Mục đích của Phụ lục A 8.13 của ISO 27001:2022 là gì?
Phụ lục A 8.13 của ISO 27001:2022 là biện pháp kiểm soát khắc phục đảm bảo duy trì rủi ro bằng cách triển khai các chính sách cho phép phục hồi kịp thời sau khi mất dữ liệu và/hoặc gián đoạn hệ thống.
Hoạt động sao lưu của một tổ chức phải bao gồm nhiều nỗ lực khác nhau nhằm cải thiện khả năng phục hồi và bảo vệ doanh nghiệp khỏi mất mát bằng cách thiết lập một bộ tác vụ sao lưu mạnh mẽ và được quản lý chặt chẽ, với mức lưu giữ phù hợp và thời gian phục hồi đã thỏa thuận, sử dụng phần mềm và tiện ích chuyên dụng.
Phụ lục A 8.13 ủng hộ các phương pháp sao lưu theo chủ đề cụ thể bao gồm các quy trình riêng cho từng chủ đề và tính đến các loại dữ liệu (và mức độ rủi ro) mà các tổ chức xử lý và truy cập.
Ai là người sở hữu Phụ lục A 8.13?
Phụ lục A 8.13 của ISO 27001:2022 nêu rõ cách nhân viên hỗ trợ kỹ thuật tham gia bảo trì mạng của tổ chức phải xử lý các hoạt động sao lưu hàng ngày.
Do đó, Phụ lục A 8.13 phải do người phụ trách hoạt động CNTT hàng ngày của tổ chức hoặc người giám sát hợp đồng CNTT thuê ngoài nắm giữ.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.13
Các tổ chức cần soạn thảo các chính sách theo chủ đề cụ thể để giải quyết cụ thể cách họ bảo vệ các khu vực có liên quan trong mạng lưới của mình.
Tất cả dữ liệu, phần mềm và hệ thống quan trọng đối với doanh nghiệp đều phải có cơ sở sao lưu để đảm bảo có thể phục hồi sau các sự kiện dưới đây:
- Gián đoạn kinh doanh.
- Lỗi hệ thống, ứng dụng hoặc phương tiện lưu trữ .
- Mất dữ liệu.
- Sự xâm nhập.
Các kế hoạch dự phòng được tạo theo Phụ lục A 8.13 phải hướng tới mục tiêu:
- Xác định tất cả các hệ thống và dịch vụ quan trọng có liên quan và phác thảo các quy trình khôi phục rõ ràng và súc tích.
- Lắp ráp các bản sao khả thi của bất kỳ hệ thống, dữ liệu hoặc ứng dụng nào được sao lưu.
- Đảm bảo đáp ứng các yêu cầu thương mại và hoạt động cụ thể của tổ chức (ví dụ: mục tiêu thời gian phục hồi, loại sao lưu, tần suất sao lưu) (xem Phụ lục A 5.30).
- Lưu trữ bản sao lưu ở vị trí thích hợp được bảo vệ về mặt môi trường, tách biệt về mặt vật lý với dữ liệu nguồn và có thể truy cập an toàn để bảo trì (xem Phụ lục A 8.1).
- Để đảm bảo dữ liệu có sẵn ngay lập tức, việc kiểm tra thường xuyên các tác vụ sao lưu là điều cần thiết. Thời gian phục hồi mà tổ chức đã thỏa thuận phải được đo lường theo các thử nghiệm sao lưu để đảm bảo tuân thủ trong trường hợp mất dữ liệu hoặc lỗi hệ thống.
- Dữ liệu đã được sao lưu phải được mã hóa theo mức độ rủi ro.
- Bất kỳ công việc sao lưu nào cũng phải được kiểm tra xem có mất dữ liệu không trước khi chạy.
- Đảm bảo nhân viên bảo trì được thông báo về trạng thái của các công việc sao lưu để có thể thực hiện hành động khắc phục nếu chúng bị lỗi toàn bộ hoặc một phần.
- Cần đưa vào dữ liệu từ các nền tảng đám mây không do tổ chức quản lý trực tiếp.
- Đảm bảo rằng dữ liệu sao lưu được lưu trữ theo chính sách lưu giữ cụ thể theo chủ đề, xem xét bản chất cơ bản của dữ liệu đã được sao lưu, bao gồm việc chuyển và/hoặc lưu trữ vào phương tiện lưu trữ (xem Phụ lục A 8.10).
Phụ lục A kèm theo Kiểm soát
- ISO 27001:2022 Phụ lục A 5.30
- ISO 27001:2022 Phụ lục A 8.1
- ISO 27001:2022 Phụ lục A 8.10
Những thay đổi so với ISO 27001:2013 là gì?
Phụ lục A 8.13 của ISO 27001:2022 thay thế Phụ lục A 12.3.1 của ISO 27001:2013 (Sao lưu thông tin).
Phụ lục A 8.13 duy trì các tiêu chuẩn hoạt động giống như phiên bản năm 2013, với hướng dẫn bổ sung trong các lĩnh vực sau:
- Trước khi thực hiện bất kỳ bản sao lưu nào, hãy kiểm tra xem có mất dữ liệu không.
- Thiết lập hệ thống báo cáo.
- Nền tảng đám mây.
- Lưu trữ bản sao lưu theo chính sách lưu trữ và bảo quản cụ thể theo chủ đề.
