Mục đích của Kiểm soát 8.14
‘ Cơ sở xử lý thông tin ‘ (IPF) là thuật ngữ rộng dùng để mô tả bất kỳ cơ sở hạ tầng CNTT nào liên quan đến việc xử lý dữ liệu, chẳng hạn như thiết bị CNTT, phần mềm, cơ sở vật chất và địa điểm.
IPF đóng vai trò quan trọng trong việc duy trì tính liên tục của hoạt động kinh doanh và đảm bảo hoạt động trơn tru của mạng lưới ICT của tổ chức. Để tăng khả năng phục hồi, các tổ chức cần triển khai các biện pháp tăng cường tính dự phòng của IPF – tức là các phương pháp và quy trình an toàn khi gặp sự cố giúp giảm thiểu rủi ro cho hệ thống và dữ liệu trong trường hợp xảy ra sự cố, sử dụng sai mục đích hoặc xâm nhập.
Bảng Thuộc tính
Kiểm soát 8.14 là biện pháp kiểm soát phòng ngừa nhằm duy trì rủi ro bằng cách triển khai các kế hoạch và quy trình nhằm duy trì hoạt động liên tục của các cơ sở xử lý thông tin và toàn bộ mạng lưới ICT của tổ chức.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Khả dụng | #Bảo vệ | #Tiếp tục #Quản lý tài sản | #Bảo vệ #Khả năng phục hồi |
Quyền sở hữu kiểm soát 8.14
Kiểm soát 8.14 đề cập đến khả năng tiếp tục kinh doanh của tổ chức trong trường hợp xảy ra lỗi nghiêm trọng hoặc lỗi nhỏ có khả năng ảnh hưởng đến khả năng phục hồi. Do đó, quyền sở hữu 8.14 phải thuộc về Giám đốc điều hành hoặc người tương đương trong tổ chức.
Hướng dẫn chung về tuân thủ
Mục tiêu quan trọng nhất của Kiểm soát 8.14 là tăng cường tính khả dụng của những gì ISO coi là dịch vụ kinh doanh và hệ thống thông tin , có thể được hiểu là bất kỳ khía cạnh nào của mạng cho phép tổ chức tiến hành kinh doanh.
Tiêu chuẩn Control 8.14 ủng hộ việc sao chép như là phương pháp chính để đạt được sự dự phòng trên nhiều IPF khác nhau, chủ yếu thông qua việc duy trì kho phụ tùng thay thế, các thành phần trùng lặp (phần cứng và phần mềm) và các thiết bị ngoại vi bổ sung.
Một hệ thống dự phòng chỉ tốt khi có chức năng cảnh báo . Do đó, các tổ chức nên đảm bảo rằng các IPF bị lỗi được phát hiện nhanh chóng và thực hiện hành động khắc phục để chuyển sang phần cứng dự phòng hoặc sửa chữa IPF bị lỗi trong thời gian nhanh nhất có thể.
Khi thiết kế và lắp đặt các biện pháp dự phòng, các tổ chức nên cân nhắc những điều sau:
- Thiết lập mối quan hệ thương mại với hai nhà cung cấp dịch vụ riêng biệt để giảm nguy cơ ngừng hoạt động toàn bộ trong trường hợp xảy ra sự kiện quan trọng (ví dụ: nhà cung cấp dịch vụ Internet hoặc nhà cung cấp VoIP).
- Tuân thủ các nguyên tắc dự phòng khi thiết kế mạng dữ liệu (DC thứ cấp, hệ thống BUDR dự phòng, v.v.).
- Sử dụng các vị trí địa lý tách biệt khi thuê ngoài dịch vụ dữ liệu, đặc biệt là trong trường hợp lưu trữ tệp và/hoặc cơ sở trung tâm dữ liệu.
- Hệ thống mua điện có khả năng đạt được sự dự phòng toàn bộ hoặc một phần khi cần thiết.
- Sử dụng cân bằng tải và tự động chuyển đổi dự phòng giữa hai thành phần phần mềm hoặc hệ thống giống hệt nhau, dự phòng, để cải thiện cả hiệu suất thời gian thực và khả năng phục hồi sau một sự kiện quan trọng. Điều này đặc biệt quan trọng khi xem xét một mô hình hoạt động bao gồm cả dịch vụ đám mây công cộng và dịch vụ tại chỗ. Các hệ thống dự phòng nên được kiểm tra thường xuyên (nếu có thể) trong khi ở chế độ sản xuất để đảm bảo rằng các hệ thống chuyển đổi dự phòng đang hoạt động chính xác.
- Sao chép các thành phần ICT vật lý trong cả máy chủ và vị trí lưu trữ tệp (mảng RAID, CPU) và bất kỳ thành phần nào hoạt động như một thiết bị mạng (tường lửa, bộ chuyển mạch dự phòng). Cập nhật chương trình cơ sở phải được thực hiện trên tất cả các thiết bị được liên kết và dự phòng để đảm bảo tính liên tục.
Hướng dẫn bổ sung về Kiểm soát 8.14
Tiêu chuẩn kiểm soát 8.14 thừa nhận mối liên hệ vốn có giữa các hệ thống dự phòng, mạnh mẽ và kế hoạch duy trì hoạt động kinh doanh (xem Tiêu chuẩn kiểm soát 5.30) và yêu cầu các tổ chức xem xét cả hai như một phần của giải pháp cho cùng một tập hợp các thách thức.
Điều quan trọng cần lưu ý là đối với các ứng dụng kinh doanh, việc xử lý các lỗi nghiêm trọng trong chính ứng dụng là vô cùng khó khăn (đặc biệt là trong trường hợp các ứng dụng được quản lý).
Hỗ trợ điều khiển
- 5.30
Những thay đổi và khác biệt so với ISO 27002:2013
ISO 27002:2022-8.14 thay thế ISO 27002:2003-17.2.1 (Tính khả dụng của các cơ sở xử lý thông tin).
27002:2022-8.14 là bước nhảy vọt về mặt vận hành so với 27002:2003-17.2.1, với sự khác biệt giữa hai biện pháp kiểm soát thể hiện sự thay đổi lớn nhất trong toàn bộ bản cập nhật ISO 27002:2022.
27002:2003-17.2.1 chỉ chứa một vài đoạn văn ngắn gọn về nhu cầu đạt được sự dự phòng, trong khi 27002:2022-8.14 chứa hướng dẫn chi tiết về cách thức đạt được điều này trên các thành phần tại chỗ, trên nền tảng đám mây, logic và vật lý.
