Backup u ristawr fis-servizz tal-ICT: meta ħaddem ittestja għal l-aħħar darba?
Il-mistoqsija "għandek backup" mhix il-mistoqsija li tħiseb. Il-mistoqsija li tħiseb hija: meta l-aħħar darba ħadd pprova li jirrestora sistema minn dak il-backup b'mod effettiv, u kemm it-tul tieħu? Backup li jingħamel iżda qatt ma jintrabat, fil-prattika huwa assumption. L-awtoritajiet ta' sorveljanza u l-muxtiri li jiddibattezzaw fuq l-obbligi ta' ġestjoni tar-riskji mill-Direttiva NIS2 għalhekk ma jħarqux biss għall-eżistenza ta' politika ta' backup, iżda għall-prova li r-ristampa tħaqqq.
Għal servizz provider tal-ICT, dan mhuwa ħaġa minuri. Ħafna drabi ma tġestix biss l-ambjent tiegħek, iżda wkoll sistemi ta' klenti, mil-bogħod, xi drabi bl-għajnuna ta' subappaltant. Jekk xi ħaġa tmur ħażin hemm, mhuwiex importanti min-naħa ta' min sal-ħuta, iżda jekk ir-ristampa ħadt fil-ħin li l-kliyent kien jistgħu jiġġustifikaw. Dan jagħmel it-test ta' ristampa wieħed mill-ftit miżuri li ma tistax tiffirex b'dokument.
Għaliex backup mhux ittestjat ma jikkunti
Backup jista' ma jkunx utli għal raġunijiet varji: file corrott, konfigurazzjoni ħażina, password li ħadd ma jehu, jew proċedura ta' ristampa li fuq il-karta tagħmel sens iżda fil-prattika tieħu tliet ijiem minflok tliet sigħat. L-ebda wieħed minn dawn il-problemi ma jidher sa meta ħadd jużi bil-fatt il-backup. L-Artikolu 21 tal-Direttiva NIS2 jimkien il-politika ta' backup u ristampa espressament bħala parti tal-obbligi ta' ġestjoni tar-riskji li organizzazzjoni tqies fil-ħabib tagħha. Dan ifisser fil-prattika li muxtri li hu stess soġġett għall-obbligi ta' ġestjoni tar-riskji jistaqsi lill-fornitur tal-ICT tiegħu kif hija rranġata r-ristampa u, aktar u aktar drabi, meta din ittestjat l-aħħar darba.
X'jifhem awtorità ta' sorveljanza jew muxtri taħt "ittestjat" mhuwiex uniformi, iżda l-qalba tal-mistoqsija tiġi lura bkoll: kien hemm mument meta sistema jew dataset ittrabat b'mod effettiv, separatament mill-ambjent tal-produzzjoni, u ġie nnotat ir-riżultat? Rapport tat-test b'data u riżultat huwa ħaġa oħra minn komunikazzjoni interna li "il-backups huma qed jduru".
Ġestjoni remota: li l-backup tiegħu verament
F'ġestjoni remota, il-backup ta' sistema ta' kliyent ħafta drabi ma jkunx fiżikament għand il-kliyent, iżda għand il-fornitur tal-servizz, jew għand servizz cloud li l-fornitur tal-servizz iffenwa għan-nom tal-kliyent. Dan issoċċa mistoqsija li fuq l-ewwel nett tidher teknika għal mistoqsija dwar ir-responsabbiltà: min jittestja, min jipprezervaw ir-riżultat tat-test, u min jista' juri li r-ristampa taħdem jekk il-kliyent jistaqsi għaliha? Listi ta' mistoqsijiet tas-sigurtà minn muxtri hawn iqed jistaqsu aktar konkretament, u "dan jagħmilha l-partner tal-hosting tiegħna" għal awtorità ta' sorveljanza jew auditor mhuwiex tweġiba — huwa referenza li tistaqsi għal check personali.
Għaldaqstant huwa intelliġenti li għal kull sistema tal-kliyent tispeċifika min għandu aċċess għall-backup, kif huwa sekur dak l-aċċess, u min responsabbli għall-aħħar test ta' ristampa. l-obbligi ta' ġestjoni tar-riskji per suġġett issortjati juri kif il-backup u r-ristampa jirrelazjonaw mas-sezzjonijiet oħra tal-obbligi ta' ġestjoni tar-riskji, bħall-kontroll ta' aċċess u r-reġistrazzjoni tal-inċidenti.
Subappaltanti: min jittestja x'
Ħafta servizz providers tal-ICT jaħdmu ma' subappaltanti għal partijiet speċifiċi: partner tal-hosting, partit li jiġestixxi l-firewall, freelancer li jdur patches. Jekk wieħed minnhom jiġestixxi wkoll il-backup, it-test ta' ristampa jisparixxi faċilment bejn żewġ partiti: il-fornitur tal-servizz jemmen li s-subappaltant jittestja, is-subappaltant jemmen li dan mhuwiex parti tal-obbligi tiegħu. Għal-muxtri dan ma jgħammadx differenza — huwa jistaqsi l-mistoqsija lill-partit li għandu kuntratt magħhom.
Għalhekk, huwa prudenti li fl-kuntratti ma' subkontraturi tispeċifika b'mod esplisitu min jittraċċa l-prova tal-irkupru, kemm-il ħin, u min iżomm il-prova. Il-prova ma trid tkun rapport estensiv; data, deskrizzjoni ta' dak li nġab lura, u r-riżultat huma ħafna drabi biżżejjed biex turi lill-klijent li r-rikupru mhuwa assunzjoni.
X'tiddokumenta u x'le
Prova tal-irkupru hija xogħol tal-bnedmin: xi ħadd jirrestawra sistema, ikejjel kemm-il ħin jieħu dan, u jivverifika jekk id-data hija korretta. Dan ix-xogħol inti twettaquh biss-selves jew taħtru lill-partner tal-immaniġġ tiegħek; plataporma ma tista' tagħmel dan għalik, li ċ-ċert la tista' tissostitwixxi pentest jew audit. Dak li verament għin, huwa post fejn ir-riżultat ta' kull prova huwa magħqud mill-misjuri tal-kwalità oħra, sabiex fl-istampa li jmiss ma jkollok bżonn ifittex meta kien l-aħħar darba.
Jekk xorta trid taf jekk l-organizzazzjoni tiegħek innifsha taqangħax taħt d-dmir tal-kwalità, jew inti tikkuntattja bis-suq permezz ta' klijent b'dawn il-mistoqsija, f'ħamsa mistoqsija tara fejn inti qiegħed tiegħek dehra l-ewwel indikazzjoni. Trid taf kif nimmaniġġaw id-data li tiddokumenta f'dossier bħal dan, kif immaniġġaw id-dejta tiegħek dan jispjega. U jekk xorta tqis li s-sitwazzjoni tiegħek mhux eżattament kif fih, ħares ġol tweġibiet għal mistoqsija li jiġu ħafna drabi jew (u lal-awtorità ta' sorveljanza għas-settur tiegħek.
Iċ-ċarx NIS2 kompletament meħtieġ u l-bank tal-għarfien fuq secria.eu juri fejn il-backup u r-rikupru jinsabu preċizzament fis-sitwazzjoni tiegħek, mingħajr li trid account.