Kopie zapasowe i przywracanie w przemyśle metali i produkcji: kiedy ostatnio przeprowadzono test?
Pytanie, które ma znaczenie, nie dotyczy tego, czy istnieje kopia zapasowa, ale tego, kiedy ktoś ostatnio próbował ją przywrócić. Kopia zapasowa, która jest tworzona, ale nigdy nie jest przywracana, może być niekompletna, uszkodzona lub po prostu nie pasować do maszyny, na której ma w końcu funkcjonować. Nie odkryjesz tego, patrząc na plik dziennika, ale próbując to naprawdę zrobić.
Dla przemysłu metali i produkcji nie jest to kwestia teoretyczna. Sterowania CNC, oprogramowanie MES, PLC-ki i systemy planowania wokół nich coraz częściej są podłączone do tej samej sieci co automatyka biurowa. Jeśli ta sieć ulegnie awarii z powodu usterki technicznej lub incydentu, pytanie nie dotyczy tylko tego, czy dane powrócą, ale tego, czy linia produkcyjna będzie znowu działać w rozsądnym czasie. To jest przedmiot obowiązku opieki wynikającego z dyrektywy NIS2: nie posiadanie kopii zapasowej, ale możliwość udowodnienia przywrócenia.
Dlaczego test przywracania waży więcej niż sama kopia zapasowa
Strategia kopii zapasowych zwykle składa się z trzech elementów: co jest kopiowane, jak często i gdzie jest przechowywane. To są elementy, które przedsiębiorstwa zwykle mają w porządku, często od wielu lat za pośrednictwem dostawcy IT. Czwarty element brakuje w wielu firmach MŚP: zaplanowany, powtarzalny test, w którym ktoś faktycznie przywraca kopię zapasową w środowisku testowym i sprawdza, czy wynik działa.
Test ten pokazuje, czy kopia zapasowa i przywrócenie rzeczywiście na siebie przypadają. Kopia zapasowa serwera bazodanowego bez odpowiadających jej plików konfiguracyjnych podłączonej maszyny jest w praktyce często bezużyteczna. To samo dotyczy kopii zapasowej, która zawiera plik, ale nie klucz licencyjny lub połączenie z sterowaniem, które napędza linię produkcyjną. Takie luki odkrywasz tylko poprzez przywrócenie, a nie czytając ustawienia.
Co to oznacza dla systemów podłączonych do sieci
Systemy produkcyjne, które kiedyś działały niezależnie od sieci biurowej, w wielu firmach są teraz z nią połączone: do obsługi zdalnej, do danych planowania lub dlatego, że dostawca wymaga dostępu do aktualizacji. To połączenie czyni przedsiębiorstwo bardziej wydajnym, ale oznacza również, że awaria lub incydent w sieci biurowej może mieć wpływ na halę produkcyjną.
Podczas testowania przywracania warto zatem rozróżnić kopię zapasową systemów administracyjnych od kopii zapasowej systemów produkcyjnych. Oba mają swój czas przywrócenia, swojego właściciela i swoje ryzyko, jeśli coś pójdzie nie tak. Test, który obejmuje tylko serwer biurowy, nic nie mówi o tym, jak szybko maszyna CNC może ponownie odczytać rysunek po awarii.
Co dokumentujesz i dlaczego jest to równie ważne jak sam test
Test przywracania, który nikt nie udokumentował, jest dla organu nadzoru lub zleceniodawcy nie do odróżnienia od testu, który nigdy się nie odbył. Dokumentowanie nie musi być skomplikowane: data testu, który system został przywrócony, kto to wykonał i jaki był wynik. To dokładnie ten rodzaj dowodu, który pojawia się w liście kontrolnej bezpieczeństwa zleceniodawcy i ten rodzaj uzasadnienia, który staje się istotny podczas zgłoszenia incydentu.
Kto chce uporządkować to na miary naukę przegląd wszystkich tematów w każdej sytuacji jak kopia zapasowa i przywrócenie odnoszą się do pozostałych dziewięciu środków z obowiązku opieki, takich jak kontrola dostępu i rejestrowanie incydentów. To zapobiega temu, aby przywrócenie stało samo w sobie, oderwane od reszty pliku.
Jak często testowanie jest wystarczające
Nie istnieje ustalony termin obowiązujący dla każdego przedsiębiorstwa; zależy od tego, jak krytyczny jest system i jak szybko musi on wznowić pracę po awarii. Test przeprowadzany raz w roku dla niektórych systemów może być niewystarczający, dla innych wystarczający. Organy nadzoru i sama dyrektywa nie określają przedziału czasowego; oczekują one, że organizacja sama potrafi wyjaśnić, dlaczego wybrana częstotliwość jest odpowiednia dla znaczenia systemu.
Jeśli mają Państwo wątpliwości, czy Twoje przedsiębiorstwo jako podmiot o krytycznym lub istotnym znaczeniu podlega obowiązkowi zapewniania bezpieczeństwa, czy tylko poprzez zleceniodawcę otrzymuje pytania dotyczące kopii zapasowych, to kontrola NIS2 wskazuje na to w kilku pytaniach. Często zadawane pytania dotyczące tego, co jest wymagane, a co nie, zostały zebrane w stronie z najczęściej zadawanymi pytaniami.
Test przywrócenia zajmuje czas, ale mniej niż przebudowywanie systemu produkcyjnego bez wiedzy, czy kopia zapasowa działa. Czy chcielibyście zobaczyć, jak to razem z innymi obowiązkami pasuje do jednego dossier, ze statusem, dowodem i właścicielem dla każdego środka? Najpierw wykonaj bezpłatną kontrolę NIS2 lub przeczytaj spokojnie dalej w bazie wiedzy.