Khi một hệ thống quan trọng trong doanh nghiệp ngừng hoạt động, phần khó khăn nhất là biết nên khôi phục hệ thống nào trước, ai có quyền truy cập để thực hiện, bản sao lưu nào có thể tin cậy và doanh nghiệp có thể tiếp tục hoạt động trong bao lâu nếu không có hệ thống đó.
Đó là lúc nhiều doanh nghiệp vừa và nhỏ (SMB) phát hiện ra khoảng cách giữa việc có các bản sao lưu và có một gói khôi phục thực tế. Một bản sao lưu có thể chứa dữ liệu cần thiết, nhưng bản sao lưu đó không quyết định thứ tự khôi phục, phân công trách nhiệm, xác thực xem việc khôi phục có hoạt động hay không hoặc giải quyết vấn đề thiếu thông tin đăng nhập của quản trị viên khi xảy ra sự cố ngừng hoạt động.
Gói khôi phục sau sự cố CNTT cung cấp cấu trúc cho quy trình này trước khi xảy ra gián đoạn. Gói này xác định hệ thống nào quan trọng nhất, chúng cần được khôi phục nhanh như thế nào, lượng dữ liệu bị mất mà doanh nghiệp có thể chấp nhận, chiến lược ngăn ngừa mất dữ liệu nào cần triển khai, ai chịu trách nhiệm cho từng bước khôi phục và thông tin đăng nhập quan trọng được bảo vệ như thế nào. Sự rõ ràng này có thể ngăn sự cố CNTT chuyển thành thời gian ngừng hoạt động kéo dài, doanh thu bị mất hoặc một cuộc khủng hoảng hoạt động rộng lớn hơn.
Gói khôi phục sau sự cố CNTT là gì?
Tính liên tục trong kinh doanh so với khôi phục sau sự cố CNTT
Những gì gói khôi phục sau sự cố CNTT phải bao gồm
Những gì gói khôi phục sau sự cố CNTT cần xác định
Khôi phục thông tin đăng nhập: kịch bản khôi phục sau sự cố bị bỏ qua
Cách kiểm tra gói khôi phục sau sự cố CNTT
Xây dựng khả năng khôi phục xung quanh hệ thống, dữ liệu và quyền truy cập
Gói khôi phục sau sự cố CNTT là gì?
Gói khôi phục sau sự cố CNTT là một quy trình được ghi chép lại để khôi phục các hệ thống công nghệ sau khi bị gián đoạn. Gói này tập trung vào lớp CNTT của doanh nghiệp: dữ liệu, ứng dụng, thiết bị, cơ sở hạ tầng, dịch vụ đám mây, quyền truy cập của quản trị viên, bản sao lưu và những người chịu trách nhiệm khôi phục.
Một gói khôi phục CNTT thực tế nên trả lời các câu hỏi như:
- Hệ thống nào phải được khôi phục trước?
- Doanh nghiệp có thể chấp nhận thời gian ngừng hoạt động là bao lâu?
- Mất dữ liệu bao nhiêu là có thể chấp nhận được?
- Các bản sao lưu được lưu trữ ở đâu?
- Ai có thể khôi phục hệ thống?
- Cần có thông tin đăng nhập của quản trị viên nào?
- Nhóm sẽ xác nhận như thế nào rằng các hệ thống được khôi phục là an toàn và có thể sử dụng được?
- Doanh nghiệp sẽ giao tiếp với nhân viên và khách hàng như thế nào nếu các kênh chính ngừng hoạt động?
Gói khôi phục sau sự cố không chỉ dừng lại ở việc đối phó với các cuộc tấn công mạng: gói này cần bao gồm các sự cố hàng ngày như lỗi phần cứng, mất thông tin đăng nhập và vô tình xóa. Gói này cũng cần bao gồm các gián đoạn dịch vụ bên ngoài như gián đoạn nền tảng đám mây hoặc công cụ SaaS, cấu hình sai và các nhân viên chủ chốt rời đi mà không chuyển giao quyền truy cập quan trọng.
