保險業(yè)災備建設(shè)基本要求

T/IACXXXXX—XXXXI前??言本標準按照GB/T1.1-2009給出的規(guī)則起草。本標準由中國保險行業(yè)協(xié)會提出并歸口。本標準起草單位：本標準主要起草人：

引??言隨著保險業(yè)務快速增長以及保險業(yè)監(jiān)管力度的提高，考慮業(yè)務運營與創(chuàng)新對信息系統(tǒng)愈發(fā)高度依賴、數(shù)據(jù)集中帶來的數(shù)據(jù)中心風險的高度集中，為有效防范保險業(yè)信息系統(tǒng)風險，保護行業(yè)客戶的合法權(quán)益，本規(guī)范對未來保險業(yè)災備建設(shè)提出了全面要求，用于指導未來保險業(yè)災備建設(shè)，規(guī)范保險業(yè)的業(yè)務連續(xù)性發(fā)展。保險業(yè)災備建設(shè)基本要求范圍本標準規(guī)定了保險業(yè)災備建設(shè)的基本原則、工作流程、機構(gòu)與人員、建設(shè)要求、災備中心日常運維要求。本標準適用于保險業(yè)災備工作的建設(shè)與管理。規(guī)范性引用文件下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T9361計算機場地安全要求保監(jiān)發(fā)〔2008〕20號保險業(yè)信息系統(tǒng)災難恢復管理指引縮略語下列縮略語適用于本文件。RTO（RecoveryTimeObjective）：恢復時間目標，指業(yè)務系統(tǒng)從中斷狀態(tài)到重新恢復至正常運營狀態(tài)所需要的時間RPO（RecoveryPointObjective）：恢復點目標，業(yè)務系統(tǒng)發(fā)生運營中斷事件后，信息系統(tǒng)中現(xiàn)存可用業(yè)務數(shù)據(jù)的時間戳距離業(yè)務中斷點的時間差概述基本原則適用性災備建設(shè)策略與規(guī)劃應符合信息系統(tǒng)現(xiàn)狀、符合業(yè)務發(fā)展和IT建設(shè)需要。一體化在災備建設(shè)中，應考慮數(shù)據(jù)及系統(tǒng)的災難備份，規(guī)范災難恢復管理流程，實現(xiàn)生產(chǎn)與災備系統(tǒng)一體化管理。可靠性與穩(wěn)定性災備系統(tǒng)作為生產(chǎn)的備用系統(tǒng)，在生產(chǎn)中心發(fā)生意外時可能接管業(yè)務運行，并持續(xù)一定時間。災備系統(tǒng)需具備與生產(chǎn)環(huán)境相當?shù)目煽啃耘c穩(wěn)定性。擴展性在系統(tǒng)規(guī)劃與策略設(shè)計時應考慮系統(tǒng)擴容因素、體系擴容演進方法。生產(chǎn)災備同步性災備系統(tǒng)規(guī)劃要與生產(chǎn)環(huán)境規(guī)劃保持同步性，根據(jù)規(guī)劃進行災備系統(tǒng)建設(shè)。災備建設(shè)的基本內(nèi)容數(shù)據(jù)備份系統(tǒng)數(shù)據(jù)備份系統(tǒng)主要包括但不限于:數(shù)據(jù)備份硬件數(shù)據(jù)備份軟件；數(shù)據(jù)備份介質(zhì)；依靠電子傳輸?shù)臄?shù)據(jù)備份系統(tǒng)，主要包括：數(shù)據(jù)備份線路、相應的通信設(shè)備。備用數(shù)據(jù)處理系統(tǒng)備用數(shù)據(jù)處理系統(tǒng)主要包括但不限于:備用計算機；外圍設(shè)備；軟件。