1 范圍

      本標準規(guī)定了信息系統(tǒng)災難恢復服務所應遵循的基本原則，明確了信息系統(tǒng)災難恢復服務組織服務能力的評估機制。

      本標準適用于信息系統(tǒng)災難恢復服務的需求方、提供方和評估方。

2 規(guī)范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 20988-2007 信息安全技術 信息系統(tǒng)災難恢復規(guī)范

      GB/T 25069-2010 信息安全技術 術語

      GB/T 29246-2017 信息技術 安全技術 信息安全管理體系 概述和詞匯

      GB/T 30271-2013 信息安全技術 信息安全服務能力評估準則

      GB/T 36957-2018 信息安全技術 災難恢復服務要求

      ISO/IEC 21827：2008 信息技術 安全技術 系統(tǒng)安全工程能力成熟度模型?（Information tech-nology-Security techniques-Systems Security Engineering-Capability Maturity Model?)(SSE-CMM?)

3 術語和定義

      GB/T 25069-2010、GB/T 20988-2007、GB/T 30271-2013、GB/T 29246-2017、GB/T 36957-2018和ISO/IEC 21827：2008界定的以及下列術語和定義適用于本文件。為了便于使用，以下重復列出了GB/T 36957-2018、GB/T 29246-2017和GB/T 30271-2013中的一些術語和定義。

3.1

      災難恢復服務 disaster recovery services

      為了將信息系統(tǒng)從災難造成的故障或癱瘓狀態(tài)恢復到可正常運行的狀態(tài)、并將其支持的業(yè)務功能從災難造成的不正常狀態(tài)恢復到可接受狀態(tài)而進行的分析、設計、實施、運行、維護及組織管理等活動和流程。

      ［GB/T 36957-2018，定義3.2］

3.2

      災難恢復服務提供方 provider of disaster recovery services

      具有專業(yè)的災難恢復服務團隊和資源，并能提供災難恢復服務的組織或部門，簡稱服務提供方。

      ［GB/T 36957-2018，定義3.4］

3.3

      災難恢復服務需求方 customer of disaster recovery services

      需要通過第三方專業(yè)服務和資源實現(xiàn)災難恢復的組織或部門，簡稱服務需求方。

      ［GB/T 36957-2018，定義3.3］

3.4

      災難恢復服務能力 disaster recovery service capability

      災難恢復服務提供方實施系統(tǒng)容錯、災難恢復和容災過程達到信息系統(tǒng)各項業(yè)務可持續(xù)運行，并使客戶保持滿意的有關各項活動的總和。

      注：災難恢復服務能力闡述的是災難恢復服務提供方的總體服務能力，區(qū)別于GB/T 20988-2007中災難恢復能力闡述的是針對信息系統(tǒng)進行災難恢復服務所能達到災難恢復等級，兩者闡述的對象不同。

3.5

      災難恢復服務能力成熟度 disaster recovery service capability maturity

      對災難恢復服務方服務能力的綜合評價，反映了災難恢復服務方的災難恢復服務在資源配置、項目組織管理和專業(yè)技術水平等方面的成熟程度，標志著災難恢復服務方提供給客戶的災難恢復服務專業(yè)水平和質(zhì)量保證程度。

3.6

      風險分析 risk analysis

      理解風險本質(zhì)和確定風險等級的過程。

      注1：風險分析提供風險評價和風險處置決策的基礎。

      注2：風險分析包括風險估算。

      ［GB/T 29246-2017，定義2.70］

3.7

      可用性 availability

      已授權(quán)實體一旦需要，信息系統(tǒng)災難恢復組織就可提供相應服務，保證信息系統(tǒng)訪問和使用數(shù)據(jù)和資源的特性。

      注：本標準中鑒于災難恢復服務的特殊性，對可用性做了適用于災難恢復服務的專有定義。

3.8

      可靠性 reliability

      與預期行為和結(jié)果相一致的特性。

      ［GB/T 29246-2017，定義2.62］

3.9

      能力 capability

      組織、體系或過程實現(xiàn)產(chǎn)品并使其滿足要求的本領。

3.10

      過程域 process are

      ss area;PA

      一組相關系統(tǒng)工程過程的性質(zhì)，當這些性質(zhì)全部實施后則能夠達到過程域定義的目的。

      [GB/T 302730271-201，定義3.1.1］

3.11

      基本實踐 base practices；BP

      系統(tǒng)工程過程中應存在的性質(zhì)，只有當所有這些性質(zhì)完全實現(xiàn)后，才可說滿足了這個過程域的要求。

      注：一個過程域由基本實踐（BP）組成。

      ［GB/T 30271-2013，定義3.1.2］

3.12

      通用實踐 generic practices；GP

      在評估中用于確定任何過程的能力。

4 縮略語

      下列縮略語適用于本文件。

      BIA：業(yè)務影響分析（Business Impact Analysis）

      BCM：業(yè)務連續(xù)性管理（Business Continuity Management）

      BP：基本實施（Base Practices）

      DRP：災難恢復規(guī)劃（Disaster Recovery Planning）

      DRS-CMM：災難恢復服務能力成熟度模型（Disaster Recovery Service-Capability Maturity Mod-el)

      GP：通用實施（Generic Practices）

      PA：過程域（(Process A Process Area)

      RPO ：恢復點目標（Recovery Point Objective）

      RTO：恢復時間目標（Recovery Time Objective）

      SSE-CMM ：系統(tǒng)安全工程能力成熟度模型?（Systems Security Engineering-Capability Maturity Model?)

      SPICE：軟件過程改進和能力測定（Software Process Improvement And Capability Determination)

      SW-CMM：軟件能力成熟度模型（Software-Capability Maturity Model）

5 災難恢復服務能力成熟度模型概述

5.1 災難恢復服務生命周期概述

      災難恢復服務能力成熟度模型是依據(jù)災難恢復服務生命周期，災難恢復服務提供方向災難恢復服務需求方提供包括災難恢復系統(tǒng)的規(guī)劃設計、建設實施和安全運維管理，以及生產(chǎn)系統(tǒng)的災后重建和回退等服務為主線，對能提供單個、多個過程域以及整個生命周期災難服務的提供方整個組織的服務能力等級的評估模型。災難恢復服務生命周期框架流程圖參見圖1。

      信息系統(tǒng)災難恢復服務過程除了實現(xiàn)信息系統(tǒng)的災難恢復目標和策略外，還需進行災難恢復服務過程的信息安全考慮，包括對災難恢復系統(tǒng)進行信息安全的需求分析、安全設計與實現(xiàn)，對災難恢復服務過程的項目與組織過程的信息安全管理等。

      目前災難恢復服務的形式呈現(xiàn)多樣化，本標準意在闡述從災難恢復系統(tǒng)的規(guī)劃設計、建設實施和安全運維管理等全生命周期各階段的災難恢復服務過程為主線，對能提供單個、多個過程域以及整個生命周期災難恢復服務的提供方從其服務過程中的資源配置、技術服務過程和項目與組織過程等服務能力要素對災難服務提供方的服務能力成熟度進行等級評估。對于在具體災難恢復服務的過程中不是針對整個生命周期進行服務的情況，可以對具體的服務過程域進行災難恢復服務的能力等級進行評估。

以上為標準部分內(nèi)容，如需看標準全文，請到相關授權(quán)網(wǎng)站購買標準正版。