据中能发现什么？如何关联证据？电子取证提交 必须与现实取证结合，文档化很重要真题演示以下对于信息平安事件理解错误的选项是：a、信息平安事件，是指由于自然或者人为以及软硬件本身缺陷或故障的原因，对信息系统造成危害，或在信息系统内发生对社会造成负面影响的事件b、对信息平安事件进展有效管理和响应，最小化事件所造成的损失和
22、负面影响，是组织信息平安战略的一局部c、应急响应是信息平安事件管理的重要内容d、通过部署信息平安策略并配合部署防护措施，能够对信息及信息系统提供保护，杜绝信息平安事件的发生真题演示关于信息平安事件管理和应急响应，以下说法错误的选项是：a、应急响应是指组织为了应对突发重大信息平安事件的发生所做的准备，以及在事件发生后所采取的措施d、根据信息平安事件的分级参考要素，可将信息平安事件划分为4个级别：特别重大事件(级).重大事件(级).较大事件(级)和一般事件(级)知识域：信息系统灾难恢复 知识子域：灾难恢复概况 了解灾难恢复的历史和背景、进展情况、政策要求和相关标准 理解业务连续性管理与灾难恢复相关
23、的根本概念 了解灾难恢复组织的一般构造和职责 理解组织应依据自身业务特点制定适宜的灾难恢复战略 理解编制详细准确的备份策略和恢复步骤文档是成功恢复的根底，理解恢复性测试的重要性灾难恢复的历史和背景 20世纪90年代末期，开场关注数据平安，进展数据的备份。但当时，不管从灾难恢复理论水平，重视程度，从业人员数量质量，还是技术水平方面都还很不成熟。2000年，“千年虫事件引发了国内对于信息系统灾难的第一次集体性关注我国灾难恢复进展情况 各行业用户对信息平安的建立越来越重视投入呈现稳定增长的态势。但，大局部单位还没有有效的灾难恢复策略 没有建立统一的业务连续管理机制 随着国内信息化建立的不断完善、数据
24、大集中的开展和国家对灾难恢复工作的高度重视，越来越多的单位和部门认识到灾难恢复的重要性和必要性，开展灾难恢复建立的时机已根本成熟 一些大型行业已建立或启动灾备中心建立我国国内灾难恢复的国家政策和标准 2003年，?国家信息化领导小组关于加强信息平安保障工作的意见?，要求：各根底信息网络和重要信息系统建立要充分考虑抗毁性与灾难恢复，制定和不断完善信息平安应急处置预案 2004年，国信办?关于做好重要信息系统灾难备份工作的通知?，强调了“统筹规划、资源共享、平战结合的灾备工作原那么 2005年，国务院信息化办公室?重要信息系统灾难恢复指南?2007年，?信息平安技术信息系统灾难恢复标准?GB/T
25、209882007灾难恢复相关根本概念 灾难灾难disaster 由于人为或自然的原因，造成信息系统严重故由于人为或自然的原因，造成信息系统严重故障或瘫痪，使信息系统支持的业务功能停顿或障或瘫痪，使信息系统支持的业务功能停顿或效劳水平不可承受、到达特定的时间的突发性效劳水平不可承受、到达特定的时间的突发性事件。通常导致信息系统需要切换到灾难备份事件。通常导致信息系统需要切换到灾难备份中心运行中心运行v 灾难备份灾难备份(backup for disaster recovery)v 为了灾难恢复而对数据、数据处理系统、网络系统、根为了灾难恢复而对数据、数据处理系统、网络系统、根底设施、专业技术支
