《保险业信息系统灾难恢复管理指引》

《保险业信息系统灾难恢复管理指引》各保险公司、保险资产管理公司：为加强保险信息安全基础设施建设，推进信息系统灾难恢复工作，根据《中华人民共和国保险法》和国家有关信息安全法律法规，我会制订了《保险业信息系统灾难恢复管理指引》，现印发给你们，请遵照执行。二○○八年三月二十一日保险业信息系统灾难恢复管理指引第一章总则第一条为规范并指导我国保险业信息系统灾难恢复工作，提高防范灾难风险的能力，保障持续运营，保护客户和股东的合法权益，根据《中华人民共和国保险法》、国家信息安全法律法规及有关规定，制定本指引。第二条保险业信息系统灾难恢复工作应坚持“统筹规划、资源共享、平战结合、等级灾备”的原则，平衡成本与风险，确保工作的有效性。第三条本指引所称保险机构是指，经中国保险监督管理委员会(以下简称“中国保监会”)批准设立，并依法登记注册的保险公司、保险资产管理公司、外国保险公司分公司及港、澳、台地区保险公司在大陆地区的分公司。第四条本指引所称灾难恢复为信息系统灾难恢复。灾难恢复工作是指，为保障信息系统持续运营，防范灾难风险并减轻灾难造成的损失和不良影响而开展的一系列工作，包括：组织机构设立和职责、灾难恢复需求分析、灾难恢复策略制定、灾难备份系统实施、灾难备份中心的建设与运行维护、灾难恢复预案管理、应急响应和恢复。本指引所称区域性灾难是指，造成所在地区或有紧密联系的邻近地区的交通、电讯、电力及其它关键基础设施受到严重破坏，关键信息网络设备毁损、重大故障或大规模人口疏散的事件，将会导致信息系统无法正常运行。例如：地震、大型公共卫生事件、恐怖袭击、区域性通信网故障、区域性电网故障、机房内关键设备毁损等。本指引所称同城灾备是指，生产中心与灾难备份中心处于同一地理区域，面临同一区域性灾难风险，能够抵御小范围区域内的灾难，例如小面积停电、火灾、设备故障等，距离通常在数十公里左右。本指引所称异地灾备是指，生产中心与灾难备份中心处于不同地理区域，一般不会同时面临同一区域性灾难风险，能够抵御较大范围区域内的灾难，例如大面积停电、地震、战争等，距离通常在数百公里以上。本指引所称自建是指，自行出资建设和拥有灾难备份中心，为自身提供灾难恢复服务。本指引所称共建是指，多个机构共同出资建设和拥有灾难备份中心，为参与单位提供灾难恢复服务。本指引所称外包是指，选择外部资源来承担或协助完成信息系统灾难恢复的规划、实施、运营维护，以及应急响应和恢复工作。第五条中国保监会负责对保险业信息系统灾难恢复工作实施监督和管理。第六条《信息安全技术信息系统灾难恢复规范》(GB/T20988-2007)中的条款通过本指引的引用而成为本指引的条款。第二章总体工作要求第七条保险机构应统筹规划信息系统灾难恢复工作，自本指引生效起五年内至少达到本指引规定的最低灾难恢复能力等级要求。保险机构新建信息系统时，应同步规划和实施灾难备份系统建设。本指引生效后新成立的保险机构应在成立五年内达到本指引规定的最低灾难恢复能力等级要求。第八条保险机构应持续开展灾难恢复工作，以保障灾难恢复策略、灾难备份系统和灾难恢复预案的适用性。灾难恢复的需求应定期进行再分析。灾难恢复需求再分析周期最长为三年。当信息系统及相关业务流程发生重大变更时，应立即启动灾难恢复需求的再分析，并根据最新的灾难恢复需求分析重审和修订灾难恢复策略。保险机构应根据灾难恢复策略定期复审和调整灾难恢复技术方案、灾难恢复预案，并定期开展灾难恢复预案培训和演练工作。第九条保险机构应加强与其业务密切相关的机构间的协调，共同评估面临的风险，协同制定灾难恢复策略，提高整体风险防范和灾难恢复能力。第三章组织机构第十条保险机构法定代表人或主要负责人是灾难恢复工作的责任人。保险机构董事会或最高决策层应参与制定和审核灾难恢复策略，保证灾难恢复策略与经营目标的一致性。第十一条灾难恢复的组织机构由保险机构的管理、业务、技术、财务和行政后勤等相关人员组成。