JRT 0044-2008银行业信息系统灾难恢复管理规范.pdf

ICS 35.240.40A11JR中华人民共和国金融行业标准JR/T 0044-2008银行业信息系统灾难恢复管理规范Management specification of information system disaster recovery for banks2008-02-04 发布2008-02-04 实施中国人民银行发布 JR/T 0044--2008目次前言。111引言。IV1 范围.2规范性引用文件。3术语和定义，4银行业信息系统灾难恢复综述4.1灾难恢复工作内容.．.4.2 灾难恢复的周期性工作4.3机构间合作.、.5组织机构设立和职责5.1组织机构设立.5.2 组织机构的组成和职责.6 灾难恢复需求分析，16.1 风险分析6.2业务影响分析..6. 3 确定灾难恢复需求,7 灾难恢复策略制定7.1成本风险分析和策略的确定。7.2 灾难恢复能力等级．．.7.3灾难备份中心的布局.7.4资源、服务的获取和保障8灾难备份中心的建设，8.1基础设施建设.8.2灾难备份系统建设8.3 项目监理9灾难备份中心的运行维护管理。9.1管理制度建设.99.2运行维护工作内容..109.3运行维护的资源保障。1010 灾难恢复预案的制订、演练与管理1010.1灾难恢复预案的制订。.1010.2 灾难恢复预案的演练.10.3 灾难恢复预案的管理。1211 应急响应和灾难恢复1211.1 应急响应.1211.2 灾难恢复.1211.3 重建与回退.12 监督管理.1312.1 审计13 JR/T 0044—-2008a）第一类：5级;b）第二类：3级;c）第三类：2级。7. 3灾难备份中心的布局7. 3. 1布局原则a）灾难备份中心应设置在中华人民共和国境内；b）灾难备份中心与生产中心之间距离合理，应避免灾难备份中心与生产中心同时遭受同类风险；c）灾难备份中心的选址应服从国家战略安全要求，并综合考虑生产中心与灾难备份中心交通和电讯的便利性与多样性，以及灾难备份中心当地的业务与技术支持能力、电讯资源、地理地质环境、公共资源与服务配套能力等外部支持条件。7.3.2布局模式单位应根据成本风险平衡原则以及运行管理要求，可采用以下多种布局模式：主一备：一个生产中心，一个备份中心;~主多备：一一个生产中心，多个备份中心;互为备份：两个生产中心互相备份：多主一备：多个生产中心共享个备份中心;混合方式：以上方式的混合。7. 4 资源、服务的获取和保障7.4.1资源的获取a）基础设施灾难恢复的基础设施包括机房和其他辅助设施，其获取方式包括：自建方式：单位可自行建设灾难恢复基础设施，基础设施的功能和规格应符合相应的灾难恢复能力等级要求。在选择自建方式时应综合考虑投资效益、运营管理成本、运营管理队伍的稳定性和应急能力等因素。共享方式：单位可采用多方共建或外包方式获取灾难恢复基础设施，基础设施的功能和规格应符合相应的灾难恢复能力等级要求。在选择共享方式时应综合考虑责任界定、信息的安全保密和服务水平要求等因素。b）‘数据备份系统、备用数据处理系统用于灾难恢复的数据备份系统和备用数据处理系统设备，其获取方式包括：自行采购；与供应商签订紧急供货协议；租赁；外包。c）通信网络用于灾难恢复的通信网络包括生产中心和灾难备份中心间的备份网络和最终用户访问灾难备份中心的网络，通信线路应至少有两种以上不同的物理线路，其获取方式包括：自行建设；租用运营商线路。7.4.2专业服务的获取在包括自建在内的各种灾难备份中心建设模式下，灾难备份中心的日常运行维护、应急响应和灾难恢复均可引入专业外包服务机制。a）灾难恢复咨询服务咨询服务包括风险分析、业务影响分析、灾难恢复策略制定、灾难备份中心规划与建设、灾难恢复预案制订、测试、培训和演练等。咨询服务的获取方式包括：8 JR/T 0044—2008委托外部咨询机构；联合外部咨询机构。b）灾难恢复技术支持服务技术支持服务对象包括数据备份系统、备用数据处理系统和通信网络等，其获取方式包括：自有技术支持队伍；专业服务提供商；设备提供商。c）灾难恢复运营管理服务运营管理服务包括灾难备份中心的日常运行维护和灾难恢复预案的维护等，其获取方式包括：自主运行维护；外包。7.4.3外包的管理单位应加强灾难恢复服务外包管理，与服务外包提供商签订安全保密、服务水平等协议，明确服务外包提供商的职责和应承担的法律责任，并定期验证服务外包提供商的服务水平和能力，通过采取各种管控措施，保障服务外包的安全可控和服务质量。对于涉及国家秘密信息的系统，单位应遵从国家有关政策、法规，从保障国家信息安全角度慎重选择服务外包提供商。灾难恢复服务外包提供商应符合国家和行业的相关服务资质要求，并至少满足以下要求：a）应熟悉银行业信息系统架构和业务流程，具有灾难恢复外包服务的