1 范圍

      本標準規定了信息系統災難恢復服務所應遵循的基本原則，明確了信息系統災難恢復服務組織服務能力的評估機制。

      本標準適用于信息系統災難恢復服務的需求方、提供方和評估方。

2 規范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 20988-2007 信息安全技術 信息系統災難恢復規范

      GB/T 25069-2010 信息安全技術 術語

      GB/T 29246-2017 信息技術 安全技術 信息安全管理體系 概述和詞匯

      GB/T 30271-2013 信息安全技術 信息安全服務能力評估準則

      GB/T 36957-2018 信息安全技術 災難恢復服務要求

      ISO/IEC 21827：2008 信息技術 安全技術 系統安全工程能力成熟度模型?（Information tech-nology-Security techniques-Systems Security Engineering-Capability Maturity Model?)(SSE-CMM?)

3 術語和定義

      GB/T 25069-2010、GB/T 20988-2007、GB/T 30271-2013、GB/T 29246-2017、GB/T 36957-2018和ISO/IEC 21827：2008界定的以及下列術語和定義適用于本文件。為了便于使用，以下重復列出了GB/T 36957-2018、GB/T 29246-2017和GB/T 30271-2013中的一些術語和定義。

3.1

      災難恢復服務 disaster recovery services

      為了將信息系統從災難造成的故障或癱瘓狀態恢復到可正常運行的狀態、并將其支持的業務功能從災難造成的不正常狀態恢復到可接受狀態而進行的分析、設計、實施、運行、維護及組織管理等活動和流程。

      ［GB/T 36957-2018，定義3.2］

3.2

      災難恢復服務提供方 provider of disaster recovery services

      具有專業的災難恢復服務團隊和資源，并能提供災難恢復服務的組織或部門，簡稱服務提供方。

      ［GB/T 36957-2018，定義3.4］

3.3

      災難恢復服務需求方 customer of disaster recovery services

      需要通過第三方專業服務和資源實現災難恢復的組織或部門，簡稱服務需求方。

      ［GB/T 36957-2018，定義3.3］

3.4

      災難恢復服務能力 disaster recovery service capability

      災難恢復服務提供方實施系統容錯、災難恢復和容災過程達到信息系統各項業務可持續運行，并使客戶保持滿意的有關各項活動的總和。

      注：災難恢復服務能力闡述的是災難恢復服務提供方的總體服務能力，區別于GB/T 20988-2007中災難恢復能力闡述的是針對信息系統進行災難恢復服務所能達到災難恢復等級，兩者闡述的對象不同。

3.5

      災難恢復服務能力成熟度 disaster recovery service capability maturity

      對災難恢復服務方服務能力的綜合評價，反映了災難恢復服務方的災難恢復服務在資源配置、項目組織管理和專業技術水平等方面的成熟程度，標志著災難恢復服務方提供給客戶的災難恢復服務專業水平和質量保證程度。

3.6

      風險分析 risk analysis

      理解風險本質和確定風險等級的過程。

      注1：風險分析提供風險評價和風險處置決策的基礎。

      注2：風險分析包括風險估算。

      ［GB/T 29246-2017，定義2.70］

3.7

      可用性 availability

      已授權實體一旦需要，信息系統災難恢復組織就可提供相應服務，保證信息系統訪問和使用數據和資源的特性。

      注：本標準中鑒于災難恢復服務的特殊性，對可用性做了適用于災難恢復服務的專有定義。

3.8

      可靠性 reliability

      與預期行為和結果相一致的特性。

      ［GB/T 29246-2017，定義2.62］

3.9

      能力 capability

      組織、體系或過程實現產品并使其滿足要求的本領。

3.10

      過程域 process are

      ss area;PA

      一組相關系統工程過程的性質，當這些性質全部實施后則能夠達到過程域定義的目的。

      [GB/T 302730271-201，定義3.1.1］

3.11

      基本實踐 base practices；BP

      系統工程過程中應存在的性質，只有當所有這些性質完全實現后，才可說滿足了這個過程域的要求。

      注：一個過程域由基本實踐（BP）組成。

      ［GB/T 30271-2013，定義3.1.2］

3.12

      通用實踐 generic practices；GP

      在評估中用于確定任何過程的能力。

4 縮略語

      下列縮略語適用于本文件。

      BIA：業務影響分析（Business Impact Analysis）

      BCM：業務連續性管理（Business Continuity Management）

      BP：基本實施（Base Practices）

      DRP：災難恢復規劃（Disaster Recovery Planning）

      DRS-CMM：災難恢復服務能力成熟度模型（Disaster Recovery Service-Capability Maturity Mod-el)

      GP：通用實施（Generic Practices）

      PA：過程域（(Process A Process Area)

      RPO ：恢復點目標（Recovery Point Objective）

      RTO：恢復時間目標（Recovery Time Objective）

      SSE-CMM ：系統安全工程能力成熟度模型?（Systems Security Engineering-Capability Maturity Model?)

      SPICE：軟件過程改進和能力測定（Software Process Improvement And Capability Determination)

      SW-CMM：軟件能力成熟度模型（Software-Capability Maturity Model）

5 災難恢復服務能力成熟度模型概述

5.1 災難恢復服務生命周期概述

      災難恢復服務能力成熟度模型是依據災難恢復服務生命周期，災難恢復服務提供方向災難恢復服務需求方提供包括災難恢復系統的規劃設計、建設實施和安全運維管理，以及生產系統的災后重建和回退等服務為主線，對能提供單個、多個過程域以及整個生命周期災難服務的提供方整個組織的服務能力等級的評估模型。災難恢復服務生命周期框架流程圖參見圖1。

      信息系統災難恢復服務過程除了實現信息系統的災難恢復目標和策略外，還需進行災難恢復服務過程的信息安全考慮，包括對災難恢復系統進行信息安全的需求分析、安全設計與實現，對災難恢復服務過程的項目與組織過程的信息安全管理等。

      目前災難恢復服務的形式呈現多樣化，本標準意在闡述從災難恢復系統的規劃設計、建設實施和安全運維管理等全生命周期各階段的災難恢復服務過程為主線，對能提供單個、多個過程域以及整個生命周期災難恢復服務的提供方從其服務過程中的資源配置、技術服務過程和項目與組織過程等服務能力要素對災難服務提供方的服務能力成熟度進行等級評估。對于在具體災難恢復服務的過程中不是針對整個生命周期進行服務的情況，可以對具體的服務過程域進行災難恢復服務的能力等級進行評估。

以上為標準部分內容，如需看標準全文，請到相關授權網站購買標準正版。