26、持能力和运行管理能力进展备份的底设施、专业技术支持能力和运行管理能力进展备份的过程过程v 灾难恢复灾难恢复(disaster recovery)v 为了将信息系统从灾难造成的故障或瘫痪状态恢复到可为了将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态、并将其支持的业务功能从灾难造成的不正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可承受状态而设计的活动和流程正常状态恢复到可承受状态而设计的活动和流程规划和预案 GB/T 20988 灾难恢复规划 disaster recovery planning 为了减少灾难带来的损失和保证信息系统所支持的关键业务功能在灾难发生后能及时
27、恢复和继续运作所做的事前方案和安排。灾难恢复预案 disaster recovery plan 定义信息系统灾难恢复过程中所需的任务、行动、数据和资源的文件。用于指导相关人员在预定的灾难恢复目标内恢复信息系统支持的关键业务功能。BCP和BCM GB/T 20988 业务连续性规划Business Continuity Planning，BCP 是灾难事件的预防和反响机制，是一系列事先制定的策略和规划，确保单位在面临突发的灾难事件时，关键业务功能能持续运作、有效的发挥作用，以保证业务的正常和连续。业务连续规划不仅仅包括对信息系统的恢复，而且包括关键业务运作、人员及其它重要资源等的恢复和持续 业务
28、连续性管理 Business Continuity Management，BCM 为保护组织的利益、声誉、品牌和价值创造活动，找出对组织有潜在影响的威胁，提供建立组织有效反响恢复能力的框架的整体管理过程。包括组织在面临灾难时对恢复或连续性的管理，以及为保证业务连续方案或灾难恢复预案的有效性的培训、演练和检查的全部过程v RPORPORecovery Point ObjectiveRecovery Point Objective，恢复点目标，恢复点目标v 定义：灾难发生后，系统和数据必须恢复到的时间点要求定义：灾难发生后，系统和数据必须恢复到的时间点要求v 代表了当灾难发生时允许丧失的数据量代表
29、了当灾难发生时允许丧失的数据量v RTORTORecovery Time Objective Recovery Time Objective，恢复时间目标，恢复时间目标v 定义：灾难发生后，信息系统和业务功能从停顿到必须恢复的时间定义：灾难发生后，信息系统和业务功能从停顿到必须恢复的时间要求要求v 代表了企业能容忍的信息系统和业务功能恢复的时间代表了企业能容忍的信息系统和业务功能恢复的时间恢复点目标-RPO/恢复时间目标-RTO秒秒分分小时小时日日周周秒秒分分小时小时 日日周周主中心与灾难备份中心、主系统与灾难备份系统 主中心主中心(主站点主站点/生产中心生产中心)，是指主系统所在的数据中，是
30、指主系统所在的数据中心心 灾难备份中心备用站点，是指用于灾难发生后接灾难备份中心备用站点，是指用于灾难发生后接替主系统进展数据处理和支持关键业务功能运作的场替主系统进展数据处理和支持关键业务功能运作的场所，可提供灾难备份系统、备用的根底设施和专业技所，可提供灾难备份系统、备用的根底设施和专业技术支持及运行维护管理能力，此场所内或周边可提供术支持及运行维护管理能力，此场所内或周边可提供备用的生产设施备用的生产设施 主系统生产系统，是指正常情况下支持组织日常主系统生产系统，是指正常情况下支持组织日常运作的信息系统。包括主数据、主数据处理系统和主运作的信息系统。包括主数据、主数据处理系统和主网络网络
