Резервни копия и възстановяване в услугите на ИКТ: кога сте го тестирали последния път?
Въпросът "имате ли резервно копие" не е въпросът, който има значение. Въпросът, който има значение е: когато е бил направен последния опит от кого да възстанови система от резервното копие, и колко дълго е отнело? Резервно копие, което се прави, но никога не се възстановява, е в практиката предположение. Надзорни органи и клиенти, които се основават на задължението за полагане на грижа, посочено в Директива NIS2, затова не разглеждат само съществуването на политика за резервни копия, а доказателството, че възстановяването наистина работи.
За услугодател по ИКТ това не е странична тема. Вие управлявате често не само собствената си среда, но и системи на клиентите, на разстояние, понякога с помощта на подизпълнител. Ако там се случи нещо лошо, няма значение кой направи грешката, а дали възстановяването работи в рамките на времето, което клиентът може да оправдае. Това прави теста на възстановяване един от малкото мерки, които не можете да отметнете с документ.
Защо неоспорено резервно копие не отчита
Резервното копие може да не е използваемо по различни причини: повредена папка, неправилна конфигурация, парола, която вече никой не знае, или процедура за възстановяване, която е правилна на хартия, но в практиката отнема три дни вместо три часа. Никой от тези проблеми не е видим, докато някой действително използва резервното копие. Член 21 от Директива NIS2 споменава политика за резервни копия и възстановяване изрично като част от мерките за управление на риска, които организация счита в своите отношения с доставчици. Това означава в практиката, че клиент, който сам е обхванат от задължението за полагане на грижа, иска от своя услугодател по ИКТ как е организирано възстановяването и, все повече, когато е било тестирано в последния път.
Какво надзорен орган или клиент разбира под "тестирано" не е унифицирано установено, но основният въпрос се връща всеки път: е ли имало момент, в който система или набор от данни наистина е была възстановена, отделно от производствената среда, и е ли резултатът бил записан? Тестов доклад с дата и резултат е нещо различно от вътрешно съобщение, че "резервните копия работят".
Управление на разстояние: чие резервно копие е това всъщност
При управление на разстояние, резервното копие на система на клиента често не е физически при клиента, а при услугодателя, или при облачна услуга, която услугодателят е организирал от името на клиента. Това премества въпрос, който на първи поглед изглежда технически към въпрос за отговорност: кой тества, кой съхранява резултата на теста, и кой може да докаже, че възстановяването работи, когато клиентът поиска? Список за проверка на кибербезопасност на клиент иска тук все повече конкретен отговор, и "нашият партньор по хостинг го прави" не е отговор за надзорен орган или одитор — това е препратка, която иска собствена проверка.
Затова е разумно да се установи за всяка система на клиента кой има достъп до резервното копие, как е защитен този достъп, и кой е отговорен за последния тест на възстановяване. мерките за полагане на грижа по предмет подбрани показва как резервното копие и възстановяването се отнасят към други мерки от задължението за полагане на грижа, като управление на достъпа и регистрация на инцидентите.
Подизпълнители: кой тества какво
Много услугодатели по ИКТ работят с подизпълнители за специфични части: партньор по хостинг, партньор, който управлява firewall, freelancer, който разпространява корекции. Ако един от тях също управлява резервното копие, теста на възстановяване лесно изчезва между две партии: услугодателят мисли, че подизпълнителят тества, подизпълнителят мисли, че това не е част от неговата задача. За клиента това няма значение — той поставя въпроса на партньора, с който има договор.
Поради това е разумно да уточните в споразуменията със подизпълнител кой извършва теста за възстановяване, колко често, и кой пази доказателството. Доказателството не трябва да е обширен доклад; дата, описание на това, което е възстановено, и резултатът обикновено са достатъчни, за да покажете на клиент, че възстановяването не е предположение.
Какво документирате и какво не
Тест за възстановяване е работа на хора: някой възстановява система, измерва колко време отнема и проверява дали данните са правилни. Тази работа вършите вие сами или я поръчвате на вашия партньор за администриране; платформа не може да го направи вместо вас, както не може да замени нито един пенетрационен тест, нито одит. Това, което помага, е място, където резултатът на всеки тест стои заедно с другите мерки за отговорност, така че при следващия въпросник да не трябва да търсите кога е било последния път.
Ако още не знаете дали вашата организация сама попада под задължението за отговорност, или само чрез клиент сте изправени пред тези въпроси, дава в пет въпроса видете къде стоите първа индикация. Ако искате да знаете как обработваме данните, които документирате в такъв файл, как обработваме вашите данни то обяснява. И ако се колебаете дали вашата ситуация точно попада тук, погледнете отговори на въпроси, които често се повтарят или се свържете с надзорния орган за вашия сектор.
Безплатният NIS2-преглед и базата знания на secria.eu показват къде резервното копие и възстановяването точно стоят във вашата ситуация, без да имате нужда от акаунт.