標準編號:	JR/T 0168-2018
中文名稱:	云計算技術金融應用規范 容災
英文名稱:	Financial application specification of cloud computing technology - Disaster recovery
中標分類:	A11    金融、保險
行業分類:	JR    金融行業標準
ICS分類:	35.240.40 35.240.40    信息技術在銀行中的應用 35.240.40
發布機構:	中國人民銀行
發布日期:	2018-8-15
實施日期:	2018-8-15
標準狀態:	superseded
被新標準替代:	JR/T 0168-2020 云計算技術金融應用規范 容災
被替代日期:	2020-10-16
翻譯語言:	英文
文件格式:	PDF
中文字符數:	8000 字
翻譯價格(元):	1200.0
交付時間:	付款后 1 個工作日

Codeofchina.com is in charge of this English translation. In case of any doubt about the English translation, the Chinese original shall be considered authoritative. This standard is one of the series of standards for financial applications of cloud computing technology, which include: —— Financial application specification of cloud computing technology - Technical architecture; ——Financial application specification of cloud computing technology - Security technical requirements; ——Financial application specification of cloud computing technology - Disaster recovery. This standard is developed in accordance with the rules given in GB/T 1.1-2009. This standard was proposed by the People’s Bank of China. This standard is under the jurisdiction of the National Technical Committee on Finance of Standardization Administration of China (SAC/TC180). Financial application specification of cloud computing technology - Disaster recovery 1 Scope This standard specifies the disaster recovery requirements for cloud computing platforms in the financial field, including disaster recovery capability grading, disaster recovery plan and exercise, organization management, monitoring management, and supervision management and other contents of cloud computing platform. This standard is applicable to cloud service providers, cloud service users, cloud service partners, etc. in the financial field. 2 Normative references The following documents for the application of this document are essential. Any dated reference, just dated edition applies to this document. For undated references, the latest edition of the normative document (including any amendments) applies. GB/T 20988-2007 Information security technology - Disaster recovery specifications for information systems GB/T 22240-2008 Information security technology - Classification guide for classified protection of information systems security GB/T 30146-2013 Social security - Business continuity management systems - Requirements JR/T 0044-2008 Management specification of information system disaster recovery for banks JR/T 0166-2018 Financial application specification of cloud computing technology - Technical architecture 3 Terms and definitions For the purposes of this document, the terms and definitions defined in JR/T 0166-2018 and the following apply. 3.1 disaster emergency incidents which manually or naturally cause major failure or breakdown of information system or severe damage to its data, thereby make the business functions supported by information system stop or the service level decrease to an unacceptable degree, and last for certain time [JR/T 0044-2008, Definition 3.2] 3.2 disaster recovery activity and process designed to recover the information system from operation failure or unacceptable state caused by disaster to normal operation state and recover the business functions it supports from abnormal state caused by disaster to acceptable state [JR/T 0044-2008, Definition 3.3] 3.3 risk analysis process of determining the risk affecting the normal operation of information system, evaluating the function vital to the business operation of organizations and defining the control measures to reduce the potential hazards. Risk analysis often involves the evaluation on the probability of a special incident [JR/T 0044-2008, Definition 3.6] 3.4 business impact analysis analysis of business functions and relevant information system resources and evaluation of the impact of specific disaster on each business function [JR/T 0044-2008, Definition 3.7] 3.5 business continuity the capability of an organization of continuously delivering products or provide service at a predetermined acceptable level after an interruptive event occurs [GB/T 30146-2013, Definition 3.3] 3.6 recovery time objective the requirement for the time interval within which the information system must be recovered from halt upon the occurrence of disaster [JR/T 0044-2008, Definition 3.17] 3.7 recovery point objective the requirement for the time point to which the data must be recovered upon the occurrence of disaster [JR/T 0044-2008, Definition 3.18] 3.8 system availability the capability of cloud service of performing specified functions under specified conditions and on a specified moment or within a specified time interval (except for the planned time interval of service interruption) under the premise that the exterior resources required are guaranteed, which is usually measured by permitted unplanned annual time interval of service interruption and availability of at least “numerous (n) 9s” 3.9 availability zone the physical