31、 灾难备份系统，是指用于灾难恢复目的，由数据备份灾难备份系统，是指用于灾难恢复目的，由数据备份系统、备用数据处理系统和备用的网络系统组成的信系统、备用数据处理系统和备用的网络系统组成的信息系统息系统灾难恢复组织 灾难恢复组织应由管理、业务、技术和行政后勤等人员组成，通常会分为灾难恢复规划领导小组、灾难恢复规划实施组和灾难恢复规划日常运行组等角色 可聘请外部专家协助灾难恢复规划工作，也可委托外部机构承担实施组和运行组的局部或全部工作一般的灾难恢复组织构造一般的灾难恢复组织构造灾难恢复战略 适宜的数据备份及恢复战略是防止丧失重要数据、有效恢复和满足业务运营需要的保证 组织应根据自身的业务性质、数据
32、特点、信息系统规模、业务影响分析的结果主要是RTO、RPO这两个指标，来制定适当的备份及恢复战略 比方，实时性业务与非实时性业务的的战略应完全不同 备份及恢复战略的不同，将决定组织选择不同的存储技术、备份技术、备用场所备份策略和恢复步骤及测试 备份、备份数据的测试，是恢复的根底 应识别所有需要备份的数据项，编制诸如?备份策略和恢复步骤?的文档，分别描述每一备份项的备份策略、详细恢复步骤、测试要求 因为不同类型的数据，其特点不同，备份策略和恢复步骤可能完全不同 恢复步骤应足够详细真题演练 在制定灾难恢复与应急方案时，下面哪一种情况不是正确的考虑？a、对应急方案测试与维护应当是一个持续过程 b、在
33、异地恢复站点恢复系统处理能力时要用到的所有资源与材料应当是可获得的 c、所有相对不重要的工作没有必要恢复 d、在多个站点的环境下，应当为每一个计算机中心制定一份单独的恢复方案 审计涵盖关键业务领域的灾难恢复方案时，IS审计师发现该方案没有包括全部系统。那么，IS审计师最为恰当的处理方式是：a、推迟审计，直到把全部系统纳入DRP b、知会领导，并评估不包含所有系统所带来的影响 c、中止审计 d、按照现有的方案所涵盖的系统和范围继续审计，直到全部完成真题演练 某公司在执行灾难恢复测试时信息平安专业人员注意到灾难恢复站点的效劳器的运行速度缓慢，为了找到根本愿因，他应该首先检查：a、灾难恢复站点的错误
34、事件报告 b、灾难恢复测试方案 c、灾难恢复方案(DRP)d、主站点和灾难恢复站点的配置文件知识域：信息系统灾难恢复 知识子域：灾难恢复管理过程 掌握灾难恢复管理工作的主要内容 掌握灾难恢复规划过程：灾难恢复需求分析、灾难恢复策略制定、灾难恢复策略实现、灾难恢复预案制定和管理 理解同城和异地灾难备份中心的优缺点灾难恢复管理工作的主要内容 灾难恢复规划灾难恢复规划 灾难备份中心的日常运行 灾难发生后的应急响应 关键业务功能在灾难备份中心的恢复和运行 主系统的灾后重建 灾难恢复的外部协作 灾难恢复的审计和备案灾难恢复规划 灾难恢复规划：是一个周而复始的、持续改进的过程，包含以下四个阶段 灾难恢复需
35、求分析 灾难恢复策略制定 灾难恢复策略实现 灾难恢复预案的制定和管理灾难恢复规划管理过程业务影响分析制定灾难恢复策略实现灾难恢复策略灾难恢复预案的制定、落实和管理分析业务分析业务功能和相功能和相关资源配关资源配置置评估中断评估中断影响影响确定灾难恢确定灾难恢复资源获取复资源获取方式方式确定对灾难确定对灾难恢复资源的恢复资源的要求要求选择和建立灾选择和建立灾难备份中心难备份中心实现灾难备份实现灾难备份系统技术方案系统技术方案实现专业技术实现专业技术支持能力支持能力实现运行维护实现运行维护管理能力管理能力制定灾难恢复制定灾难恢复预案预案教育、培训和教育、培训和演练灾难恢复演练灾难恢复预案预案更新维