Khôi phục không phải là việc cần thiết kế trong thời gian xảy ra sự cố ngừng hoạt động. Khôi phục cần được lên kế hoạch, xác định người chịu trách nhiệm, truyền đạt và kiểm tra trước khi doanh nghiệp cần phụ thuộc vào việc đó.
Tính liên tục trong kinh doanh so với khôi phục sau sự cố CNTT
Tính liên tục trong kinh doanh và khôi phục sau sự cố CNTT thường được coi là một, nhưng chúng giải quyết các vấn đề khác nhau.
Tính liên tục trong kinh doanh là duy trì hoạt động của công ty trong thời gian bị gián đoạn. Tính liên tục này bao gồm giao tiếp với khách hàng, quy trình làm việc tạm thời, trách nhiệm của nhân viên, điều phối nhà cung cấp và các quyết định về những dịch vụ cần tiếp tục ngay cả khi các hệ thống thông thường không khả dụng.
Khôi phục sau sự cố CNTT tập trung vào công nghệ đằng sau công việc đó. Quy trình này xác định cách hệ thống, dữ liệu, ứng dụng, bản sao lưu và quyền truy cập của quản trị viên sẽ được khôi phục để doanh nghiệp có thể trở lại hoạt động bình thường một cách an toàn.
Ví dụ, hãy xem xét sự cố ngừng hoạt động của CRM. Một gói liên tục trong kinh doanh có thể giải thích cách các nhóm bán hàng hoặc hỗ trợ tiếp tục phục vụ khách hàng khi CRM ngừng hoạt động. Gói khôi phục CNTT giải thích ai sẽ liên hệ với nhà cung cấp, dữ liệu nào cần khôi phục, bản sao lưu hoặc bản xuất nào khả dụng, thông tin đăng nhập nào được yêu cầu và cách nhóm xác nhận hệ thống an toàn để sử dụng lại.
Đối với nhiều doanh nghiệp vừa và nhỏ, khoảng cách này chỉ xuất hiện khi xảy ra sự cố. Mọi người biết ai sẽ liên hệ với khách hàng, nhưng không biết ai có thể khôi phục hệ thống thanh toán. Họ biết các bản sao lưu tồn tại, nhưng không biết liệu việc khôi phục đã từng được thử nghiệm chưa. Họ biết một nhân viên thường phụ trách CNTT, nhưng không biết điều gì sẽ xảy ra nếu người đó không khả dụng hoặc mật khẩu quản trị viên được lưu trữ ở đâu nếu không thể liên lạc với người đó.
Những gì gói khôi phục sau sự cố CNTT phải bao gồm
Một gói khôi phục sau sự cố CNTT mạnh mẽ không nhất thiết phải quá dài, nhưng cần phải đủ cụ thể để vận hành trong tình huống căng thẳng.
Mục tiêu thời gian khôi phục
Mục tiêu thời gian khôi phục, hay RTO, xác định mức độ nhanh chóng cần khôi phục hệ thống. Hệ thống thanh toán có thể cần hoạt động trở lại trong vòng vài giờ, trong khi bảng điều khiển báo cáo nội bộ có thể chấp nhận thời gian ngừng hoạt động lâu hơn.
Thiết lập RTO theo tác động kinh doanh, không phải theo tùy chọn kỹ thuật, vì chi phí ngừng hoạt động vừa là vấn đề kinh doanh vừa là vấn đề kỹ thuật. Hãy đặt câu hỏi hệ thống nào ảnh hưởng đến doanh thu, cam kết với khách hàng, nghĩa vụ pháp lý, bảo mật và năng suất của nhân viên.
Mục tiêu điểm khôi phục
Mục tiêu điểm khôi phục, hay RPO, xác định lượng dữ liệu bị mất ở mức chấp nhận được, từ đó giúp thiết lập các chiến lược ngăn ngừa mất dữ liệu (DLP) phù hợp. Nếu một hệ thống có RPO là một giờ, các bản sao lưu hoặc việc sao chép cần hỗ trợ khôi phục đến khoảng thời điểm đó.
