等级保护2.0对数据备份和恢复的要求总结
目前网络安全等级保护2.0标准,于2019年12月1日全国已正式实施,在新的标准中,对于数据备份和灾难恢复有了新的变化。
下面我们来看一下和老的标准相比,二者的区别:
一级
技术要求:
1.0 |
应能够对重要信息进行备份和恢复。 |
|
2.0 |
应提供重要数据的本地数据备份与恢复功能。 |
管理要求:
1.0 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应规定备份信息的备份方式、备份频度、存储介质、保存期等。 |
|
2.0 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应规定备份信息的备份方式、备份频度、存储介质、保存期等。 |
注:一级基本上没有大的变化,只是技术部分多了本地两个字。要求提供重要数据的本地备份和恢复。
二级
技术要求:
1.0 |
a.应能够对重要信息进行备份和恢复; b.应提供关键网络设备、通信线路和数据处理系统的硬件冗余,保证系统的可用性。 |
|
2.0 |
a.应提供重要数据的本地数据备份与恢复功能; b.应提供异地数据备份功能,利用通信网络能将重要数据定时批量传送至备用场地。 |
管理要求:
1.0 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应规定备份信息的备份方式、备份频度、存储介质、保存期等; c.应根据数据的重要性及其对系统运行的影响,制定数据的备份策略和恢复策略,备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法。 |
|
2.0 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应规定备份信息的备份方式、备份频度、存储介质、保存期等。 c.应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略、备份程序和恢复程序等。 |
在二级中的技术部分,去掉了对业务系统的高可用要求,将该要求移到三级部分,增加了异地备份的要求,要求定时批量将数据传送到异地保存。
三级
技术要求:
1.0 |
a.应提供本地数据备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放; b.应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地; c.应采用冗余技术设计网络拓扑结构,避免关键节点存在单点故障; d.应提供主要网络设备、通信线路和数据处理系统的硬件冗余,保证系统的高可用性。 |
|
2.0 |
a.应提供重要数据的本地数据备份与恢复功能; b.应提供异地实时备份功能,利用通信网络能将重要数据 实时备份至备份场地; c.应提供重要数据处理系统的热冗余,保证系统的高可用性。 |
管理要求:
1.0 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应建立备份与恢复管理相关的安全管理制度,对备份信息的备份方式、备份频度、存储介质和保存期等进行规范; c.应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略,备份策略须指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法; d.应建立控制数据备份和恢复过程的程序,对备份过程进行记录,所有文件和记录应妥善保存; e.应定期执行恢复程序,检查和测试备份介质的有效性,确保可以在恢复程序规定的时间内完成备份的恢复。 |
|
2.0 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应规定备份信息的备份方式、备份频度、存储介质、保存期等; c.应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略、备份程序和恢复程序等。 |
三级中,技术部分中取消了对网络架构和通信链路的冗余要求。对异地备份的要求改为了实时。对管理部分的要求中对于备份恢复策略、备份恢复程和恢复演练的要求都去掉了,统一为制定相应的策略和过程,这些都是恢复策略中的一部分。
四级
技术要求:
1.0 |
a.应提供数据本地备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放; b.应建立异地灾难备份中心,配备灾难恢复所需的通信线路、网络设备和数据处理设备,提供业务应用的实时无缝切换; c.应提供异地实时备份功能,利用通信网络将数据实时备份至灾难备份中心; d.应采用冗余技术设计网络拓扑结构,避免存在网络单点故障; e.应提供主要网络设备、通信线路和数据处理系统的硬件冗余,保证系统的高可用性。 |
|
2.0 |
a.应提供重要数据的本地数据备份与恢复功能; b.应提供异地实时备份功能,利用通信网络能将重要数据定时批量传送至备用场地; c.应提供重要数据处理系统的热冗余,保证系统的高可用性; d.应建立异地灾备中心,提供业务应用的实时切换。 |
管理要求:
1.0 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应建立备份与恢复管理相关的安全管理制度,对备份信息的备份方式、备份频度、存储介质和保存期等进行规定; c.应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略,备份策略须指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法; d.应建立控制数据备份和恢复过程的程序,记录备份过程,对需要采取加密或数据隐藏处理的备份数据,进行备份和加密操作时要求两名工作人员在场,所有文件和记录应妥善保存; e.应定期执行恢复程序,检查和测试备份介质的有效性,确保可以在恢复程序规定的时间内完成备份的恢复; f.应根据信息系统的备份技术要求,制定相应的灾难恢复计划,并对其进行测试以确保各个恢复规程的正确性和计划整体的有效性,测试内容包括运行系统恢复、人员协调、备用系统性能测试、通信连接等,根据测试结果,对不适用的规定进行修改或更新。 |
|
2.0 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应规定备份信息的备份方式、备份频度、存储介质、保存期等。 c.应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略、备份程序和恢复程序等。 |
四级的技术要求中去掉了关于网络和链路高可用的要求,改为有本地高可用和异地业务容灾系统,对于备份的一些具体要求也去掉了,因为这也属于备份策略中的一部分。所以都归到了管理部分的备份策略中。管理部分具体的备份和恢复策略都去掉了,改为制定恢复策略和程序,即制定灾难恢复计划。
对比
我们把一到四级的技术要求放在一起对比一下(增加部分用加粗标注):
级别 |
要求 |
|
一级 |
本地备份与恢复 |
|
二级 |
本地备份与恢复+异地定时备份 |
|
三级 |
本地备份与恢复+异地数据实时备份+本地业务高可用 |
|
四级 |
本地备份与恢复+异地数据实时备份+本地业务高可用+异地业务高可用 |
一到四级管理要求对比:
级别 |
要求 |
|
一级 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b.应规定备份信息的备份方式、备份频度、存储介质、保存期等。 |
|
二级 |
a.应识别需要定期备份的重要业务信息、系统数据及软件系统等; b. 应规定备份信息的备份方式、备份频度、存储介质、保存期等; c. 应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略、备份程序和恢复程序等。 |
|
三级 |
同二级 |
|
四级 |
同二级 |
总结
总结一下等保中关于数据备份和灾难恢复的几个关键点:
1、本地的备份和恢复是基础,不管几级都要有。
2、级别越高,对数据和业务的连续性要求越高,除了备份之外,还要有数据和业务系统的本地高可用和异地容灾手段。
3、备份的内容包括重要业务信息、系统数据及软件系统。
业务数据是指业务应用程序运行所产生的数据包括:数据库、文档、图像影像等。
系统数据是指操作系统和应用系统在运行时所需要的配置信息,包括:应用程序及配置文件、中间件配置文件、数据库系统备份、操作系统配置信息等
软件系统是指为满足业务需要所运行的软件,包括:操作系统、应用软件等。
4、二到四级的从字面上看管理要求是一样的,都是要求制定灾难恢复计划(包括备份与恢复策略以及备份与恢复程序),但不同级别对于灾难恢复计划的内容是不一样的。