A biztonsági mentések és helyreállítás az IKT-szolgáltatásban: mikor tesztelte utoljára?
A "van-e biztonsági másolata" kérdés nem az, amely számít. Az a kérdés számít: mikor próbálta meg utoljára valaki ezt a biztonsági másolatból egy rendszert ténylegesen visszaállítani, és mennyi időbe tellett? Egy biztonsági másolat, amely készítésre kerül, de soha nem állítják vissza, a gyakorlatban egy feltételezés. Az átláthatóság gyakornokai és az átvevők, akik a NIS2-irányelv gondossági kötelezettségből eredő intézkedésein alapulnak, ezért nem csak a biztonsági másolat politika meglétére néznek, hanem a helyreállítás tényleges sikerességének bizonyítékára.
Az ICT-szolgáltatónak ez nem mellékszempont. Gyakran nem csak saját környezetét kezeli, hanem ügyfélrendszereket is, távolról, néha egy alvállalkozó segítségével. Ha ott valami hiba történik, az nem az számít, aki a hibát okozta, hanem az, hogy a helyreállítás az ügyfél által indokolható időn belül működött-e. Ez teszi a helyreállítási tesztet az egyik kevés intézkedés közé, amelyet nem lehet egyszerűen egy dokumentummal pipálni.
Miért nem számít az untesztelt biztonsági másolat
Egy biztonsági másolat több okból is használhatatlan lehet: egy megsérült fájl, helytelen beállítás, olyan jelszó, amelyet senki sem ismer már, vagy egy helyreállítási eljárás, amely papíron helyes, de a gyakorlatban három nap helyett három órát vesz igénybe. Ezen problémák egyike sem válik nyilvánvalóvá, amíg valaki ténylegesen nem használja a biztonsági másolatot. A NIS2-irányelv 21. cikkelye kifejezetten említi a biztonsági másolat- és helyreállítási politikát a szervezet szállítóival kapcsolatban figyelembe veendő kockázatkezelési intézkedések részeként. Ez a gyakorlatban azt jelenti, hogy egy olyan átvevő, aki maga a gondossági kötelezettség alá tartozik, megkérdezi az ICT-szolgáltatójától, hogyan van rendezve a helyreállítás, és egyre gyakrabban azt, hogy mikor tesztelte ezt utoljára.
Mit ért egy hatóság vagy egy átvevő a "tesztelt" alatt, az nem egyenletesen rögzített, de az alapvető kérdés mindig visszatér: volt-e olyan pillanat, amikor egy rendszer vagy egy adatkészlet ténylegesen vissza lett állítva, az üzemeltetési környezettől függetlenül, és az eredmény rögzítésre került? Egy tesztjelentés dátummal és eredménnyel valami egészen más, mint egy belső közlemény arról, hogy "a biztonsági másolatok futnak".
Távolról történő felügyelet: kié a biztonsági másolat valójában
Távolról történő felügyelet során az ügyfélrendszer biztonsági másolata gyakran nem az ügyfélt fizikailag, hanem a szolgáltatónál vagy egy olyan felhőszolgáltatásnál található, amelyet a szolgáltató az ügyfél nevében berendezett. Ez eltolódást okoz egy kérdésben, amely első pillantásra technikusnak tűnik, de amely a felelősségről szól: ki tesztel, ki őrzi meg a teszteredményt, és ki tudja bizonyítani, hogy a helyreállítás működik, ha az ügyfél rá kérdez? Az átvevő biztonsági kérdőíve egyre konkrétabban kérdez erre, és "ezt az üzemeltetési partnerünk végzi" sem a hatóság, sem a felülvizsgáló szemszögéből nem válasz — ez egy olyan utalás, amely saját vizsgálatra szólít fel.
Ezért célszerű minden ügyfélrendszerről rögzíteni, kinek van hozzáférése a biztonsági másolathoz, hogyan van ez a hozzáférés biztosítva, és ki felelős az utolsó helyreállítási tesztért. a gondossági kötelezettségből eredő intézkedések témánként kigyűjtve megmutatja, hogyan viszonyul a biztonsági másolat és helyreállítás a gondossági kötelezettség egyéb intézkedéseihez, például a hozzáférés-vezérléshez és az incidensek nyilvántartásához.
Alvállalkozók: ki mit tesztel
Számos ICT-szolgáltató alvállalkozókkal dolgozik bizonyos alkatrészekhez: egy üzemeltetési partner, a tűzfal kezeléséhez szükséges fél, egy szabadúszó, aki javítja a frissítéseket. Ha közülük az egyik a biztonsági másolatot is kezeli, a helyreállítási teszt könnyen eltűnik a két fél között: a szolgáltató azt gondolja, hogy az alvállalkozó tesztel, az alvállalkozó azt gondolja, hogy ez nem feladata. Az átvevőnek ez nem számít — az felteszi a kérdést annak a félnek, akivel szerződése van.
Ezért célszerű a alvállalkozóval kötött megállapodásokban kifejezetten rögzíteni, hogy ki végzi el a helyreállítási tesztet, milyen gyakran, és ki őrzi meg a bizonylatot. Ez a bizonylat nem szükséges, hogy részletes jelentés legyen; egy dátum, annak leírása, hogy mi lett visszaállítva, és az eredmény általában már elegendő ahhoz, hogy megmutassa a megrendelőnek, hogy a helyreállítás nem csupán feltételezés.
Amit rögzít, és amit nem
A helyreállítási teszt emberek munkája: valaki visszaállít egy rendszert, megméri, hogy ez mennyi időt vesz igénybe, és ellenőrzi, hogy az adatok helyesek-e. Ezt a munkát Ön maga végzi, vagy megbízott rendszergazda-partnerrel végeztetik; egy platform ezt Ön helyett nem tudja elvégezni, csakúgy, mint hogy nem tudja helyettesíteni a penetrációs tesztet vagy a auditot. Az, ami azonban segít, az egy olyan hely, ahol az egyes tesztek eredménye a többi kiberbiztonsági védelmi intézkedéssel együtt van tárolva, így a következő kérdőívet kitöltéskor nem kell keresnie, hogy mikor történt utoljára.
Ha még nem tudja, hogy szervezete maga esik-e a cyberbiztonsági védelmi kötelezettség alá, vagy csak egy megrendelő révén kerül kapcsolatba e kérdésekkel, öt kérdésben meglátja, hol áll ebből az első tájékoztatást adja. Ha szeretné tudni, hogyan kezeljük az adatokat, amelyeket egy ilyen dossziéban rögzít, hogyan kezeljük az adatait ezt kifejtjük. És ha kétségei vannak, hogy helyzete pontosan ide tartozik-e, nézzen meg gyakrabban feltett kérdésekre adott válaszok vagy forduljon szektora felügyeletét ellátó szervhez.
A secria.eu-n található ingyenes NIS2-ellenőrzés és tudásbázis megmutatja, hogy a biztonsági mentés és helyreállítás az Ön helyzetében pontosan hol áll, anélkül, hogy ehhez fiókra lenne szüksége.