IAA202 - Chương 14: Kế hoạch khôi phục thảm hoạ

Đáp án đúng gồm ba ý: "Host site", "Cold site" và "Warm site". Alternate site (địa điểm dự phòng) là nơi tổ chức chuyển hoạt động tới khi cơ sở chính bị thảm hoạ, và ba loại kinh điển là hot site (site nóng, trang bị sẵn phần cứng, phần mềm, dữ liệu gần thời gian thực, chuyển sang trong vài giờ), warm site (site ấm, có hạ tầng và một phần thiết bị, cần thêm thời gian nạp dữ liệu) và cold site (site lạnh, chỉ có mặt bằng, điện, điều hoà, phải mang thiết bị tới). Cách viết "Host site" gần như chắc là lỗi in của Hot site, và chỉ khi hiểu đúng như vậy thì mới đủ bộ ba loại site dự phòng. "Active site" là cách gọi địa điểm đang vận hành chính (hoặc mô hình active-active), không phải một loại site dự phòng. "Permanent site" là cơ sở cố định của tổ chức, chính là thứ cần được dự phòng chứ không phải nơi dự phòng. "Alternate site" là tên chung của cả nhóm, nên không thể là một loại nằm trong chính nhóm đó.

Đáp án đúng: "annually". DRP (Disaster Recovery Plan, kế hoạch khôi phục sau thảm hoạ) là tài liệu sống: hệ thống, nhân sự, nhà cung cấp và mức ưu tiên thay đổi theo thời gian nên kế hoạch phải được rà soát định kỳ, và mức tối thiểu thường được khuyến nghị là ít nhất mỗi năm một lần, cộng thêm rà soát bất thường mỗi khi có thay đổi lớn về hạ tầng hay tổ chức. Chu kỳ "monthly" quá dày đối với một tài liệu lớn cần nhiều bên liên quan cùng xem xét và diễn tập; nó tốn nguồn lực mà không tăng tương xứng độ sẵn sàng. Chu kỳ "weekly" càng không thực tế vì DRP không thay đổi theo tuần; việc theo dõi hằng tuần thuộc về vận hành như kiểm tra bản sao lưu chứ không phải rà soát toàn bộ kế hoạch. Cụm "at least" trong câu cho thấy đang hỏi mức sàn, và mức sàn đó là hằng năm.

Đáp án đúng: "To ensure data can be recovered even if the primary site is destroyed". Bản sao lưu đặt cùng chỗ với hệ thống gốc sẽ cùng bị mất khi cháy, lụt hay động đất phá huỷ site chính; giữ bản sao ở nơi khác (off-site) tách hai thứ ra khỏi cùng một mối đe doạ vật lý, nên dữ liệu vẫn khôi phục được, đây là nguyên tắc nền của kế hoạch khôi phục thảm hoạ (DRP). "To reduce the cost of data storage" sai vì lưu ngoài site thường tốn thêm chi phí vận chuyển, thuê kho hay đường truyền, không phải để tiết kiệm. "To improve data access speed" sai vì bản sao ở xa thường truy cập chậm hơn bản tại chỗ. "To comply with legal requirements" có thể đúng với một số ngành bị luật bắt lưu trữ dự phòng, nhưng đó là hệ quả phụ chứ không phải lý do cốt lõi khiến việc lưu ngoài site quan trọng.

Đáp án đúng: "All of them". Yếu tố thành công then chốt (critical success factor, CSF) của kế hoạch khôi phục sau thảm hoạ (DRP) là những điều kiện mà thiếu một cái thì kế hoạch khó hiệu quả. "Management support" cần thiết vì ban lãnh đạo phê duyệt, cấp nguồn lực và buộc các bộ phận tham gia. "Authority and knowledge for DRP developers" cần vì người soạn kế hoạch phải đủ quyền để thu thập thông tin và đủ hiểu biết về hệ thống để viết thủ tục khôi phục khả thi. "Identification of primary concerns" giúp xác định chức năng, hệ thống quan trọng nhất cần khôi phục trước. "Budget funding" bảo đảm có tiền cho địa điểm dự phòng, sao lưu, thiết bị thay thế và diễn tập. Vì từng yếu tố riêng lẻ đều là CSF, chọn bất kỳ một ý đơn lẻ nào cũng bỏ sót các yếu tố khác, nên phương án gộp mới là câu trả lời đầy đủ.

Đáp án đúng: "Restore systems after a disaster". Kế hoạch khôi phục thảm hoạ (DRP, disaster recovery plan) là phần của lập kế hoạch dự phòng tập trung vào việc đưa hệ thống CNTT và dữ liệu hoạt động trở lại sau khi thảm hoạ đã xảy ra, chẳng hạn chuyển sang site dự phòng, khôi phục từ bản sao lưu, rồi đưa về site chính, theo đúng mục tiêu RTO và RPO đã định. "Prevent disasters" sai vì phòng ngừa thuộc các biện pháp kiểm soát và đánh giá rủi ro; DRP mặc định thảm hoạ có thể xảy ra và chuẩn bị cách phục hồi. "Eliminate downtime" phi thực tế; DRP chỉ rút ngắn thời gian ngừng xuống mức chấp nhận được, không xoá bỏ hoàn toàn. "Identify malware" là việc của công cụ diệt mã độc, hệ thống phát hiện xâm nhập và đội ứng cứu sự cố, không phải mục tiêu của DRP.

