ISMS信息安全持续运营管理.docVIP

中国3000万经理人首选培训网站 更多免费资料下载请进： 好好学习社区 ISMS信息安全持续运营管理 持续运营管理的方面 目标：抵制商业活动的中断，保护关键的商业过程免受主要的故障或灾难的影响。 应当实施持续性运营管理过程以通过预防的和恢复的控制措施的结合将由灾难和安全故障所引起的破坏减少到可以接收的程度（例如，安全故障可能是自然灾难，事件，设备故障，和有意行为的结果）。 应当分析灾难，安全故障和服务丢失的后果。应制定和实施偶然事故计划，以确保商业过程可以在所要求的时间范围内恢复。该计划应被保留和实施，使之成为所有其他管理过程的组成部分。 商业持续性管理应当包括识别和减少风险，限制破坏性事件的后果，确保主要操作的及时恢复的控制措施。，保护关键的商业过程免受主要的故障或灾难的影响。 1． 持续运营管理过程 应当有一个适当的管理过程用于发展和维护整个组织的运营持续性。它应当将下列运营持续性管理的关键要素组合在一起： 根据风险出现的可能性和它们的影响，包括对重大运营过程的识别和优先考虑，来理解组织所面临的风险； 理解中断对组织所可能产生的影响（重要的是要找到处理较小事故以及能威胁组织生存的严重事故的解决办法），并确立信息处理设施的商业目标； 考虑购买合适的保险，它可以形成运营持续性过程的组成部分； 将与议定的商业目标和优先权一致的运营持续运营策略公式化和文件化； 将与议定的策略一致的运营持续计划公式化和文件化； 定期测试和更新处于适当位置上的计划和程序； 确保运营持续性的管理并入组织的过程和结构。协调运营持续性管理过程的责任应当在组织内以一种适当的标准进行分配，如信息安全管理委员会（见4.1.1）。 2. 持续运营和影响的分析 应当从识别可能引起商业过程中断的事件，如设备的故障，洪灾和火灾，来开始商业的持续运营。随后，应当进行风险评估，以决定那些中断的影响（根据破坏的规模和恢复的时间）。这两种活动被进行时，都有商业资源和商业过程所有者的完全参与。该评估考虑所有的运营过程，并不仅限于信息处理设施。 应当根据风险评估的结果，制定一个策略计划，以决定商业持续运营的总体处理方法。计划一旦制定，就应当得到管理层的认可。 3. 制定和实施持续运营计划 应当制定计划，以便在关键的运营过程中断，或出现故障之后的所要求的时间范围内，维护或恢复商业运营。运营持续性计划过程应当考虑如下几点： 识别和认同所有的责任和应急流程； 实施应急流程，以便在所要求的时间范围内恢复和复原。需要特别注意对外部商业从属性以及合同进行适当的评估； 议定的流程和过程的文件化； 在议定的应急流程和过程包括危机的管理中对职员进行适当的教育； 测试和更新计划。 计划的过程应当集中于所要求的商业目标，例如，在一个可以接受的时间范围内，恢复对客户的特殊服务。应当考虑使之出现的服务和资源，包括人员配备，非信息处理资源，以及对信息处理设施的紧急情况安排。 4. 持续运营计划框架 应当维护持续运营计划的单独框架，以确保所有的计划是一致的，并识别测试和维护的优先性。每一个运营持续运营计划都应当明确规定它活动的条件，以及执行每一部分计划的负责人。当新的需求出现时，应当适当修正已建立的应急流程，例如，撤离计划或任何现有的紧急情况的安排。 持续运营计划的框架应当考虑如下几点： 启动计划的条件，它描述了每个计划被启动之前所应遵照的流程（如何评估当时的情形，将涉及到什么人，等）； 应急流程，它描述了在事件发生后所应采取的行动，该事件能危及商业的运营和人类的生活。这应当包括公共关系管理的安排以及与适当的公共权威机构的有效联络，如警察局，消防中心和当地的政府； 紧急情况流程，它描述了将必要的商业活动或支持服务转移到可选择的临时位置，并在所要求的时间范围内，使商业过程恢复运营所采取的行动； 恢复流程，它描述了恢复到正常的商业运营所采取的行动； 维护时间表，它规定了如何和何时测试该计划，以及维护该计划的过程； 意识和教育活动，它是被设计用来理解商业持续运营过程并确保该过程持续有效； 个人的职责，描述了谁负责执行哪部分计划。应当按照要求指定备选方案。 每一个计划都应当有一个特定的负责人。应急流程，人工紧急情况计划和恢复计划都应当在适当的商业资源或有关的商业过程的负责人的责任范围之内。对于可选择的技术服务的紧急情况安排，诸如信息处理和通讯设施，通常应当是服务提供者的责任。 5. 测试，维护和重新评估持续运营计划 (1) 测试计划 持续运营计划在被测试的时候可能失败，这常常是由于不正确的假定，疏忽，或设备或人员的变动所造成的。所以，应当定期测试它们以确保它们是必威体育精装版的和有效的。这样的测试也应当确保恢复小组的所有成员以及其他有关的职员都知道该计划。 对持续运营计划测试的时间表应当指明应如何以及何时测试计划的