5.1.2.3风险评估值

行业单位应评估生产中心所面临的每一类风险，并得出风险评估值。风险评估值为风险频率和风 险影响力等级的乘积： 团盼庄店一风哈顺

5.1.2.4风险等级

公园标准规范范本风险评估结值根据范！ 行业单位应根据生产中心面此 的最高风险等级开展灾备建设工作。 级评估模板

5.2信息系统业务影响分析

行业单位应开展本单位信息系统业务影响分析工作，采用定量分析和定性分析相结合的方式来评 各信息系统发生灾难之后的损失。灾难损失评估方法参考但不限于以下评估内容： a）定量损失包括但不限于以下方面： 1） 由于业务停止导致资金损失，资金支出； 2） 由于意外中断时间造成的运行费用支出； 3） 由于违反合同条款、法规条款招致的资金损失； 4 由于违反调整所依赖的资源招致的资金损失。 定性损失包括但不限于以下方面： 1 导致消费者、零售户、烟农、企业员工对相关信息系统的使用不便： 2 消费者、零售户、烟农对企业的信任损失； 3 导致企业经营、生产管理的障碍； 4）企业市场份额和竞争优势的损失

5.3信息系统关联分析

明确各信息系统的关联关系及其运行所必需的基础系统。门户、身份认证、域控系统、消息中间件、 全业服务总线等基础系统对于灾备系统切换后正常运行不可或缺，也应将其纳人相应容灾保护范围，并 银据信息系统之间的依赖性关系确定其关键度等级。

5.4信息系统关键度等经

YC/Z5832019

行业单位根据业务影响分析和信息系统关联分析结果，结合行业单位实际情况，确定各信息系统关 键度等级。根据烟草行业特点，将信息系统划分为核心、重要、一般三个关键度等级定义如下： a）核心信息系统：影响面大、业务连续性要求高，系统中断或数据丢失会造成重大经济损失，对行 业或企业经营管理及社会公众服务产生重大影响； b）重要信息系统：影响面较大、业务连续性要求较高，系统中断或数据丢失会造成较大经济损失 对行业或企业经营管理及社会公众服务产生较大影响； c）一般信息系统：行业或企业对信息系统数据丢失或系统停顿具有一定容忍度。

6.1.1生产中心加固

生产中心加固技术要求如下： a）机房环境达到按GB50174一2017规定的B级数据中心标准，并通过当地消防部门验收 6） 机房具有两路或两路以上的电力供应接人方式； 部署允余的网络通讯接人线路； d) 核心和重要信息系统的应用支撑环境（如主机、存储、网络等）采用余部署模式，避免单 故障。

6.1.2本地数据备份

本地数据备份技术要求如下： a）备份范围：生产中心内所有信息系统； b） 备份内容：各信息系统的数据库、非结构化文件、应用程序包和源代码、配置信息、辅助软件等 进行系统恢复时必要的数据资源； c） 备份指标：RTO<48h，RPO<24h； d）备份频率：核心和重要信息系统数据每周至少全备1次，一般信息系统数据每月至少全备 1次，所有信息系统数据每日做好增量备份； e) 保留周期：备份数据保留周期1个月以上； 备份介质：备份介质要求安全可靠，备份与恢复效率高，有条件的单位宜实现主备份介质与允 余备份介质分建筑物存放； g 恢复手册：针对各信息系统制定详细恢复操作手册，明确所需资源及详细操作步骤； h 数据验证：建立备份恢复环境并开展异机数据恢复测试，确保备份数据可用。

6.2.1灾难恢复范围和且标

行业单位完成了本地数据保护后仍存在函待抵御的自然灾害及机房灾难，应根据各信息系统的关 键度等级以及生产中心面临的风险等级有针对性地选择灾难恢复策略，并制定本单位各级信息系统灾 难恢复指标。灾难恢复主要针对关键度等级为“核心”和“重要”的信息系统。关键度等级为“一般”的系 统不宜纳人灾难恢复范围。灾难恢复策略包括数据级灾备和应用级灾备。行业信息系统灾难恢复参考 指标如表4所示。

表4行业信息系统灾难恢复参考指标

业信息系统灾难恢复参考

6.2.2灾备系统建设模式

行业单位可选择如下灾备系统建设模式： a）利用中国烟草总公司信息系统上海容灾中心资源。具备数据集中存储条件的行业单位可利用 上海容灾中心资源开展灾备系统建设工作。备份到上海容灾中心的数据归建设单位所有，未 经建设单位同意，任何单位均不应使用和发布相关数据； b 利用本单位自有资源。行业单位充分利用本单位和所属单位符合要求、基础环境适用的既有 资源开展灾备系统建设工作； 利用外部社会资源。在确保数据与系统安全的前提下，可以选择专业性强、安全保护等级高、 运营规模大、费用合理的社会化服务机构进行灾备系统建设。

