Kopie zapasowe i odzyskiwanie w usługach ICT: kiedy ostatnio przeprowadzono test?
Pytanie "czy mają Państwo kopię zapasową" to nie to pytanie, które się liczy. To pytanie, które się liczy, to: kiedy ostatnio ktoś próbował faktycznie przywrócić system z tej kopii zapasowej i jak długo to trwało? Kopia zapasowa, która jest tworzona, ale nigdy nie jest przywracana, to w praktyce założenie. Organy nadzoru i odbiorcy opierający się na obowiązkach ochrony określonych w Dyrektywie NIS2 dlatego nie patrzą tylko na istnienie polityki kopii zapasowych, ale na dowód, że przywrócenie faktycznie funkcjonuje.
Dla dostawcy usług ICT to nie jest kwestia drugorzędna. Często zarządzają Państwo nie tylko własnym środowiskiem, ale również systemami klientów, zdalnie, czasami z pomocą podwykonawcy. Jeśli coś tam pójdzie nie tak, nie liczy się, kto popełnił błąd, ale czy przywrócenie zadziałało w czasie, który klient mógł uzasadnić. To czyni test przywrócenia jednym z niewielu obowiązków, którego nie można oznaczyć dokumentem.
Dlaczego nieprzetestowana kopia zapasowa się nie liczy
Kopia zapasowa może być bezużyteczna z wielu powodów: uszkodzony plik, błędna konfiguracja, hasło, które nikt nie pamięta, lub procedura przywrócenia, która teoretycznie działa, ale w praktyce zajmuje trzy dni zamiast trzech godzin. Żaden z tych problemów nie będzie widoczny, dopóki ktoś nie użyje kopii zapasowej. Artykuł 21 Dyrektywy NIS2 wyraźnie wymienia politykę kopii zapasowych i przywracania jako część obowiązków ochrony, które organizacja bierze pod uwagę przy swoich dostawcach. W praktyce oznacza to, że odbiorca, który sam podlega obowiązkowi ochrony, pyta swojego dostawcę usług ICT, jak jest zorganizowane przywrócenie i, coraz częściej, kiedy ostatnio to przetestowano.
To, co organ nadzoru lub odbiorca rozumie przez "przetestowane", nie jest jednolicie określone, ale pytanie zasadnicze powraca zawsze: czy istniał moment, w którym system lub zestaw danych faktycznie został przywrócony, niezależnie od środowiska produkcyjnego, i czy wynik został udokumentowany? Raport z testu z datą i wynikiem to coś innego niż wewnętrzna informacja, że "kopie zapasowe działają".
Zarządzanie zdalne: czyja właściwie jest to kopia zapasowa
Przy zdalnym zarządzaniu kopia zapasowa systemu klienta często nie znajduje się fizycznie u klienta, ale u dostawcy usług lub u usługodawcy chmury, którą dostawca usług skonfigurował w imieniu klienta. To przeskazuje pytanie, które na pierwszy rzut oka wydaje się techniczne, na pytanie o odpowiedzialność: kto testuje, kto przechowuje wynik testu i kto może wykazać, że przywrócenie działa, gdy klient o to pyta? Lista kontrolna bezpieczeństwa odbiorcy coraz konkretniej tu pyta, a "to robi nasz partner hostingowy" dla organu nadzoru lub audytora nie jest odpowiedzią — to odesłanie, które wymaga własnej weryfikacji.
Dlatego rozsądnie jest określić dla każdego systemu klienta, kto ma dostęp do kopii zapasowej, jak ten dostęp jest zabezpieczony i kto odpowiada za ostatni test przywrócenia. obowiązki ochrony na poszczególne tematy podzielone pokazuje, jak kopia zapasowa i przywrócenie odnoszą się do innych obowiązków z zakresu ochrony, takich jak kontrola dostępu i rejestracja incydentów.
Podwykonawcy: kto testuje co
Wielu dostawców usług ICT pracuje z podwykonawcami do konkretnych części: partnerem hostingowym, stroną zarządzającą zaporą, freelancerem rozwijającym patche. Jeśli jeden z nich zarządza również kopią zapasową, test przywrócenia łatwo znika między dwiema stronami: dostawca usług myśli, że podwykonawca testuje, podwykonawca myśli, że to nie jest część jego zlecenia. Dla odbiorcy to nie robi różnicy — on zadaje pytanie stronie, z którą ma umowę.
Dlatego warto jawnie określić w umowach z podwykonawcą, kto przeprowadza test przywracania, jak często oraz kto przechowuje dowód. Dowód ten nie musi być obszernym raportem; data, opis tego, co zostało przywrócone, i wynik zwykle wystarczają, aby wykazać odbiorcy, że przywrócenie nie jest założeniem.
Co dokumentujesz, a czego nie
Test przywracania to praca ręczna: ktoś przywraca system, mierzy czas potrzebny i sprawdza, czy dane są poprawne. Pracę tę wykonujesz sam lub powierzasz swojemu partnerowi obsługującemu; platforma nie może tego zrobić zamiast Ciebie, tak samo jak nie może zastąpić testu penetracyjnego ani audytu. Co pomocne, to miejsce, w którym wynik każdego testu znajduje się obok pozostałych środków zarządzania ryzykiem, dzięki czemu przy następnej ankiecie nie musisz szukać, kiedy to ostatnio się odbywało.
Jeśli jeszcze nie wiesz, czy Twoja organizacja sama podlega obowiązkowi zarządzania ryzykiem, czy ma z tymi pytaniami do czynienia tylko poprzez klienta, w pięciu pytaniach pokazuje, gdzie się znajdujesz tam znajduje się pierwsza wskazówka. Jeśli chcesz wiedzieć, jak postępujemy z danymi, które wpisujesz w takie dossier, jak postępujemy z Twoimi danymi to wyjaśnia. A jeśli masz wątpliwości, czy Twoja sytuacja dokładnie pod to podpada, sprawdź odpowiedzi na pytania, które pojawiają się częściej lub skontaktuj się z organem nadzoru dla Twojego sektora.
Bezpłatna kontrola NIS2 i baza wiedzy na secria.eu pokazują, gdzie dokładnie w Twojej sytuacji stoją kopie zapasowe i przywracanie, bez konieczności posiadania konta.