Nếu RPO là một ngày, doanh nghiệp đang chấp nhận một khoảng cách lớn hơn. RPO cũng giúp xác định tần suất sao lưu, bởi vì RPO càng ngắn thì tần suất sao lưu càng cần phải thường xuyên hơn. Do đó, các hệ thống quan trọng cần được sao lưu thường xuyên hơn các hệ thống có mức độ ưu tiên thấp.
Các nhóm ưu tiên hệ thống
Không phải hệ thống nào cũng được khôi phục cùng một lúc. Gói khôi phục sau sự cố của doanh nghiệp nhỏ nên chia các hệ thống thành các nhóm ưu tiên.
- Nhóm 1: Các hệ thống cần thiết cho hoạt động cốt lõi, bảo mật, truyền thông hoặc doanh thu.
- Nhóm 2: Các hệ thống quan trọng có thể chấp nhận thời gian ngừng hoạt động ngắn.
- Nhóm 3: Các hệ thống có mức độ ưu tiên thấp hơn có thể được khôi phục sau khi doanh nghiệp đã ổn định.
Các hệ thống nhóm 1 điển hình có thể bao gồm email, nhà cung cấp danh tính, trình quản lý mật khẩu, hệ thống tài chính, cơ sở dữ liệu khách hàng, lưu trữ đám mây và các nền tảng truyền thông.
Chiến lược sao lưu
Chiến lược sao lưu cần xác định:
- Những gì được sao lưu và tần suất sao lưu
- Nơi lưu trữ các bản sao lưu
- Ai có thể truy cập chúng
- Cách kiểm tra việc khôi phục
NCSC cũng đã công bố(cửa sổ mới) các nguyên tắc sao lưu chống ransomware cho các giải pháp sao lưu trên đám mây và tại chỗ, lưu ý rằng dữ liệu được sao lưu không có khả năng chống ransomware theo mặc định và cần được đánh giá trước mối đe dọa từ ransomware.
Một chiến lược sao lưu mạnh mẽ thường bao gồm các bản sao lưu ngoại tuyến hoặc bất biến cho dữ liệu quan trọng, thử nghiệm thường xuyên, các bước khôi phục được ghi chép lại và thông tin đăng nhập riêng biệt để quản trị sao lưu.
Vai trò và trách nhiệm
Gói khôi phục sau sự cố nên chỉ định rõ người chịu trách nhiệm, không chỉ là các nhiệm vụ. Nếu chỉ một người nắm giữ toàn bộ kiến thức khôi phục, doanh nghiệp sẽ gặp phải rủi ro về con người cũng như rủi ro về CNTT. Hãy xác định ai:
- Dẫn dắt quá trình khôi phục
- Khôi phục hệ thống
- Liên hệ với nhà cung cấp
- Phê duyệt quyền truy cập khẩn cấp
- Giao tiếp nội bộ
- Ghi chép lại các quyết định
Những gì gói khôi phục sau sự cố CNTT cần xác định
| Thành phần | Câu hỏi cần trả lời |
| RTO | Mỗi hệ thống cần được khôi phục nhanh như thế nào? |
| RPO | Doanh nghiệp có thể chấp nhận mất bao nhiêu dữ liệu? |
| Các nhóm ưu tiên | Hệ thống nào cần được khôi phục trước, và hệ thống nào có thể chờ? |
| Chiến lược sao lưu | Những gì được sao lưu, được lưu trữ ở đâu và việc khôi phục đã được thử nghiệm chưa? |
| Vai trò và trách nhiệm | Ai dẫn dắt quá trình khôi phục, khôi phục hệ thống, liên hệ với nhà cung cấp và phê duyệt các thay đổi khẩn cấp? |
Khôi phục thông tin đăng nhập: kịch bản khôi phục sau sự cố bị bỏ qua
Khôi phục sau sự cố thường tập trung vào dữ liệu, máy chủ và các bản sao lưu. Nhưng trên thực tế, quá trình khôi phục có thể thất bại vì nhóm không thể truy cập các hệ thống cần thiết để khôi phục hoạt động.
Khôi phục thông tin đăng nhập đặt ra câu hỏi:
- Ai có quyền truy cập vào các tài khoản quản trị viên?
- Thông tin đăng nhập sao lưu được lưu trữ ở đâu?
