Varukoopia loetakse arvesse ainult siis, kui olete testinud, et saate seda kasutades taastada — mitte ainult selle, kas fail seal on, vaid kas lähtekood, arendusahel ja sellega seotud saladused pärast intsidenti jälle toimivad. Tarkvara arenduses ei käi asi ainult hoidla taastamisest, vaid terve ahela kohta: versioonihaldus, ehitusserverid, müügarid, testkeskkond ja nendega seotud võtmed ja tunnused. Ilma testitud taastetavusprotokollita teate intsidendi ajal, kas see töötab, ja see on halvim aeg selle avastamiseks.
NIS2 hoolduskohustus nimetab järjepidevust ja taastamist konkreetselt artikli 21 kümne meetme osana. Juhend ei määra fikseeritud testisagedust ega konkreetset vormi — seda täidetakse organisatsiooniti, ja riigipõhine transponeerimine võib sellele oma aktsendid lisada. Mis aga alati kordub, vastajate küsimustikutes ja sellest, mida järelevalvajad mõistlikuks peavad, on vahe varukoopia omamise ja varukoopia taastamise vahel, mida olete testinud ja millest teate, et tulemus töötab.
Mida "testitud" täpselt tähendab
Test ei ole sama, mis varukoopia tarkvara roheline märk. Testitud tähendab, et keegi on varukoopiat tegelikult eraldi keskkonda taastanud, kontrollind, kas kood kompileeritakse, kas ehitus õnnestub ja kas rakendus töötab ootuspäraselt. Alles siis teate, kas taastetav hetk on kasutatav ja kui kaua see võtab. Varukoopia, mis küll tehakse, kuid kunagi tagasi ei seadetata, on praktikas eeldus taastamisest, mitte tõestatud taastamine.
Mida te konkreetselt arendusahelas taastade
Tarkvara arenduses on lähtekood harva ainus, mida te kaotada võite. Mõelge CI/CD-müügari konfiguratsioonile, ehitusskriptidele, väliste pakettide sõltuvustele, registrite ja pilvekeskkondade juurdepääsuvõtmetele ning versioonihaldussüsteemi enda ajalooks. Taastetav plaan, mis hõlmab ainult koodi, kuid mitte müügari või saladusi, jätab organisatsiooni intsidendi järel siiski seisma. Seetõttu on mõistlik määratleda igale sellele osale eraldi: kus varukoopia asub, kes saab selle taastada ja kas seda on kunagi harjutatud.
Kui sageli on testinimine mõistlik
Juhendis pole kindlat ajavahemikku selle kohta, kui sageli peate taastamistesti tegema. Mis praktikas mõistlikuks loetakse, sõltub sellest, kui sageli keskkond muutub: arendusahel, mis iganädalaselt müügari konfiguratsiooni muudab, nõuab sagedasemat testimist kui stabiilne keskkond, mis jääb kuude kaupa muutumatuks. Paljud organisatsioonid valivad fikseeritud kalendrihetke — näiteks iga kvartali — kombineerituna testiga pärast iga suurt infrastruktuurimuutust. Sagedusest tähtsam on, et see hetk üldse aset leidnud ja et te saate näidata, millal.
Mida te tõendita edasi kandma
Vastaja, kes saadab turvaküsimustiku, küsib harva teie varukoopia tehnika kohta. Küsimus on tavaliselt lihtsam: millal testiti viimati, kes testi tegid ja mis oli tulemus. Sellele vastusele piisab kolm asja fikseerimisest: viimase taastamistesti kuupäev, kes testi tegi ja milline osa taastati — kood, müügar, saladused või kõik kolm. Ilma sellise registreerimiseta jääb küsimustiku vastus mälestuseks sellegaei dokumendiks, ja see on täpselt vahe, mille hindaja teises lauapoolses näha tahab.
Seos ülejäänud dossiega
Varukoopiad ja taastamine harva seisavad eraldi. See, kes võib taastetoimingut teha, oleneb juurdepääsuõiguste haldurist arendusliiniga; mis läks valesti katkestuse ajal, kuulub samasse intsidentide registrisse, mida kasutatakse ka muude meetmete puhul. Sellise registri seadistamine ei pea olema eraldi projekt: kümme meetmest jagatud situatsioonide kaupa näitab, kus varukoopiad ja taastamine täpselt terviksse mahtuvad ja millised muud meetmed sellega otseselt seotud on.
Kas varukoopiad ja taastamine on teie organisatsioonile riskihalduse meetmena kohustuslikud, sõltub sellest, kas te ise NIS2 regulatsiooni alate alla kuulusite või saate selle küsimuse tellijalt, kes seda teeb. paari küsimusega näha, kus olete annab sellest esimese näidu, selgitusega. Kuidas me selle näiduni jõuame ja millised allikad selle aluseks on, on selgitatud aadressil meie töömeetodite lehele.
Varukoopia, mida pole kunagi taastatud, ei ole garantii — see on küsimus, millele ootab vastus. Kas soovite teada, kas ja kuidas see meede on teie organisatsioonile oluline ja mis veel sellega seotud on? Tehke tasuta kiirülevaade või sirvigeige NIS2-i kohta esitatud kõige sagedamini esitatud küsimusi teiste ettevõtjate juba esitatud küsimuste jaoks.