Sigurnosne kopije i oporavak u ICT uslugama: kada ste ih zadnji put testirali?
Pitanje "imate li sigurnosnu kopiju" nije pitanje koje je važno. Važno pitanje je: kada je netko zadnji put pokušao iz te sigurnosne kopije stvarno vratiti sustav i koliko je to trajalo? Sigurnosna kopija koja se izrađuje ali nikada se ne vraća, u praksi je pretpostavka. Nadzorni organi i naručitelji koji se oslanjaju na mjere obveze pažnje iz Direktive NIS2 stoga ne gledaju samo na postojanje politike sigurnosne kopije, već na dokaz da je oporavak stvarno moguć.
Za ICT pružatelja usluge ovo nije sporedna stvar. Često ne upravljate samo svojom okolinom, već i sustavima klijenta, na daljinu, ponekad uz pomoć podizvodača. Ako nešto pođe po zlu, nije važno tko je pogriješio, već je li oporavak uspio u vremenu koje je klijent mogao opravdati. To čini test oporavka jednom od rijetkih mjera koju ne možete završiti samo dokumentom.
Zašto neproverena sigurnosna kopija ne računa
Sigurnosna kopija može biti neupotrebljiva iz raznih razloga: oštećena datoteka, pogrešna konfiguracija, lozinka koju nitko više ne zna, ili postupak oporavka koji na papiru izgleda ispravno ali u praksi traje tri dana umjesto tri sata. Nijedan od tih problema nije vidljiv dok netko zapravo ne koristi sigurnosnu kopiju. Članak 21 Direktive NIS2 izričito spominje politiku sigurnosne kopije i oporavka kao dio mjera upravljanja rizicima koje organizacija razmatra pri svojim dobavljačima. To znači u praksi da naručitelj koji sam pada pod obvezu pažnje, pita svoga ICT dobavljača kako je oporavak uređen i, sve češće, kada je to zadnji put testirano.
Što nadzorni organ ili naručitelj pod pojmom "testirano" razumiju, nije jednoznačno utvrđeno, ali osnovno pitanje se uvijek pojavljuje: je li došlo do trenutka kada je sustav ili skup podataka stvarno vraćen, odvojeno od proizvodnog okruženja, i je li rezultat dokumentiran? Izvještaj testa s datumom i rezultatom nešto je drugačije od unutarnje obavijesti da "sigurnosne kopije rade".
Udaljeno upravljanje: čija je sigurnosna kopija zapravo
Pri udaljenom upravljanju, sigurnosna kopija klijentskog sustava često nije fizički kod klijenta, već kod pružatelja usluge, ili kod云 usluge koju je pružatelj usluge postavio u ime klijenta. To prebacuje pitanje koje se na prvi pogled čini tehnničkim u pitanje o odgovornosti: tko testira, tko čuva rezultat testa, i tko može dokazati da oporavak radi ako klijent to pita? Sigurnosni upitnik naručitelja ovdje pita sve konkretnije, a "to radi naša hosting partija" za nadzorni organ ili revizora nije odgovor — to je uputa koja traži vlastitu provjeru.
Stoga je pametno da po klijentskom sustavu utvrdite tko ima pristup sigurnosnoj kopiji, kako je taj pristup osiguran, i tko je odgovoran za zadnji test oporavka. mjere obveze pažnje sortirane po temi prikazuje kako se sigurnosna kopija i oporavak odnose prema ostalim mjerama iz obveze pažnje, kao što su kontrola pristupa i registracija incidenta.
Podizvodači: tko testira što
Mnogi ICT pružatelji usluge rade s podizvodačima za specifične dijelove: hosting partija, partija koja upravlja vatrozidima, freelancer koji provlači zakrpe. Ako netko od njih radi i sigurnosne kopije, test oporavka lako nestane između dvije strane: pružatelj usluge misli da podizvodač testira, podizvodač misli da to nije dio njegovih zadataka. Za naručitelja to nije važno — on postavlja pitanje stranci s kojom ima ugovor.
Zato je razumno eksplicitno naznačiti u sporazumima s podizvođačem tko provodi test obnove, kako često, i tko čuva dokaz. Taj dokaz ne mora biti opširan izvještaj; datum, opis onoga što je vraćeno i rezultat obično su sasvim dovoljni da pokažete naručitelju da obnova nije pretpostavka.
Što bilježite, a što ne
Test obnove je ljudski rad: netko vrati sustav, izmjeri koliko traje i provjeri jesu li podaci ispravni. Taj rad obavit ćete sami ili ga prepustiti svojoj IT službi; platforma to ne može obaviti umjesto vas, niti može zamijeniti test sigurnosnih propusta ili reviziju. Ono što pomaže jest mjesto gdje se ishod svakog testa nalazi zajedno s ostalim mjerama brige o sigurnosti, tako da ne trebate pretražiti kada se to zadnji put dogodilo.
Ako još ne znate pada li vaša organizacija sama pod obvezu brige ili joj je samo preko naručitelja zadana ova pitanja, vidi gdje stojite u pet pitanja daje prvi pokazivač. Želite li znati kako postupamo s podacima koje zabilježite u takvom dossier-u, kako postupamo s vašim podacima to objašnjava. A ako ste nesigurni pada li vaša situacija upravo pod to, pogledajte odgovore na pitanja koja se često ponavljaju ili se obratite nadzornom tijelu za vašu granu.
Besplatna NIS2-provjera i baza znanja na secria.eu pokazuju gdje se sigurnosna kopija i obnova nalaze u vašoj situaciji, bez da vam je potreban račun.