zones into which the cloud computing platform is divided with the disaster recovery factors of infrastructure such as power, network and water supply comprehensively considered, including physical resources such as air conditioners, power facilities, hosts, networks and memories 3.10 availability zone in the same region two availability zones which are capable of withstanding the effects of all disasters such as power supply and water supply interruption, flooding, fire, network failure, hardware damage, and traffic disruption at the same time are mutually availability zones in the same region. Under normal circumstances, the geographical distance between two availability zones in the same region is tens of kilometers 3.11 availability zone in the different region two availability zones which are capable of withstanding the effects of all large-scale regional disasters such as wars, floods, tsunamis, typhoons and earthquakes at the same time are mutually availability zones in the different region. Under normal circumstances, the geographical distance between two availability zones in different region is more than several hundred kilometers 3.12 exercise exercises for improving disaster recovery capability based on disaster recovery plans, including desktop exercise, simulation exercise and field exercise 4 Abbreviations For the purposes of this document, the following abbreviations apply. RPO Recovery Point Objective RTO Recovery Time Objective 5 General In recent years, the application of cloud computing technology in the financial field has gradually deepened, profoundly affected and changed the technical architecture, service model and business process of financial institutions, but it has also brought new challenges to disaster recovery. Due to the technical characteristics of multi-tenancy, virtualization, resource pool, etc., the cloud computing platform has an architecture with many differences with the traditional one in terms of impact evaluation, key indicators, technical requirements, organization management, etc. of disaster recovery, and shall be attached great importance to and properly handled. The cloud computing platform is still an information system in essence, which shall meet the requirements of the nation and financial industry related to the disaster recovery of information systems. This standard mainly proposes differentiated disaster recovery requirements characterized by the features of cloud computing platform. 6 Disaster recovery capability grading of cloud computing platform 6.1 Risk and business impact analysis Financial institutions shall conduct detailed risk analysis of cloud computing platform based on business continuity objective and business development plan. During risk analysis, cloud service providers, cloud service users and cloud service partners shall focus on defining the objectives and scope of risk analysis based on current business scenarios, and shall thoroughly analyze the threats faced with them and vulnerability of current system using appropriate analysis methods to evaluate the probability of occurrence of various risks and the possible losses. In the cloud computing environment of the financial field, risk analysis shall focus on new risks, threats, vulnerabilities and damages that might arise from the use of cloud computing technology, including but not limited to the following aspects: ——decline in service capability or unavailability of the system probably caused by multi-tenant resource competition in cloud computing environment. ——information leakage probably caused by improper isolation measures in cloud computing environment. ——system interruption probably caused by a single point bottleneck of equipment or performance in cloud computing environment. ——resource and information misuse probably caused by insufficient self-service control in cloud computing environment. ——concurrency of mass problems probably caused by system failures, upgrades, etc. in cloud computing environment. Research and judgment are required on possible impacts of risks on business after a rigorous risk analysis. During the business impact analysis, it is necessary to conduct business function analysis based on the factors such as supervision requirements, business nature, business service scope, degree of data concentration, business time sensitivity, and functional relevance firstly and then evaluate possible impacts caused by business interruption so as to determine disaster recovery objective and recovery priority. In the cloud computing environment of the financial field, the business impact analysis shall focus on (including but not limited to) the following aspects: ——comprehensive evaluation is required on the impacts on cloud computing platform in the case that multiple financial applications are possibly subjected to disasters at the same time. ——uncertainty of the same failure impact caused by the uncertainty of the actual physical equipment on which the applications and data are deployed.

