Kopia zapasowa liczy się tylko wtedy, gdy wiadomo również, że jej przywrócenie działa. Nie jako założenie, lecz jako coś, co faktycznie zostało próbowane: przywrócenie przeprowadzone, zmierz ono, jak długo to trwało, i sprawdzono, czy wszystko powróciło do stanu, w jakim powinno być. Bez tego testu wiecie tylko, że gdzieś istnieje kopia — nie wiecie, czy ta kopia kiedykolwiek wam pomoże.
Dla przedsiębiorstwa instalacyjnego nie jest to pytanie teoretyczne. Za planowaniem monterów, kodami dostępu do budynków klientów i powiązaniami z systemami bezpieczeństwa stoją systemy, które — jeśli ulegną awarii — dotyczą nie tylko prowadzenia waszej działalności gospodarczej, ale również dostępu zleceniodawcy do jego własnego obiektu. Kto obsługuje zespół serwisowy zarządzający drzwiami, alarmem lub instalacją klimatyzacyjną na odległość, jest dla tego zleceniodawcy ogniwem, które musi po prostu funkcjonować.
Dlaczego nieprzetestowana kopia zapasowa się nie liczy
Kopia zapasowa może z różnych powodów okazać się bezużyteczna w momencie, gdy jej potrzebujecie. Plik jest uszkodzony, brakuje klucza do jego odszyfrowania, nigdzie nie jest zapisana kolejność, w której systemy muszą powrócić, lub po prostu trwa to znacznie dłużej, niż ktoś się spodziewał. Nie zauważycie tego podczas spokojnego wtorku — zauważycie to w momencie, gdy plan wszystkich monterów uległ awarii, a klient pyta, dlaczego jego system dostępu nie reaguje już od dwóch dni.
Obowiązek opieki wynikający z dyrektywy NIS2 wymienia kopię zapasową i odzyskiwanie nie jako szczegół techniczny, lecz jako jedną z podstawowych środków. To, czego sama dyrektywa nie robi, to ustalenie stałej częstotliwości testowania — jak często testujesz, nigdzie w tekście nie pojawia się konkretna liczba. Organy nadzoru zwykle sprawdzają w przypadku takich środków, czy organizacja może wykazać, że wie, które systemy są krytyczne i czy regularnie sprawdza, czy odzyskiwanie faktycznie działa, stosownie do tego, jak bardzo firma zależy od tych systemów.
Co konkretnie dotyczy przedsiębiorstw instalacyjnych
W przypadku przedsiębiorstwa instalacyjnego chodzi nie tylko o własną księgowość. Pomyśl o oprogramowaniu planowania, w którym monterzy otrzymują swoje trasy i zadania, o CRM zawierającym dane umowne i okresy gwarancji klientów, oraz o powiązaniach z systemami dostępu lub systemami zarządzania budynkami u zleceniodawców. Monterz, który może się połączyć z siecią klienta za pośrednictwem połączenia VPN, jest dla tego klienta dodatkowymi drzwiami do wejścia — drzwiami, które muszą się również zamknąć, jeśli coś pójdzie nie tak.
To właśnie te powiązania sprawiają, że odzyskiwanie jest bardziej skomplikowane niż w zwykłym systemie biurowym. Chodzi nie tylko o przywrócenie własnych danych, ale również o pytanie, czy uprawnienia dostępu, certyfikaty i hasła dla środowisk klientów po odzyskaniu będą prawidłowe. Test, który przywraca tylko własny system plików, mówi niewiele o tym, czy powiązanie z klientem po awarii będzie działać zgodnie z ustaleniami.
Co konkretnie obejmuje test
Użyteczny test odzyskiwania składa się z kilku stałych elementów: faktycznie przywracacie kopię zapasową, najlepiej w osobnym środowisku, aby test nie stwarzał ryzyka dla bieżącej pracy. Mierzycie, ile czasu to zajmuje i porównywacie z tym, co jest akceptowalne dla waszego planu i ustaleń ze zleceniodawcami. Sprawdzacie, czy wszystkie dane są kompletne i użyteczne, w tym powiązania z systemami zewnętrznymi. I dokumentujecie, kto przeprowadził test, kiedy i jakie były wyniki — również jeśli wynik nie był dobry, ponieważ właśnie to jest powodem do ulepszenia.
Ta dokumentacja jest jednocześnie dowodem, o który zleceniodawca może prosić w kwestionariuszu bezpieczeństwa, i elementem, który organ nadzoru spodziewa się znaleźć w pliku dotyczącym obowiązku opieki. Ci, którzy chcą sami sprawdzić, czy ten plik jest już w porządku, czy dopiero trzeba zacząć, znajdą to w krótka kontrola, gdzie się teraz znajduje pierwsze wskazanie wraz z wyjaśnieniem przyczyny
Dla firm, które nie są pewne, czy zobowiązania te ich bezpośrednio dotyczą, czy też przychodzą głównie wraz z wymogami zamawiającego, rozróżnienie między byciem bezpośrednio zobowiązanym a dotknięciem poprzez łańcuch dostaw jest często punktem wyjścia. To rozróżnienie i jego znaczenie dla reszty Twoich środków kontrolnych jest opracowane pomiędzy zagadnieniami dobranymi dla każdej sytuacji.
Osoba, która po przeczytaniu takich środków kontrolnych ma głównie praktyczne pytania — dotyczące tego, co zawiera konto, co pozostaje bezpłatne, a co nie — znajdzie większość odpowiedzi w często zadawanych pytaniach na temat platformy. A dla tych, którzy chcą rzeczywiście prowadzić swoje sprawozdanie, ze statusem i właścicielem dla każdego środka kontrolnego, znajdą to na stronie subskrypcji co do tego należy.
To, czy nieprzetestowana kopia zapasowa w Twojej sytuacji stanowi ryzyko oceniane inaczej przez nadzorcę niż testowana, to nie jest coś, co ten artykuł może dla Ciebie ustalić — zależy to od Twoich własnych systemów i porozumień, a w tym celu droga do prawnika lub nadzorcy pozostaje właściwa. Chcesz najpierw sam otrzymać obraz sytuacji, w której się znajdujesz? Nie wahaj się skorzystać z bezpłatnego szybkiego skanowania lub przeglądnij zagadnienia opracowane dla Twojego sektora.