ITSS：数据中心业务连续性等级评价白皮书2023

数据中心业务连续性等级中国电子工业标准化技术协会2023年10月15日发布数据中心业务连续性等级评价白皮书序数据中心业务连续性等级评价白皮书 1.1编写背景 11.2相关标准 21.3编制方法和过程 2 32.1数据中心的定义和分类 32.2数据中心业务范围以及本标准的数据中心分类 72.3数据中心业务连续性等级分级 8三、等级构造与分值计算 93.1等级构造 93.1.1数据中心设施可用性 93.1.2数据中心业务连续性管理能力 9 3.2分值计算 3.3等级的确定 4.1设施可用性要素及评分规则 4.2管理能力要素及评分规则 4.3运行效果评分规则 34 5.1业务连续性等级建设 5.2业务连续性成熟度评价 355.2.1评价流程 5.2.2评价方法 5.3自评价流程和要点 5.3.2自评价流程 5.3.3自评价交付物 5.4第三方评估流程和要点 405.4.1第三方机构评价流程 5.4.2第三方机构评价内容 6.1数据中心业务中断案例 6.2数据中心业务连续性组织架构示例 6.3风险评估(RA)案例 436.4业务影响分析(BIA)案例 45数据中心业务连续性等级评价白皮书6.5业务连续性计划案例 456.6预警与沟通案例 6.7人员意识与培训案例 6.8资源建设与维护案例 6.9演练与改进案例 数据中心业务连续性等级评价白皮书DCBCM既还1.1编写背景撑了占全国GDP约36.2%的数字经济规模(已剔除这些业务中与数据中心不直接相关的部分),数据2数据中心业务连续性等级评价白皮书DCBCM1.2相关标准..GB/T31595-2015《公共安全业务连续性管理体系指南》(等同IS022313:2012)..GB/T35625-2017《公共安全业务连续性管理体系业务影响分析指南(BIA)》(等...GB/T38299-2019《公共安全业务连续性管理体系供应链连续性指南》(等同IS0...GB/T40755-2021《公共安全业...GB/T30146-2023《安全与韧性业务连续性管理体系要求》(等同IS022301:2019)IS020000-1:2018Informationtechnology1.3编制方法和过程3数据中心业务连续性等级评价白皮书DCBCM2021年1月29日，召开本标准启动会暨第一次封闭编写工作会议。通过线上会议形式召开。本2021年3月4日至3月5日，本标准第二次封闭会议在上海召开。本次会议完成了标准大纲的讨2021年3月30日至4月1日，本标准第三次封闭编写会在北京召开。本次会议对本标准的编写安排，计划2021年6月份提交草案。2021年5月11日至5月12日，在北京召开第四次封闭编写工作会议在北京召开，完成本标准草2021年7月14日至7月16日，在北京召开第五次封闭编写工作会议在北京召开，会议形成本标反馈意见29条，采纳17条，未采纳12条。2.1数据中心的定义和分类4数据中心业务连续性等级评价白皮书DCBCM在国家标准GB/T28827.4-2019《信息技术服1)按照数据中心资源分层服务的视角数据中心类型特点业务处理服务数据中心这类数据中心拥有应用系统资源，并直接或算力服务数据中心这类数据中心拥有信息系统硬件资源(物理资有机房基础设施资源，提供算力服务，供业使用以云计算技术为代表的虚拟资源提供算场地服务数据中心仅拥有机房基础设施资源，为信息系统硬件提供稳行环境，俗称服务器农场。依据机房基础设施可用性水平不同，按照第ii种分类方法，将这类数5数据中心业务连续性等级评价白皮书DCBCM3)数据中心规模视角布局的指导意见》(工信部联通〔2013〕13号)中，对数据中心的规模进行了如下划数据中心类型超大型数据中心大型数据中心中、小数据中心小于3000个标准机架注：此处标准机架为换算单位，以功率2.5千瓦为一个标准机架。分对应的数据中心规模如下：建设规模超大型大型中型小型设计最大用电负荷P4)其他分类方法6数据中心业务连续性等级评价白皮书DCBCM●数据中心拥有者视角从数据中心的拥有者和服务对象的不同，往往对数据中心进行如下分类。