Foreword II 1 Scope 2 Normative references 3 Terms and definitions 4 Abbreviations 5 General 6 Disaster recovery capability grading of cloud computing platform 7 Plan and exercise 8 Organization management 9 Monitoring management 10 Supervision management

云計算技術金融應用規范 容災 1 范圍 本標準規定了金融領域云計算平臺的容災要求，包括云計算平臺容災能力分級、災難恢復預案與演 練、組織管理、監控管理、監督管理等內容。 本標準適用于金融領域的云服務提供者、云服務使用者、云服務合作者等。 2 規范性引用文件 下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。 凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。 GB/T 20988—2007 信息安全技術 信息系統災難恢復規范 GB/T 22240—2008 信息安全技術 信息系統安全等級保護定級指南 GB/T 30146—2013 公共安全 業務連續性管理體系 要求 JR/T 0044—2008 銀行業信息系統災難恢復管理規范 JR/T 0166—2018 云計算技術金融應用規范 技術架構 3 術語和定義 JR/T 0166—2018界定的以及下列術語和定義適用于本文件。 3.1 災難 disaster 由于人為或自然的原因，造成信息系統嚴重故障、癱瘓或其數據嚴重受損，使信息系統支持的業務 功能停頓或服務水平達到不可接受的程度，并持續特定時間的突發性事件。 [JR/T 0044—2008，定義3.2] 3.2 容災 disaster recovery 災難恢復 為了將信息系統從災難造成的不可運行狀態或不可接受狀態恢復到可正常運行狀態，并將其支持的 業務功能從災難造成的不正常狀態恢復到可接受的狀態而設計的活動和流程。 [JR/T 0044—2008，定義3.3] 3.3 風險分析 risk analysis 確定影響信息系統正常運行的風險，評估對單位業務運營至關重要的功能，定義降低潛在危險控制 手段的流程。風險分析經常會涉及到對特殊事件發生可能性的評估。 [JR/T 0044—2008，定義3.6] 3.4 業務影響分析 business impact analysis 分析業務功能及其相關信息系統資源，評估特定災難對各業務功能的影響。 [JR/T 0044—2008，定義3.7] 3.5 業務連續性 business continuity 在中斷事件發生后，組織在預先確定的可接受的水平上連續交付產品或提供服務的能力。 [GB/T 30146—2013，定義3.3] 3.6 恢復時間目標 recovery time objective 災難發生后，信息系統從停頓到必須恢復的時間要求。 [JR/T 0044—2008，定義3.17] 3.7 恢復點目標 recovery point objective 災難發生后，數據必須恢復到的時間點要求。 [JR/T 0044—2008，定義3.18] 3.8 系統可用性 system availability 指在要求的外部資源得到保證的前提下，云服務在規定的條件下和規定的時刻或時間區間內（不包 括計劃內服務中斷時間）處于可執行規定功能狀態的能力，一般按允許計劃外年服務中斷時間、可用程 度至少達到“n個9”來衡量。 3.9 可用區 availability zone 在云計算平臺中，綜合考慮電力、網絡、供水等基礎設施的容災因素劃分出來的物理區域，區域內 包含空調、電力設施、主機、網絡、存儲等物理資源。 3.10 同城可用區 availability zone in the same region 能夠抵御因供電供水中斷、水淹、火災、網絡故障、硬件損毀、交通中斷等災難同時影響的兩個可 用區互為同城可用區。