:目的灾难 恢复 计划 系统灾难 恢复 规范 bcp 业务连续性计划 重大灾难回复计划 第一(转载于:wWw.xIeLw.com 灾难恢复的范围及目标 1.1相关概念解释 目前国际上对于有关灾难备份、业务连续等工作的定义和名词较多,但是基本而言,我们可以从2 个层面加以区别: 系统层面:通常称之为信息系统系统灾难恢复,其主要功能是将信息系 统从灾难造成的故障或瘫痪状态恢复到可正常运行状态,并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态。 业务运作层面:通常称之为业务连续计划,其业务持续计划的目的是使 得一个组织及其信息系统在灾难事件发生时仍可以继续运作。一般而言,业务连续计划的范畴较信息系统灾难恢复为大,而且 业务连续计划的最大的特点是引入了大量的非技术性因素,例如 人员、场所等。 信息系统灾难恢复 通过技术以及配套的管理流程保证信息系统(通常是综合业务系统)在发生灾难或者以外的情况下恢复运作。相当于 Client-Server 架构中的Server 恢复。 业务连续计划时在信息系统灾难恢复的基础上,通过管理流程保证企业内部相关业务可以正常运转。相当于 Client-Server 架构中 在Server 恢复的基础上,所有Client 以及中间通讯环节全部恢复。 由此可见,业务连续计划的范畴大于信息系统灾难恢复,且信息系统灾难恢复是技术结合管理,而业务连续计划基本上是纯管 理的范畴。 目前,根据我国信息化建设的发展现状,应以信息系统灾难恢复建设为主,未来逐步扩展到业务连续计划。这一点从国信办颁 布的《重要信息系统灾难恢复指南》可见一斑。 我们建议本商业银行也采取此策略,建设信息系统灾难恢复计划。未来视情况建设业务连续计划。 1.2本商业银行信息系统灾难恢复建设目标 1.2.1 灾难恢复范 一般而言,确定灾难恢复所涉及的信息系统需要进行业务影响分析(BIA),通过该分析明确,现存的信息系统的种类,对于业 务的重要性以及相互之间的依赖等关键要素,并最终确定需要恢 复的信息系统。 由于目前尚未后进行全面的业务影响分析,因此我们根据自身的经验提出一个参考范围: ATM/POS/自助银行系统 OA系统等 1.2.2相关灾难恢复指标 在明确了灾难恢复的范畴后需要明确每个信息系统的灾难恢复指标,主要有2 个指标: 业务连续性指标:是指灾难恢复后多长时间系统可以恢复运行上述指标的确定,也需要进行全面的业务影响分析,在此,我们 仍然根据经验给出一个参考值: 自然灾害是指由火灾、地震等引发的一系列灾害直接导致公司的业务中断、电力故障、网络故障等。 非自然灾害是指人为的造成的如服务器断电、软件错误、人为故意破坏、恶意代码、木马植入、恐怖袭击等。 部门恢复组:负责制定各部门情况制定应急备案,确定各部门数据和财产的保护方式并执行保护,确定各部门数据的恢复方式并 执行恢复。 3.计算机恢复组:负责对全公司范围内的计算机故障进行排除、恢复范围包括系统、必备办公软件。 4.损坏评估组:负责对公司损失的重要数据、财务进行总体评估。并针对相应损失的财产进行汇总并结合拥有的保险进行申报。 安全组:负责灾难发生后的人员、数据、财务的安全进行保护。并制定相应的安全策略。 6.设备支持组:负责对公司服务器、网络设备、交换机的故障进行排除,制定相应解决重建方案。 7、数据恢复组:负责对公司各平台数据进行恢复,并制定相应数据恢复方案。 8、市场和客户关系组:负责对外进行信息发布、制定相应应急措施应对客户疑问等。 