-
-
組織應針對各情境、各業務狀況進行演練，並可參考「核心系統備援演練參考程序」(附件)，進行事前準備、演練實施及演練後檢討之各階段檢核作業，以確認演練及測試程序之有效運作。
-
一、組織應針對已辨識可能造成核心業務中斷之風險情境(包含天然災害、人為災害與資通訊安全事件)設計演練情境，並宜規劃每年針對所有情境或輪流針對部分情境進行演練。
-
二、組織應進行模擬災害或意外發生時之情境操作，考量納入核心系統復原負責人員、核心業務執行人員與復原所需供應商；並規劃演練之系統數量、規模與層次(實體機、虛擬機與中介層等)。
-
三、組織應於演練前，辨識可能造成之風險(例如：因演練可能造成正式資料之錯誤或遺失、演練可能造成之資安防護水準下降、演練可能損害之客戶權益等)，並事先擬定保護措施。
-
四、演練內容應驗證各項核心系統所制定之標準作業程序(內容包含但不限於監控、分級分類、通報、應變與復原)。
-
五、組織應每年定期演練並驗證其核心系統可用性，依需求規劃為同異地系統備援演練、同異地系統重建演練(針對無備援之系統)或同異地資料備份回存測試，以確保人員熟悉程度與程序有效性，並應留存相關演練紀錄。
-
六、第一類組織應於異地系統備援演練時，納入實際業務運作驗證，以實證最小可接受服務水準所仰賴之內部資源配置及人力調度、外部夥伴之協同作業及資訊網路調整介接等作業，於關鍵時刻皆能有效運作。並鼓勵第二類組織執行。
-
七、組織應於演練後召開檢討會議，確認復原機制與演練結果是否符合組織所制定的復原時間目標(RTO)及資料復原點目標(RPO)要求，並檢視核心系統現有同異地系統備援機制與同異地資料備份機制是否符合核心業務之需求。