TIÊU CHUẨN QUỐC GIA
TCVN ISO/IEC 27031:2017
ISO/IEC 27031:2011
CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN ĐẢM BẢO SỰ SẴN SÀNG VỀ
CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG CHO TÍNH LIÊN TỤC CỦA HOẠT ĐỘNG
Information technology - Security techniques - Guidelines for information and communication
technology readiness for business continuity
Lời nói đầu
TCVN ISO/1EC 27031:2017 hoàn toàn tương đương ISO/IEC 27031:2011.
TCVN ISO/IEC 27031:2017 do Học viện Công nghệ Bưu chính Viễn thông biên soạn, Bộ Thông tin và
Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học và Công
nghệ công bố.
Lời giới thiệu
Trong những năm qua, công nghệ thông tin và truyền thông đã trở thành một phần không thể thiếu của
rất nhiều hoạt động, là những thành phần của cơ sở hạ tầng quan trọng trong tất cả các lĩnh vực của tổ
chức, cho dù là tổ chức công, doanh nghiệp hay tổ chức tình nguyện. Sự phát triển của Internet và các
dịch vụ mạng, khả năng của các hệ thống và ứng dụng ngày nay, điều này đồng nghĩa với việc tổ chức
ngày càng phụ thuộc nhiều vào cơ sở hạ tầng công nghệ thông tin và truyền thông (ICT) đáng tin cậy
và an toàn.
Trong khi đó, nhu cầu quản lý tính liên tục của hoạt động, bao gồm sự sẵn sàng đối phó với sự cố,
phục hồi sau thảm họa, ứng phó khẩn cấp và quản lý, đã được thừa nhận và hỗ trợ bằng các lĩnh vực
kiến thức, chuyên môn cụ thể, các tiêu chuẩn được phát triển và ban hành trong những năm gần đây,
bao gồm chuẩn quốc tế BCM được phát triển bởi ISO/IEC 223.
Lỗi, sự cố của các dịch vụ ICT, bao gồm sự xuất hiện của sự cố làm ảnh hưởng tới an toàn hệ thống
như xâm nhập hệ thống, lây nhiễm mã độc cũng sẽ ảnh hưởng tới tính liên tục của các hoạt động. Do
vậy việc quản lý ICT, tính liên tục và các khía cạnh an toàn khác tạo thành một phần của các yêu cầu
liên tục hoạt động. Hơn nữa, trong hầu hết các trường hợp, các chức năng hoạt động quan trọng đòi
hỏi tính liên tục của hoạt động thường phụ thuộc vào ICT. Sự phụ thuộc này có nghĩa là sự gián đoạn
ICT có thể mang lại rủi ro ảnh hưởng tới khả năng hoạt động và uy tín của tổ chức.
Sự sẵn sàng ICT là thành phần thiết yếu của nhiều tổ chức trong việc thực hiện quản lý liên tục hoạt
động và quản lý an toàn thông tin. Là một phần của việc thực hiện và vận hành hệ thống quản lý an
toàn thông tin ISMS được quy định trong TCVN ISO/IEC 27001 và hệ thống quản lý tính liên tục của
hoạt động tương ứng, việc xây dựng và thực hiện kế hoạch liên tục hoạt động cho dịch vụ ICT là rất
quan trọng để đảm bảo tính liên tục của hoạt động.
BCM hiệu quả thường phụ thuộc vào hiệu quả của sự sẵn sàng ICT để đảm bảo mục tiêu của tổ chức
có thể tiếp tục đạt được trong thời gian bị gián đoạn. Điều này đặc biệt quan trọng vì hậu quả của các
gián đoạn ICT làm tăng sự phức tạp tiềm ẩn hoặc gây khó khăn để phát hiện.