7.1信息系统现状梳理

现状梳理包括全面梳理信息系统总体逻辑架构、基础设施架构及信息系统部署环境和资源需求情 况，为容灾系统建设后期的各项活动提供分析依据。现状分析内容包括但不局限以下内容： a）主机设备：设备型号及配置、操作系统版本、主机名称、网络配置、存储空间及文件系统划分、功 能角色； b） 存储设备：设备型号及配置、微码版本、现有存储空间分配情况； ） 存储交换机：设备型号及配置、微码版本、现有端口使用情况、端口映射配置信息； d 网络设备：拓扑结构、设备型号及配置、互联网、省域网及外联网部署情况； e） 数据库：数据库类型及版本、实例名称、配置文件、数据文件名称、路径及大小； 中间件：中间件类型及版本、程序包信息； g 应用系统：主要功能、主管业务部门、用户说明及使用频率、业务高峰时段、应用部署信息、年数 据增量、关联应用及接口方式； ： 基础系统：认证系统、域控系统、门户、文档服务器等信息系统正常运行必不可少的基础系统

.2.1数据级灾备技术要

数据级灾备技术要求如下： a）数据复制：采用远程实时数据复制技术； b）资源配置：满足灾难发生后完成数据恢复的最低资源配置需求

7.2.2应用级灾备技术要

应用级灾备技术要求如下： a）数据复制：采用远程实时数据复制技术； b）资源配置：满足灾难发生后信息系统正常切换并能提供应急服务的最低资源配置需求； c）部署要求：部署信息系统可接管全部功能和服务及必需的关联系统和基础系统。

7.2.3数据复制方案选型

数据复制方案选型包括但不局限以下内容： a）站点级灾备（信息系统灾备数量>3套）宜选择连续数据保护技术； b）系统级灾备（信息系统灾备数量3套)宜选择数据库复制技术或文件系统复制技术； C 行业统一平台省级前置环境相关信息系统宜选择数据库复制技术或文件系统复制技术； d）在必要情况下，可选多种技术组合作为数据复制方案

7.2.4数据复制方案技术要求

数据复制方案技术要求如下： a） 支持窄带网络环境下的异步数据复制； b 支持双向数据复制和切换； 支持增量回切功能，减少回切数据同步的时间； d 实现容灾后生产中心性能下降不超过20%； 生产中心适应性改造适度； 提供集中监控管理工具，开放与第三方运维监控工具的标准接口； g) 数据库部署要求：需要部署灾备的信息系统单独创建数据库实例，不允许共享其他系统数据库 实例，每数据库实例划分独立存储空间和卷组，用于存放数据文件，不允许不同数据库实例共 用同一卷组

7.2.5网络环境建设要求

网络环境建设要求如下： a）数据级灾备系统应建设生产中心与容灾中心的互联网络； b) 应用级灾备系统应建设生产中心与容灾中心的互联网络、各分支机构与容灾中心的互联网络 以及必要的互联网出口，并配置合理的路由策略，

7.2.6域名解析部署要求

生产中心部署域名解析生产服务器，容灾中心部署域名解析备用服务器。灾难切换时，通过调整主 接的转换

7.2.7时间同步服务部署要求

生产系统和灾备系统时间应保持同步。

难恢复目标内恢复信息系统的关键数据和业务功能。灾难恢复预案开发遵循“完整性、易用性、明确性、 有效性”原则，并满足以下要求： a）灾难恢复预案应明确灾难发生时进行灾难恢复的组织管理体系，至少应包括灾难恢复的决策 体系、指挥体系和执行体系； b） 灾难恢复预案应明确灾难恢复的管理和响应流程，应包括：灾难宣告、人员通知和集结、评估和 决策、灾难恢复技术操作、灾难恢复成功标志等； C 灾难恢复预案应包括明确的技术操作说明，包括执行权限、操作步骤、操作指令、返回结果、异 常处置等，技术操作说明中应明确操作步骤、执行顺序和依赖关系； 灾难恢复预案应标明最后更新日期和版本号，明确灾难恢复预案的更新、发放管理办法和负责 人：新版本灾难恢复预案发布后老版本灾难恢复预案应集中收回并销毁。

灾难恢复预案应由《指挥手册》和《操作手册》两部分内容组成，包括： 《指挥手册》：包含灾难评估、策略制定、灾难宣告等灾难恢复流程，不涉及详细的技术细节，应 作为行业单位进行灾难恢复决策和指挥的依据； b）《操作手册》：包含业务系统由生产中心切换到容灾中心、在容灾中心持续运行以及从容灾中心 回切到生产中心过程中所有施加在信息系统上的技术步骤和操作。

行业单位在交付阶段应开展灾备系统的可用性测试和完整性测试，要求如下： a）可用性测试：采用技术手段对灾备系统的可用性进行验证，确保灾难发生后的数据恢复能力； b）完整性测试：采用技术手段对生产系统及灾备系统数据进行一致性比对，确保数据丢失量满足 灾难恢复指标要求。