数据中心类型特点自有数据中心组织为了自身的业务需要自建的用于支撑自身业务的数据中心外包数据中心由其他组织建设的供没有自有数据中心(或者自有数据中心能力不足)的组织租用的数据中心。自有数据中心往往由具有足够实力的企业自主建设，该数据中心主要用于支持企业自身的业●按照数据中心的服务领域划分数据中心类型特点数据中心政务数据中心行数据中心、金税工程数据中心等学校数据中心支持院校教学的数据中心(过去常称为网络中心)医院数据中心企业数据金融数据中心为银行、保险、证券等金融行业服务的数据中心工业企业数据中心为工业企业、制造业企业等提供服务的数据中心7数据中心业务连续性等级评价白皮书DCBCM航空数据中心如各航司数据中心、航信数据中心等互联网数据中心(IDC)务等)的数据中心，现在引申为提供互联网接入服务(具有ISP资质)的外包数据中心。按照数据中心的服务领域不同，数据中心可以分为很多种类。在这种分类下，往往对应着不●按照数据中心在信息技术架构中的用途和地位进行划分也就产生了如下的数据中心分类。数据中心类型特点生产中心承载组织业务的关键数据中心。组织的业务应用系统在此数据中心灾备中心为了确保在生产中心遭遇灾难场景无法提供服务的情况下，组织的业务不因生产中心的中断而中断，通常会建设中心通过特定的机制与生产中心保持某种程度的同步，当生产中心不能提供服务时，灾备中心接替生产中心提供一定程度的服务。灾备中心根据其与生产中心的空间距离不同，可分为同城灾备中心和异地灾备中心。为了充分利用资源，有的灾备中心还会承担测试任务。多活中心业务应用系统采用多活架构被部署到不同的时，业务需求按照负载均衡策略被分配到不同数据中心进行处理，并在多活数据中心间保持同步。当多活架构中的某个数据中心服务中断时，剩余数据中心可以立刻接管该中断数据中心的服务。2.2数据中心业务范围以及本标准的数据中心分类地、设施、系统、数据)、软(人及规章制度)两个部分，这构成了一个数据8科技管理部门来规划整个数据中心技术架构、需要有工程管理部门来建设数据中心基础设施、需要有软件开发部门来开发自研信息系统、需要有系统集成部门来整合各种资源部署各类系统、需要有运维部门来对所有这些设施、系统、架构进行运营维护。从数据中心“硬”的部分看，运维阶段是一个数据中心全生命周期中最长的阶段也是最主要的价值创造阶段；从数据中心“软”的部分看，数据中心往往是指这个运维部门，这时数据中心是一个运维组织。但是也有很多数据中心除了是一个运维组织外，也包括前述一个或者多个其他的部门的职责，甚至直接就是一个具备很强IT能力的业务组织。数据中心业务与数据中心组织范围相关，依托于同一组资源，组织范围不同，该数据中心组织的业务也不同。一个数据中心通常会维护一个完整的服务目录来界定本数据中心的业务范围，并与本数据中心的需方组织(可能是外部的，也可能是上级组织或者是属于同一上级组织的其他组织)通过签署服务水平协议(可参考ISO20000-1、SJ/T11691)来明确具体业务。2.3数据中心业务连续性等级分级卓越级(五)卓越级(五)优秀级(四)起始级(一)a)起始级(一级):数据中心拥有开展业务活动所需的基本设施，缺乏开展业务连续性管理工b)发展级(二级):数据中心拥有开展业务活动所需的基础设施，数据中心的业务连续性管理c)稳健级(三级):数据中心拥有开展业务活动所需的基础设施以及冗余设施，在冗余能力范9数据中心业务连续性等级评价白皮书DCBCMd)优秀级(四级):数据中心拥有开展业务活动所需的容错设施，不应因单一意外事故而导致e)卓越级(五级):数据中心拥有开展业务活动所需的容错设施，不应因单一意外事故而导致3.1等级构造数据中心设施(基础设施、信息系统硬件、软件和数据)的可用性等级值(L),表明了数据中心3.1.1数据中心设施可用性3.1.2数据中心业务连续性管理能力略、解决方案和计划，培训与宣贯，资源建设与维护，演练、监视、测量和改进6个方面，即6个数据中心业务连续性等级评价白皮书DCBCM3.3.3数据中心业务运行效果3.2分值计算3.3等级的确定 