Zálohování a obnova v poskytování ICT služeb: kdy jste to naposledy testoval(a)?
Otázka "máte zálohování" není otázka, která má smysl. Smysl má otázka: kdy se naposledy někdo pokusil z té zálohy skutečně obnovit systém a jak dlouho to trvalo? Zálohování, které se sice provádí, ale nikdy se neobnovuje, je v praxi pouze předpoklad. Orgány dohledu a odběratelé, kteří se opírají o opatření k řízení rizik z směrnice NIS2, proto nehledí pouze na existenci zálohovací politiky, ale na důkaz, že obnova skutečně funguje.
Pro poskytovatele služeb ICT to není okrajová záležitost. Často nespravujete pouze svoje vlastní prostředí, ale také systémy zákazníků, a to na dálku, někdy s pomocí subdodavatele. Pokud se tam něco pokazí, nejde o to, kdo chybu udělal, ale zda se obnovení podařilo dokončit v čase, který si zákazník mohl ospravedlnit. To dělá z testu obnovení jednu z mála opatření, kterou si nemůžete odbýt pouhým dokumentem.
Proč se neotestovaná záloha nepočítá
Záloha z mnoha důvodů nemusí být použitelná: poškozený soubor, chybná konfigurace, heslo, které už nikdo nezná, nebo postup obnovy, který je teoreticky správný, ale v praxi trvá tři dny místo tří hodin. Žádný z těchto problémů se neobjeví, dokud někdo zálohu skutečně nepoužije. Článek 21 směrnice NIS2 explicitně zmiňuje zásady zálohování a obnovy jako součást opatření ke zvládání rizik, která organizace zohledňuje u svých dodavatelů. V praxi to znamená, že odběratel, který sám podléhá povinnosti péče, se svého ICT-dodavatele ptá, jak je obnova zajištěna, a stále častěji i na to, kdy byla naposledy otestována.
Co má regulátor nebo odběratel na mysli pod pojmem "otestováno", není jednotně stanoveno, ale klíčová otázka se vrací stále znovu: byl moment, kdy byl systém nebo datová sada skutečně obnoven mimo produkční prostředí, a byla výsledek zdokumentován? Testovací zpráva s datem a výsledkem je něco jiného než interní komunikace o tom, že "zálohy fungují".
Správa na dálku: čí záloha to vlastně je
Při správě na dálku se záloha zákaznického systému často nenachází fyzicky u zákazníka, ale u poskytovatele služeb nebo u cloudové služby, kterou poskytovatel namísto zákazníka zřídil. To posunuje otázku, která se na první pohled zdá být technická, na otázku odpovědnosti: kdo testuje, kdo uchovává výsledek testu a kdo může prokázat, že obnovení funguje, pokud o to zákazník požádá? Bezpečnostní dotazník příjemce se zde stále více zaměřuje konkrétně na to, a "to dělá naše hostingová partnerská společnost" není odpovědí pro dohledový orgán nebo auditora — jedná se o odkaz, který vyžaduje vlastní kontrolu.
Proto je rozumné stanovit pro každý zákaznický systém, kdo má přístup k záloze, jak je tento přístup zabezpečen a kdo je odpovědný za poslední test obnovení. opatření povinné péče rozčleněná podle tématu ukazuje, jak se záloha a obnovení vztahují k dalším opatřením z povinné péče, jako je kontrola přístupu a registrace incidentů.
Subdodavatelé: kdo testuje co
Mnoho poskytovatelů ICT služeb pracuje se subdodavateli na specifických částech: hostingová společnost, společnost spravující firewall, freelancer, který zavádí opravy. Pokud jeden z nich také spravuje zálohu, test obnovení snadno zmizí mezi dvěma stranami: poskytovatel služeb si myslí, že subdodavatel testuje, subdodavatel si myslí, že to není součástí jeho úkolu. Pro příjemce to nemá žádný rozdíl — ten položí otázku straně, se kterou má podepsanou smlouvu.
Proto je proto vhodné výslovně specifikovat ve smlouvě s podpůrcem, kdo provádí test obnovení, jak často a kdo si dokument o obnovení ponechává. Tento dokument nemusí být rozšířenou zprávou; datum, popis toho, co bylo obnoveno a výsledek obvykle stačí na to, aby si odběratel mohl být jistý, že obnovení není jen předpoklad.
Co si zaznamenáte a co ne
Test obnovení je práce lidí: někdo obnoví systém, změří, jak dlouho to trvá, a zkontroluje, zda se data shodují. Tuto práci provádíte sami nebo ji necháte provádět svou správní společností; platforma to za vás nemůže provádět, stejně jako nemůže nahradit pentest nebo audit. Co pomáhá, je místo, kde je výsledek každého testu spolu s ostatními opatřeními péče o bezpečnost soustředěn na jednom místě, abyste nemuseli při příští dotazníku hledat, kdy se to poslední krát stalo.
Pokud ještě nevíte, zda vaše organizace sama podléhá povinnosti péče o bezpečnost, nebo se s těmito otázkami setkáváte pouze prostřednictvím odběratele, v pěti otázkách si objasnit vaši situaci poskytuje první indicii. Chcete-li vědět, jak zacházíme s údaji, které si do takového spisu zaznamenáte, jak zacházíme s vašimi údaji to vysvětluje. A pokud si nejste jisti, zda se vaše situace přesně týká, podívejte se na odpovědi na často se vracející otázky nebo se poraďte se správcem dohledu pro váš sektor.
Bezplatná NIS2-kontrola a znalostní báze na secria.eu ukazují, kde se zálohování a obnovení ve vaší situaci přesně nachází, aniž byste potřebovali účet.