各小组共同职能: 监控并记录恢复的过程 由自然灾害引起的灾难往往影响较大,可能会直接导致一些基础设施的无法使用,甚至会对导致人员减少。因此对于自然灾害 引发的灾难恢复流程相对特殊且繁琐。 1.数据抢救 灾难发生 时,需在保证人身安全的情况对公司的重要数据进行抢救,抢救 的范围主要包 括:记录公司重要信息的文件、资料,存储公司重要数据的磁带,存放重要数据的硬盘、服务器。此过程需由安全组进行统筹指挥, 按照既定的计划执行,各组成员、公司员工必须服从安全组的统 一调度和指挥。 2.损坏评估及启动应预案 灾难发生后各小组需根据情况汇报损失情况给损坏评估组,损坏评估组根据汇总信息进行消息告知披露。披露损坏信息包括: b)拥有在可以执行计划之内的关键性功能的员工c)保存公司 重要数据的介质 d)网络、通讯设备 各小组人员根据披露的损坏信息情况进行应急预案启动,如选举临时领导、使用备份服务器、备份通讯设备进行替代等。 业务恢复计划需要多个小组支持与配合,总体可划分为以下几个阶段: 此阶段主要的目标是将对于保存数据的基础设施、业务系统所在的主机、公司网络架构进行恢复。首先须根据损失评估小组给 出的报告分析可继续利用的IT 基础设施,如供电设施、交换机、 服务器、防火墙等。若有损坏不可用的设备,需及时同代理商进 行沟通借用或新购相应设备。此阶段由设备支持组执行。 系统恢复主要针对关键应用主机,如Rasd-server、IBM、 Center-server、BJTCT。为节约时间需同时针对各个服务器系统进 行快速恢复。此阶段由数据恢复组执行。 外部广域网和电信服务 待恢复系统和终端用户(公司同事)间的通讯此阶段由数据 恢复组同设备支持组共同执行。 d)业务平台恢复阶段: 在此阶段的恢复工作主要围绕日常工作常用的业务平台进行,常用的业务平台主要为:Winmail、Change、Doors、Synergy、OA、 ERP 等。平台恢复的工作分为两个部分: 数据恢复小组首先须对业务系统的数据进行恢复,需要寻找相应的恢复设备完成此操作,目前我们主要利用磁带机和可正常工 作的主机进行数据恢复工作。需要将抢救出的磁带和硬盘接连在 对应设备上恢复出数据。 为提高业务恢复效率,数据恢复小组成员需分工协作,共同完成业务系统的重搭建工作,由于一些业务系统的特殊性,需尽快 与相应平台的供应商接口人取得联系,并申请临时可用的加密狗、 许可文件等。各个平台负责人需对自己管理的平台在短时间内进 行重搭建。 数据恢复小组成员需根据导出的数据结合自己管理的业务平台进行数据导入,并测试可行性。再导入成功并可使用后及时同个 小组成员负责人进行通知。 (二)非自然灾害引起的灾难恢复流 非自然灾害引起的灾难恢复通常破坏较小,但是风险程度仍不可忽视,如电力故障导致的关键业务系统无法运行同样会给我们 的公司带来一定的影响。但由于破坏程度的不同,我们将引入业 务持续计划(BCP)这样一个概念。 业务持续计划是为了防止正常业务行为的中断而被建立的计划。当面对由于人为造成的故障或灾难以及由此造成的财产损和 正常业务不能正常使用时,BCP 主要被设计用来保护关键业务步 骤。BCP 是最小化对于业务的干扰效果和使业务能恢复正常运行 的计划。 RTO(Recovery Time Object)恢复时间是指EIA 部门同公司签 订的故障响应恢复时间,如确保在 小时内排除故障,使业务系统重新恢复工作。 RPO(Recovery Point Objective)恢复点目标,该指标规定在灾难发 生后,公司所能够容忍的数据丢失量,该指标由 EIA 部门同公司 签订。 