Sikkerhedskopier og gendannelse i it-serviceydelser: hvornår testede du det sidste gang?
Spørgsmålet "har du en sikkerhedskopi" er ikke det afgørende spørgsmål. Det afgørende spørgsmål er: hvornår forsøgte nogen sidst at gendanne et system fra den sikkerhedskopi, og hvor lang tid tog det? En sikkerhedskopi, der oprettes, men aldrig gendannes, er i praksis en antagelse. Tilsynsmyndigheder og kunder, der støtter sig til sikkerhedskravene i NIS2-direktivet, ser derfor ikke blot på, om der findes en sikkerhedskopipolitik, men på beviset for, at gendannelse faktisk virker.
For en it-serviceudbyder er dette ikke en bisag. Du administrerer ofte ikke kun dit eget miljø, men også kundesystemer på afstand, nogle gange med hjælp fra en underleverandør. Hvis noget går galt der, betyder det ikke, hvem der lavede fejlen, men om gendannelsen virkede inden for en tid, som kunden kunne forsvare. Det gør gendannelsestesten til et af de få tiltag, du ikke kan håndtere med et dokument.
Hvorfor en uafprøvet sikkerhedskopi ikke tæller
En sikkerhedskopi kan af mange årsager ikke være brugbar: en beskadiget fil, en forkert konfiguration, en adgangskode, som ingen længere kender, eller en gendannelsesprocedure, der på papiret er korrekt, men i praksis tager tre dage i stedet for tre timer. Ingen af disse problemer bliver synlige, før nogen faktisk bruger sikkerhedskopien. Artikel 21 i NIS2-direktivet nævner eksplicit sikkerhedskopi- og gendannelsespolitik som en del af de sikkerhedskrav, som en organisation skal tage i betragtning hos sine leverandører. I praksis betyder det, at en kunde, der selv er omfattet af sikkerhedskravene, spørger sin it-leverandør, hvordan gendannelse er organiseret, og i stigende grad, hvornår det sidst er blevet testet.
Hvad en tilsynsmyndighed eller kunde forstår ved "testet", er ikke ensartet fastlagt, men kernespørgsmålet kommer igen og igen: har der været et tidspunkt, hvor et system eller et datasæt faktisk er blevet gendannet, adskilt fra produktionsmiljøet, og er resultatet dokumenteret? En testrapport med en dato og et resultat er noget helt tredje end en intern meddelelse om, at "sikkerhedskopierne kører".
Fjernadministration: hvis sikkerhedskopi er det egentlig
Ved fjernadministration ligger sikkerhedskopien af et kundesystem ofte ikke fysisk hos kunden, men hos serviceudbyder eller hos en cloud-tjeneste, som serviceudbyder har indrettet på vegne af kunden. Det flytter et spørgsmål, der på første blik ser teknisk ud, til et spørgsmål om ansvar: hvem tester, hvem opbevarer testresultatet, og hvem kan demonstrere, at gendannelse virker, når kunden spørger? Et sikkerhedsspørgeskema fra en kunde bliver her stadigt mere konkret, og "det gør vores hostingudbyder" er ikke et svar for en tilsynsmyndighed eller en revisor — det er en henvisning, der kræver din egen kontrol.
Det er derfor klogt at fastlægge for hvert kundesystem, hvem der har adgang til sikkerhedskopien, hvordan adgangen er sikret, og hvem der er ansvarlig for den seneste gendannelsestest. sikkerhedskravene pr. emne udpegede viser, hvordan sikkerhedskopi og gendannelse relaterer sig til andre tiltag fra sikkerhedskravene, såsom adgangskontrol og hændelsesregistrering.
Underleverandører: hvem tester hvad
Mange it-serviceudbyderere arbejder med underleverandører til specifikke dele: en udbyder af hosting, en part, der administrerer firewallen, en freelancer, der ruller patches ud. Hvis en af dem også administrerer sikkerhedskopien, bliver gendannelsestesten let mist mellem to parter: serviceudbyder tror, at underleverandøren tester, underleverandøren tror, at det ikke er hans opgave. For kunden betyder det ingen forskel — han stiller spørgsmålet til den part, han har en kontrakt med.
Det er derfor virkelig værd at præcisere eksplicit i aftaler med en underleverandør, hvem der udfører genoprettelsestesten, hvor ofte, og hvem der gemmer dokumentationen. Dokumentationen behøver ikke at være en omfattende rapport; en dato, en beskrivelse af hvad der blev gendannet, og resultatet er som regel tilstrækkeligt til at vise en klient, at genoprettelse ikke er et antagelse.
Hvad du dokumenterer, og hvad du ikke gør
En genoprettelsestest er manualarbejde: nogen genopretter et system, måler hvor lang tid det tager, og kontrollerer om dataene stemmer. Det arbejde udfører du selv eller lader din driftsleverandør gøre det; en platform kan ikke gøre det for dig, ligesom den ikke kan erstatte en penetrationstest eller en audit. Hvad der hjælper, er et sted hvor resultatet af hver test sammen med de øvrige foranstaltninger til risikobeherskelse er samlet, så du ved næste spørgeskema ikke skal søge efter hvornår det sidst blev gjort.
Hvis du endnu ikke ved, om din organisation selv falder ind under forpligtelsen til risikobeherskelse, eller kun kommer i berøring med disse spørgsmål via en klient, i fem spørgsmål se hvor du står giver en første indikation. Vil du vide hvordan vi håndterer de data, som du registrerer i et sådant dossier, hvordan vi håndterer dine data forklarer det. Og hvis du er usikker på, om din situation præcis passer her, så kig under svar på spørgsmål der kommer oftere eller kontakt tilsynsmyndigheden for din sektor.
Den gratis NIS2-check og videnbanken på secria.eu viser hvor sikkerhedskopier og genoprettelse står præcist i din situation, uden at du skal have en konto.