Varmuuskopiot ja palautus ICT-palveluissa: milloin testasitte viimeksi?
Kysymys "onko teillä varmuuskopio" ei ole se kysymys, jolla on merkitystä. Merkityksellä oleva kysymys on: milloin joku viimeksi yritti varmuuskopiosta todella palauttaa järjestelmän, ja kuinka kauan se kesti? Varmuuskopio, joka laaditaan mutta ei koskaan palauteta, on käytännössä oletus. Valvontaviranomaiset ja ostajat, jotka noudattavat NIS2-direktiivin turvallisuusvelvoitteita, eivät siis tarkastele vain varmuuskopiokäytännön olemassaoloa, vaan todistusta siitä, että palautus todella onnistuu.
ICT-palveluntarjoajalle tämä ei ole sivuseikka. Olette usein hallinnoimassa paitsi omaa ympäristöä myös asiakkaiden järjestelmiä etäyhteyden kautta, joskus alihankkijan avulla. Jos siinä tapahtuu jotain virheellistä, ei ratkaise kuka virheen teki, vaan se, toimiko palautus asiakkaan hyväksymässä ajassa. Tämä tekee palautustestista yhden harvoista toimenpiteistä, jota ette voi merkitä dokumentilla.
Miksi testamatonta varmuuskopiota ei lasketa
Varmuuskopio voi olla käyttökelvoton useista syistä: vioittunut tiedosto, väärä määritys, salasana jonka kukaan ei enää muista, tai palautusmenettely, joka näyttää paperilla toimivalta mutta käytännössä kestää kolme päivää kolmen tunnin sijasta. Yksikään näistä ongelmista ei ilmene ennen kuin joku todella käyttää varmuuskopiota. NIS2-direktiivin 21. artikla mainitsee nimenomaisesti varmuuskopiointi- ja palautuskäytännön osana turvallisuusvelvoitteita, jotka organisaatio ottaa huomioon arvioidessaan toimittajiaan. Käytännössä tämä tarkoittaa, että ostaja, joka itse kuuluu turvallisuusvelvoitteen piiriin, kysyy ICT-toimittajaltaan, kuinka palautus on järjestetty, ja yhä useammin, milloin se on viimeksi testattu.
Se, mitä valvontaviranomainen tai ostaja ymmärtää sanalla "testattu", ei ole yhtenäisesti määritelty, mutta ydinkysymys toistuu joka kerta: onko ollut hetki, jolloin järjestelmä tai tietojoukko todella palautettiin tuotantoympäristöstä erilleen, ja onko tulos dokumentoitu? Testiraportti, jossa on päivämäärä ja tulos, on jotain aivan muuta kuin sisäinen ilmoitus siitä, että "varmuuskopioimme toimivat".
Etäkäyttöhallinto: kenen varmuuskopio se oikeastaan on
Etäkäyttöhallinassa asiakkaanjärjestelmän varmuuskopio sijaitsee usein fyysisesti eikä asiakkaalla, vaan palveluntarjoajalla tai pilvipalvelulla, jonka palveluntarjoaja on perustanut asiakkaan puolesta. Tämä muuttaa teknis-näköisen kysymyksen vastuun kysymykseksi: kuka testaa, kuka säilyttää testiraportin, ja kuka voi osoittaa, että palautus toimii asiakkaan sitä kysyessä? Ostajan tietoturvakyselylomake kysyy yhä konkreettisemmin, ja "meidän isännöintikumppani hoitaa sen" ei ole valvontaviranomaiselle tai tarkastajalle vastaus — se on viittaus, joka edellyttää omaa tarkastusta.
Siksi on järkevää dokumentoida jokaisen asiakkaanjärjestelmän osalta, kuka pääsee varmuuskopioon, miten pääsy on suojattu, ja kuka vastaa viimeisimmästä palautustestista. turvallisuusvelvoitteet järjestelemme aiheittain näyttää, kuinka varmuuskopiointi ja palautus liittyvät muihin turvallisuusvelvoitteiden toimenpiteisiin, kuten pääsynvalvontaan ja poikkeamien rekisteröintiin.
Alihankkijat: kuka testaa mitä
Monet ICT-palveluntarjoajat työskentelevät alihankkijoiden kanssa tietyissä tehtävissä: isännöintiyritys, palomuuri-ohjelmiston hallintayritys, freelancer-kehittäjä, joka hallinnoi korjauspäivityksiä. Jos joku heistä hallinnoi myös varmuuskopiota, palautustesti katoaa helposti kahden osapuolen väliin: palveluntarjoaja ajattelee, että alihankkija testaa, alihankkija ajattelee, ettei se kuulu hänen tehtäviin. Ostajalle sillä ei ole merkitystä — hän esittää kysymyksen sille osapuolelle, jonka kanssa hänellä on sopimus.
Siksi on järkevää sopia alihankkijan kanssa nimenomaisesti, kuka suorittaa palautustestin, kuinka usein, ja kuka säilyttää todistusaineiston. Todistusaineiston ei tarvitse olla laaja raportti; päivämäärä, kuvaus siitä, mitä palautettiin, ja tulos riittävät yleensä osoittamaan tilaajalle, että palautus ei ole pelkkä oletus.
Mitä dokumentoitte ja mitä ei
Palautustesti on ihmistyötä: joku palauttaa järjestelmän, mittaa kuinka kauan se kestää, ja tarkistaa, että tiedot ovat oikein. Teette tämän työn itse tai annat hallintokumppaninne tehdä sen; alusta ei voi tehdä sitä puolestanne, aivan kuten se ei voi korvata penetraatiotestiä tai auditointia. Mitä kuitenkin auttaa, on paikka, jossa jokaisen testin tulos on muiden kyberturvallisuuden hallintamenettelyjen kanssa yhdessä, jotta seuraavassa kyselylomakkeessa ette joudu etsimään, milloin se viimeksi tehtiin.
Jos ette vielä tiedä, kuuluuko organisaationne itse hallintavelvoitteen piiriin vai saatteko näihin kysymyksiin vain asiakkaan kautta, viidessä kysymyksessä näette, missä olette siinä on ensimmäinen indikaattori. Haluatteko tietää, miten käsittelemme tietoja, jotka dokumentoitte tällaiseen kansioon, miten käsittelemme teidän tietojanne siinä selitetään. Ja jos epäilevät, kuuluuko tilanteitanne tarkasti tänne, katsokaapas vastauksia usein esitettyihin kysymyksiin tai ottakaa yhteyttä teille kuuluvan toimialan valvontaviranomaiseen.
Ilmainen NIS2-tarkistus ja tietovaranto secria.eu-sivustolla osoittavat, missä varmuuskopiointi ja palautus ovat teidän tilanteessanne täsmälleen, ilman että tarvitsette tiliä.