Ένα αντίγραφο ασφαλείας μετράει μόνο εάν έχετε δοκιμάσει ότι μπορείτε να το ανακτήσετε — όχι μόνο εάν το αρχείο υπάρχει, αλλά εάν ο πηγαίος κώδικας, η γραμμή παραγωγής και τα σχετικά μυστικά μετά από ένα περιστατικό επανέρχονται σε λειτουργία. Στην ανάπτυξη λογισμικού δεν πρόκειται μόνο για ένα αποθετήριο που μπορείτε να επαναφέρετε, αλλά για ολόκληρη μια αλυσίδα: έλεγχος εκδόσεων, διακομιστές κατασκευής, αγωγοί, περιβάλλοντα δοκιμών και τα κλειδιά και τα σήματα που τα συνοδεύουν. Χωρίς μια δοκιμασμένη διαδικασία ανάκαμψης, θα ξέρετε μόνο κατά τη διάρκεια ενός περιστατικού εάν λειτουργεί, και αυτή είναι η χειρότερη στιγμή να το ανακαλύψετε.
Ο κανονισμός NIS2 για την φροντίδα και την ευθύνη αναφέρει ρητά τη συνέχεια και την ανάκαμψη ως μέρος των δέκα μέτρων του άρθρου 21. Η ευρωπαϊκή κατευθυντήρια γραμμή δεν προσδιορίζει σταθερή συχνότητα δοκιμής ούτε συγκεκριμένη μορφή — αυτά συμπληρώνονται ανά οργανισμό, και η εθνική μεταφορά μπορεί να προσθέσει τις δικές της έμφασης. Αυτό που επανέρχεται πάντα, τόσο στις λίστες ελέγχου από τους αγοραστές όσο και στο τι θεωρούν οι ρυθμιστικές αρχές λογικό, είναι η διάκριση μεταξύ του να έχετε ένα αντίγραφο ασφαλείας και ενός αντιγράφου ασφαλείας που έχετε πράγματι επαναφέρει και γνωρίζετε ότι το αποτέλεσμα λειτουργεί.
Τι ακριβώς σημαίνει 'δοκιμασμένο'
Μια δοκιμή δεν είναι το ίδιο με ένα πράσινο κροσάκι στο λογισμικό αντιγράφου ασφαλείας. Δοκιμασμένο σημαίνει ότι κάποιος έχει πράγματι επαναφέρει το αντίγραφο ασφαλείας σε ένα ξεχωριστό περιβάλλον, έχει ελέγξει εάν ο κώδικας μεταγλωττίζεται, εάν η κατασκευή είναι επιτυχής και εάν η εφαρμογή λειτουργεί όπως αναμένεται. Μόνο τότε γνωρίζετε εάν η στιγμή ανάκαμψης είναι χρήσιμη και πόσο χρόνο διαρκεί. Ένα αντίγραφο ασφαλείας που δημιουργείται αλλά ποτέ δεν επαναφέρεται είναι, στην πράξη, μια υπόθεση σχετικά με την ανάκαμψη, όχι μια δεδομένη ανάκαμψη.
Τι ακριβώς ανακτάτε στη γραμμή παραγωγής
Στην ανάπτυξη λογισμικού, ο πηγαίος κώδικας είναι σπάνια το μόνο πράγμα που μπορεί να χαθεί. Σκεφτείτε τη διαμόρφωση του αγωγού CI/CD, τα σενάρια κατασκευής, τις εξαρτήσεις από εξωτερικά πακέτα, τα κλειδιά πρόσβασης για μητρώα και περιβάλλοντα cloud, και το ιστορικό του ίδιου του συστήματος ελέγχου εκδόσεων. Ένα σχέδιο ανάκαμψης που καλύπτει μόνο τον κώδικα αλλά όχι τον αγωγό ή τα μυστικά, αφήνει έναν οργανισμό ακόμη διακοπεί μετά από ένα περιστατικό. Ως εκ τούτου, είναι σημαντικό να καθορίσετε ξεχωριστά για καθένα από αυτά τα στοιχεία: πού βρίσκεται το αντίγραφο ασφαλείας, ποιος μπορεί να το επαναφέρει και έχει αυτό ποτέ αποδειχθεί στην πράξη.