一般情況下兩同城可用區之間地理距離為數十公里。 3.11 異地可用區 availability zone in the different region 能夠抵御因戰爭、洪水、海嘯、臺風、地震等大范圍區域性災害同時影響的兩個可用區互為異地可 用區。一般情況下兩異地可用區之間地理距離為數百公里以上。 3.12 演練 exercise 為提高災難恢復能力，基于災難恢復預案進行的演習，形式包括桌面演練、模擬演練、實戰演練等。 4 縮略語 下列縮略語適用于本文件。 RPO 恢復點目標（Recovery Point Objective） RTO 恢復時間目標（Recovery Time Objective） 5 概述 近年來，云計算技術在金融領域應用逐漸深入，深刻影響和變革了金融機構的技術架構、服務模式 和業務流程，但也給災難恢復帶來了新的挑戰。由于多租戶、虛擬化、資源池等技術特性，云計算平臺 在災難恢復的影響評估、關鍵指標、技術要求、組織管理等方面與傳統架構存在諸多差異，應重點關注 并妥善應對。云計算平臺本質上仍是一種信息系統，應滿足國家和金融行業信息系統災難恢復相關要求， 本標準重點提出了體現云計算特性的差異化容災要求。 6 云計算平臺容災能力分級 6.1 風險與業務影響分析 金融機構應根據業務連續性目標和業務發展規劃，對云計算平臺進行詳細的風險分析。在風險分析 過程中，云服務提供者、云服務使用者和云服務合作者應根據當前的業務場景，重點界定風險分析的目 標和范圍，使用恰當的分析方法，對所面臨的威脅和當前體系的脆弱性進行深入剖析，評估各類風險發 生的概率和可能導致的損失。 在金融領域云計算環境下，風險分析應重點關注使用云計算技術可能引發的新風險、威脅、脆弱性 和損害，包括但不限于以下方面： ——云計算環境下多租戶的資源競爭可能導致的系統服務能力下降或不可用。 ——云計算環境下隔離措施不當可能導致的信息泄露。 ——云計算環境下單點設備或性能瓶頸可能導致的系統中斷。 ——云計算環境下自服務管控不足可能導致的資源和信息濫用。 ——云計算環境下系統故障、升級等可能導致的問題群發。 經過嚴謹的風險分析之后，需要對風險可能造成的業務影響進行研判。在對業務影響進行分析時， 首先需要根據監管要求、業務性質、業務服務范圍、數據集中程度、業務時間敏感性、功能關聯性等要 素進行業務功能分析，并在此基礎上評估業務中斷可能造成的影響，確定災難恢復目標及恢復優先級。 在金融領域云計算環境下，業務影響分析應關注的內容包括但不限于以下方面： ——對于可能造成多個金融應用同時遭受災難的，要綜合評估云計算平臺的影響。 ——由于應用和數據部署的實際物理設備的不確定性，導致的同一故障影響的不確定性。 6.2 容災能力級別劃分 根據 GB/T 20988—2007、JR/T 0044—2008、GB/T 22240—2008 的相關要求，按照所承載的業務系 統發生故障或癱瘓的影響范圍、危害程度等對云計算平臺容災能力要求進行劃分。 結合金融領域特性，將云計算平臺發生故障或癱瘓的影響范圍分為 4 個層級： ——內部輔助管理：未對金融機構經濟效益、社會聲譽產生直接影響的內部管理事項。 ——內部運營管理：對金融機構經濟效益、社會聲譽產生直接影響的內部管理事項。 ——公民、法人和其他組織的金融權益，包括： ? 公民、法人和其他組織的財產安全權、知情權、公平交易權、依法求償權、信息安全權； ? 其他影響公民、法人和其他組織的金融權益的事項。 ——國家金融穩定、金融秩序，包括： ? 國家對外活動中的經濟金融利益； ? 國家金融政策的制定與執行； ? 國家金融風險的防范； ? 國家金融管理活動； ? 多數關鍵金融機構、金融市場及其基礎設施的穩定運行； ? 其他影響國家金融穩定、金融秩序的事項。 將云計算平臺發生故障或癱瘓的危害程度劃分為 3 類： ——較小影響，指的是工作職能受到局部影響，業務能力有所降低但不影響主要功能的執行，出現 較輕的法律問題，較低的財產損失等。 ——一般影響，指的是工作職能受到一般影響，業務能力顯著下降且影響主要功能執行，引發一般 的法律問題，較高的財產損失等。 ——嚴重影響，指的是工作職能受到嚴重影響或喪失行使能力，業務能力嚴重下降或功能無法執行， 出現嚴重的法律問題等。 根據應用于金融領域的云計算平臺發生故障或癱瘓的影響范圍、危害程度，將其容災能力等級劃分 為 6 級，具體如表 1 所示。考慮應用于金融領域云計算平臺的重要性和發生故障或癱瘓的影響程度，應 用于金融領域云計算平臺至少應達到容災能力 3 級要求。 表1 應用于金融領域的云計算平臺容災能力等級要求劃分 影響范圍 危害程度 較小影響 一般影響 嚴重影響 內部輔助管理 第 1 級 第 2 級 第 3 級 內部運營管理 第 2 級 第 3 級 第 4 級 公民、法人和其他組織的金融權益 第 3 級 第 4 級 第 5 級 國家金融穩定、金融秩序 第 4 級 第 5 級 第 6 級 6.3 關鍵指標 應用于金融領域的云計算平臺應至少達到容災能力 3 級要求，對應的 RTO、RPO、可用性等關鍵指標 要求如表 2 所示。 表2 應用于金融領域的云計算平臺容災能力等級關鍵指標要求 容災等級 RTO RPO 可用性 3 級 ≦24 小時 ≦24 小時 每年非計劃服務中斷時間不超 過 4 天，系統可用性至少達到 99%。 4 級 ≦4 小時 ≦1 小時 每年非計劃服務中斷時間不超 過 10 小時，系統可用性至少達 到 99.9%。 5 級 ≦30 分鐘 ≈0 每年非計劃服務中斷時間不超 過 1 小時，系統可用性至少達到 99.99%。 6 級 ≦2 分鐘 0 每年非計劃服務中斷時間不超 過 5 分鐘，系統可用性至少達到 99.999%。 6.4 技術要求 本標準按照 GB/T 20988—2007 有關內容，從數據備份、數據處理、網絡能力和運維能力 4 個要素給 出云計算平臺容災能力等級相關技術要求。金融領域云計算平臺至少應達到容災能力 3 級要求，相應等 級的具體技術要求詳見表 3 至表 6。 表3 第6級技術要求 要素 云計算相關要求 數據備份 a）數據應在同城和異地可用區至少各有一個數據副本； b）數據副本實時備份且至少一個數據副本應同步復制，保障數據一 致性； c）完全數據備份至少每天一次且處于異地可用區。 數據處理 a）備用數據處理系統的主機、虛擬化平臺、操作系統、中間件、應 用軟件等資源與生產數據處理系統完全兼容； b）在異地和同城可用區均具備與生產數據處理系統相一致的備用數 據處理能力，并處于運行狀態，可實時無縫切換； c）應確保備用數據處理系統具備與生產數據處理系統相同的高可用 特性。 網絡能力 a）提供充足的網絡帶寬，保證備份數據傳輸帶寬大于業務峰值所需 的帶寬需求； b）異地和同城可用區的虛擬網絡、物理網絡、出口網絡帶寬及鏈路 配置與生產系統的網絡能力相同，并處于運行狀態； c）支持跨異地和同城可用區的負載均衡。 運維能力 a）云計算平臺應能夠對災備能力進行集成管理，支持通過可定制的 標準化流程完成流量自動或集中切換，支持跨同城和異地可用區的流 量均衡配置； b）災難事件發生后，備份數據中心的云計算資源管理和調度平臺仍 可完成對備份數據中心的資源管理和調度； c）對生產系統關鍵運行狀態進行實時監控和告警； d）云計算平臺需要為關鍵的用戶運營數據，如審計日志等，提供數 據備份。 表4 第5級技術要求 要素 云計算相關要求 數據備份 a）數據應在同城和異地可用區至少各有一個數據副本； b）至少存在一個數據副本應同步復制，保障數據一致性； 要素 云計算相關要求 c）完全數據備份至少每天一次且處于異地可用區。 數據處理 a）備用數據處理系統的主機、虛擬化平臺、操作系統、中間件、應 用軟件等資源與生產數據處理系統完全兼容； b）在異地和同城可用區均具備與生產數據處理系統相一致的數據處 理能力，至少有一個處于運行狀態，并可實現無縫切換； c）應確保備用數據處理系統具備與生產數據處理系統相同的高可用 特性。 