保险机构应设立灾难恢复管理委员会，统一负责灾难恢复的规划、实施、运营维护、应急响应和恢复的管理和决策工作。保险机构应设立或依托现有部门设立灾难恢复工作办公室作为灾难恢复管理委员会的常设办公机构，负责处理灾难恢复工作的具体事务。第十二条保险机构灾难恢复组织机构在灾难恢复规划、实施和运营维护阶段的主要职责：(一)灾难恢复需求分析和策略制订；(二)资源准备和经费审批；(三)灾难备份中心的选择和建设；(四)灾难备份中心的日常运行和维护；(五)灾难恢复预案的制订、维护和演练；(六)人员的教育和培训；(七)监督检查和审计。保险机构灾难恢复组织机构在应急响应和恢复阶段的主要职责：(一)应急响应和预警报告；(二)事件通报和沟通；(三)损害评估、抢修拯救和敏感数据保护；(四)灾难恢复工作的重大决策；(五)生产中心的恢复、重建和回退；(六)业务恢复和客户服务；(七)资源保障和供应；(八)媒体公关和信息通报；(九)恢复成效评估和总结。第十三条从事灾难恢复的专业工作人员应符合以下要求：(一)具备良好的职业道德和风险意识，掌握履行灾难恢复相关岗位职责所需的专业知识和技能；(二)未经岗前培训或培训不合格者不得上岗；经考核不适宜的工作人员，应及时进行调整。第四章需求分析和策略制定第十四条灾难恢复需求分析包括风险分析和业务影响分析。保险机构的风险分析和业务影响分析应符合以下要求：(一)应全面分析、识别可能影响信息系统正常运行的灾难风险以及来自内部和外部的威胁。根据风险发生的概率和可能造成的损失，评估风险可接受的程度，针对不可接受的风险，制定相应的风险防范措施；(二)应根据信息系统支持的业务区域范围，分析信息系统面临的灾难风险。应充分考虑残余风险导致的灾难事件发生在最不利的时间和地点，以及影响范围的广泛性；(三)应根据业务经营范围确定关键业务功能。关键业务功能包括但不限于承保、理赔、投资和财务管理等。采用定量和/或定性的方法分析关键业务功能的经济和非经济损失。第十五条保险机构应根据风险分析和业务影响分析的结果，确定信息系统的灾难恢复目标，包括：(一)信息系统的灾难恢复范围；(二)信息系统的灾难恢复顺序；(三)信息系统的灾难恢复能力等级。第十六条保险机构应加强重要数据的备份和传输安全管理，保证数据的完整性。重要数据应异地备份，防范区域性灾难风险。重要数据包括但不限于：客户数据、承保数据、赔付数据、资金运用数据、财务数据及相关日志等。第十七条保险机构应根据风险分析和业务影响分析的结论，将直接或间接支持关键业务功能的信息系统分成三种类别：第一类：信息系统短时间中断会造成重大社会影响；或影响保险机构关键业务功能，并造成重大经济损失。第二类：信息系统短时间中断会造成较大社会影响；或影响保险机构部分关键业务功能，并造成较大经济损失。第三类：信息系统间接支持关键业务功能；或保险机构对系统中断具有一定容忍度的系统。第十八条信息系统的最低灾难恢复能力等级要求：(一)第一类1、第4级电子传输及完整设备支持2、RTO=36小时，RPO=8小时(二)第二类1、第3级电子传输和部分设备支持2、RTO=72小时，RPO=24小时(三)第三类1、第2级备用场地支持2、RTO=7天，RPO=36小时第十九条保险机构应制定统一的灾难恢复策略。灾难恢复策略包括灾难恢复建设计划、灾难恢复资源要素的具体要求和灾难恢复建设模式。保险机构应根据各信息系统的灾难恢复目标，确定灾难恢复所需的七个方面的资源要素：(一)数据备份系统；(二)备用数据处理系统；(三)备用网络系统；(四)备用基础设施；(五)专业技术支持能力；(六)运行维护管理能力；(七)灾难恢复预案。第二十条保险机构应编写风险分析报告、业务影响分析报告、灾难恢复策略报告。灾难恢复策略经决策层审查和批准后，按本指引要求备案。第五章灾难备份中心的建设与运行维护第二十一条保险机构的灾难备份中心应设置在中华人民共和国境内(不包括港、澳、台地区)。保险机构应根据风险分析的结果，确定同城和/或异地灾备建设方案。灾难备份中心应具备接替运行后持续运作至生产中心正常运转的能力。