- Những tài khoản nào có thể khôi phục các hệ thống quan trọng?
- Điều gì sẽ xảy ra nếu mật khẩu bị mất, bị xâm phạm hoặc do một người không khả dụng nắm giữ?
- Thông tin đăng nhập khẩn cấp có được bảo vệ và xem xét không?
- Quyền truy cập có thể được thu hồi và gán lại nhanh chóng không?
Nếu thông tin đăng nhập sao lưu được lưu trữ trong trình duyệt của một nhân viên, mã khôi phục được lưu giữ trong một ghi chú riêng tư hoặc mật khẩu quản trị viên được chia sẻ truyền qua trò chuyện, doanh nghiệp có thể không thể khôi phục hoàn toàn khi xảy ra sự cố.
A Trình quản lý mật khẩu doanh nghiệp giúp giảm thiểu rủi ro đó bằng cách tập trung thông tin đăng nhập quan trọng trong các kho đã mã hóa, phân quyền truy cập theo vai trò và giúp thu hồi hoặc chỉ định lại quyền truy cập dễ dàng hơn khi ai đó rời đi hoặc trách nhiệm thay đổi. Proton Pass for Business giúp các nhóm tạo mật khẩu mạnh, lưu trữ thông tin đăng nhập một cách an toàn, sử dụng tính năng chia sẻ an toàn và giữ cho quyền truy cập nhạy cảm không nằm trong các cuộc trò chuyện và bảng tính.
Là một trình quản lý mật khẩu cho các nhóm CNTT, Proton Pass hỗ trợ quản lý thông tin đăng nhập tập trung, các chính sách mật khẩu, chia sẻ an toàn, báo cáo và nhật ký, cấp phép SCIM và tích hợp SSO. Điều đó giúp việc khôi phục thông tin đăng nhập trở nên dễ quản lý hơn vì quyền truy cập vào các hệ thống quan trọng không phụ thuộc vào một người, một hồ sơ trình duyệt hoặc một mật khẩu không được ghi chép lại.
Mẫu gói khôi phục sau sự cố
Gói khôi phục sau sự cố hoạt động hiệu quả nhất khi được xây dựng đủ cụ thể để hướng dẫn hành động trong thời gian xảy ra sự cố ngừng hoạt động, nhưng đủ đơn giản để nhóm sử dụng dưới áp lực. Đối với các doanh nghiệp vừa và nhỏ, mẫu này nên tập trung vào những điều thiết yếu: những gì cần được khôi phục, trong bao lâu, từ bản sao lưu nào, bởi ai và bằng thông tin đăng nhập nào.
1. Phạm vi
Xác định hệ thống, dịch vụ, vị trí, thiết bị và dữ liệu nào mà gói này bao gồm.
Bản sao mẫu: Gói khôi phục sau sự cố CNTT này bao gồm các hệ thống, dữ liệu, dịch vụ, thông tin đăng nhập và nhà cung cấp cần thiết để khôi phục các hoạt động quan trọng của [Company Name] sau khi bị gián đoạn công nghệ.
2. Kiểm kê các hệ thống quan trọng
Liệt kê các hệ thống mà doanh nghiệp dựa vào và chỉ định các nhóm ưu tiên.
Bản sao mẫu: Các hệ thống quan trọng sẽ được phân nhóm thành Nhóm 1, Nhóm 2 và Nhóm 3 dựa trên tác động kinh doanh, mục tiêu thời gian khôi phục, mục tiêu điểm khôi phục và mức độ phụ thuộc vào các hệ thống khác.
3. Các mục tiêu khôi phục
Xác định RTO và RPO cho từng hệ thống ưu tiên.
Bản sao mẫu: Mỗi hệ thống phải có mục tiêu thời gian khôi phục và mục tiêu điểm khôi phục được ghi chép lại. Các mục tiêu này nên được xem xét ít nhất hàng năm và sau khi có những thay đổi lớn về hệ thống.
4. Quy trình sao lưu và khôi phục
Ghi chép lại nơi lưu trữ các bản sao lưu, tần suất hoạt động, ai có thể truy cập chúng và cách hoạt động của việc kiểm tra khôi phục.