对于RTO和RPO 目标的实现,需要人力、物力的支持,因此对 于高效,最小化的 BCP 指标,往往也会花费大量的财力资源。在 执行业务持续计划的同时,由于造成的灾难和破坏性并不严重, 因此可直接进入业务平台恢复阶段。 1.没有考虑到可能会破坏基础设施和数据运行的所有可能性。除了显而易见的病毒,木马,蠕虫等威胁,还需要想到您所处的地 理位置发生自然灾害的可能性,比如是否处于地震断层或是在洪 水区,风暴多发区,或拉闸限电等等。在制定灾备计划时,一定 要把这些看似与IT 无关的因素也考虑进去,如果自然条件实在太 恶劣,劝您可以考虑换个地方建设数据中心。 2.灾备计划过于依赖很少的某几个员工。常常看到有些企业的灾难恢复计划依赖于某几个甚至一个IT 员工,这很危险。万一如 果该人由于某种原因无法工作或者刚好找不到他/她怎么办?您 需要确定员工也得有“备份”,矩阵式结构的雇员组织形式会更好 的做出应急响应。而且负责灾备的员工分布的地理位置最好是分 散的,以防某一地区发生重大灾害。 3.故障或灾难来临时,依靠手工流程通知工作人员。假设您的设备由于停电而终断运行,可是现场又没有人,负责灾备的IT 员怎么会知道机房停电了?您需要建立一套自动化的系统,发生灾难或者服务终断时它可以自动的通知您的IT 员工。你还可以选 择第三方服务,请服务商来监控您的设施并且指派受过灾备培训 的专业人员来帮你执行你的灾难恢复计划。 4。未能提供充足的后备电源。如果您的机房所在地常受到断电影响,一定要购买寿命最长的、最不易受干扰而间断的电力供 应。还要准备好额外的备用电池以保证业务的持续能力。 5。忘记安排哪些资源需要优先恢复。您的IT应用中,哪些是 最重要的?是否有一些可以等待一两天也不会影响到业务?你需 要事先安排好应用与服务的恢复顺序。比如,你可以选择首先重 启您公司的电子邮件应用,然后再恢复部门文件服务器。在安排 这个顺序时,你需要考虑到相关的法规遵从要求。 6。未制定规范灾难恢复计划流程文档。在制订了一套灾备计划之后,您一定要把如何执行恢复计划的步骤写下来,要详细到每 一个进程以及记录,描述所有系统资源的位置。这个灾备恢复步 骤手册一定要多印几份,并且存储在多个不同的地方,并确保所 有关键恢复人员人手一份。 7。忘记测试灾难恢复计划。确保恢复计划在有紧急状况时真的可以恢复出来!虽然这似乎是显而易见的事,但是许多企业都忽 视了这一点,没有充分测试他们的灾备恢复计划。应该定期进行 灾难演习,测试每种可能发生的情况,从基本的电力故障到可能 导致持续几个月的重大灾难性事件。 8。密码也很难找到。虽然密码保护是数据安全的重要环节,不过还是建议您最好至少在两个不同的、安全的地方保存您的系 统密码。确保一个以上的IT 工作人员的人有机会进入那里,并能 获得所有密码。并且,如果这些关键人员辞职了,一定要及时更 改密码。 9。未能保持恢复计划的更新。您需要不断更新您的灾难恢复计划,至少一个季度要再看一次。确定调用该计划的触发点,如 人员、设备、地点或应用的改 工作人员的技能保持更新,还将让你有机会发现灾备计划程序中的漏洞并优化之。 为何需要灾备?主要有三个原因:第一个原因就是天灾难以控制;第二个原因就是人祸不可避免;第三个原因就是信息系统本 身的脆弱性。这些原因直接决定了在未来的生活中,灾备将会越 来越更深入到我们的生活。 什么是灾备?从字面上理解,灾备是灾难备份的缩略语。