Zálohování se počítá pouze v případě, že jste také otestovali, že jej můžete obnovit — nejen zda soubor existuje, ale zda se zdrojový kód, vývojový pipeline a související tajemství po incidentu vrátí do funkčního stavu. Při vývoji softwaru nejde jen o repositář, který lze obnovit, ale o celý řetězec: správu verzí, build-servery, pipelines, testovací prostředí a klíče a tokeny, které k tomu patří. Bez otestovaného postupu obnovení zjistíte až během incidentu, zda to funguje, a to je nejhorší čas, kdy se to dozvědět.
Povinnost péče v rámci NIS2 explicitně uvádí kontinuitu a obnovu jako součást deseti opatření z článku 21. Směrnice nestanovuje pevnou frekvenci testování ani konkrétní formu — to se vyplňuje pro každou organizaci, a národní implementace může přidat vlastní akcenty. Ovšem to, co se stále objevuje v checklistech odběratelů a co regulátoři považují za rozumné, je rozdíl mezi tím, že máte zálohování a tím, že máte zálohování, které jste obnovili a víte, že výsledek funguje.
Co přesně znamená "otestováno"
Test není totéž jako zelená fajfka v zálohovacím software. Otestováno znamená, že někdo skutečně obnovil zálohu v samostatném prostředí, ověřil, že se kód kompiluje, že se build podaří a že aplikace funguje podle očekávání. Teprve pak víte, zda je moment obnovení použitelný a kolik času to zabere. Zálohování, které se sice provádí, ale nikdy se neobnovuje, je v praxi předpoklad obnovy, ne prokázaná obnova.
Co konkrétně obnovujete v rámci vývojového pipeline
Při vývoji softwaru je zdrojový kód jen zřídka jediná věc, kterou můžete ztratit. Vezměte si konfiguraci CI/CD pipeline, build-skripty, závislosti externích balíčků, přístupové klíče pro registries a cloudová prostředí a historii v samotném systému správy verzí. Plán obnovy, který pokrývá pouze kód, ale ne pipeline nebo tajemství, ponechává organizaci po incidentu stále v nečinnosti. Proto má smysl určit pro každou z těchto součástí zvlášť: kde je zálohování, kdo jej může obnovit a bylo to někdy procvičeno.
Jak často je rozumné testování
Směrnice neuvádí pevnou lhůtu pro frekvenci testování obnovy. Co se v praxi jeví jako rozumné, závisí na tom, jak často se prostředí mění: vývojový pipeline, který týdně mění konfiguraci, si žádá časté testování více než stabilní prostředí, které měsíce zůstává nezměněno. Mnoho organizací zvolí pevný časový bod — například každý čtvrtletí — kombinovaný s testem po každé větší změně infrastruktury. Důležitější než frekvence je, že vůbec došlo k jednomu okamžiku a že můžete uvést, kdy.
Co si zaznamenáte jako důkaz
Odběratel, který pošle checklist bezpečnosti, vzácně ptá na techniku za vaším zálohováním. Otázka je obvykle jednodušší: kdy to bylo naposledy testováno, kdo test provedl a jaký byl výsledek. Pro tuto odpověď stačí zaznamenat tři věci: datum posledního testu obnovy, kdo test provedl a která součást byla obnovena — kód, pipeline, tajemství nebo všechny tři. Bez tohoto záznam zůstává odpověď v checkliste vzpomínkou namísto důkazu, a to je přesně rozdíl, který chce vidět vyhodnocovatel na druhé straně stolu.
Souvislost se zbytkem dossier
Zálohování a obnovení se vzácně řeší odděleně. Kdo smí postup obnovení provádět, souvisí se správou přístupu do vývojové linky; co se během výpadku pokazilo, náleží do stejné evidence incidentů, kterou vedete i pro ostatní opatření. Nastavit takový spis nemusí být samostatný projekt: deset opatření rozepsaná podle situace ukazuje, kde se zálohování a obnovení v celku přesně umísťují, a která další opatření se jich přímo dotýkají.
Zda se zálohování a obnovení pro vaši organizaci řadí mezi opatření péče, závisí na tom, zda sami podléháte NIS2, nebo zda vám tuto otázku pokládá objednavatel, který jí podléhá. v několika otázkách vidět, kde se nacházíte dává na to první ukazatel se vysvětlením, proč. Jak jsme k tomuto ukazateli dospěli a jaké zdroje v tom hrají roli, je vysvětleno na stránce o našem postupu.
Záloha, která nebyla nikdy obnovena, není záruka — je to otázka, která čeká na odpověď. Chcete vědět, zda a jak je toto opatření pro vaši organizaci relevantní, a co s tím souvisí? Absolvujte bezplatný rychlý test nebo si projděte nejčastěji kladené otázky o NIS2 na otázky, které již ostatní podnikatelé položili.