備用網(wǎng)絡(luò)系統(tǒng)備用網(wǎng)絡(luò)系統(tǒng)是指最終用戶用來訪問備用數(shù)據(jù)處理系統(tǒng)的網(wǎng)絡(luò)，主要包括但不限于：備用網(wǎng)絡(luò)通信設(shè)備；備用數(shù)據(jù)通信線路。備用基礎(chǔ)設(shè)施備用基礎(chǔ)設(shè)施災難是指恢復所需的、支持災難備份系統(tǒng)運行的建筑、設(shè)備和組織，主要包括但不限于：介質(zhì)的場外存放場所；備用的機房；災難恢復工作輔助設(shè)施；容許災難恢復人員連續(xù)停留的生活設(shè)施。專業(yè)技術(shù)支持能力對災難恢復系統(tǒng)的運轉(zhuǎn)提供支撐和綜合保障的能力，以實現(xiàn)災難恢復系統(tǒng)的預期目標，主要包括但不限于：硬件、系統(tǒng)軟件和應用軟件的問題分析和處理能力；網(wǎng)絡(luò)系統(tǒng)安全運行管理能力；溝通協(xié)調(diào)能力。運行維護管理能力運行維護管理能力主要包括但不限于：運行環(huán)境管理；系統(tǒng)管理；安全管理；變更管理。災備建設(shè)工作流程災備建設(shè)階段劃分根據(jù)災備建設(shè)工作的目標和側(cè)重點，災備工作主要包括以下階段：分析階段；設(shè)計階段；實施階段。分析階段分析階段主要是對災害潛在損失、各種影響、及現(xiàn)行恢復能力等方面定性及定量分析評估，包含風險分析、業(yè)務影響分析、回復能力評估等內(nèi)容。分析階段應符合以下要求：對于保險業(yè)核心業(yè)務系統(tǒng)及部分周邊系統(tǒng)的應用級災備,要求業(yè)務能夠在RTO規(guī)定時間內(nèi)，啟動災備中心并能夠持續(xù)運行；根據(jù)RPO要求選擇適當?shù)臄?shù)據(jù)復制或備份策略。RTO取值越小，則表示業(yè)務連續(xù)性管理系統(tǒng)的業(yè)務恢復能力越強。RPO指標主要反映業(yè)務連續(xù)性管理體系下備用數(shù)據(jù)的時效性，RTO取值越小，表示系統(tǒng)對數(shù)據(jù)完整性的保護能力越強。對于數(shù)據(jù)級災備的業(yè)務系統(tǒng),要求災備中心能夠獲得生產(chǎn)系統(tǒng)數(shù)據(jù)，數(shù)據(jù)差異滿足RPO要求，宜做數(shù)據(jù)可用性校驗；服務器及網(wǎng)絡(luò)環(huán)境滿足系統(tǒng)運行要求后，能夠恢復業(yè)務的運行。設(shè)計階段設(shè)計階段根據(jù)分析階段結(jié)果制定組織恢復策略，設(shè)計為實現(xiàn)組織業(yè)務持續(xù)所必需的解決方案和實施計劃，達到組織在人員結(jié)構(gòu)、流程及技術(shù)等層面的恢復需求。設(shè)計階段應符合以下要求：建立覆蓋日常管理、應急響應、切換回切操作、演練管理的全面的災難恢復流程；應急響應和切換回切操作流程應滿足RTO和RPO要求；保證流程可操作性和正確性。實施階段實施階段主要是建立業(yè)務持續(xù)計劃、實施業(yè)務持續(xù)計劃的桌面演練、執(zhí)行業(yè)務持續(xù)計劃及災難恢復測試、執(zhí)行業(yè)務持續(xù)計劃維護方案。機構(gòu)與人員組織機構(gòu)災難恢復組織機構(gòu)包括且不限于：災難恢復領(lǐng)導小組；災難恢復管理小組；災難恢復規(guī)劃實施小組；災難恢復日常運行小組。災難恢復機構(gòu)的具體情況需要在災難恢復計劃中準確說明。