2+8+9+10

2. Những vấn đề cơ bản về lập kế họach dự phòng

2.1. Các thành phần của lập kế họach dự phòng
- Lập kế họach dự phòng (Contingent planning-CP) là qui trình lập kế họach toàn diện
ứng phó các sự cố bất lợi
- Mục tiêu chính: khôi phục các phương thức hoạt động bình thường với chi phí và
thời gian gián đoạn hoạt động kinh doanh tối thiểu nhất.
- Gồm 4 thành phần
 Phân tích ảnh hưởng kinh doanh (Business impact analysis) BIA
 Lập kế họach phản ứng sự cố (incident response planning) IR plan
 Lập kế họach phục hồi sau thảm họa (disaster recovery planning )
 Lập kế họach đảm bảo hoạt động liên tục (Business continuity planning)
- 2 hình thức tổ chức tùy thuộc vào quy mô, triết lí kinh doanh
 Tạo và phát triển bốn thành phần CP như một kế họach thống nhất
 Tạo bốn phần riêng biệt trong sự kết nối với một tập hợp các quy trình lồng vào
nhau đảm bảo hoạt động liên tục
2.2. Tiếp cận lập kế họach dự phòng của NIST
- Bắt đầu qui trình: : Lập một Đội Quản Lý Lập kế họach Dự Phòng
- Có 7 bước
1. Phát triển chính sách CP
2. Thực hiện BIA
3. Xác định kiểm soát ngăn ngừa
4. Tạo chiến lược dự phòng (hệ thống/cơ sở hạ tầng)
5. Phát triển kế họach dự phòng
6. Đảm bảo kế họach: Thực hiện kiểm tra, huấn luyện và thực hành
7. Đảm bảo duy trì kế họach: Cập nhật thường xuyên
2.3. Quy trình CP tổng thể tích hợp các qui trình của BIA, IRP và DRP
- Dựa trên 7 bước đề xuất của NIST, Quy trình CP tổng thể tích hợp mở rộng thành 12
bước:
1. Hình thành Đội quản lý lập kế họach dự phòng
2. Xây dựng tuyên bố chính sách lập kế họach dự phòng
3. Tiến hành phân tích tác động kinh doanh
4.Hình thành các nhóm lập kế họach ở cấp dướ
5. Phát triển chính sách lập kế họach ở cấp dưới
6. Tích hợp phân tích tác động kinh doanh
7.Xác định các kiểm soát ngăn ngừa.
8. Tổ chức các đội phản ứng cấp dưới
9. Tạo chiến lược dự phòng
10. Xây dựng kế họach dự phòng ở cấp dưới
11. Đảm bảo kế họach kiểm tra, huấn luyện và tập luyện
12. Đảm bảo duy trì kế họach

2.4. Nhân sự liên quan lập kế hoạch dự phòng

- Đội quản lý lập kế họach dự phòng – CPMT: là một nhóm gồm quản lý cấp cao và
các thành viên đội dự án để thực hiện và dẫn dắt tất cả các hoạt động liên quan lập kế
họach dự phòng:
 Quản lý cấp điều hành
 Đại diện các bộ phận kinh doanh chính có liên quan
 Quản lý ở mỗi nhóm có ảnh hưởng tới ATTT (nhóm quản lý chung, quản lý
IT, quản lý InforSe)
- Các vị trí chủ chốt của CPMT
+ Hỗ trợ (COO hoặc CEO): Kết nối với tầm nhìn chiến lược và hỗ trợ nguồn lực khác
+ Quản lý dự án (CISO/quản lý cấp trung): Đảm bảo sử dụng nguồn lực của dự án,
hoàn thành dự án
+ Thành viên Đội dự án
• Đại diện quản lý của 3 nhóm (quản lý KD chung, quản lý IT và InforrSec)
• Đại diện pháp lý: Đảm bảo tính pháp lý của việc lập và thực hiện kế họach CP
• Đại diện truyền thông: Đảm bảo truyền thông trong quản lý khủng hoảng
• Đại diện đội lập kế họach cấp dưới
8. Quản lý khủng hoảng
- Là các hành động được thực hiện trong và sau thảm họa khi có nguy cơ liên quan tới
tính mạng con người (bị thương hoặc thiệt mạng) hoặc hình ảnh của tổ chức
- Tập trung đầu tiên và quan trọng vào con người
- Cần xây dựng chính sách và kế họach quản lý khủng hoảng tương tự mô hình chính
sách, và kế họach phục hồi sau thảm họa.
 Nhân sự
- Đội lập kế họach quản lý khủng hoảng: bao gồm những người từ tất cả các vùng
chức năng của tổ chức
- Đội ứng phó quản lý khủng hoảng: do CMPT thành lập
 Các đội ứng phó phục hồi sau thảm họa: làm việc chặt chẽ với Đội ứng phó
quản lý khủng hoảng để đảm bảo truyền thông đầy đủ và kịp thời trong thảm
họa
 Đội quản lý khủng hoảng: chịu trách nhiệm quản lý sự kiện từ góc độ của tổ
chức
o Hỗ trợ nhân sự
o Thông báo cho công chúng về sự kiện và thực hiện đảm bảo sự phục hồi của
nhân sự và tổ chức
o Truyền thông với các khách hàng và các bên liên quan
 o Thiết lập sớm một cơ sở hoạt động hoặc trung tâm chỉ huy gần nơi xảy ra thảm
họa
9. Mối quan hệ giữa các thành phần của lập kế họach dự phòng

10. Thử nghiệm kế họach dự phòng

- Rất ít kế họach có thể thực hiện được như đã dự định -> Cần kiểm tra để xác định
các lỗ hổng, lỗi và các quy trình không hiệu quả.
- Các kế họach dự phòng cần được kiểm tra thử nghiệm và cập nhật định kỳ để cải
tiến kế họach dự phòng
- Có 4 chiến lược thử nghiệm kế hoạch dự phòng:
• Kiểm tra tại bàn: được kiểm tra tại bàn bởi tất cả các thành viên có vai trò và
nhiệm vụ liên quan trong quản lý sự cố, thảm họa
• Kiểm tra theo cấu trúc: Kiểm tra (thảo luận) theo từng bước thực hiện của mỗi
sự kiện được lập kế họach
• Mô phỏng: Thực hành theo từng vai trò như thể sự cố, thảm họa xảy ra
• Gián đoạn hoàn toàn: Diễn tập trong điều kiện ngắt tất cả mọi dịch vụ như thể
sự cố, thảm họa thực sự, diễn ra sau giờ làm việc.