Kiểm toán hoạt động sao lưu, khôi phục dữ liệu và khả năng duy trì kinh doanh liên tục.

Lấy nhu cầu kinh doanh làm căn cứ kiểm toán

Chủ nghiệp vụ cần xác định hoạt động quan trọng, hậu quả khi gián đoạn và điều kiện để tiếp tục. Từ đó mới có căn cứ xem mục tiêu phục hồi. Nếu chỉ lấy cấu hình hiện có rồi gọi đó là yêu cầu, kiểm toán khó biết khả năng hệ thống có phù hợp điều doanh nghiệp cần hay không.

RTO là mục tiêu thời gian phục hồi, còn RPO liên quan điểm dữ liệu cần có thể phục hồi. Các mục tiêu phải được xác định phù hợp hoạt động và phụ thuộc. Một dịch vụ có thể khởi động nhanh nhưng thiếu dữ liệu cần thiết, hoặc dữ liệu đủ nhưng chưa có những thành phần giúp công việc hoàn thành. Hai chiều cần được xem riêng rồi nối trong kết luận.

ISO 22301 cung cấp yêu cầu về hệ thống quản lý kinh doanh liên tục. Sao lưu và khôi phục IT là một phần hỗ trợ, không tự đại diện toàn bộ khả năng duy trì hoạt động của doanh nghiệp. Kiểm toán cần giữ phạm vi, tránh dùng kiểm thử kỹ thuật để kết luận mọi phương án nghiệp vụ đã sẵn sàng.

NIST SP 800-34 Rev. 1 là hướng dẫn hoạch định dự phòng cho hệ thống thông tin liên bang Hoa Kỳ, có thể tham khảo phương pháp phù hợp. Khi sử dụng ở doanh nghiệp, đoàn phải bám tiêu chí cùng yêu cầu áp dụng của nhiệm vụ, không coi mọi chi tiết của nguồn hướng dẫn là nghĩa vụ chung.

Nội dung kiểm toán IT giúp xây mục tiêu từ nhu cầu đảm bảo. Đoàn cần biết sẽ kết luận về thiết kế, thực hiện sao lưu, khả năng khôi phục trong kịch bản nào hoặc một kết hợp đã được xác định. Mỗi câu hỏi đòi hỏi bằng chứng khác nhau.

Xác định phạm vi bản sao và những điều kiện bảo vệ

Danh mục cần phản ánh dữ liệu cùng thành phần cần thiết để dựng lại dịch vụ. Cấu hình, ứng dụng, thông tin phụ thuộc hoặc tài liệu phục hồi có thể quan trọng bên cạnh dữ liệu chính. Nếu một nền tảng không nằm trong luồng sao lưu, đoàn phải hiểu lý do và cách bảo vệ thay thế phù hợp.

Báo cáo công cụ cần được kiểm tra tính đầy đủ. Tỷ lệ thành công trên các tác vụ đã cấu hình không nói được phần dịch vụ chưa được bao phủ. Đoàn đối chiếu danh mục hệ thống và nhu cầu nghiệp vụ, xem các phạm vi do nhà cung cấp quản lý hoặc có cơ chế riêng. Không chỉ lấy số liệu thuận tiện rồi coi là toàn bộ tổ chức.

Quyền tới bản sao và cơ chế quản trị phải được đánh giá theo rủi ro. Nếu cùng một tài khoản có thể thay hoặc xóa cả dữ liệu sản xuất lẫn bản sao, khả năng phục hồi có thể bị ảnh hưởng trong một tình huống chung. Những biện pháp tách, lưu ngoại tuyến hoặc bất biến cần được hiểu theo cấu hình và giới hạn thực tế, không theo tên sản phẩm.

Khóa, giấy phép và thông tin truy cập phục hồi cũng cần điều kiện sẵn sàng phù hợp. Bản sao được bảo vệ nhưng không thể sử dụng khi đầu mối hoặc nền tảng danh tính không hoạt động vẫn tạo khoảng trống. Đoàn xem cách tổ chức quản lý điều này, bảo vệ dữ liệu nhạy cảm và kiểm tra khả năng huy động.