網絡能力 a）提供充足的網絡帶寬，保證備份數據傳輸帶寬滿足業務峰值所需 的帶寬需求； b）異地和同城可用區的虛擬網絡、物理網絡、出口網絡帶寬及鏈路 配置與生產系統的網絡能力相同，并至少有一個處于運行狀態； c）支持跨異地或同城可用區的負載均衡。對于處于就緒狀態的可用 區，應支持跨可用區的自動或集中切換。 運維能力 a）云計算平臺應能夠對災備能力進行集成管理，支持通過可定制的 標準化流程完成流量自動或集中切換； b）災難事件發生后，備份數據中心的云計算資源管理和調度平臺仍 可完成對備份數據中心的資源管理和調度； c）對生產系統關鍵運行狀態進行實時監控和告警； d）云計算平臺需要為關鍵的用戶運營數據，如審計日志等，提供數 據備份。 表5 第4級技術要求 要素 云計算相關要求 數據備份 a）至少有一個數據副本處于異地可用區； b）完全數據備份至少每天一次且處于異地可用區。 數據處理 a）在異地可用區具備災難恢復所需的全部備用數據處理能力，并處 于就緒狀態或運行狀態，并且可自動或集中切換； b）應確保備用數據處理系統具備與生產數據處理系統相同的高可用 特性。 網絡能力 a）異地可用區的虛擬網絡、物理網絡、出口網絡帶寬及鏈路配置與 生產系統的網絡能力相同，并處于就緒狀態； b）應支持跨可用區的自動或集中切換。 運維能力 a）云計算平臺應能夠對災備能力進行集成管理，支持通過可定制的 標準化流程完成流量集中切換； b）災難事件發生后，備份數據中心的云計算資源管理和調度平臺仍 可完成對備份數據中心的資源管理和調度； c）對生產系統關鍵運行狀態進行實時監控和告警； d）云計算平臺需要為關鍵的用戶運營數據，如審計日志等，提供數 據備份。 表6 第3級技術要求 要素 云計算相關要求 數據備份 a）關鍵數據至少有一個數據副本處于異地或同城可用區； b）完全數據備份至少每天一次且處于同城或異地可用區。 數據處理 a）在異地或同城可用區具備災難恢復所需的部分備用數據處理能力； b）應確保云計算資源調度能力滿足在數小時內配備災難恢復所需的 全部備用數據處理能力。 網絡能力 a）應確保異地或同城可用區的虛擬網絡、物理網絡、出口網絡帶寬 及鏈路配置在數小時內達到與生產系統的網絡能力相同，關鍵資源處 于就緒狀態； b）應支持跨可用區的自動或集中切換。 運維能力 a）云計算平臺應能夠對災備能力進行集成管理，具備流量集中切換 能力； b）災難事件發生后，備份數據中心的云計算資源管理和調度平臺仍 可完成對備份數據中心的資源管理和調度； c）云計算平臺需要為關鍵的用戶運營數據，如審計日志等，提供數 據備份。 7 預案與演練 7.1 災難恢復預案的制定 災難恢復預案應包括應急和系統災難恢復兩部分。 ——應急部分包括但不限于以下內容： ? 災難場景和范圍定義； ? 應急的管理機構和決策機制； ? 應急響應的流程、工具和工作制度。 ——系統災難恢復部分包括但不限于以下內容： ? 災難恢復的范圍和目標； ? 災難恢復的總體規程； ? 各系統恢復的切換步驟、操作手冊和業務功能恢復驗證測試方法。 7.2 災難恢復演練和預案管理 在云計算環境下，災難恢復演練主要是為了驗證災難恢復預案的完整性和有效性，提高預案的執行 能力，確保云服務各參與方在災難發生時的有效協同，以及業務系統的快速恢復。具體的災難恢復演練 和預案管理要求應遵循 GB/T 20988—2007，并滿足以下要求： ——云服務提供者、云服務合作者應根據云服務使用者的要求，及時提供技術和管理支持，配合執 行相關演練。 ——云服務提供者應至少每年進行一次相關預案的更新和演練。 8 組織管理 在災難發生后，云服務各參與方應依據災難實際影響，按照預先制定的災難恢復預案密切配合、有 序開展災難恢復工作，包括但不限于： ——應確保災難影響、應對措施、恢復進度等信息在各參與方之間及時、有效、準確的溝通和傳遞， 重大或特別重大的事件應及時向相關主管部門和監管機構報告。 ——災難恢復完成后應及時總結經驗教訓，并及時告知受影響的用戶。 ——應定期進行災難恢復的培訓并保存培訓記錄。