Rezerves un atjaunošana IKT pakalpojumos: kad pēdējo reizi tā tika pārbaudīta?
Jautājums "vai jums ir rezerve" nav jautājums, kas skaita. Jautājums, kas skaita, ir: kad pēdējo reizi kāds mēģināja no šīs rezerves sistēmu faktiski atjaunot un cik ilgi tas ilga? Rezerve, kas tiek izveidota, bet nekad netiek atjaunota, ir praktiski pieņēmums. Uzraudzības iestādes un piegādātāji, kas balstās uz aprūpes pienākuma pasākumiem no NIS2 direktīvas, skatās ne tikai uz rezerves politikas esamību, bet uz pierādījumiem, ka atjaunošana faktiski darbojas.
IKT pakalpojuma sniedzējam tas nav mazsvarīgs jautājums. Jūs bieži pārvaldāt ne tikai savu vidi, bet arī klientu sistēmas, attālinātā veidā, dažkārt ar apakšuzņēmēja palīdzību. Ja tur kaut kas noiet greizi, svarīgs ir nevis tas, kurš kļūdu pieļāva, bet tas, vai atjaunošana strādāja laikā, ko varēja attaisnot klients. Tas padara atjaunošanas pārbaudi par vienu no retajiem pasākumiem, ko nevar atķeksēt tikai ar dokumentu.
Kāpēc netestēta rezerve neskaitās
Rezerve var nebūt izmantojama daudzu iemeslu dēļ: bojāts fails, nepareiza konfigurācija, parole, ko vairs neviens neatceras, vai atjaunošanas procedūra, kas uz papīra ir pareiza, bet praksē aizņem trīs dienas, nevis trīs stundas. Neviens no šiem jautājumiem netiek redzams, līdz kāds faktisk izmanto rezervi. NIS2 direktīvas 21. pants skaidri nosaka rezerves un atjaunošanas politiku kā aprūpes pienākuma pasākumu daļu, ko organizācija ņem vērā, izvērtējot savus piegādātājus. Tas praktiski nozīmē, ka piegādātājs, kurš pats pakļauts aprūpes pienākumam, prasa savam IKT piegādātājam, kā ir organizēta atjaunošana un arvien biežāk arī to, kad tā tika pēdējo reizi pārbaudīta.
Tas, ko uzraudzības iestāde vai piegādātājs saprot ar "testēta", nav vienoti noteikts, bet galvenais jautājums atgriežas vienmēr: vai ir bijis brīdis, kad sistēma vai datu kopa faktisk tika atjaunota ārpus ražošanas vides, un vai rezultāts ir dokumentēts? Testa ziņojums ar datumu un rezultātu ir pavisam kas cits nekā iekšēja paziņojuma, ka "rezerves darbojas".
Attālinātā pārvaldīšana: kura rezerve tas patiesībā ir
Attālinātā pārvaldīšanas gadījumā klientu sistēmas rezerve bieži nav fiziskā klāt klients, bet pie pakalpojuma sniedzēja vai pie mākoņa pakalpojuma, ko pakalpojuma sniegzējs ir noregulējis klientam. Tas pārvieto jautājumu, kas pirmajā acu uzmetienā izskatās tehnisks, uz jautājumu par atbildību: kurš pārbauda, kurš glabā testa rezultātu, un kurš var pierādīt, ka atjaunošana darbojas, ja klients to prasa? Piegādātāja drošības anketa to prasa arvien konkrētāk, un "to dara mūsu hostinga partner" uzraudzības iestādei vai revizorам nav atbilde — tas ir noraidījums, kas pieprasa pašu pārbaudi.
Tāpēc ir saprātīgi katrai klientu sistēmai noteikt, kam ir piekļuve rezervei, kā šī piekļuve ir nodrošināta un kurš ir atbildīgs par pēdējo atjaunošanas testu. aprūpes pienākuma pasākumi atrašti pēc tēmas rāda, kā rezerve un atjaunošana attiecas uz citiem aprūpes pienākuma pasākumiem, piemēram, piekļuves kontroli un incidentu reģistrēšanu.
Apakšuzņēmēji: kurš pārbauda ko
Daudzi IKT pakalpojuma sniedzēji strādā ar apakšuzņēmējiem specifiskiem komponentiem: hostinga uzņēmums, uzņēmums, kas pārvalda ugunsmūri, brīvdarbnieks, kas izplatīja programmaparaugu. Ja viens no viņiem arī pārvalda rezervi, atjaunošanas pārbaude viegli pazūd starp abām pusēm: pakalpojuma sniegzējs domā, ka apakšuzņēmējs pārbauda, apakšuzņēmējs domā, ka tas nav viņa uzdevuma daļa. Piegādātājam tas nav nozīmes — viņš uzdod jautājumu pusei, ar kuru ir noslēdzis līgumu.
Tāpēc ir lietderīgi noslēgumā ar apakšuzņēmēju skaidri norādīt, kurš veic atjaunošanas testu, cik bieži, un kurš glabā pierādīšanas dokumentu. Šis pierādīšanas dokuments nav jābūt plašam pārskatam; datums, apraksts par to, kas tika atjaunots, un rezultāts parasti ir pietiekami, lai parādītu pasūtītājam, ka atjaunošana nav pieņēmums.
Kas jūs fiksējat un kas ne
Atjaunošanas tests ir cilvēka darbs: kāds atgriež sistēmu sākotnējā stāvoklī, mēra, cik ilgi tas aizņem, un pārbauda, vai dati ir pareizi. Šo darbu veiciet paši vai lūdzat savu administrēšanas partnerim; platforma to nevar izdarīt jūsu vietā, tāpat kā nevar aizstāt penetrācijas testu vai auditu. Tas, kas palīdz, ir vieta, kur katras testa rezultāti kopā ar citiem uzraudzības pienākuma pasākumiem atrodas kopā, lai nākamajā jautājumu sarakstā jums nebūtu jāmeklē, kad tas pēdējo reizi notika.
Ja jūs vēl nezināt, vai jūsu organizācija pati ietilpst uzraudzības pienākumā, vai tikai caur pasūtītāju ar šiem jautājumiem saskaras, tad piecus jautājumus skatīts, kur jūs stāvat šeit rāda pirmspilsētu norādi. Vai vēlaties zināt, kā mēs apstrādājam datus, ko jūs norādāt šādā dosejā, kā mēs apstrādājam jūsu datus tas skaidro. Un ja jums ir šaubas, vai jūsa situācija precīzi ietilpst šeit, skatīties pie atbildes uz jautājumiem, kas bieži atgriežas vai konsultējieties ar jūsu nozares uzraudzības iestādi.
Bezmaksas NIS2 pārbaude un zināšanu bāze vietnē secria.eu parāda, kur backup un atjaunošana jūsu situācijā precīzi atrodas, bez nepieciešamības kontu atvērt.