災難恢復的職能架構(gòu)和職責必須先定義，其中一些職位可由多人擔任，一些人可負責兩種或多種職責。災備職能架構(gòu)可以是常設(shè)機構(gòu)，也可以是根據(jù)災難恢復規(guī)劃的要求臨時設(shè)立。組織職責災難恢復領(lǐng)導小組災難恢復領(lǐng)導小組是災難恢復工作的組織領(lǐng)導機構(gòu)，組長應由公司的最高管理層成員擔任主，主要職責是領(lǐng)導和決策災難恢復的重大事宜，制訂災難恢復體系的目標災難恢復管理小組災難恢復管理小組是常設(shè)辦公機構(gòu)，向上對災難恢復領(lǐng)導小組提出審批要求，向下負責災難恢復體系的日常管理工作。災難恢復日常運行小組災難恢復日常運行小組支持災備中心日常運維的管理，為災難恢復提供技術(shù)支持，同時在災難發(fā)生后，執(zhí)行系統(tǒng)恢復、業(yè)務恢復、外部協(xié)作等具體工作事項。災備建設(shè)要求災備恢復資源要求災備中心場地資源要求根據(jù)保監(jiān)會《保險業(yè)信息系統(tǒng)災難恢復管理指引指引》要求災難備份中心機房環(huán)境應達到GB/T9361中B類機房標準，并通過當?shù)叵啦块T驗收。災備中心地理位置建設(shè)要求同城災備中心能夠抵御小范圍區(qū)域內(nèi)的災難，距離為數(shù)十公里左右。異地災備中心，能夠抵御較大范圍區(qū)域內(nèi)的災難，距離為數(shù)百公里以上。災備中心運維要求災備架構(gòu)中關(guān)鍵的數(shù)據(jù)復制備份過程以及生產(chǎn)災備一體化運維應由保險公司災備相關(guān)崗位人員負責和管理，對于災備中心應用級災備的業(yè)務層面運維由保險公司信息技術(shù)人員運維人員遠程訪問方式實施。災備恢復要求災難恢復預案框架的開發(fā)、制定、桌面演練及預案管理制度應由保險公司信息技術(shù)人員及相關(guān)業(yè)務部門人員提供必要的協(xié)助支持。預案的落實（基于災備技術(shù)方案實現(xiàn)的災備切換操作流程）、維護更新及實際災備演練，由保險公司災難恢復組織內(nèi)定義的相關(guān)崗位負責組織與實施。災備系統(tǒng)基礎(chǔ)架構(gòu)技術(shù)要求數(shù)據(jù)備份與數(shù)據(jù)復制要求根據(jù)保監(jiān)會《保險業(yè)信息系統(tǒng)災難恢復管理指引指引》，確定了不同應用系統(tǒng)的災備等級與災備目標。根據(jù)不同的災備指標組合，宜采取適當?shù)臄?shù)據(jù)復制技術(shù)策略支持，降低建設(shè)、運維成本以及系統(tǒng)技術(shù)復雜性。災備系統(tǒng)網(wǎng)絡(luò)建設(shè)要求災備系統(tǒng)部署須具備涉及業(yè)務系統(tǒng)所需的基礎(chǔ)網(wǎng)絡(luò)、內(nèi)部分支公司的廣域網(wǎng)鏈路、外聯(lián)單位的廣域網(wǎng)鏈路，以保證發(fā)生災難切換后，業(yè)務系統(tǒng)能夠為相關(guān)內(nèi)聯(lián)機構(gòu)、外聯(lián)機構(gòu)提供業(yè)務訪問和服務。災備中心的網(wǎng)絡(luò)應參考生產(chǎn)中心的建設(shè)標準、網(wǎng)絡(luò)架構(gòu)、區(qū)域劃分，考慮網(wǎng)絡(luò)的可靠性、冗余性、安全性、擴展性，以提供業(yè)務支撐為目標的策略規(guī)劃。