行业单位在灾备系统正 生、有效性，并针对演练过利

9.1.1保障数据同步

数据级灾备和应用级灾备应保障数据同步，运行维护要求如下： a）应严格执行灾备系统部署及变更管理流程，确保与主中心系统配置一致； b）应定期检查数据库服务器运行状态，确保灾备系统数据库可随时启用； ） 应实时监测业务数据复制情况，确保灾备系统启动后关键业务系统数据丢失量小于RPO 指标； d）应定期核查手工恢复应用运行环境所需的软件安装介质、程序包、源代码、配置文件等在容灾 中心处于可用状态且版本与主中心保持一致。

数据级灾备和应用级灾备应保障数据同步，运行维护要求如下： a）应严格执行灾备系统部署及变更管理流程，确保与主中心系统配置一致； b）应定期检查数据库服务器运行状态，确保灾备系统数据库可随时启用； c） 应实时监测业务数据复制情况，确保灾备系统启动后关键业务系统数据丢失量小于RPO 指标； d） 应定期核查手工恢复应用运行环境所需的软件安装介质、程序包、源代码、配置文件等在容灾 中心处于可用状态且版本与主中心保持一致。

9.1.2保障灾备系统可接

9.1.2保障灾备系统可接管

求如下： a） 应定期检查应用服务器运行状态，确保应用环境稳定、应用系统可随时启用； b） 应定期对应用程序版本、系统软件版本、固件程序版本、关键配置参数等与主中心信息系统进 行对比与核查，确保灾备系统与生产系统同步； c）应梳理应用系统间相互接口关联，应用与集成门户、CA间关系，确保灾备系统功能完整可用 d）应定期对灾备系统进行性能测试，保障主备中心系统性能接近，满足实际使用需求。

9.1.3保障网络连通

数据级灾备应保障主备中心间的网络连通，应用级灾备还应保障同用户的网络连通，运行维护要求 如下： 应定期检查网络运行状态，验证容灾中心与生产中心之间、容灾中心与用户单位之间的网络双 向连通性； b 应定期进行应用功能测试，模拟业务流程； c）应确保灾备系统启用后，用户单位可正常访间

9.1.4保障生产系统可用

灾难切换发生后，灾备系统已经转换为实际运行的生产系统，对于该类系统的运维参照生产中心日 管理要求和规范执行

难切换发生后，灾备系统已经转换为实际运行的生产系统，对于该类系统的运维参照生产中心的 求和规范执行。

容灾演练的目标如下： a）检验灾备系统、容灾技术架构的可用性； b）检验灾难恢复计划的有效性； c）提高灾难恢复管理组织成员完成职责的熟练程度。

9.2.2数据验证技术要求

每季度至少进行一次灾备系统数据的技术验证。 内容包括数据的可用性和一致性。数据可用性验证通过启动灾备系统的磁盘卷组和数据库，确认其 行状态。数据一致性验证通过比对主备系统同一数据库在相同时间点的数据量，确认数据完整无丢失

9.2.3应用验证技术要求

每半年至少进行一次灾备系统应用的可用性技术验证 验证主要由信息化部门及相关运维商大 展。验证内容包括启动灾备系统的磁盘卷组、数据库及中间件，确认其运行状态；初步检查灾备系统 面及功能。

9.2.4容灾演练开展要求

9.2.4容灾演练开展要求

9.2.4.1演练组织要求

YC/Z583—2019

YC/Z583—2019

9.2.4.2演练开展方式

灾备系统演练开展方式应遵循“从易到难，循序渐进”的原则。系统数量逐步增多，演练难度逐步 提高。

9.2.4.3演练参加部门或人员

信息化部门、运维商以及相关业务部门。

9.2.4.4演练职责分工

信息化部门开展演练的计划制定、 善；运维商提供容灾演练的技术支持；业务部门配合信息化部门进行演练的开展，并及时告知信息化部 门灾备系统存在的间题并协助其改进

9.2.4.5演练准备工作

灾备系统演练之前应做好充足的准备工作，包括：组织协调、人员培训、系统测试、手册验证等。如 果涉及到对业务的影响，演练应获得管理层和相关业务部门的批准后方可执行，并对可能产生的风险做 好应对预案，避免由于演练组织不当对业务造成重大影响

9.2.4.6演练实施

灾备系统演练可分为单向演练、双向演 演练仅启动灾备系统进行功能验证，不 关闭生产系统。双向演练启动灾备系统并关闭 务开展外墙外保温标准规范范本，演练结束后回切至 生产系统。实战演练模拟突发灾难场 同双向演练

9.2.4.7演练评审

9.2.4.8优化改进

针对演练中存在的管理和技术问题，信息化部门应制定相应的解决方案并加以落实污水处理标准规范范本，从管理上和技 术上不断完善容灾体系、提高演练水平。

YC/Z 5832019

[1]国家烟草专卖局关于烟草行业信息系统容灾备份工作的指导意见（国烟办【2016]339号）