Резервното копие се счита само ако сте тестирали, че можете да се възстановите с него — не само дали файлът е там, а дали изходният код, разработката и свързаните тайни се връщат в работно състояние след инцидент. При разработка на софтуер не е само хранилище, което можете да възстановите, а цяла верига: управление на версиите, сървъри за компилиране, конвейери, тестови среди и ключовете и маркерите, които им принадлежат. Без тестирана процедура за възстановяване узнавате дали работи едва по време на инцидент, и това е най-лошият момент да разберете.
Задължението за отговорност на NIS2 споменава експлицитно непрекъснатостта и възстановяването като част от десетте мерки от член 21. Директивата не предписва固определена честота на тестване нито конкретна форма — това се определя за всяка организация, а националната интерпретация може да добави собствени акценти. Това, което винаги се появява, в контролните списъци на получателите и в това, което надзирателните органи считат за разумно, е разликата между наличието на резервно копие и резервно копие, което сте възстановили и знаете, че резултатът работи.
Какво означава точно "тестван"
Тестване не е същото като зелена отметка в софтуера за резервни копия. Тестване означава, че някой действително е възстановил резервното копие в отделна среда, е проверил дали кодът се компилира, дали компилирането е успешно и дали приложението функционира както се очаква. Само тогава знаете дали моментът на възстановяване е използваем и колко време отнема. Резервно копие, което се прави, но никога не се възстановява, е на практика предположение за възстановяване, а не доказано възстановяване.
Какво точно възстановявате в разработката
При разработка на софтуер исходният код рядко е единственото, което можете да загубите. Помислете за конфигурацията на CI/CD тръбопровода, скриптовете за изграждане, зависимостите на външни пакети, ключовете за достъп до хранилища и облачни среди, както и историята в самата система за управление на версиите. План за възстановяване, който покрива само кода, но не и тръбопровода или мистериозните данни, оставя организацията неподвижна след инцидент. Затова е полезно за всеки от тези компоненти отделно да се определи: където се съхранява резервното копие, кой може да го възстанови, и е ли това някога тренирано.
Колко често тестването е разумно
В директивата няма определена периодичност за това колко често трябва да провеждате тест за възстановяване. Това, което в практиката се счита за разумно, зависи от това колко често се променя средата: разработчически канал, който сменя конфигурацията на тръбопровода седмично, изисква по-чести тестване от стабилна среда, която остава неизменна месеци. Много организации избират фиксирана календарна честота — например всеки тримесец — комбинирана с тест след всяка значителна промяна в инфраструктурата. По-важно от честотата е, че е имало момент и че можете да посочите кога.
Какво документирате като доказателство
Клиент, който изпраща списък с въпроси за сигурност, рядко пита за техниката зад вашето резервно копие. Въпросът обикновено е по-прост: кога е тестирано последният път, от кого и какъв беше резултатът. За да отговорите на този въпрос, е достатъчно да документирате три неща: датата на последния тест за възстановяване, кой е провел теста и какъв компонент е възстановен — код, тръбопровод, мистериозни данни или всичко това. Без такава документация отговорът на списъка с въпроси остава спомен вместо доказателство, и именно това е разликата, която оценяващият отсреща на масата иска да види.
Връзката с останалата част на досието
Архивирането и възстановяването рядко стоят самостоятелно. Кой има право да извършва процедурата на възстановяване, зависи от управлението на достъпа до разработващия конвейер; това, което се е объркало по време на прекъсване, трябва да бъде включено в същия регистър на инцидентите, който се поддържа и за други мерки. Установяването на такъв досие не трябва да бъде отделен проект: десетте мерки разпределени по ситуация показва къде точно архивирането и възстановяването се вписват в целокупната картина и кои други мерки са пряко свързани с тях.
Дали архивирането и възстановяването се считат за мярка по грижата за вашата организация, зависи от това дали вие самите попадате под NIS2 или получавате този въпрос от ordenанта, който попада. в няколко въпроса видете къде стоите дава първоначален показател за това, с обяснение защо. Как стигаме до този показател и кои източници стоят в основата му, е обяснено на страницата за нашия работен процес.
Архивиране, което никога не е било възстановено, не е гаранция — това е въпрос, който чака отговор. Искате ли да знаете дали и как тази мярка е релевантна за вашата организация и какво друго е включено? Направете безплатното бързо сканиране или разгледайте най-честите въпроси относно NIS2 за въпросите, които други предприемачи вече задаха.