4.1设施可用性要素及评分规则数据中心业务连续性等级评价白皮书DCBCM4.1.1评价项说明本标准所指数据中心采用GB/T33136《信息技术服务数据中心服务能力成熟度模型》和GB/T32910.1《数据中心资源利用第1部分：术语》中的定义：由计算机场地(机房)、其他基础设施、4.1.2评价要点表数据中心基础设施可用性234数据中心业务连续性等级评价白皮书DCBCM或2个(含)以上不同物理地址的B类基础设施52个(含)以上不同物理地址的A类基础设施或3个(含)以上不同物理地址的B类基础设施应引导关键信息系统采用高可用方案分布部署在不同物理地址的基础设施中提供基础设施服务的数据中心，评价范围为该数据中心所拥有或者可支配的并的基础设施；提供云计算服务或提供业务处理服务的数据中心，评价范围该数据中心提供云表信息系统硬件、软件和数据可用性具有支撑本数据中心客户业务所需的基本的信息系统2具有支撑本数据中心客户业务所需的基本的信息系统，具备有效的冷备设施；已经完成生产系统建设并稳定运行；冷备设施已完成配置并专项使用3采用具有生产系统和灾备系统(与生产系统不在同一物理地址)的时数据传输及完整设备支持；已经完成生产系统和灾备系统建设并稳定运行；已经实现生产环境灾备切换，灾备系统可正常接管4采用多活的高可用技术和远程集群支持，可实现数据零丢失、业务秒级切换；已经完成多活生产系统的稳定运行；已经实现节点中断后的业务秒级切换数据中心业务连续性等级评价白皮书DCBCM5采用多活的高可用技术和远程集群支持，且每个活动节点可实现冗零丢失、业务秒级切换，冗余设施具有节能运行模式；已经完成多活生产系统的稳定运行；已经实现节点中断后的业务秒级切换；多个节点中断后仍可实现满负载运行4.2管理能力要素及评分规则计划与实施资建设与维分析与评估性计划离量组织与方针测量与改进改进信息等资源的落实，并推动各项业务连续性活动、任务，保证数据中心业务连续性效果；数据中心业务连续性等级评价白皮书DCBCM 数据中心业务连续性等级评价白皮书DCBCM建立针对监视评估工作中发现问题(数据中心业务连续性体系)的改进(D6/F3)机制，根据监4.2.1D1/F1/P1内部环境分析4.2.1.2评价要点4.2.2D1/F1/P2外部环境分析数据中心供应商和合作伙伴(维保、供电、市政、运营商等)关系；4.2.2.2评价要点4.2.3D1/F2/P1方针内容和评审要求数据中心根据自身的目标和义务确定和回顾评审数据中心业务连续性方针，方针应当与数据中心的规模、性质和复杂度相适应，并能够反映数据中心的文化、依赖关系和运营环境。方针内容包4.2.3.2评价要点4.2.3.3特殊评价规则本能力项评分取2个能力子项得分的最低值。数据中心业务连续性等级评价白皮书DCBCM4.2.4D1/F2/P2方针传达和沟通4.2.4.2评价要点4.2.5D1/F3/P1最高管理者对业务连续性管理的理解4.2.5.2评价要点4.2.6D1/F3/P2最高管理者对业务连续性管理的支持4.2.6.2评价要点数据中心业务连续性等级评价白皮书DCBCM4.2.7D1/F3/P3内外部驱动力的匹配4.2.7.2评价要点4.2.8D1/F4/P1领导机构设置4.2.8.2评价要点4.2.9D1/F4/P2领导机构履职数据中心业务连续性等级评价白皮书DCBCM4.2.9.2评价要点4.2.9.3特殊评价规则4.2.10D1/F5/P1日常管理组织设置4.2.10.2评价要点4.2.11D1/F5/P2日常管理组织履职4.2.11.1能力项说明记录；数据中心业务连续性等级评价白皮书DCBCM4.2.11.3特殊评价规则4.2.12D1/F6/P1中断响应组织设置4.2.12.2评价要点4.2.13D1/F6/P2中断响应组织履职4.2.13.1能力项说明4.2.13.2评价要点数据中心业务连续性等级评价白皮书DCBCM4.2.13.3特殊评价规则4.2.14D2/F1/P1优先活动4.2.14.2评价要点4.2.14.3特殊评价规则4.2.15D2/F1/P2恢复目标与持续要求数据中心业务连续性等级评价白皮书DCBCM4.2.15.2评价要点4.2.16D2/F1/P3关键资源4.2.16.2评价的要点4.2.16.3特殊评价规则4.2.17D2/F1/P4外包活动4.2.17.2评价的