Mục đích của ISO 27001:2022 Phụ lục A 8.14
‘Cơ sở xử lý thông tin’ (IPF) là thuật ngữ chung dùng để chỉ bất kỳ cơ sở hạ tầng công nghệ thông tin và truyền thông (ICT) nào xử lý dữ liệu, chẳng hạn như thiết bị CNTT, phần mềm và cơ sở vật chất.
IPF rất cần thiết để duy trì tính liên tục của hoạt động kinh doanh và đảm bảo hoạt động hiệu quả của mạng lưới ICT của tổ chức. Để tăng cường khả năng phục hồi, các tổ chức phải đưa vào thực hiện các chiến lược tăng cường tính dự phòng của IPF – ví dụ, các kỹ thuật và quy trình an toàn khi xảy ra sự cố giúp giảm nguy cơ xảy ra sự cố, sử dụng sai mục đích hoặc xâm nhập vào hệ thống và dữ liệu.
Quyền sở hữu của Phụ lục A 8.14
ISO 27001:2022 Phụ lục A 8.14 liên quan đến năng lực của tổ chức trong việc tiếp tục hoạt động trong trường hợp xảy ra lỗi nghiêm trọng hoặc lỗi nhỏ có thể ảnh hưởng đến khả năng phục hồi. Do đó, Giám
đốc điều hành hoặc người tương đương phải chịu trách nhiệm về việc kiểm soát này.
Hướng dẫn về ISO 27001:2022 Phụ lục A 8.14 Tuân thủ
Mục tiêu chính của Phụ lục A 8.14 là tăng cường khả năng tiếp cận các dịch vụ kinh doanh và hệ thống thông tin, có thể được hiểu là bất kỳ phần nào của mạng lưới hỗ trợ hoạt động của công ty.
Phụ lục A 8.14 của ISO 27001:2022 khuyến nghị việc sao chép là cách chính để có được sự dự phòng trên nhiều IPF khác nhau, đặc biệt là thông qua việc duy trì kho dự phòng, các thành phần trùng lặp (phần cứng và phần mềm) và các thiết bị ngoại vi bổ sung.
Các tổ chức phải đảm bảo phát hiện nhanh chóng mọi IPF bị lỗi và nhanh chóng thực hiện hành động khắc phục, bằng cách chuyển sang phần cứng sao lưu hoặc sửa chữa IPF bị trục trặc kịp thời.
Các tổ chức cần lưu ý những điều sau khi thiết kế và lắp đặt các biện pháp dự phòng:
- Việc thiết lập mối quan hệ thương mại với hai nhà cung cấp dịch vụ riêng biệt có thể giúp giảm thiểu rủi ro mất điện hoàn toàn trong trường hợp xảy ra sự cố nghiêm trọng, chẳng hạn như nhà cung cấp dịch vụ Internet (ISP) hoặc nhà cung cấp VoIP.
- Tuân thủ các biện pháp dự phòng tốt nhất khi thiết kế mạng dữ liệu (chẳng hạn như DC thứ cấp và hệ thống BUDR dự phòng).
- Việc tận dụng các vị trí địa lý khác nhau khi thuê ngoài các dịch vụ dữ liệu, đặc biệt là đối với dịch vụ lưu trữ tệp và/hoặc tiện nghi của trung tâm dữ liệu, là điều cần thiết.
- Mua hệ thống điện có khả năng cung cấp dự phòng toàn bộ hoặc một phần theo yêu cầu.
- Sử dụng cân bằng tải và chuyển đổi dự phòng tự động giữa các thành phần hoặc hệ thống phần mềm trùng lặp, dự phòng giúp tăng hiệu suất và khả năng phục hồi theo thời gian thực sau một sự kiện quan trọng. Điều này đặc biệt phù hợp khi sử dụng mô hình hoạt động với cả dịch vụ đám mây công cộng và dịch vụ tại chỗ. Kiểm tra các hệ thống dự phòng thường xuyên ở chế độ sản xuất đảm bảo các hệ thống chuyển đổi dự phòng hoạt động như mong đợi.
- Sao chép các thành phần ICT vật lý, cả trong máy chủ và vị trí lưu trữ tệp (mảng RAID, CPU) và bất kỳ chức năng nào như một thiết bị mạng (tường lửa, công tắc dự phòng), để đảm bảo tính liên tục của dịch vụ. Cập nhật chương trình cơ sở nên được thực hiện trên tất cả các thiết bị được liên kết và dự phòng.
Hướng dẫn bổ sung về Phụ lục A 8.14
Phụ lục A của ISO 27001:2022 Kiểm soát 8.14 công nhận mối liên hệ giữa các hệ thống đáng tin cậy, dự phòng và kế hoạch duy trì hoạt động kinh doanh (xem Phụ lục A 5.30 của ISO 27001:2022), khuyến khích các tổ chức xem chúng như một phần của câu trả lời cho những khó khăn chung.
Điều cần thiết là phải cân nhắc rằng, liên quan đến các ứng dụng kinh doanh, rất khó để giải quyết những lỗi lớn trong chính ứng dụng (đặc biệt là khi sử dụng các ứng dụng được quản lý).
Phụ lục A kèm theo Kiểm soát
- ISO 27001:2022 Phụ lục A 5.30
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.14 của ISO 27001:2022 thay thế Phụ lục A 17.2.1 của ISO 27001:2013 (Tính khả dụng của Cơ sở xử lý thông tin).
Phụ lục A 8.14 của 27001:2022 đánh dấu bước tiến lớn so với Phụ lục A 17.2.1 của 27001:2013, với sự khác biệt giữa hai biện pháp kiểm soát tạo nên sự thay đổi quan trọng nhất trong toàn bộ bản sửa đổi ISO 27001:2022.
27001:2013 Phụ lục A 17.2.1 phác thảo ngắn gọn về nhu cầu dự phòng, trong khi 27001:2022 Phụ lục A 8.14 cung cấp hướng dẫn chi tiết về cách triển khai dự phòng trên các thành phần tại chỗ, trên nền tảng đám mây, logic và vật lý.