CIS Control 11 nhấn mạnh thực hành phục hồi đủ để đưa tài sản trong phạm vi về trạng thái có thể tin cậy sau sự cố. Kiểm toán có thể dùng nguồn này để xây câu hỏi, nhưng cần lựa chọn tiêu chí theo mục tiêu. Phục hồi một bản sao tồn tại không tự chứng minh dữ liệu hoặc môi trường phù hợp để sử dụng.

Nhóm quản trị vận hành IT cung cấp hiểu biết về công cụ, phụ thuộc và cách thu bằng chứng. Đoàn cần xác minh phạm vi cùng kết quả, không chỉ nhận mô tả rằng hệ thống đã có đủ các tính năng bảo vệ.

Kiểm tra vận hành sao lưu và xử lý các lần không đạt

Mẫu nên được chọn theo mục tiêu, thời kỳ và đặc điểm dịch vụ. Những lần thất bại, thay đổi phạm vi hoặc xử lý lại có thể tạo bằng chứng quan trọng. Chỉ chọn báo cáo thành công sẽ khó biết cơ chế phát hiện và hành động khi sao lưu không đạt có hiệu lực hay không.

Đoàn cần nối cảnh báo với người tiếp nhận, hành động và xác nhận. Một tác vụ chạy lại đạt có thể xử lý phần hiện tại, nhưng vẫn cần hiểu khoảng dữ liệu thiếu hoặc hậu quả trong thời gian trước. Nếu báo cáo lỗi bị đóng chỉ vì công cụ đã xanh, tổ chức có thể chưa đánh giá đủ phần phơi nhiễm.

Lịch lưu giữ và quản lý bản sao cần bám yêu cầu được xác định, có đầu mối xác nhận khi liên quan pháp luật hoặc hợp đồng. Không có một thời gian chung phù hợp mọi dữ liệu. Đoàn phải hiểu căn cứ và điều kiện áp dụng trước khi kết luận về lưu giữ hoặc xử lý sau khi hết nhu cầu.

Bảng là gợi ý tổ chức thủ tục, không phải danh sách đầy đủ cho mọi môi trường. Kết luận cần biết nguồn nào hỗ trợ phần nào. Có thể cần phối hợp chủ nghiệp vụ và đối tác để xác nhận các phụ thuộc mà nhóm IT không trực tiếp thực hiện.

Đánh giá kiểm thử khôi phục bằng điều kiện và kết quả

Một bài kiểm thử cần có mục tiêu, kịch bản, phạm vi và tiêu chí rõ. Khôi phục một tệp khác với phục hồi ứng dụng và luồng giao dịch. Khi đoàn sử dụng kết quả đã có, cần xem cách thử, dữ liệu, môi trường và điều kiện có phù hợp câu hỏi cuộc kiểm toán hay không.

Thời gian đo phải có điểm bắt đầu, kết thúc và những điều kiện được tính rõ. Nếu đã chuẩn bị sẵn mọi thành phần trước thử, kết quả có thể chưa phản ánh thời gian huy động trong sự cố. Đoàn cần diễn giải giới hạn, tránh so với RTO khi hai cách đo không tương ứng.

Dữ liệu phục hồi cần được xác nhận có thể sử dụng theo nhu cầu. Mở được ứng dụng không đủ nếu giao dịch thiếu hoặc các hệ thống liên quan chưa đối soát. Chủ nghiệp vụ tham gia xác nhận các luồng quan trọng; kỹ thuật kiểm tra nền tảng và điều kiện bảo vệ. Hai phần bổ sung nhau cho kết luận dịch vụ.

Kiểm toán có thể quan sát kiểm thử được tổ chức hoặc thực hiện thủ tục phù hợp theo cơ chế được phép. Không tự dừng dịch vụ, xóa dữ liệu hoặc thao tác phục hồi tại sản xuất chỉ để có bằng chứng. Rủi ro của thủ tục cũng phải được quản lý, nhất là khi môi trường đang phục vụ công việc quan trọng.