Để tổ chức đạt được sự sẵn sàng ICT cho tính liên tục của hoạt động, tổ chức cần đưa ra một quy
trình để ngăn chặn, dự đoán và quản lý sự gián đoạn ICT và các sự cố có thể làm gián đoạn các dịch
vụ ICT. Điều này có thể đạt được bằng việc áp dụng chu trình PDCA như một phần của hệ thống quản
lý trong ICT IRBC. Theo cách này IRBC hỗ trợ BCM bằng cách đảm bảo các dịch vụ ICT là linh hoạt và
có thể được phục hồi đến các mức độ xác định trước trong khoảng thời gian cần thiết và được sự đồng
ý của tổ chức.
Chu trình PDCA trong IRBC
Lập kế hoạch -
Plan
Thiết lập chính sách IRBC, các mục tiêu, quy trình và các thủ tục liên
quan nhằm quản lý rủi ro và cải tiến sự sẵn sàng ICT để cung cấp kết
quả phù hợp với các chính sách và mục tiêu tính liên tục của hoạt động
tổng thể của tổ chức.
Thực hiện - Do Thực hiện và vận hành chính sách, các kiểm soát, quy trình và thủ tục
IRBC.
Kiểm tra - Check Đánh giá và nếu có thể, đo lường hiệu năng của quy trình theo chính
sách IRBC, mục tiêu và các kinh nghiệm thực tế, và báo cáo kết quả tới
lãnh đạo để xem xét.
Hành động - Act Thực hiện các hành động khắc phục và phòng ngừa, dựa trên kết quả
xem xét của lãnh đạo để đạt được sự cải tiến liên tục của IRBC.
Nếu tổ chức sử dụng TCVN ISO/IEC 27001 để thiết lập một ISMS, và sử dụng các tiêu chuẩn liên quan
để thiết lập hệ thống BCM, việc thiết lập IRBC nên đi vào việc xem xét sự tồn tại hoặc sự gắn kết các
quy trình tới các tiêu chuẩn này. Liên kết này có thể hỗ trợ việc thiết lập IRBC và tránh quy trình kép
cho tổ chức.
Hình 1 - Tích hợp IRBC và BCM
CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN ĐẢM BẢO SỰ SẴN SÀNG
VỀ CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG CHO TÍNH LIÊN TỤC CỦA HOẠT ĐỘNG
Information technology - Security techniques - Guidelines for information and communication
technology readiness for business continuity
1 Phạm vi áp dụng
Tiêu chuẩn này mô tả các khái niệm và nguyên tắc cho sự sẵn sàng về công nghệ thông tin và truyền
thông (ICT) để đảm bảo tính liên tục của hoạt động, và cung cấp khung các phương thức và quy trình
để định danh, xác định tất cả các khía cạnh (như các tiêu chí hiệu năng, thiết kế và thực hiện) để cải
thiện sự sẵn sàng ICT của tổ chức nhằm đảm bảo tính liên tục của hoạt động. Tiêu chuẩn này áp dụng
cho mọi tổ chức (tư nhân, chính phủ, phi chính phủ) phát triển chương trình ICT để đảm bảo tính liên
tục của hoạt động, tổ chức có yêu cầu dịch vụ/cơ sở hạ tầng cần sẵn sàng hỗ trợ cho hoạt động trong
trường hợp xảy ra các sự kiện và sự cố khẩn cấp, và các gián đoạn liên quan, có thể ảnh hưởng đến
tính liên tục (bao gồm cả tính an toàn) của các chức năng hoạt động quan trọng. Tiêu chuẩn này cũng
cho phép tổ chức đo lường các thông số hiệu năng của IRBC một cách phù hợp.
Tiêu chuẩn này áp dụng cho tất cả các sự kiện và sự cố (bao gồm cả sự kiện và sự cố liên quan đến
an toàn) có thể ảnh hưởng tới các hệ thống và cơ sở hạ tầng ICT. Phạm vi của hướng dẫn này cũng
bao gồm và mở rộng các thực hành về xử lý và quản lý sự cố an toàn thông tin, các dịch vụ và việc lập
kế hoạch cho sự sẵn sàng ICT.
