Αντίγραφα ασφαλείας και ανάκαμψη στην παροχή υπηρεσιών ΤΠ: πότε το δοκιμάσατε τελευταία φορά;
Το ερώτημα "έχετε αντίγραφο ασφαλείας" δεν είναι το ερώτημα που μετράει. Το ερώτημα που μετράει είναι: πότε δοκίμασε κάποιος τελευταία να αποκαταστήσει ένα σύστημα πραγματικά από αυτό το αντίγραφο ασφαλείας, και πόσο χρόνο χρειάστηκε; Ένα αντίγραφο ασφαλείας που γίνεται αλλά δεν αποκαθίσταται ποτέ, είναι στην πράξη μια υπόθεση. Οι αρχές εποπτείας και οι αγοραστές που βασίζονται στα μέτρα υποχρέωσης διαχείρισης κινδύνου από την Οδηγία NIS2 δεν εξετάζουν μόνο την ύπαρξη μιας πολιτικής αντιγράφων ασφαλείας, αλλά το απόδεικτικό στοιχείο ότι η ανάκτηση λειτουργεί πράγματι.
Για έναν πάροχο υπηρεσιών ΤΠΕ, αυτό δεν είναι δευτερεύον θέμα. Διαχειρίζεστε συχνά όχι μόνο το δικό σας περιβάλλον, αλλά και συστήματα πελατών, εξ αποστάσεως, μερικές φορές με τη βοήθεια ενός υπεργολάβου. Αν κάτι πάει στραβά εκεί, δεν μετράει ποιος έκανε το λάθος, αλλά αν η ανάκτηση λειτούργησε εντός χρόνου που ο πελάτης μπορούσε να δικαιολογήσει. Αυτό καθιστά τη δοκιμή ανάκτησης ένα από τα λίγα μέτρα που δεν μπορείτε να το παραπεμφθείτε με ένα έγγραφο.
Γιατί ένα δοκιμασμένο αντίγραφο ασφαλείας δεν λαμβάνεται υπόψη
Ένα αντίγραφο ασφαλείας μπορεί να μην είναι χρήσιμο για διάφορους λόγους: ένα κατεστραμμένο αρχείο, μια λανθασμένη διαμόρφωση, ένας κωδικός πρόσβασης που κανείς δεν θυμάται, ή μια διαδικασία ανάκτησης που φαίνεται σωστή στο χαρτί αλλά στην πράξη διαρκεί τρεις ημέρες αντί για τρεις ώρες. Κανένα από αυτά τα προβλήματα δεν γίνεται ορατό μέχρι κάποιος να χρησιμοποιήσει πραγματικά το αντίγραφο ασφαλείας. Το άρθρο 21 της Οδηγίας NIS2 αναφέρει ρητά την πολιτική αντιγράφων ασφαλείας και ανάκτησης ως μέρος των μέτρων υποχρέωσης διαχείρισης κινδύνου που λαμβάνει υπόψη μια οργάνωση τους προμηθευτές της. Αυτό σημαίνει στην πράξη ότι ένας αγοραστής που ο ίδιος υπόκειται στην υποχρέωση διαχείρισης κινδύνου, ρωτάει τον προμηθευτή ΤΠΕ του πώς είναι διατεταγμένη η ανάκτηση και, όλο και περισσότερο, πότε δοκιμάστηκε τελευταία.
Αυτό που μια αρχή εποπτείας ή ένας αγοραστής εννοεί με "δοκιμασμένο" δεν καθορίζεται ομοιόμορφα, αλλά το βασικό ερώτημα επανέρχεται πάντα: έχει υπάρξει στιγμή κατά την οποία ένα σύστημα ή ένα σύνολο δεδομένων έχει πραγματικά αποκατασταθεί, χωρίστηκε από το περιβάλλον παραγωγής, και έχει καταγραφεί το αποτέλεσμα; Μια εκθέση δοκιμής με ημερομηνία και αποτέλεσμα είναι κάτι διαφορετικό από μια εσωτερική ανακοίνωση ότι "τα αντίγραφα ασφαλείας λειτουργούν".
Διαχείριση εξ αποστάσεως: τεσ αντίγραφο ασφαλείας είναι ποιου στ αλήθεια
Στη διαχείριση εξ αποστάσεως, το αντίγραφο ασφαλείας ενός συστήματος πελάτη συχνά δεν βρίσκεται φυσικά στον πελάτη, αλλά στον πάροχο υπηρεσιών, ή σε μια υπηρεσία σύννεφου που ο πάροχος έχει δημιουργήσει για λογαριασμό του πελάτη. Αυτό μετατοπίζει ένα ερώτημα που φαίνεται με την πρώτη ματιά τεχνικό σε ένα ερώτημα σχετικά με την ευθύνη: ποιος δοκιμάζει, ποιος φυλάσσει το αποτέλεσμα της δοκιμής, και ποιος μπορεί να αποδείξει ότι η ανάκτηση λειτουργεί αν ο πελάτης το ζητήσει; Μια λίστα ερωτήσεων ασφάλειας από έναν αγοραστή ρωτάει εδώ όλο και συγκεκριμένα, και "αυτό κάνει ο πάροχος φιλοξενίας μας" δεν είναι απάντηση για μια αρχή εποπτείας ή έναν ελεγκτή — είναι μια παραπομπή που απαιτεί έναν ίδιο έλεγχο.