Πόσο συχνά η δοκιμή είναι λογική
Δεν υπάρχει σταθερή περίοδος στην κατευθυντήρια γραμμή για το πόσο συχνά πρέπει να εκτελέσετε μια δοκιμή ανάκαμψης. Αυτό που θεωρείται λογικό στην πράξη σχετίζεται με το πόσο συχνά αλλάζει το περιβάλλον: μια γραμμή παραγωγής που αλλάζει διαμόρφωση αγωγού κάθε εβδομάδα απαιτεί συχνότερη δοκιμή από ένα σταθερό περιβάλλον που παραμένει αμετάβλητο για μήνες. Πολλοί οργανισμοί επιλέγουν μια σταθερή ημερολογιακή περίοδο — για παράδειγμα κάθε τρίμηνο — σε συνδυασμό με μια δοκιμή μετά από κάθε σημαντική αλλαγή στην υποδομή. Σημαντικότερο από τη συχνότητα είναι ότι έχει συμβεί ένα τέτοιο γεγονός, και ότι μπορείτε να αναφέρετε πότε.
Τι καταγράφετε ως απόδειξη
Ένας αγοραστής που στέλνει μια λίστα ελέγχου ασφάλειας σπάνια ρωτά για την τεχνική πίσω από το αντίγραφό σας ασφαλείας. Η ερώτηση είναι συνήθως απλούστερη: πότε δοκιμάστηκε τελευταία, από ποιον και ποιο ήταν το αποτέλεσμα. Για αυτήν την απάντηση αρκεί να καταγράψετε τρία πράγματα: την ημερομηνία της τελευταίας δοκιμής ανάκαμψης, ποιος διεξήγαγε τη δοκιμή και ποιο μέρος επαναφέρθηκε — κώδικας, αγωγός, μυστικά ή και τα τρία. Χωρίς αυτή την καταγραφή, η απάντηση στη λίστα ελέγχου παραμένει ένα περιστατικό στη μνήμη αντί για ένα έγγραφο απόδειξης, και αυτό είναι ακριβώς η διαφορά που ένας αξιολογητής στην άλλη πλευρά του τραπεζιού θέλει να δει.
Η σύνδεση με το υπόλοιπο δοσιέ
Τα αντίγραφα ασφαλείας και η ανάκτηση σπάνια λειτουργούν ανεξάρτητα. Ποιος επιτρέπεται να εκτελέσει τη διαδικασία ανάκτησης εξαρτάται από τον έλεγχο πρόσβασης στη γραμμή ανάπτυξης· αυτό που πήγε στραφορά κατά τη διάρκεια ενός σφάλματος θα πρέπει να καταχωρηθεί στο ίδιο αρχείο περιστατικών που χρησιμοποιείται και για άλλα μέτρα. Η δημιουργία τέτοιου αρχείου δεν χρειάζεται να είναι ξεχωριστό έργο: τα δέκα μέτρα αναλυμένα ανά κατάσταση δείχνει ακριβώς πού εντάσσονται τα αντίγραφα ασφαλείας και η ανάκτηση στο σύνολο, και ποια άλλα μέτρα σχετίζονται άμεσα.
Το αν τα αντίγραφα ασφαλείας και η ανάκτηση θεωρούνται μέτρο διαχείρισης κινδύνου για τον οργανισμό σας εξαρτάται από το αν εσείς αυτοί υπόκεινται στη NIS2 ή εάν λαμβάνετε αυτήν την ερώτηση μέσω ενός αναθέτοντος που υπόκειται. σε λίγες ερωτήσεις δείτε πού στέκεστε παρέχει μια πρώτη ένδειξη, με εξήγηση για το λόγο. Πώς καταλήγουμε σε αυτήν την ένδειξη και ποιες πηγές τη στηρίζουν αναφέρονται στη σελίδα σχετικά με τη μεθοδολογία μας.
Ένα αντίγραφο ασφαλείας που δεν έχει ποτέ ανακτηθεί δεν είναι εγγύηση — είναι μια ερώτηση που περιμένει απάντηση. Θέλετε να μάθετε εάν και πώς αυτό το μέτρο είναι σχετικό για τον οργανισμό σας και τι άλλο περιλαμβάνει; Κάντε τη δωρεάν γρήγορη σάρωση ή περιηγηθείτε στις συχνές ερωτήσεις σχετικά με τη NIS2 για τις ερωτήσεις που άλλοι επιχειρηματίες ήδη έθεσαν.