2 Tài liệu viện dẫn
Các tài liệu viện dẫn sau là cần thiết cho việc áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi
năm công bố thì áp dụng bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố thì áp
dụng phiên bản mới nhất, bao gồm cả các sửa đổi (nếu có).
TCVN 11239 (ISO/IEC 27035), Công nghệ thông tin - Các kỹ thuật an toàn - Quản lý sự cố an toàn
thông tin.
TCVN 11238 (ISO/IEC 27000), Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý an toàn
thông tin - Tổng quan và từ vựng.
TCVN ISO/IEC 27001 (ISO/IEC 27001), Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý
an toàn thông tin và truyền thông - Các yêu cầu.
TCVN ISO/IEC 27002 (ISO/IEC 27002), Công nghệ thông tin - Các kỹ thuật an toàn - Quy tắc thực
hành cho quản lý an toàn thông tin.
TCVN 10295 (ISO/IEC 27005), Công nghệ thông tin - Các kỹ thuật an toàn - Quản lý rủi ro an toàn
thông tin
3 Thuật ngữ và định nghĩa
Tiêu chuẩn này sử dụng các thuật ngữ và định nghĩa sau đây.
3.1
Vị trí thay thế (alternate site)
Vị trí vận hành thay thế được tổ chức lựa chọn khi các hoạt động thông thường không thể được thực
hiện khi sử dụng vị trí thông thường sau khi gián đoạn đã xảy ra
3.2
Quản lý tính liên tục của hoạt động (business continuity management)
BCM
Quy trình quản lý tổng thể định danh các mối đe dọa tiềm ẩn tới tổ chức và tác động có thể tới các hoạt
động có mối đe dọa, quy trình này cũng cung cấp một khung để thiết lập khả năng khôi phục tổ chức
với năng lực ứng phó hiệu quả giúp bảo vệ lợi ích của các bên liên quan quan trọng, uy tín, thương
hiệu và các hoạt động tạo ra giá trị của tổ chức
3.3
Kế hoạch về tính liên tục của hoạt động (business continuity plan)
BCP
Các thủ tục tài liệu hướng dẫn cho tổ chức ứng phó, phục hồi và khôi phục lại tới một mức độ hoạt
động được xác định trước sau gián đoạn
CHÚ THÍCH: Điều này cơ bản bao gồm các nguồn lực dịch vụ và các hoạt động cần thiết để đảm bảo
tính liên tục cho các chức năng hoạt động.
3.4
Phân tích tác động hoạt động (business impact analysis)
BIA
Quá trình phân tích các chức năng vận hành và ảnh hưởng khi có gián đoạn.
3.5
Quan trọng (critical)
Sự mô tả định tính sử dụng để nhấn mạnh tầm quan trọng của nguồn lực, quy trình hoặc chức năng
phải sẵn sàng và hoạt động liên tục hoặc sẵn sàng và hoạt động trong thời gian sớm nhất sau khi có
sự cố, trường hợp khẩn cấp hoặc thảm họa xảy ra.
3.6
Gián đoạn (disruption)
Sự cố, được dự báo (ví dụ như bão) hoặc không được dự báo (như mất điện, động đất hoặc tấn công
và hệ thống/cơ sở hạ tầng ICT) làm gián đoạn các hoạt động thông thường ở một vị trí nào đó của tổ
chức.
3.7
Phục hồi sau thảm họa ICT (ICT disaster recovery)
Khả năng của các phần tử ICT trong tổ chức để hỗ trợ các chức năng hoạt động quan trọng hoạt động
ở một mức có thể chấp nhận được trong một khoảng thời gian định trước sau gián đoạn.
3.8
Kế hoạch phục hồi sau thảm họa ICT (ICT disaster recovery plan)
ICT DRP
Kế hoạch được xác định rõ ràng và được lập tài liệu để phục hồi các khả năng ICT khi một gián đoạn
xảy ra.