Đáp án đúng gồm ba ý: "Data replication", "Electronic vaulting" và "Remote journaling". Cả ba là kỹ thuật đưa dữ liệu của một cơ sở dữ liệu lớn ra địa điểm khác: sao chép dữ liệu (data replication) ghi bản sao sang máy chủ ở xa gần như theo thời gian thực; electronic vaulting gửi bản sao lưu theo lô qua đường truyền tới kho lưu ngoài site; remote journaling gửi nhật ký giao dịch tới site xa để có thể dựng lại các thay đổi mới nhất, giúp giảm mục tiêu điểm khôi phục (RPO). "S3 bucket" là một dịch vụ lưu trữ đối tượng trên đám mây, tức là một nơi chứa dữ liệu chứ không phải một phương pháp sao chép; nó có thể là đích đến của bản sao lưu, nhưng tự nó không bảo đảm dữ liệu của cơ sở dữ liệu được chuyển ra ngoài site, nên không phải đáp án cùng loại với ba kỹ thuật trên.

Đáp án đúng: "Run the servers concurrently with the alternate location for three to five days.". Khi trở về site chính sau gián đoạn, máy chủ vừa dựng lại cần chứng minh nó chịu được tải và dữ liệu thật trước khi cắt site dự phòng; chạy song song vài ngày cho phép so kết quả hai bên, và nếu máy chủ mới hỏng thì vẫn còn site dự phòng làm đường lui. Lựa chọn "Test the servers and then turn off the servers at the alternate location." nghe hợp lý vì có kiểm thử trước, nhưng kiểm thử thường không tái tạo đủ tải thật, tắt ngay site dự phòng là bỏ mất đường lui khi lỗi chỉ lộ ra dưới tải vận hành. Lựa chọn "Bring the servers online and turn off the alternate location servers." còn rủi ro hơn vì không kiểm thử gì đã cắt dự phòng. Lựa chọn "Test the servers for three to five days before bringing them online." kéo dài thời gian chờ mà máy chủ vẫn chưa nhận tải thật, nên không chứng minh được khả năng vận hành thực tế.

Đáp án đúng: "before". Kế hoạch khôi phục thảm hoạ (DRP) được xây dựng từ trước, khi tổ chức còn bình tĩnh, để suy nghĩ thấu đáo về các kịch bản có thể xảy ra, chọn site dự phòng, phương án sao lưu và phân công vai trò, nhờ vậy lúc thảm hoạ thật xảy ra người ta chỉ cần làm theo kế hoạch thay vì phải nghĩ cách dưới áp lực. Lựa chọn "during" sai vì trong lúc thảm hoạ đang diễn ra, áp lực thời gian và hỗn loạn khiến việc tư duy phân tích rất khó, đó chính là lúc DRP phát huy tác dụng như một kịch bản có sẵn chứ không phải lúc bắt đầu suy nghĩ. Lựa chọn "after" sai vì nếu chờ thảm hoạ xảy ra rồi mới tính thì đã mất thời gian khôi phục quý giá; phân tích sau sự cố chỉ là bước rút kinh nghiệm để cập nhật kế hoạch.

Đáp án đúng: "True". Fault tolerance (khả năng chịu lỗi) là thiết kế để hệ thống tiếp tục chạy khi một thành phần hỏng, nhờ dự phòng như RAID, nguồn điện kép, cụm máy chủ; nó xử lý hỏng hóc cục bộ, thường không có thời gian ngừng. Disaster recovery (khôi phục sau thảm hoạ) là tập hợp kế hoạch và thủ tục để khôi phục hệ thống sau một sự kiện lớn làm tê liệt cả cơ sở như cháy, lũ, tấn công diện rộng, thường có thời gian ngừng và có thể phải chuyển sang địa điểm dự phòng. Hai khái niệm bổ trợ nhau nhưng khác về phạm vi và mục đích: chịu lỗi giúp tránh gián đoạn nhỏ, khôi phục thảm hoạ giúp đứng dậy sau gián đoạn lớn. Chọn "False" là coi hai khái niệm là một, trong khi một hệ thống RAID tốt vẫn không cứu được dữ liệu nếu cả toà nhà cháy.

Đáp án đúng: "Reviewed and updated regularly". Kế hoạch khôi phục sau thảm hoạ (DRP) phản ánh hệ thống, nhân sự và địa điểm tại thời điểm soạn; khi tổ chức thay đổi phần cứng, ứng dụng, người phụ trách hay nhà cung cấp, kế hoạch cũ sẽ chỉ dẫn sai, nên phải được rà soát, diễn tập và cập nhật định kỳ. "Secret" sai vì những người tham gia khôi phục phải biết và tiếp cận được kế hoạch; chỉ những chi tiết nhạy cảm mới cần hạn chế. "Unchanged" ngược với yêu cầu trên, vì kế hoạch không đổi sẽ nhanh chóng lỗi thời. "Used daily" sai vì DRP chỉ được kích hoạt khi xảy ra thảm hoạ; dùng hằng ngày là việc của quy trình vận hành thường lệ.

Đáp án đúng: "Disaster Recovery Plan (DRP)". Kế hoạch khôi phục sau thảm hoạ tập trung vào việc khôi phục hệ thống và hạ tầng CNTT sau thảm hoạ: thủ tục khôi phục, địa điểm dự phòng, sao lưu và thứ tự đưa hệ thống trở lại hoạt động. "Business Impact Analysis (BIA)" là bước phân tích xác định chức năng then chốt và thời gian ngừng tối đa; nó cung cấp đầu vào cho DRP nhưng tự nó không chứa thủ tục khôi phục. "Business Continuity Plan (BCP)" bao quát hơn, nhằm duy trì hoạt động kinh doanh trong và sau gián đoạn; DRP thường là một phần của BCP, và phần đảm nhận việc khôi phục hệ thống chính là DRP. "Business Continuity Control (BCC)" không phải một loại kế hoạch hay thuật ngữ chuẩn trong lĩnh vực này.