En sikkerhedskopi tæller kun med, hvis du også ved, at gendannelse heraf fungerer. Ikke som en antagelse, men som noget, du faktisk har prøvet: udført en gendannelse, målt hvor lang tid det tog, og kontrolleret, at alt var der igen, som det skulle være. Uden denne test ved du kun, at der findes en kopi et eller andet sted — ikke om denne kopi nogensinde hjælper dig.
For en installationsvirksomhed er det ikke et teoretisk spørgsmål. Bag planlægningen af teknikere, adgangskoderne til kunders bygninger og forbindelserne med sikkerhedssystemer ligger systemer, der, hvis de svigter, ikke kun påvirker din egen forretningsdrift, men også en kundes adgang til hans eget område. Den, der betjener serviceholdet, som betjener en dør, en alarm eller en klimaanlæg på afstand, er for denne kunde et led, som skal bare fortsætte med at fungere.
Hvorfor en uafprøvet sikkerhedskopi ikke tæller
En sikkerhedskopi kan blive ubrugelig af mange årsager på det tidspunkt, hvor du har brug for den. Filen er beskadiget, nøglen til at dekryptere den mangler, rækkefølgen, hvori systemer skal gendannes, er dokumenteret ingen steder, eller det tager bare meget længere tid end nogen havde forventet. Du bemærker det ikke på en rolig tirsdag — du bemærker det i det øjeblik, hvor planlægningen for alle teknikere er faldet ud, og en kunde spørger, hvorfor hans adgangssystem ikke har svaret i to dage.
Den forpligtelse til at varetage ansvaret, som følger af NIS2-direktivet, nævner sikkerhedskopier og gendannelse således ikke som en teknisk detalje, men som en af de grundlæggende foranstaltninger. Det, som direktivet selv ikke gør, er at foreskrive en fast testfrekvens — hvor ofte du tester, er angivet ingen steder som et konkret tal i teksten. Tilsynsmyndigheder ser typisk på sådanne foranstaltninger, om en organisation kan påvise, at den ved, hvilke systemer der er kritiske, og at den regelmæssigt kontrollerer, at gendannelse rent faktisk fungerer, passende til hvor afhængig virksomheden er af disse systemer.
Hvad der specifikt påvirker installationsbedrifter
For en installationsvirksomhed handler det ikke kun om egen regnskabsføring. Tænk på planlægningssoftwaren, hvor teknikere får deres ruter og opgaver, CRM'en med kontraktoplysninger og garantitider for kunder, og forbindelserne med adgangssystemer eller bygningsledesystemer hos opdrraggiver. En tekniker, som via en VPN-forbindelse kan få adgang til en kundes netværk, er for denne kunde en ekstra dør indefra — en dør, som også skal kunne lukkes, hvis der går noget galt.
Netop disse forbindelser gør gendannelse mere kompliceret end på et almindeligt kontorsystem. Det handler ikke kun om at gendanne dine egne data, men også om spørgsmålet om, hvorvidt adgangsrettigheder, certifikater og adgangskoder til kundemiljøer efter en gendannelse stadig er korrekte. En test, som kun gendanner dit eget filsystem, siger lidt om, hvorvidt forbindelsen med en kunde efter en fejl igen fungerer som aftalt.
Hvad en test konkret består af
En brugbar gendannelsestest består af nogle få faste komponenter: du gendanner faktisk en sikkerhedskopi, helst i et separat miljø, så testen ikke udgør en risiko for igangværende arbejde. Du måler, hvor lang tid det tager, og sammenligner det med, hvad der er acceptabelt for din planlægning og for aftaler med opdraguivere. Du kontrollerer, at alle data er komplet og brugbar, herunder forbindelser med eksterne systemer. Og du dokumenterer, hvem der udførte testen, hvornår, og hvad der kom ud af det — også hvis resultatet ikke var godt, for netop det er anledningen til at forbedre noget.
Denne dokumentation er samtidig det bevisstykke, som en opdrggiver kan spørge om i et sikkerhedsspørgeskema, og den del, som en tilsynsmyndighed forventer at finde i et dossier om ansvarsvaretagelsen. Den, der for sin egen skyld ønsker at kontrollere, om dette dossier allerede er i orden, eller om det skal påbegyndes, finder i et kort tjek over hvor du står nu en første retning med en forklaring på hvorfor.
For virksomheder, der ikke er sikre på, om disse forpligtelser rammer dem direkte eller primært kommer gennem en kundes krav, er sondringen mellem selv at være omfattet og at blive ramt via værdikæden ofte udgangspunktet. Den forskel og hvad den betyder for resten af dine foranstaltninger, er udfoldet mellem emner, der er valgt ud efter situation.
Den, der efter at have læst denne slags foranstaltninger især sidder tilbage med praktiske spørgsmål — om hvad en konto indebærer, hvad der forbliver gratis og hvad der ikke gør — finder de fleste svar tilbage under ofte stillede spørgsmål om platformen. Og for den, der faktisk ønsker at vedligeholde registreringen med en status og en ejer pr. foranstaltning, finder du på siden med abonnementerne hvad der hører til.
Om en uafprøvet sikkerhedskopi udgør en risiko, som en tilsynsmyndighed vurderer anderledes end en afprøvet, er ikke noget, som denne artikel kan fastslå for dig — det afhænger af dine egne systemer og aftaler, og for det forbliver vejen til en jurist eller tilsynsmyndigheden den rigtige. Ønsker du dog først selv at få et billede af hvor du står, så udfør gerne det gratis quick-scan eller gennemse de emner, der er udfoldet for din sektor.