Είναι λοιπόν σκόπιμο να δοθεί με σαφήνεια για κάθε σύστημα πελάτη ποιος έχει πρόσβαση στο αντίγραφο ασφαλείας, πώς είναι ασφαλισμένη η πρόσβαση αυτή, και ποιος είναι υπεύθυνος για την τελευταία δοκιμή ανάκτησης. τα μέτρα υποχρέωσης διαχείρισης κινδύνου ανά θέμα αναζήτησε δείχνει πώς σχετίζεται το αντίγραφο ασφαλείας και η ανάκτηση με τα άλλα μέτρα από την υποχρέωση διαχείρισης κινδύνου, όπως ο έλεγχος πρόσβασης και η εγγραφή περιστατικού.
Υπεργολάβοι: ποιος δοκιμάζει τι
Πολλοί πάροχοι υπηρεσιών ΤΠΕ εργάζονται με υπεργολάβους για συγκεκριμένα μέρη: έναν πάροχο φιλοξενίας, έναν πάροχο που διαχειρίζεται το τείχος προστασίας, έναν ελεύθερο επαγγελματία που διαδίδει διορθώσεις. Αν ένας από αυτούς διαχειρίζεται επίσης το αντίγραφο ασφαλείας, η δοκιμή ανάκτησης εύκολα χάνεται μεταξύ δύο μερών: ο πάροχος υπηρεσιών νομίζει ότι ο υπεργολάβος δοκιμάζει, ο υπεργολάβος νομίζει ότι δεν είναι μέρος της ανάθεσής του. Για τον αγοραστή αυτό δεν κάνει διαφορά — ο αγοραστής κάνει το ερώτημα στο μέρος με το οποίο έχει ένα συμβόλαιο.
Γι' αυτό το λόγο είναι σκόπιμο να καθορίσετε ρητά στις συμφωνίες με έναν υπεργολάβο ποιος διεξάγει τη δοκιμή ανάκαμψης, πόσο συχνά και ποιος διαφυλάσσει το αποδεικτικό στοιχείο. Το αποδεικτικό στοιχείο δεν χρειάζεται να είναι μια εκτενής έκθεση· ένα χρονοσήμανση, μια περιγραφή του τι αποκαταστάθηκε και το αποτέλεσμα είναι συνήθως αρκετά για να δείξετε σε έναν πελάτη ότι η ανάκαμψη δεν είναι μια υπόθεση.
Τι καταγράφετε και τι όχι
Μια δοκιμή ανάκαμψης είναι χειρωνακτικό έργο: κάποιος επαναφέρει ένα σύστημα, μετρά πόσο καιρό διαρκεί και ελέγχει αν τα δεδομένα είναι σωστά. Αυτό το έργο το εκτελείτε εσείς ή το ανατίθετε στον διαχειριστή σας· μια πλατφόρμα δεν μπορεί να το κάνει για σας, όπως επίσης δεν μπορεί να αντικαταστήσει μια δοκιμή διείσδυσης ή ένα έλεγχο. Αυτό που βοηθάει, όμως, είναι ένας χώρος όπου το αποτέλεσμα κάθε δοκιμής βρίσκεται μαζί με τα άλλα μέτρα διαχείρισης κινδύνων, ώστε κατά την επόμενη ερώτηση να μην χρειάζεται να ψάχνετε για το πότε έγινε τελευταία φορά.
Αν δεν γνωρίζετε ακόμη αν η οργάνωσή σας υπόκειται στον υποχρεωτικό νόμο, ή αν αντιμετωπίζετε αυτές τις ερωτήσεις μόνο μέσω ενός πελάτη, σε πέντε ερωτήσεις δείτε που βρίσκεστε δίνει ένα πρώτο στοιχείο. Αν θέλετε να γνωρίσετε πώς χειριζόμαστε τα δεδομένα που καταγράφετε σε τέτοιο ένα δοσιέ, πώς χειριζόμαστε τα δεδομένα σας το εξηγεί. Και αν αμφιβάλλετε αν η κατάστασή σας ταιριάζει ακριβώς εδώ, δείτε στο απαντήσεις σε ερωτήσεις που εμφανίζονται συχνότερα ή επικοινωνήστε με την αρχή εποπτείας του τομέα σας.
Η δωρεάν δοκιμή NIS2 και η βάση γνώσης στο secria.eu δείχνουν πού στέκεται ακριβώς η δημιουργία αντιγράφων και η ανάκαμψη στην κατάστασή σας, χωρίς να χρειάζεται λογαριασμό.