Varukoopiad ja taastamine IT-teenuses: millal viimati testinud?
Küsimus "kas teil on varukoopia" ei ole oluline küsimus. Oluline küsimus on: millal proovis viimati keegi varukoopiat tegelikult taastada ja kaua see võttis? Varukoopia, mida küll tehakse, kuid mida kunagi ei taastata, on praktikas oletamine. Järelevalveasutused ja ostjad, kes toetuvad NIS2-direktiivi riskijuhtimismaatmetele, seega ei vaata mitte ainult varukoopia poliitika olemasolu, vaid tõendit, et taastamine tõepoolest toimib.
IKT-teenusepakkujale see pole marginaalne küsimus. Te haldite sageli mitte ainult enda keskkonda, vaid ka klientide süsteeme, kaugelt, vahel alltöövõtja abiga. Kui seal midagi läheb valesti, pole oluline, kes eksida tegi, vaid kas taastamine toimus ajal, mida klient saaks põhjendada. See teeb taastamistaastamiskatse üheks vähestest maatmetest, mida te dokumendiga ära ei võta.
Miks testitamata varukoopia ei loe
Varukoopia ei pruugi mitmel põhjusel kasutatav olla: rikutud fail, vale konfiguratsioon, parool, mida keegi enam ei tea, või taastamisjuhis, mis paberil õige on, kuid praktikas võtab kolm päeva kolme tunni asemel. Ükski neist probleemidest ei tule nähtavaks kuni keegi varukoopiaid tegelikult kasutab. NIS2-direktiivi artikkel 21 nimetab varukoopiaid ja taastamisnõueid selgesõnaliselt osana riskijuhtimismaatmetest, millega organisatsioon arvestab oma tarnijate puhul. See tähendab praktikas, et ostja, kes ise riskijuhtimiskohustuse alla kuulub, küsib oma IKT-tarnijalt, kuidas taastamine on korraldatud ja järjest sagedamini, millal see viimati testitud oli.
Mida järelevalveasutus või ostja "testitud" all mõistab, ei ole ühtlaselt määratletud, kuid põhiküsimus naaseb alati: kas on olnud aeg, mil süsteem või andmekogum tegelikult taastati, eraldi tootmiskeskkonnast, ja kas tulemus dokumenteeriti? Testaraport kuupäeva ja tulemustega on midagi muud kui sisemine teade, et "varukoopiad jooksevad".
Kaughalder: kelle varukoopia see siis tegelikult on
Kaughaldusel asub kliendi süsteemi varukoopia sageli füüsiliselt mitte kliendi juures, vaid teenusepakkuja juures, või pilveteenus, mille teenusepakkuja kliente nimel on seadistanud. See nihutab küsimuse, mis esmapilgul tehnilisena näib, vastutuse küsimuse suunas: kes testib, kes säilitab testeresultaati, ja kes saab näidata, et taastamine toimib, kui klient selle kohta küsib? Ostja turvalikkuse küsimustik küsib siin üha konkreetsemalt, ja "seda teeb meie hostimispartner" ei ole järelevalveasutusele või auditeerijale vastus — see on viide, mis nõuab enda kontrollimist.
Seetõttu on mõistlik dokumenteerida klientide süsteemi kohta, kellel on juurdepääs varukoopiaks, kuidas juurdepääs on kaitstud, ja kes vastutab viimase taastamistaastamiskatsega. riskijuhtimismaatmete kaupa välja otsitud näitab, kuidas varukoopia ja taastamine seotud on muude riskijuhtimiskohustuse maatmetega, nagu juurdepääsukontroll ja insidentide registreerimine.
Alltöövõtjad: kes testib mida
Paljud IKT-teenusepakkujad töötavad alltöövõtjatega kindlate osade jaoks: hostimisfirma, firewall-i haldaja, freelancer, kes teeb parandused. Kui keegi neist hallab ka varukoopiaid, kaob taastamistaastamiskatsetus kergesti kahe osapoole vahele: teenusepakkuja arvab, et alltöövõtja testib, alltöövõtja arvab, et see ei kuulu tema töösse. Ostja jaoks pole vahet — ta esitab küsimuse osapoolele, kellega tal leping on.
Seetõttu on otstarbekas lepingutes alameeshangetajaga selgesõnaliselt määrata, kes teostab taastamistesti, kui sageli ning kes tõendit säilitab. See tõend ei pea olema ulatuslik aruanne; kuupäev, kirjeldus sellest, mis taastati, ja tulemus on tavaliselt piisavad, et näidata tellijale, et taastamine ei ole eeldus.
Mida te salvestate ja mida ei salvesta
Taastamistesti on inimtöö: keegi seab süsteemi tagasi, mõõdab, kui kaua see võtab aega, ja kontrollib, kas andmed on õiged. Seda tööd teete ise või lasete oma haldusteenusel teha; platvorm ei saa seda teie eest teha, samuti kui pentest ega audit. Mis aitab aga kaasa, on koht, kus iga testi tulemus on koos teiste riskihaldusega, nii et te ei pea järgmise küsimustikuga otsima, millal see viimati toimus.
Kui te ei tea veel, kas teie organisatsioon kuulub ise riskihaldusse või saate nendega küsimustega tegemist ainult kliendi kaudu, annab viie küsimuses näha oma seisu sellest esimese juhise. Kas soovite teada, kuidas me teie andmeid käsitleme, mida te sellisesse dossieesse salvestate, kuidas me teie andmeid käsitleme see selgitab. Ja kui kahtlete, kas teie olukord täpselt siia kuulub, vaadake vastused küsimustele, mis tihti korduvad või konsulteerige oma sektori järelevalvajaga.
Tasuta NIS2-kontroll ja teadmusbaas lehel secria.eu näitavad, kus varundamine ja taastamine teie olukorras täpselt on, ilma et te selleks kontot vajaksid.