Bản sao mẫu: Các bản sao lưu phải được bảo vệ khỏi quyền truy cập trái phép, được lưu trữ riêng biệt với các hệ thống chính nếu phù hợp và được kiểm tra theo lịch trình thường xuyên. Quy trình khôi phục phải được ghi chép lại cho các hệ thống Nhóm 1.
5. Khôi phục thông tin đăng nhập và truy cập
Xác định nơi lưu trữ thông tin đăng nhập quan trọng và ai có thể truy cập chúng trong quá trình khôi phục.
Bản sao mẫu: Thông tin đăng nhập của quản trị viên, thông tin đăng nhập sao lưu, mã khôi phục và quyền truy cập của nhà cung cấp cần thiết để khôi phục sau sự cố phải được lưu trữ trong một kho đã mã hóa được phê duyệt. Quyền truy cập phải được giới hạn ở các vai trò được ủy quyền và được xem xét sau khi thay đổi vai trò, nghỉ việc và các bài tập khôi phục.
6. Các vai trò và báo cáo leo thang
Xác định những người phụ trách khôi phục, người thay thế và các đường dẫn báo cáo leo thang.
Bản sao mẫu: Mỗi vai trò khôi phục phải có một người phụ trách chính và một người phụ trách sao lưu. Gói khôi phục phải xác định rõ ai là người dẫn dắt quá trình khôi phục, ai khôi phục hệ thống, ai liên hệ với nhà cung cấp, ai truyền đạt các cập nhật và ai phê duyệt các thay đổi khẩn cấp.
7. Gói truyền thông
Xác định cách doanh nghiệp giao tiếp nội bộ và bên ngoài trong thời gian xảy ra sự cố ngừng hoạt động CNTT.
Bản sao mẫu: Trong một sự kiện khôi phục, các cập nhật nội bộ sẽ được chia sẻ thông qua [kênh được phê duyệt]. Thông tin liên lạc bên ngoài với khách hàng, nhà cung cấp, nhà bảo hiểm hoặc cơ quan quản lý phải được phê duyệt bởi [vai trò/nhóm].
8. Tần suất kiểm tra và xem xét
Xác định tần suất gói được kiểm tra và cập nhật.
Bản sao mẫu: Gói khôi phục sau sự cố này sẽ được kiểm tra ít nhất [hàng năm/hai lần một năm] và được xem xét sau các sự cố lớn, thay đổi hệ thống, thay đổi nhà cung cấp hoặc các bài tập khôi phục không thành công.
Cách kiểm tra gói khôi phục sau sự cố CNTT
Một gói khôi phục sau sự cố chỉ thực sự hữu ích khi được kiểm tra trong các điều kiện giống như sự cố gián đoạn thực tế. Một bản sao lưu tồn tại nhưng chưa từng được khôi phục vẫn chỉ là một giả định. Một vai trò khôi phục mà chỉ có một người hiểu vẫn là một sự phụ thuộc. Một thông tin đăng nhập quản trị viên mà không ai có thể tìm thấy trong thời gian xảy ra sự cố ngừng hoạt động vẫn là một trở ngại.
Ban đầu việc kiểm tra không cần phải phức tạp. Đối với hầu hết các doanh nghiệp vừa và nhỏ, mục tiêu là chứng minh rằng doanh nghiệp có thể khôi phục đúng hệ thống, với đúng người, sử dụng đúng thông tin đăng nhập, trong một khoảng thời gian thực tế.
1. Bài tập giả định tình huống
Chọn một kịch bản có khả năng xảy ra, chẳng hạn như ransomware ảnh hưởng đến các tệp được chia sẻ, sự cố ngừng hoạt động lưu trữ đám mây, vô tình xóa dữ liệu khách hàng hoặc đột ngột mất quyền truy cập vào tài khoản quản trị viên. Hãy duyệt qua những gì nhóm sẽ làm trong giờ đầu tiên, ai sẽ dẫn dắt, nhà cung cấp nào sẽ được liên hệ, hệ thống nào sẽ được ưu tiên và thông tin nào sẽ bị thiếu.