36、护灾难更新维护灾难恢复预案恢复预案风险分析标识资产标识资产标识威胁标识威胁标识脆弱性标识脆弱性标识现有控标识现有控制制分析风险分析风险灾难恢复需求分析灾难恢复需求分析灾难恢复策略灾难恢复策略制定制定灾难恢复预案灾难恢复预案制定和管理制定和管理灾难恢复策略灾难恢复策略实现实现确定灾难恢复目标确定关键确定关键业务及恢业务及恢复优先顺复优先顺序序确定确定RTO/RPO1.灾难恢复需求分析 风险分析 业务影响分析BIA 确定灾难恢复目标恢复时间恢复时间 明确关键业务功能和支持关键业务功能的关键应用系统 明确系统中断对业务的损失和影响 明确各业务系统的恢复目标和内外部依赖关系 确定各业务功能灾难恢复指标
37、RTO/RPO 明确各业务功能恢复的最小资源需求及恢复策略业务影响分析BIA确定灾难恢复目标2.灾难恢复策略制定 数据备份系统 备用数据处理系统 备用网络系统 备用根底设施 专业技术支持能力 运行维护管理能力 灾难恢复预案恢恢复复要要素素策略制定主要内容策略制定主要内容1.确定所需的灾难恢复资源确定所需的灾难恢复资源2.明确恢复资源的获取方式明确恢复资源的获取方式3.明确对恢复资源的具体要求明确对恢复资源的具体要求(需要具备的灾难恢复能力等级需要具备的灾难恢复能力等级)例如：灾难恢复资源的获取方式 备用根底设施 由单位所有或运行 多方共建或通过互惠协议获取 租用商业化灾难备份中心的根底设施 备
38、用数据处理系统 事先与厂商签订紧急供货协议 事先购置所需的数据处理设备并存放在灾难备份中心或平安的设备仓库 利用商业化灾难备份中心或签有互惠协议的机构已有的兼容设备 例如：确定灾难恢复等级各要素的要求 数据备份系统 数据备份的范围 数据备份的时间间隔 数据备份的技术及介质 数据备份线路的速率及相关通信设备的规格和要求 备用根底设施 与生产中心的距离要求 场地和环境如面积、温度、湿度、防火、电力和工作时间等要求 运行和管理要求3、灾难恢复策略实现 灾难备份中心的选择和建立 选址原那么 根底设施要求 灾难备份系统技术方案的实现 技术方案的设计、验证、开发、安装和测试 专业技术支持能力的实现 明确灾
39、难恢复策略的要求 建立技术支持组织，定期技能培训 运行维护管理能力的实现 灾难备份中心应建立各种操作规程和管理制度 保证备份的及时性和有效性 保证有效的应急响应、处理能力灾难备份中心的选择和建立 选址原那么 防止灾难备份中心与生产中心同时遭受同类风险 具备通信、电力资源和交通条件 统筹规划、资源共享、平战结合 根底设施要求 计算机机房应符合有关国家标准 工作辅助设施和生活设施要符合灾难恢复目标的要求灾难备份中心的选择和建立 同城和异地 同城同城异地异地含义含义指灾难备份中心与生产中心处于同一区域性风险威胁的地点，但又有一定距离的地点，例如在数十公里以内灾难备份中心不会同时遭受与生产中心同一区域
40、性风险威胁的地点，例如距离生产中心在数百公里以上优点优点技术上可以支持同步的数据实时备份方式、便于运营管理和灾难演练对地震、地区停电、战争等大规模灾难防范能力较强缺点缺点抵御灾难能力方面有局限性，对地震、地区停电、战争等大规模灾难防范能力较弱技术上只能支持异步或者定点拷贝的数据复制方式、运营管理和灾难演练的成本较高灾难备份系统技术方案的实现v 三个主要步骤：技术方案的设计，技术方案的验证、确认和系统开发，系统安装和测试v 典型的灾难备份系统技术方案架构专业技术支持能力的实现、运行维护管理能力的实现 灾难备份中心应建立相应的技术支持组织，定期对技术支持人员进展技能的教育和培训，以实现专业技术支持
