Sigurnosna kopija se računa samo ako ste također testirali da možete obnoviti pomoću nje — ne samo da li datoteka postoji, već da li se izvorni kod, razvojni lanac i pripadajuće tajne nakon incidenta vraćaju u radno stanje. U razvoju softvera ne radi se samo o spremištu koje možete obnoviti, već o cijelom lancu: upravljanje verzijama, build-poslužitelji, cjevovodi, testne okoline i ključevi i tokeni koji se pri tome koriste. Bez testirane procedure oporavka saznate tek tijekom incidenta radi li to, a to je najgori mogući trenutak da to saznate.
NIS2-obveza pažnje eksplicitno spominje kontinuiranost i oporavak kao dio deset mjera iz članka 21. Direktivom se ne propisuje fiksna učestalost testiranja niti se propisuje konkretno oblik — to se popunjava po organizaciji, a nacionalna transpozicija može tome dodati sopstvene naglaska. Ono što se dosljedno ponavlja, u popisima pitanja korisnika i u onome što nadzorni organi smatraju razumnim, jest razlika između toga da imate sigurnosnu kopiju i sigurnosnu kopiju koju ste obnovili i znate da rezultat radi.
Što 'testirano' točno znači
Test nije isto što i zelena kvačica u softveru za sigurnosne kopije. Testirano znači da je neko stvarno obnovio sigurnosnu kopiju u odvojenoj okolini, provjerio radi li kod, je li izgradnja uspješna i funkcionira li aplikacija kako se očekuje. Tek tada znate je li trenutak oporavka upotrebljiv i koliko vremena je potrebno. Sigurnosna kopija koja se izrađuje ali nikada ne obnovi je u praksi pretpostavka o oporavku, a ne dokazani oporavak.
Što točno obnavljate u razvojnom lancu
U razvoju softvera izvorni kod je rijetko jedino što možete izgubiti. Razmislite o konfiguraciji CI/CD-cjevovoda, build-skriptama, ovisnostima vanjskih paketa, pristupnim ključevima za registre i okoline u oblaku, te povijesti u samom sustavu upravljanja verzijama. Plan oporavka koji pokriva samo kod ali ne i cjevovod ili tajne i dalje ostavlja organizaciju bez mogućnosti rada nakon incidenta. Zato je razumno da za svaki od tih dijelova posebno odredite: gdje se nalazi sigurnosna kopija, tko je može obnoviti, i je li se to ikada prakticiralo.
Koliko često je razumno testirati
U direktivom nema fiksnog roka kako često morate provesti test oporavka. Ono što se u praksi smatra razumnim veže se uz to koliko često se okolia mijenja: razvojni lanac koji tjedno mijenja konfiguraciju cjevovoda zahtijeva češće testiranje od stabilne okoline koja ostaje nepromijenjena mjesecima. Mnoge organizacije biraju fiksni kalendarski trenutak — primjerice svako tromjesečje — kombiniran s testom nakon svake veće izmjene infrastrukture. Važnije od učestalosti jest da je do tog trenutka do sada došlo, i da možete pokazati kada.
Što beležite kao dokaz
Korisnik koji šalje popis pitanja za sigurnost rijetko pita o tehnici iza vaše sigurnosne kopije. Pitanje je obično jednostavnije: kada je ovo zadnje testirano, od koga, i koji je bio rezultat. Za taj odgovor dovoljno je beležiti tri stvari: datum zadnjeg testa oporavka, tko je proveo test, i koji je dio obnovljen — kod, cjevovod, tajne, ili sve tri. Bez te beležke odgovor na popis pitanja ostaje uspomena umjesto dokaza, a to je točno razlika koju procjenjivač s druge strane stola želi vidjeti.
Povezanost s ostatkom dosijea
Sigurnosne kopije i oporavak rijetko stoje zasebno. Tko smije izvršiti postupak oporavka, povezano je s kontrolom pristupa razvojnom okruženju; što se dogodilo tijekom zastoja trebalo bi biti dio iste registracije incidenata koja se vodi i za ostale mjere. Postavljanje takvog dosijea ne mora biti zaseban projekt: deset mjera detaljiziranih prema situaciji pokazuje gdje se sigurnosne kopije i oporavak točno nalaze u cjelini, te koje druge mjere izravno na njih utječu.
Primjenjuje li se sigurnosna kopija i oporavak na vašu organizaciju kao mjera usklađenosti s obvezama zaštite, ovisi o tome padate li sami pod NIS2 ili primjenjujete li ovo kao dobavljač poslovnog partnera koji to čini. u nekoliko pitanja vidjeti gdje se nalazite daje prvi pokazatelj o tome, s objašnjenjem zašto. Kako dolazimo do tog pokazatelja i koji su izvori na njemu temeljeni, objašnjeno je na stranici o našoj metodologiji.
Sigurnosna kopija koja nikad nije vraćena u pogon nije jamstvo — to je pitanje koje čeka odgovor. Želite li znati je li i kako je ova mjera relevantna za vašu organizaciju i što još s njom dolazi? Učinite besplatnu brzu provjeru ili pregledajte najčešće postavljana pitanja o NIS2 za pitanja koja su druga poduzeća već postavila.