但是实际上,从更严格意义上说,信息系统的灾备应当是指信息系统 的灾难备份与恢复,这实际上包含两层含义:灾难前的备份与灾 难后的恢复。 信息系统有可能面对哪些类型的灾难?灾难的主要类型包括:自然灾难、人为灾难、技术灾难等。从灾难的类型,可以看出, 应对信息系统灾难涉及到诸多相关研究领域和研究方向。总的来 说,灾备是容错计算、信息安全和系统管理三个研究领域的综合。 灾备有哪些核心技术?一提到灾备核心技术,首先离不开的就是存储技术。数据在灾难过后保存下来,这是否就足够了呢?答 案是否定的。这就需要第二项关键技术,信息系统评估和系统重 构技术,这是体系结构需要研究的内容。当前的信息系统都是运 行在网络环境中的,恶意入侵、病毒、数据通路、用户身份识别 都有可能引起安全事故,这就需要第三项关键技术:信息安全技 术。除了上述三个关键技术之外,还需要系统管理技术进行系统 的协调与管理,这就是第四项关键技术。 灾备存储技术:当前灾备存储技术可以与应用相关(主要采用软件方式实现,可以定制关键信息,实现起来也比较灵活)、也可 以无关(主要基于数据卷或者块,全信息复制,实现自动化不需 要用户干预)。在灾备存储技术中主要包括:虚拟化存储技术、多 存储版本的管理、删除重复数据技术、集群并行存储技术、高效 能存储技术等。 灾备体系结构技术:其核心包括容错系统结构、数据恢复技术、系统恢复技术、业务连续性服务。 灾备信息安全技术主要用于保障数据在存储与传输过程中的安全性问题、网络系统的可靠和安全连接问题、计算机系统的安全 性问题、使用用户的身份安全问题和系统操作的不可抵赖性问题 等。其核心包括:数据安全性技术、网络安全技术、系统安全技 术、身份安全技术、安全审计技术。 灾备系统管理技术是灾备的关键支撑技术,它包括如下内容:数据信息管理、灾难应急管理、、系统恢复管理、灾难影响评估与 决策支持。 灾备技术未来发展方向可以概括为:(1)从围绕着数据存储向围绕着应用服务转变;存储技术由集中式向分布式、虚拟化发展; 从孤立专用系统向综合服务系统转变。(2)围绕服务的灾备技术 发展方向:保障业务连续性方向发展,要求数据完整而可用、系 统快速重建、应用快速部署。(3)新型容灾体系结构研究。 (4)灾备存储未来方向包括虚拟化灾备存储技术、重复数据删除与压缩技术、分布式灾备存储技术。(5)灾备综合服务系统建 设,即,建立第三方中立机构形式的外包灾备系统,重点解决的 问题包括:公信力问题、数据的安全性、维护的便捷性、可扩展 性、可共享性等。 一个灾备系统怎么说它好?还是不好?怎么来评价呢?那么主要有四个指标来评价:分别是RTO、RPO、DOO、和NRO。 RTO是恢复时间目标,这个指标就是容灾恢复的时间指标。它的 含义就是说从灾难发生造成的业务中断,一直到使业务能够以继 续恢复所需要的这段时间。因此可以看出,如果 RTO 越短就意味 着这个容灾系统的容灾能力越强。 RPO就是所谓的恢复点目标。什么是恢复点?恢复点是宕机以 后后数据开始恢复的时间点,RPO 所对应的灾难,所造成数据丢 失情况,我们可以这样来看,如果RPO 等于零,换句话来说,也 就相当于没有造成数据丢失。因为我从什么地方跌倒,就什么地 方爬起来,就没有造成数据本身的丢失,当然对其他可能还是有 损失的。否则的话就需要对业务进行恢复处理,需要对丢失数据 进行修复。 第三个指标DOO,就是降级操作指标,这个时候它主要考虑宕机恢复以后到第二次故障的灾难以后的时间。 第四个目标NRO,就是网络恢复的目标,主要是考虑网络恢复 的时间。