网络安全技术 信息系统灾难恢复规范 编制说明

1一、工作简况划，《网络安全技术信息系统灾难恢复规范》由中国信息安全测评中心负责承撑国内法律法规和行业发展要求，因此对标准G2选择20余家参编单位，并召开项目启动会，对各参编单位的任务进行分工，并对标准内容进行进一步修改完善。同期征求责任专家意见，并进行了修改。10责任专家、责任编辑等的专家评审会，会后编制组依据专家组的意见进行了3轮的文本修改和完善工作。2024年1月向全国网络安全标准化技术委员会秘书了国家标准《网络安全技术信息系统灾难恢复规范》（征求意见稿）专家评审按照本标准实现的灾难恢复中心建设和运行、信息系统灾难恢复规范，实根据我国国情、实际运用环境和国家有关政策编制本标准，使其在指导灾3本标准给出了信息系统灾难恢复工作原则，提出了信息系统灾难恢复生命—GB/T20984—2022信息安c）本标准使用重新起草法修改《信息安全技术信息系统灾难恢复规范》（GB/T20988—2007）、《信息安全技术灾难恢复中心建设与运维管理规定》20988—2007）、《信息安全技术灾难恢复中心建设与运维管理规定》（GB/T4《信息安全技术灾难恢复中心建设与运维管理规定》（GB/T30285—2013），息系统灾难恢复规范》（GB/T20988—2007）、《信息安全技术灾难恢复中心—2013相比，整体结构与内容进行了重新整合，除结构调整和编辑性改动外，c)在术语与定义中参照GB/T25069—2022对本标准中的术语与定义进行5k)本文件更新了GB/T20988—2007中附录A灾难恢复能力等级架，增加了附录C某行业信息系统需求分类示例、附录D云技术灾难恢复服务系统灾难恢复的规划、实施、安全建设和运行管理等工作。。”前言2规范性引用文件3术语和定义4灾难恢复概述4.1灾难恢复的工作范围4.2灾难恢复的组织机构4.3灾难恢复规划的管理4.4灾难恢复的外部协作4.5灾难恢复的审计和备案5灾难恢复需求的确定5.1风险分析5.2业务影响分析5.3确定灾难恢复目标6灾难恢复策略制定6.1灾难恢复策略制定的要素6.2灾难恢复资源的获取方式6.3灾难恢复资源的要求7灾难恢复策略的实现7.1灾难备份系统技术方案的实现7.2灾难备份中心的选择和建设7.3专业技术支持能力的实现7.4运行维护管理能力的实现7.5灾难恢复预案的实现附录A（规范性附录）灾难恢复能力等级的划分附录B（资料性附录）灾难恢复预案框架附录C（资料性附录）某行业RTO/RPO与灾难恢复能力等级的关系示例6前言2规范性引用文件3术语和定义4灾难恢复概述4.1灾难恢复目标4.2灾难恢复生命周期和工作范围5灾难恢复的组织机构设置5.1组织机构的设立5.2组织机构的职责6灾难恢复规划设计6.1灾难恢复需求的确定6.2灾难恢复策略的制定6.3灾难恢复技术方案设计6.4灾难恢复中心的基础设施6.5灾难恢复技术方案的验证、确认和系统开发7灾难恢复系统建设实施7.1灾难恢复系统实现7.2灾难恢复中心建设8灾难恢复系统的安全建设8.1网络安全等级保护8.2安全管理制度8.3安全管理架构8.4安全管理人员8.5安全通信网络8.6安全计算环境8.7安全建设管理8.8安全运维管理8.9供应链安全8.10数据安全9灾难恢复系统运行管理9.1灾难恢复预案开发及管理9.2灾难恢复系统运行维护9.3应急事件响应及灾难接管79.4重建和回退9.5灾难恢复审计10测试评价方法10.1评价指标10.2评价对象和内容10.3评价方式与方法10.4评价有效性附录A（规范性）灾难恢复能力等级划分附录B（资料性）某行业RTO/RPO与灾难恢复能力等级的关系示例附录C（资料性）某行业信息系统需求分类示例附录D（资料性）云技术灾难恢复服务示例附录E（资料性）灾难恢复预案框架参考文献三、试验验证的分析、综述报告，技术经济论证，预期的经济效益、社会效益2.在进行参编单位遴选时，特意选择可以参与试点的单位，在召开启动会标准用于灾难恢复全生命周期，以预防由于灾难恢复过程中导致的各种损8四、与国际、国外同类标准技术内容的对比情况，或者与测试的国外样品、样ISO31000RiskManagementGISO/IEC13335InfISO/IEC27005InformationTecNISTSpecialPublication800-30RiskMaISO31000RiskManagementGISO/IEC13335InfISO/IEC27005Informat