Cách nhìn quản lý rủi ro IT giúp lựa chọn kịch bản có ý nghĩa. Lỗi dữ liệu, gián đoạn nền tảng và sự cố ảnh hưởng bản sao không có cùng điều kiện phục hồi. Không dùng một bài thử thành công làm xác nhận cho mọi tình huống mà doanh nghiệp có thể gặp.

Một tình huống: cơ sở dữ liệu phục hồi nhưng giao dịch chưa chạy

Trong tình huống giả định, doanh nghiệp kiểm thử khôi phục cơ sở dữ liệu của ứng dụng đặt hàng và báo hoàn thành trong mục tiêu kỹ thuật. Khi kiểm toán xem tiêu chí, đoàn thấy bài thử chưa bao phủ nguồn danh tính và kết nối với đối tác, trong khi cả hai là điều kiện để nghiệp vụ xử lý đơn hàng.

Chủ nghiệp vụ cần luồng giao dịch hoạt động, không chỉ truy vấn được dữ liệu. Đoàn làm rõ sự khác biệt và xem phạm vi, yêu cầu cùng bằng chứng hiện hành. Không phủ nhận giá trị bài thử, nhưng kết luận về dịch vụ phải giữ giới hạn vì các phụ thuộc chưa được xác nhận.

Quản lý tổ chức một bài kiểm thử phù hợp hơn với các đầu mối liên quan, có điều kiện an toàn và tiêu chí nghiệp vụ. Kết quả cho thấy thời gian một phần phụ thuộc dài hơn dự kiến. Các hành động được giao riêng, gồm cải thiện phương án và xem lại mục tiêu hoặc điều kiện nếu cần theo thẩm quyền.

Kiểm toán theo dõi bằng chứng sau xử lý, không chỉ thông báo kế hoạch đã cập nhật. Tình huống giả định cho thấy khoảng trống thường nằm ở sự khác biệt giữa điều công cụ làm được và điều doanh nghiệp cần. Báo cáo tốt phải làm rõ đường nối này để lựa chọn đầu tư hoặc cải thiện có căn cứ.

Nối kết luận với khả năng duy trì hoạt động và cải tiến

Các phương án làm việc thay thế, liên lạc và quyết định phục hồi có thể cần được xem tùy phạm vi. Một cuộc kiểm toán IT không nhất thiết bao phủ toàn bộ chương trình liên tục kinh doanh, nhưng phải chỉ ra những phụ thuộc quan trọng đối với kết luận mình đưa ra. Những phần chưa được xem không nên bị hiểu là đã đạt.

Phát hiện cần phân biệt thiết kế thiếu, vận hành sai và bằng chứng chưa đủ. Thiếu một bài kiểm thử phù hợp chưa tự chứng minh chắc chắn không thể phục hồi, nhưng có thể làm tổ chức chưa có cơ sở tin cậy cần thiết. Đoàn phải trình đúng tình trạng và hành động cần để xác nhận hoặc xử lý.

Ở cấp lãnh đạo IT, kết quả giúp cân nhắc nguồn lực, ưu tiên dịch vụ và phần rủi ro còn giữ. Hành động có thể là sửa phụ thuộc, bổ sung khả năng phục hồi hoặc cải thiện điều phối, không chỉ tăng dung lượng sao lưu. Khi nhu cầu, bản sao và kiểm thử được nối bằng bằng chứng, kiểm toán giúp doanh nghiệp hiểu khả năng duy trì công việc trong đúng những điều kiện đã được xác nhận.

Bài viết liên quan

• Xây dựng kế hoạch kiểm toán IT dựa trên rủi ro thay vì kiểm tra dàn trải.
• Thiết lập mục tiêu, phạm vi và tiêu chí cho một cuộc kiểm toán nội bộ IT.
• Đánh giá thiết kế và hiệu quả vận hành của các biện pháp kiểm soát IT.
• Kiểm toán IT General Controls: Quyền truy cập, thay đổi hệ thống và vận hành IT.

Nguồn tham khảo

1. NIST — SP 800-34 Rev. 1: Contingency Planning Guide for Federal Information Systems
2. CIS — Critical Security Control 11: Data Recovery
3. ISO — ISO 22301:2019: Business continuity management systems