應用部署要求災備中心與生產(chǎn)中心應用系統(tǒng)版本須保持一致，可以適當降低高可用性和承載能力要求。主機及虛擬化建設(shè)要求災備中心主機的部署要求以能接管業(yè)務為標準，同時注重節(jié)約建設(shè)和運營成本，宜將生產(chǎn)中心高可用性結(jié)構(gòu)如HA、RAC等改變成單機結(jié)構(gòu)。存儲部署要求災備中心的存儲要求可用存儲空間至少應與生產(chǎn)中心一致，當生產(chǎn)中心的應用對存儲提出更多容量空間要求時候，容災中心同樣能夠滿足變更條件。主備系統(tǒng)時間同步要求災備中心和主中心須引入時間同步功能模塊，保證主備中心的相關(guān)服務器的系統(tǒng)時間同步。主備系統(tǒng)聯(lián)動變更要求災備體系至少是由主備中心兩套以上IT基礎(chǔ)架構(gòu)組成，關(guān)鍵IT元素在主備中心的“對稱性部署”，是保證災備系統(tǒng)隨時具備切換和回切能力的必要條件。災備系統(tǒng)切換要求災備系統(tǒng)切換需滿足RTO和RPO指標要求，按照切換預案及既定步驟操作，并制定應急預案處理切換過程中出現(xiàn)的異常情況。所有災備切換操作應統(tǒng)一指揮，對整個切換過程的指令及執(zhí)行情況進行詳細記錄。災難恢復流程要求災備中心除與生產(chǎn)中心相同的日常運維流程外，還需制定一套生產(chǎn)與災備環(huán)境的災難恢復流程，指導災難發(fā)生時的數(shù)據(jù)中心間業(yè)務系統(tǒng)的切換。保險業(yè)在災難恢復階段需要考慮從應急響應，到災難切換、到計劃回切的整體流程。災備中心日常運維要求應急響應要求制定應急通告流程應急通告是在災難即將或剛發(fā)生時所采取的通知。在應急通告流程需要明確規(guī)定通知流程、通知策略和通知內(nèi)容等。通知中所傳遞的信息類型和內(nèi)容應明確清晰，所傳遞的信息數(shù)量和詳細程度可依據(jù)被通知的對象確定。制定損害評估流程災難發(fā)生時，損害評估人員應盡快到達災難現(xiàn)場查看災難狀況和確定事態(tài)的嚴重程度，召集相應的專業(yè)人員對災難事件進行評估，確認災難對信息系統(tǒng)造成的影響，確定下一步行動。損害評估結(jié)果確定后，應將最新信息按照預定通告流程通知相應的團隊。制定災難決策流程制定災難決策時應確定災難恢復計劃啟動的條件。當損害評估結(jié)果達到一項或多項啟動條件時，將由被企業(yè)授權(quán)的人員正式發(fā)出災難宣告。啟動條件的確定宜基于以下方面：評估損失狀況；執(zhí)行災難恢復流程的資源需求；損失是否足以構(gòu)成立即宣布災難；轉(zhuǎn)移至災備中心是否比修復花費更多時間；災備中心系統(tǒng)運行的健康狀態(tài)；受影響的關(guān)鍵服務的恢復時間。制定災難宣告流程災難宣告是區(qū)分災難和一般性應急問題的重要標識。災難的正式宣告要求企業(yè)內(nèi)部相關(guān)部門提供恢復所需的資源策。根據(jù)災難決策的結(jié)果，由授權(quán)的災難宣告人員發(fā)出災難宣告，宣布啟動災難恢復計劃，并通知各有關(guān)部門。災難切換要求災難切換的順序在切換復雜系統(tǒng)時，如涉及多個獨立應用系統(tǒng)的業(yè)務系統(tǒng)，切換進程應反映出業(yè)務影響分析中所確定的系統(tǒng)優(yōu)先順序，優(yōu)先恢復重要和關(guān)鍵的系統(tǒng)。災難恢復演練要求保險公司每年至少執(zhí)行一次桌面演練和一次真實演練，確保災備系統(tǒng)有效性。參?考?文?獻[1]