41、能力 灾难备份中心应建立各种操作规程和管理制度，以实现运行维护管理能力灾难恢复预案的制定和管理v 灾难恢复预案的制定v 灾难恢复预案的教育、培训和演练v 灾难恢复预案的管理灾难恢复预案的制定 灾难恢复预案包括的主要内容 确定风险场景 描述可能受到的业务影响 描述使用的预防性策略 描述灾难恢复策略 识别和排列关键应用系统 行动方案 团队和人员的职责 联络清单 所需资源配置灾难恢复预案的制定 制定灾难恢复预案的原那么 完整性 易用性 明确性 有效性 兼容性v 制定灾难恢复预案的一般流程 制定框架 起草 评审 修订 测试 完善 审核和批准灾难恢复预案的教育、培训和演练目的：在灾难降临前使相关人员了解
42、灾难恢复的目标和流程，熟悉恢复操作规程教育：在规划初期即开场进展灾难恢复观念的宣传教育培训：评估培训需求，确定培训的频次和范围，开发培训课程，保存培训记录演练：制定演练方案，说明演练场景，记录演练过程，编制演练报告演练与演习的类型 演练和演习的主要方式 桌面演练 模拟演练 实战演练等 根据演练和演习的深度，可分为 数据级演练 应用级演练 业务级演练等 根据演练和演习的准备情况，可分为 方案内的演练和演习 方案外的演练和演习等灾难恢复预案的管理 按以下原那么保存和分发按以下原那么保存和分发 指派专人负责指派专人负责 制作多份拷贝，保存在不同地点制作多份拷贝，保存在不同地点 分发给参与恢复工作的所
43、有人员分发给参与恢复工作的所有人员 每次修订后统一更新所有拷贝每次修订后统一更新所有拷贝 按有关规定销毁旧版本按有关规定销毁旧版本 为保证预案的有效性为保证预案的有效性 在发生各种变化后，及时更新预案在发生各种变化后，及时更新预案 在测试、演练、灾难发生后实际执行过预案以后，评在测试、演练、灾难发生后实际执行过预案以后，评估并修订估并修订 定期评审和修订定期评审和修订知识域：信息系统灾难恢复 知识子域：灾难恢复能力 掌握国家有关标准对信息系统灾难恢复能力级别的划分 理解各恢复能力级别对各类灾难恢复资源要素的指标要求 掌握确定组织自身所需灾难恢复能力级别的方法灾难恢复资源要素与恢复能力等级划分专
44、业技术支持能力专业技术支持能力运行维护管理能力运行维护管理能力第1级 根本支持要素要求数据备份系统完全数据备份至少每周一次备份介质场外存放备用数据处理系统 备用网络系统 备用基础设施有符合介质存放条件的场地专业技术支持能力 运行维护管理能力有介质存取、验证和转储管理制度按介质特性对备份数据进行定期的有效性验证灾难恢复预案有相应的经过完整测试和演练的灾难恢复预案第2级 备用场地支持要素要求数据备份系统完全数据备份至少每周一次备份介质场外存放备用数据处理系统配备灾难恢复所需的部分备用数据处理设备，或灾难发生后能在预定时间内调配所需的数据处理设备到备用场地备用网络系统配备部分通信线路和相应的网络设备
45、，或灾难发生后能在预定时间内调配所需的通信线路和网络设备到备用场地备用基础设施有符合介质存放条件的场地有满足信息系统和关键业务功能恢复运作要求的场地专业技术支持能力 运行维护管理能力有介质存取、验证和转储管理制度按介质特性对备份数据进行定期的有效性验证有备用站点管理制度与相关厂商有符合灾难恢复时间要求的紧急供货协议与相关运营商有符合灾难恢复时间要求的备用通信线路协议灾难恢复预案有相应的经过完整测试和演练的灾难恢复预案。第3级 电子传输和局部设备支持要素要求数据备份系统完全数据备份至少每天一次备份介质场外存放每天多次利用通信网络将关键数据定时批量传送至备用场地备用数据处理系统配备灾难恢复所需的部