2. Kiểm tra khôi phục
Chọn tệp, cơ sở dữ liệu, hộp thư hoặc bản xuất hệ thống quan trọng và xác nhận rằng có thể khôi phục về trạng thái có thể sử dụng được. Kiểm tra xem dữ liệu được khôi phục có đủ gần đây không, các quyền có còn hoạt động hay không, và nhóm có biết nơi lưu trữ bản sao lưu hay không.
3. Kiểm tra thường xuyên
Như một tiêu chuẩn thực tế, các doanh nghiệp vừa và nhỏ nên kiểm tra gói ít nhất một lần một năm, phù hợp với hướng dẫn của NIST trong Ấn phẩm đặc biệt 800-34 Bản sửa đổi 1(cửa sổ mới), và thường xuyên hơn sau các thay đổi lớn về hệ thống hoặc nhà cung cấp.
4. Kiểm tra khôi phục thông tin đăng nhập
Xác nhận rằng những người được ủy quyền có thể truy cập các tài khoản quản trị viên sao lưu, tài khoản quản trị viên đám mây, cổng thông tin nhà cung cấp, mã khôi phục và thông tin đăng nhập khẩn cấp mà không cần phụ thuộc vào trình duyệt, ghi chú riêng tư hoặc trí nhớ của một nhân viên. Mục tiêu không phải là để lộ các mật khẩu nhạy cảm một cách không cần thiết. Mục tiêu là để xác nhận rằng mô hình truy cập vẫn hoạt động khi doanh nghiệp chịu áp lực.
Sau mỗi lần kiểm tra, hãy ghi lại những gì không thành công, những gì mất quá nhiều thời gian và chỉ định một người cụ thể cùng thời hạn cho mỗi lần khắc phục. Một bài kiểm tra tốt không phải là bài kiểm tra mà mọi thứ đều diễn ra hoàn hảo. Đó là bài kiểm tra bộc lộ các khoảng trống trong khi doanh nghiệp vẫn còn thời gian để khắc phục chúng.
Xây dựng khả năng khôi phục xung quanh hệ thống, dữ liệu và quyền truy cập
Một gói khôi phục sau sự cố CNTT hữu ích mang lại cho doanh nghiệp một thứ tự khôi phục, một nhóm người chịu trách nhiệm, một góc nhìn thực tế về thời gian ngừng hoạt động có thể chấp nhận được, và một cách để duy trì tính liên tục trong kinh doanh cũng như lấy lại quyền truy cập vào các hệ thống giúp công việc tiếp diễn.
Đối với các doanh nghiệp vừa và nhỏ, điều này có thể tạo ra sự khác biệt giữa gián đoạn ngắn và ngừng hoạt động kéo dài. Nếu email, phần mềm tài chính, lưu trữ đám mây, hệ thống khách hàng hoặc tài khoản quản trị viên không khả dụng, nhóm cần biết hệ thống nào cần ưu tiên trước, ai có thể hành động và thông tin đăng nhập nào được yêu cầu để khôi phục quyền truy cập một cách an toàn.
Đây là lý do tại sao việc lập kế hoạch khôi phục nên bao gồm cả hệ thống, dữ liệu và quyền truy cập cùng nhau. Các bản sao lưu có thể khôi phục các tệp, nhưng thông tin đăng nhập mới là thứ giúp nhóm giành lại quyền kiểm soát các hệ thống cần thiết để khôi phục. Thông tin đăng nhập quản trị viên, cổng thông tin nhà cung cấp, tài khoản sao lưu, mã khôi phục và thông tin đăng nhập hoạt động được chia sẻ đều cần được bảo vệ, sắp xếp và sẵn sàng cho đúng người khi xảy ra sự cố.
A Trình quản lý mật khẩu doanh nghiệp giúp củng cố phần đó của gói. Với thông tin đăng nhập quan trọng được lưu trữ trong các kho mật khẩu đã mã hóa và chỉ chia sẻ với những người được ủy quyền, doanh nghiệp ít bị phụ thuộc hơn vào trình duyệt, ghi chú riêng tư hoặc trí nhớ của một nhân viên trong một sự kiện khôi phục.