CHÚ THÍCH: Trong một số tổ chức còn được gọi là kế hoạch liên tục ICT.
3.9
Chế độ lỗi (failure mode)
Cách thức mà một lỗi được quan sát.
CHÚ THÍCH: Chế độ này mô tả cách thức xảy ra một lỗi và lỗi ảnh hưởng thế nào đến hoạt động của
hệ thống.
3.10 Sự sẵn sàng ICT để đảm bảo tính liên tục của hoạt động (ICT readiness for business
continuity)
IRBC
Khả năng hỗ trợ hoạt động của tổ chức bằng cách ngăn chặn, phát hiện và ứng phó với gián đoạn và
phục hồi của các dịch vụ ICT.
3.11
Mục tiêu tính liên tục của hoạt động tối thiểu (minimum business continuity objective)
MBCO
Mức tối thiểu có thể chấp nhận của các dịch vụ và/hoặc sản phẩm để tổ chức đạt được mục tiêu hoạt
động khi có gián đoạn.
3.12
Mục tiêu thời điểm phục hồi (recovery point objective)
RPO
Thời điểm mà dữ liệu phải được phục hồi sau khi gián đoạn đã xảy ra.
3.13
Mục tiêu thời gian phục hồi (recovery time objective)
RTO
Khoảng thời gian cho phép các dịch vụ và/hoặc sản phẩm và các hệ thống hỗ trợ, các ứng dụng, hoặc
các chức năng phải được phục hồi ở mức tối thiểu sau khi gián đoạn xảy ra.
3.14
Khả năng phục hồi (resilience)
Khả năng chống lại tác động gián đoạn của tổ chức.
3.15
Kích khởi (trigger)
Sự kiện làm cho hệ thống khởi tạo một quá trình ứng phó.
CHÚ THÍCH: Còn gọi là sự kiện kích khởi
3.16
Hồ sơ quan trọng (vital record)
Hồ sơ giấy hoặc điện tử cần thiết cho việc duy trì, đảm bảo tính liên tục hoặc tái thiết lập các hoạt động
của tổ chức và bảo vệ quyền của tổ chức, đội ngũ nhân viên, khách hàng và các bên liên quan.
4 Từ viết tắt
IRBC ICT Readiness for Business Continuity Sự sẵn sàng ICT cho tính liên tục của
hoạt động
ISMS Information Security Management System Hệ thống quản lý an toàn thông tin
5 Tổng quan
5.1 Vai trò của IRBC trong quản lý tính liên tục của hoạt động
Quản lý tính liên tục của hoạt động (BCM) là quy trình quản lý tổng thể nhận biết các mối đe dọa tiềm
ẩn và các tác động tới hoạt động của tổ chức, cung cấp một khung để xây dựng khả năng phục hồi và
khả năng ứng phó hiệu quả nhằm bảo vệ lợi ích của tổ chức trước các gián đoạn.
Là một phần của quy trình BCM, IRBC được coi là một hệ thống quản lý để bổ sung và hỗ trợ cho BCM
và/hoặc ISMS của tổ chức, để cải thiện sự sẵn sàng của tổ chức nhằm mục đích:
a) ứng phó với môi trường rủi ro thay đổi liên tục;
b) đảm bảo tính liên tục của các hoạt động quan trọng được hỗ trợ bởi các dịch vụ ICT;
c) sẵn sàng ứng phó trước sự xảy ra gián đoạn dịch vụ ICT, trên cơ sở phát hiện một hoặc nhiều sự
kiện liên quan đã phát triển thành các sự cố;
d) ứng phó và phục hồi sau các sự cố/thảm họa và các lỗi.
Hình 2 minh hoạ các kết quả ICT dự kiến để hỗ trợ các hoạt động BCM
Hình 2 - Khung đảm bảo tính liên tục của hoạt động, đầu ra ICT liên quan và kết quả dự kiến