46、分数据处理设备备用网络系统配备部分通信线路和相应的网络设备备用基础设施有符合介质存放条件的场地 有满足信息系统和关键业务功能恢复运作要求的场地第3级 电子传输和局部设备支持要素要求专业技术支持能力在备用站点有专职的计算机机房运行管理人员运行维护管理能力有介质存取、验证和转储管理制度按介质特性对备份数据进行定期的有效性验证有备用计算机机房管理制度有备用数据处理设备硬件维护管理制度有电子传输数据备份系统运行管理制度灾难恢复预案有相应的经过完整测试和演练的灾难恢复预案第4级 电子传输及完整设备支持要素要求数据备份系统完全数据备份至少每天一次备份介质场外存放每天多次利用通信网络将关键数据定时批量传送至
47、备用场地 备用数据处理系统配备灾难恢复所需的全部数据处理设备，并处于就绪状态或运行状态备用网络系统配备灾难恢复所需的通信线路配备灾难恢复所需的网络设备，并处于就绪状态 备用基础设施有符合介质存放条件的场地有符合备用数据处理系统和备用网络设备运行要求的场地有满足关键业务功能恢复运作要求的场地以上场地应保持7x24小时运作第4级 电子传输及完整设备支持要素要求专业技术支持能力在备用站点有：7x24小时专职计算机机房管理人员专职数据备份技术支持人员a)专职硬件、网络技术支持人员运行维护管理能力有介质存取、验证和转储管理制度按介质特性对备份数据进行定期的有效性验证有备用计算机机房运行管理制度有硬件和网
48、络运行管理制度有电子传输数据备份系统运行管理制度灾难恢复预案有相应的经过完整测试和演练的灾难恢复预案第5级实时数据传输及完整设备支持要素要求数据备份系统完全数据备份至少每天一次备份介质场外存放采用远程数据复制技术，并利用通信网络将关键数据实时实时复制到备份场地备用数据处理系统配备灾难恢复所需的全部数据处理设备，并处于就绪或运行状态备用网络系统配备灾难恢复所需的通信线路配备灾难恢复所需的网络设备，并处于就绪状态具备通信网络自动或集中切换能力备用基础设施有符合介质存放条件的场地有符合备用数据处理系统和备用网络设备运行要求的场地有满足关键业务功能恢复运作要求的场地以上场地应保持7x24小时运作第5级
49、实时数据传输及完整设备支持要素要求专业技术支持能力在备用站点7x24小时有专职的：计算机机房管理人员数据备份技术支持人员a)硬件、网络技术支持人员运行维护管理能力有介质存取、验证和转储管理制度按介质特性对备份数据进行定期的有效性验证有备用计算机机房运行管理制度有硬件和网络运行管理制度有实时数据备份系统运行管理制度灾难恢复预案有相应的经过完整测试和演练的灾难恢复预案第6级数据零丧失和远程集群支持要素要求数据备份系统完全数据备份至少每天一次备份介质场外存放远程实时备份，实现数据零丢失备用数据处理系统备用数据处理系统具备与生产数据处理系统一致的处理能力并完全兼容应用软件是“集群的”，可实时无缝切换具
50、备远程集群系统的实时监控和自动切换能力备用网络系统配备与生产系统相同等级的通信线路和网络设备备用网络处于运行状态最终用户可通过网络同时接入主、备中心备用基础设施有符合介质存放条件的场地有符合备用数据处理系统和备用网络设备运行要求的场地有满足关键业务功能恢复运作要求的场地以上场地应保持7x24小时运作第6级数据零丧失和远程集群支持要素要求专业技术支持能力在备用站点7x24小时有专职的：计算机机房管理人员专职数据备份技术支持人员专职硬件、网络技术支持人员a)专职操作系统、数据库和应用软件技术支持人员运行维护管理能力有介质存取、验证和转储管理制度按介质特性对备份数据进行定期的有效性验证有备用计算机机
