Atsarginės kopijos ir atkūrimas IT paslaugose: kada paskutinį kartą tai bandėte?
Klausimas "ar jūs turite atsarginę kopiją" nėra klausimas, kuris svarbus. Svarbus klausimas yra: kada paskutinį kartą kažkas bandė iš tos atsarginės kopijos sistemos iš tikrųjų atkurti, ir kiek laiko to užtruko? Atsarginė kopija, kuri yra sudaroma, bet niekada neatkuriama, praktikoje yra tik prielaida. Priežiūros institucijos ir pirkėjai, kurie vadovaujasi kibernetinio saugumo svarbiomis priemonėmis iš NIS2 direktyvos, todėl žiūri ne tik į atsarginės kopijos politikos egzistenciją, bet į įrodymus, kad atkūrimas iš tikrųjų pavyksta.
ICT paslaugų teikėjui tai nėra šalutinis dalykas. Jūs dažnai ne tik tvarkote savo aplinką, bet ir kliento sistemas, nuotoliniu būdu, kartais su subrangovinio partnerio pagalba. Jei ten kažkas nepavyksta, svarbu ne tai, kas sudarė klaidą, bet ar atkūrimas suveikė per laiką, kurį klienatas galėjo pagrįsti. Tai daro atkūrimo testą viena iš nedaugelio priemonių, kurias negalite nubraukti dokumentu.
Kodėl nepatikrinta atsarginė kopija nesiskaito
Atsarginė kopija gali būti nenaudojama dėl daugelio priežasčių: sugadinto failo, neteisingos konfigūracijos, slaptažodžio, kurio niekas daugiau neprisimena, arba atkūrimo procedūros, kuri teorijoje teisingas, bet praktikoje užima tris dienas, o ne tris valandas. Nė viena iš šių problemų nematoma, kol kas nors iš tikrųjų panaudoja atsarginę kopiją. NIS2 direktyvos 21 straipsnis tiesiogiai nurodo atsarginės kopijos ir atkūrimo politiką kaip kibernetinio saugumo svarbiųjų priemonių dalį, atsižvelgiant į tai, kaip organizacija bendradarbiauja su savo tiekėjais. Tai praktikoje reiškia, kad pirkėjas, kuris pats yra veiklos nutraukimo paskyros subjektas, prašo savo ICT tiekėjo, kaip yra sutvarkytas atkūrimas ir, vis dažniau, kada tai buvo paskutinį kartą patikrinta.
Tai, ką priežiūros institucija arba pirkėjas supranta žodžiu "patikrinta", nėra vienodai nustatyta, bet pagrindinį klausimą visada iš naujo svarsto: ar buvo momentas, kai sistema arba duomenų rinkinys buvo iš tikrųjų atkurtas, atskirai nuo gamybos aplinkos, ir ar rezultatas buvo užfiksuotas? Testo ataskaita su data ir rezultatu yra kažkas kitu nei vidinė žinutė, kad "atsarginės kopijos veikia".
Nuotolinis valdymas: kies atsarginė kopija tai iš tiesų yra
Nuotoliniame valdyme kliento sistemos atsarginė kopija dažnai nėra fiziškai kliento vietoje, o yra pas paslaugų teikėją arba pas debesų paslaugą, kurią paslaugų teikėjas klientui nustatė. Tai perkeičia klausimą, kuris iš pirmo žvilgsnio atrodo techninis, į atsakomybės klausimą: kas testina, kas saugo testo rezultatą, ir kas gali įrodyti, kad atkūrimas veikia, jei klientas to prašo? Pirkėjo saugumo klausimynas čia vis konkrečiau šiuo klausimu atsakinėja, o "tai daro mūsų hostingo partneris" priežiūros institucijai arba auditoriui nėra atsakymas – tai nuoroda, kuri prašo savų patikrinimų.
Todėl yra gudru kiekvienai kliento sistemai užfiksuoti, kas turi prieigą prie atsarginės kopijos, kaip yra apsaugota ši prieiga ir kas yra atsakingas už paskutinį atkūrimo testą. kibernetinio saugumo svarbiųjų priemonių pagal temą išaiškintos parodyti, kaip atsarginė kopija ir atkūrimas susiję su kitomis priemonėmis iš kibernetinio saugumo pareigos, pvz., prieigos valdomumu ir incidento registravimu.
Subrangai: kas testina ką
Daug ICT paslaugų teikėjų dirba su subrangovais atskiroms dalims: hostingo partneris, partneris, kuris valdo sieną, laisvai samdomas darbuotojas, kuris diegia pataisas. Jei vienas iš jų taip pat valdo atsarginę kopiją, atkūrimo testas lengvai išnyksta tarp dviejų šalių: paslaugų teikėjas galvoja, kad subrangovas testina, subrangovas galvoja, kad tai nėra jo užduotis. Pirkėjui tai nėra svarbu – jis iš partnerio, su kuriuo turi sutartį, daro klausimą.
Todėl tikslinga eksplicitiškai numatyti susitarimuose su subrangovais, kas atlieka atkūrimo bandymą, kaip dažnai ir kas saugo įrodymą. Tas įrodymas nebūtinai turi būti išsamus ataskaita; data, atkurto daryko aprašymas ir rezultatas dažniausiai pakanka, norint parodyti užsakovui, kad atkūrimas nėra prielaida.
Ką dokumentuojate, o ko ne
Atkūrimo bandymas yra žmonių darbas: kažkas grąžina sistemą į ankstesnę būklę, matuoja, kiek laiko tai užtrunka, ir patikrina, ar duomenys sutampa. Šį darbą atliekate patys arba paprašote jį atlikti jūsų valdymo paslaugų teikėjui; platforma negali to padaryti jūsų vietoje, tiesiai kaip negali pakeisti saugumo tyrimo ar audito. Tai, kas naudinga, yra vieta, kurioje kiekvieno bandymo rezultatas drauge su kitomis rūpesčio pareigos priemonėmis būtų saugomi kartu, todėl atliekant kitą klausimyną nebereikėtų ieškoti, kada tai buvo atlikta paskutinį kartą.
Jei dar nežinote, ar jūsų organizacija pati patenka į rūpesčio pareigą, ar su šiais klausimais susiduriate tik per užsakovą, paaiškėja penkiuose klausimuose pamatykite, kur stovite čia galima gauti pirmą orientaciją. Jei norite sužinoti, kaip mes tvarkomos duomenis, kuriuos dokumentuojate tokiame dossier, kaip mes tvarkomus jūsų duomenis tai paaiškina. Ir jei abejojate, ar jūsų situacija tiksliai čia patenka, žiūrėkite dažnai užduodamų klausimų atsakymai arba kreipkitės į jūsų sektoriaus priežiūros institucijos atstovą.
Nemokama NIS2-patikra ir žinių bankas svetainėje secria.eu parodo, kur atsarginės kopijos ir atkūrimas yra jūsų situacijoje, nereikalaudami paskyros.