要点数据中心业务连续性等级评价白皮书4.2.17.3特殊评价规则4.2.18D2/F1/P5最高管理者确认4.2.18.2评价要点4.2.19D2/F2/P1风险识别4.2.19.2评价要点数据中心业务连续性等级评价白皮书DCBCM4.2.19.3特殊评价规则4.2.20D2/F2/P2风险分析：4.2.20.3特殊评价规则4.2.21D2/F2/P3风险评价：数据中心业务连续性等级评价白皮书DCBCM4.2.21.3特殊评价规则4.2.22D3/F1/P1策略可行性4.2.22.2评价要点4.2.23D3/F1/P2策略有效性4.2.23.2评价要点4.2.24D3/F2/P1风险监控对象数据中心业务连续性等级评价白皮书DCBCM4.2.24.2评价要点4.2.25D3/F2/P2监测预警机制4.2.25.2评价要点4.2.26D3/F2/P3内部沟通数据中心业务连续性等级评价白皮书DCBCM4.2.26.2评价要点4.2.26.3特殊评价规则4.2.27D3/F2/P4外部沟通4.2.27.2评价要点4.2.28D3/F3/P1优先活动覆盖度4.2.28.2评价要点4.2.29D3/F3/P2与策略的一致性数据中心业务连续性等级评价白皮书DCBCM4.2.29.2评价要点4.2.30D3/F3/P3计划的完备性4.2.30.2评价要点4.2.31D3/F3/P4中断后使用的计划和程序是否由中断响应组织提供4.2.31.1能力项说明4.2.31.2评价要点数据中心业务连续性等级评价白皮书DCBCM4.2.32D4/F1/P1培训目标4.2.32.2评价要点4.2.33D4/F1/P2培训对象和内容4.2.33.2评价要点4.2.34D4/F2/P1宣贯的内容4.2.34.2评价要点数据中心业务连续性等级评价白皮书DCBCM4.2.35D4/F2/P2宣贯的形式◆组织的内部宣传及刊物(包括新员工入职培训)中包括业务连续性部分；4.2.35.2评价要点4.2.36D5/F1/P1资源敞口识别4.2.36.2评价要点4.2.37D5/F1/P2资源规划4.2.37.2评价要点数据中心业务连续性等级评价白皮书DCBCM4.2.38D5/F1/P3资源覆盖度4.2.38.1能力项说明4.2.38.2评价要点4.2.39D5/F1/P4资源更新与维护4.2.39.1能力项说明4.2.39.2评价要点4.2.40D6/F1/P1演练范围与计划数据中心业务连续性等级评价白皮书DCBCM4.2.40.2评价要点4.2.40.3特殊评价规则4.2.41D6/F1/P2演练数量与频率4.2.41.2评价要点4.2.42D6/F1/P3演练过程控制4.2.42.2评价要点4.2.42.3特殊评价规则数据中心业务连续性等级评价白皮书DCBCM4.2.43D6/F1/P4演练总结4.2.43.2评价要点4.2.44.2评价要点数据中心业务连续性等级评价白皮书4.2.45.2评价要点4.2.46.2评价要点4.3运行效果评分规则4.3.1评价项说明4.3.2评价要点最高取值100%,最低取值80%。未发生数据中心业务中断；数据中心业务连续性等级评价白皮书DCBCM或者虽然发生，但业务中断和应急处置时间完全满足协议或行业要求数据中心一项或多项业务中断，且业务中断和应急处置数据中心一项或多项业务中断，且业务中断和应急处置时间超出协议或行业要求；数据中心一项或多项业务中断，且业务中断和应急处置时间超出协议或行业要求；且恢复操作出现异常，导致业务中断造成的行业5.1业务连续性等级建设5.2业务连续性成熟度评价5.2.1评价流程5.2.1.1选取评估范围数据中心业务连续性等级评价白皮书DCBCM根据本标准数据中心包括机房基础设施服务(场地服务)、云计算服务(算力服务)、业务处5.2.1.2成熟度自评价5.2.1.3成熟度第三方评估5.2.1.4持续改进2)管理评审数据中心业务连续性等级评价白皮书DCBCM5.2.2评价方法5.2.2.1静态评价5.2.2.3组织自声明5.3自评价流程和要点数据中心业务连续性等级评价白皮书DCBCM5.3.2自评价流程数据中心业务连续性等级评价白皮书DCB