Atsarginė kopija galioja tik tada, kai jūs taip pat testijavote, kad galite joje atkurti — ne tik ar failas yra, bet ar šaltinio kodas, kūrimo grandinė ir susijusios paslapties po incidento vėl veikia. Programinės įrangos kūrime tai ne tik saugykla, kurią galite atkurti, bet visa grandinė: versijos valdymas, kūrimo serveriai, konvejerai, bandomosios aplinkos ir juose naudojami raktai bei žetonai. Be testuotos atkūrimo procedūros, per incidentą tik sužinosite, ar tai veikia, o tai piausias momentas tai suprasti.
NIS2 priežiūros pareiga aiškiai nurodo tęstinumą ir atkūrimą kaip dalį iš dešimties priemonių iš 21 straipsnio. Direktyva nenusako fiksuotos testavimo dažnumo ir konkrečios formos — tai užpildoma kiekviename atskiroje organizacijoje, o valstybės-specifinis įgyvendinimas gali tam duoti savo akcentus. Vis dėlto kas visada pasikartoja klausimynuose iš atliekančiųjų ir tame, ką priežiūros institucijos laiko pagrįstu, yra skirtumas tarp atsarginės kopijos turėjimo ir atsarginės kopijos, kurią jūs atkūrėte ir žinote, kad rezultatas veikia.
Ką tiksliai reiškia „testuota
Testas yra ne tas pats kaip žalia varnelė atsarginės kopijos programoje. Testuota reiškia, kad kažkas iš tikrųjų atkūrė atsarginę kopiją atskiroje aplinkoje, patikrino, ar kodas kompiliuojasi, ar kompiliavimas sėkmingas ir ar programa veikia taip, kaip tikimasi. Tik tada žinote, ar atkūrimo momentas yra naudingas ir kiek laiko jis užtrunka. Atsarginė kopija, kuri yra kuriama, bet niekada neatkuriama, praktikoje yra prielaida apie atkūrimą, ne įrodyta atkūrimas.
Ką konkrečiai atkuriate jūsų programavimo grandinėje
Kuomet kuriama programinė įranga, šaltinio kodas yra retai vienintelis dalykas, kurį galite prarasti. Pagalvokite apie CI/CD konvejerio konfigūraciją, kūrimo scenarijus, išorinių paketų priklausomybes, prieigos raktus registrams ir debesų aplinkoms, bei istorijos versijų valdymo sistemoje. Atkūrimo planas, kuris apima tik kodą, bet ne konvejieris ar paslaptys, po incidento vis tiek palieka organizaciją sustabdytą. Todėl naudinga kiekvienai iš šių dalių atskirai nustatyti: kur yra atsarginė kopija, kas gali ją atkurti, ir ar tai kada nors buvo praktikuota.
Kaip dažnai testuoti yra pagrįsta
Direktyvoje nenurodyta konkreti laikotarpio trukmė, kaip dažnai turėtumėte atlikti atkūrimo testą. Tai, kas praktikoje yra laikoma pagrįsta, priklauso nuo to, kaip dažnai keičiasi aplinka: kuros linija, kuri savaitėje keičia konvejerio konfigūraciją, reikalauja dažnesnio testavimo nei stabili aplinka, kuri kelis mėnesius išlieka nepakitusi. Daug organizacijų pasirenka fiksuotą kalendorinį laikotarpį — pavyzdžiui, kiekvieną ketvirtį — kartu su testu po kiekvieno didelio infrastruktūros pakeitimo. Svarbiau nei dažnumas yra tai, kad iš viso buvo tam tikras laikas, ir kad galite nurodyti, kada tai įvyko.
Ką jūs užfiksuojate kaip įrodymą
Pirkėjas, kuris siunčia saugumo klausimyną, retai klausia apie techniką už jūsų atsarginės kopijos. Klausimas paprastai yra paprastesnis: kada tai buvo testavimu tikriausiai, kas tai atliko, ir koks buvo rezultatas. Tam atsakymui pakanka fiksuoti tris dalykus: paskutinio atkūrimo testo datą, kas atliko testą, ir kuri dalis buvo atkurta — kodas, konvejeris, paslaptys, ar viskas. Be to fiksuoto įrašo atsakymas į klausimyną lieka atmintimi, o ne įrodymu, ir tai yra tiksliai skirtumai, kuriuos vertintojas priešingoje stalo pusėje nori pamatyti.
Ryšys su likusia dossier dalimi
Atsarginės kopijos ir atkūrimas retai stovi vienas kitam. Tai, kas gali atlikti atkūrimo procedūrą, yra susijęs su prieigos kontrole prie kūrimo linijos; kas nutiko nepavykus sutrikimui, turėtų būti toje pačioje incidento registracijoje, kuri naudojama ir kitoms priemonėms. Tokį dossierą sudaryti neturi būti atskiras projektas: dešimt priemonių išskirtos pagal situaciją parodo, kur atsarginės kopijos ir atkūrimas tiksliai telpa į visumą ir kurios kitos priemonės tiesiogiai jų liečia.
Tai, ar atsarginės kopijos ir atkūrimas jūsų organizacijai yra prievolės priemonė, priklauso nuo to, ar patys pagal NIS2 patenkat, ar šį klausimą gaunate iš užsakovo, kuris patenka. keliais klausimais sužinokite, kur esate parodo pirmą indiką su paaiškinimais kodėl. Tai, kaip mes iki šito indiko prieiname ir kokie šaltiniai tam yra pagrindas, yra paaiškinta puslapyje apie mūsų darbo metodą.
Atsarginė kopija, kuri dar niekada nebuvo atkurta, nėra garantija — tai klausimas, kuris laukia atsakymo. Ar norite žinoti, ar ir kaip ši priemonė jūsų organizacijai yra aktuali ir kas dar prie to reikalinga? Atlikite nemokamą greitą patikrą arba skaitykite dažniausiai keliamus klausimus apie NIS2 dėl klausimų, kuriuos jau uždavė kiti versluininkai.