第二十二条灾难备份中心的基础设施应符合以下要求：(一)根据信息系统和数据分布特点，选择或建设专业的灾难备份中心；(二)灾难备份中心与生产中心之间距离合理，应避免灾难备份中心与生产中心同时遭受一定的同类风险；(三)灾难备份中心应便于灾难恢复工作的开展，考虑灾难恢复所需的数据、人员等资源可及时到达；(四)灾难备份中心应具有业务恢复座席等灾难恢复工作所需的辅助设施，灾难备份中心或其周边应具备所需生活设施；(五)灾难备份中心机房环境至少应达到《GB/T9361-88计算站场地安全要求》B类机房标准，并通过当地消防部门验收；(六)灾难备份中心应具有两种或两种以上的电力供应或接入方式，只有一种电力供应或接入方式的必须配备能够维持灾难备份中心持续稳定运行的供电设备；(七)灾难备份中心与生产中心应保持两种以上的网络通讯接入线路服务。(八)灾难备份中心机房应具备门禁系统、监视系统和报警系统。第二十三条灾难备份系统的建设应符合以下要求：(一)根据灾难恢复策略制定灾难备份系统技术方案，建立数据备份系统、备用数据处理系统和备用网络系统等。技术方案中所涉及的系统应获得同信息系统相当的安全保护，具有可扩展性；(二)应确保技术方案满足灾难恢复策略的要求，组织开展灾难恢复技术方案和业务功能恢复的测试，并记录和保存测试结果，以保证灾难恢复时最终用户能正常使用灾难备份系统；(三)应充分考虑到灾难备份中心接替生产中心运行后，灾难备份系统的处理能力、存储容量、网络带宽能否满足业务运作要求；(四)应根据灾难恢复策略的要求，建立灾难备份系统的技术支持体系。第二十四条灾难备份中心的运行维护应符合以下要求：(一)建立完善的灾难备份中心运行维护管理制度和流程，包括：灾难备份的流程和管理制度，灾难备份中心机房的管理制度，硬件系统、系统软件和应用软件的运行管理制度，灾难备份中心信息安全管理制度，灾难备份系统的变更管理流程，灾难恢复预案以及相关技术手册的保管、分发、更新和备案制度等；(二)灾难备份中心专业运行维护队伍包括基础设施和灾难备份系统运行维护和技术支持人员，保障设备和系统正常稳定运行；(三)定期检测维护灾难恢复设施，保持备份数据的一致性、可用性和完整性，保障数据备份系统、备用数据处理系统、备用网络系统在灾难恢复和运行阶段的正常运作，保障能提供切换和运行时的技术支持；(四)支持关键业务功能恢复的灾难备份中心应实行7×24小时监控。记录灾难备份系统运行过程中输出的相应记录表单与统计信息；记录机房环境、系统运行和网络状态等监控信息。第六章资源和专业服务的获取和保障第二十五条灾难恢复建设可以采用自建、共建和外包等模式，并按有关要求向中国保监会备案。第二十六条保险机构在进行灾难恢复外包时，应根据灾难恢复策略确定外包服务范围，认真分析和评估外包存在的风险，制定相关的风险管控措施。应与外包服务商签署服务水平协议，并定期验证灾难恢复服务商的服务水平和能力，加强外包系统的安全和保密管理。中国保监会采纳国家认可的有关测评机构对灾难恢复服务商的评估结果。涉密信息系统的灾难恢复工作应符合国家有关保密规定。灾难恢复外包服务商应至少符合以下要求，国家另有规定的应从其规定：(一)在中华人民共和国境内注册的法人机构；(二)具备三年以上灾难恢复外包服务经验，服务的灾难恢复外包客户不少于三家；(三)具备完整的服务质量保证体系和信息安全管理体系，通过相关权威认证；(四)基础设施应达到本指引的要求，灾难恢复能力等级应在四级以上；(五)中国保监会规定的其他要求。第二十七条采用共建模式的灾难恢复建设应至少满足各参与单位的最低灾难恢复能力等级要求，并明确权责，签订相关的合同或协议。第七章灾难恢复预案的管理第二十八条保险机构应制订灾难恢复预案，预案应包含：灾难恢复组织机构各工作岗位的职责、灾难恢复的整个过程以及灾难恢复所需的资料和配套资源等。预案的结构、内容和步骤清晰明确，适合在紧急情况下使用。保险机构应加强灾难恢复预案与其它应急预案体系的有机结合。第二十九条保