Kopia zapasowa liczy się tylko wtedy, gdy została przetestowana w celu przywrócenia — nie tylko czy plik istnieje, ale czy kod źródłowy, linia deweloperska i związane z nią sekrety po incydencie funkcjonują ponownie. W tworzeniu oprogramowania chodzi nie tylko o repozytorium, które można przywrócić, ale o całą łańcuch: kontrolę wersji, serwery kompilacji, potoki, środowiska testowe i klucze oraz tokeny, które im towarzyszą. Bez przetestowanej procedury przywracania dowiaduje się pan/pani dopiero podczas incydentu, czy to działa, a to jest najgorszy moment, aby się o tym dowiedzieć.
Obowiązek dbałości w NIS2 wyraźnie wymienia ciągłość i przywracanie jako część dziesięciu środków z artykułu 21. Dyrektywa nie określa stałej częstotliwości testowania ani konkretnej formy — to uzupełniane jest dla każdej organizacji, a krajowe wdrożenie może dodawać własne akcenty. Co jednak zawsze się pojawia, w ankietach bezpieczeństwa od odbiorców i w tym, co organy nadzorcze uważają za rozsądne, to rozróżnienie między posiadaniem kopii zapasowej a przywróceniem kopii zapasowej i wiedzą, że wynik funkcjonuje.
Co dokładnie oznacza "przetestowany"
Test to nie to samo co zielona fiszka w oprogramowaniu kopii zapasowej. Przetestowany oznacza, że ktoś rzeczywiście przywrócił kopię zapasową w oddzielnym środowisku, sprawdzit, czy kod się kompiluje, czy kompilacja się powiedzie i czy aplikacja funkcjonuje zgodnie z oczekiwaniami. Dopiero wtedy wiadomo, czy moment przywracania jest użyteczny i ile czasu zajmie. Kopia zapasowa, która jest wykonywana, ale nigdy nie jest przywracana, jest w praktyce założeniem dotyczącym przywracania, a nie potwierdzonym przywracaniem.
Co dokładnie przywraca się w linii deweloperskiej
W tworzeniu oprogramowania kod źródłowy rzadko jest jedynym, co można utracić. Pomyślcie o konfiguracji potoku CI/CD, skryptach kompilacji, zależnościach od pakietów zewnętrznych, kluczach dostępu dla rejestrów i środowisk w chmurze oraz historii w samym systemie kontroli wersji. Plan przywracania, który obejmuje tylko kod, ale nie potok ani sekrety, pozostawia organizację po incydencie wciąż unieruchomioną. Dlatego właśnie warto dla każdej z tych części osobno określić: gdzie znajduje się kopia zapasowa, kto może ją przywrócić i czy kiedykolwiek się to ćwiczyło.
Jak często testowanie jest rozsądne
Dyrektywa nie określa stałego okresu, jak často przeprowadzać test przywracania. To, co w praktyce uważa się za rozsądne, zależy od tego, jak często zmienia się środowisko: linia deweloperska, która co tydzień zmienia konfigurację potoku, wymaga częstszych testów niż stabilne środowisko, które pozostaje niezmienione przez miesiące. Wiele organizacji wybiera stały moment w kalendarzu — na przykład co kwartał — połączony z testem po każdej dużej zmianie infrastruktury. Ważniejsza niż częstotliwość jest taka, że w ogóle był jakiś moment i że można wskazać, kiedy.
Co się rejestruje jako dowód
Odbiorca wysyłający ankietę bezpieczeństwa rzadko pyta o technikę stojącą za kopią zapasową. Pytanie jest zwykle prostsze: kiedy to ostatnio przetestowano, przez kogo i jaki był wynik. Na taką odpowiedź wystarczy zarejestrować trzy rzeczy: datę ostatniego testu przywracania, kto przeprowadził test i która część została przywrócona — kod, potok, sekrety czy wszystkie trzy. Bez takiego rejestru odpowiedź na ankietę pozostaje wspomnieniem zamiast dowodem, a to dokładnie różnica, którą chce zobaczyć osoba oceniająca po drugiej stronie stołu.
Powiązanie z resztą dossier
Kopie zapasowa i przywracanie rzadko funkcjonują samodzielnie. To, kto może przeprowadzić procedurę przywracania, wiąże się z kontrolą dostępu do procesu развoja oprogramowania; to, co poszło nie tak podczas awarii, powinno być zarejestrowane w tym samym rejestrze incydentów, który stosuje się również do innych środków. Ustanowienie takiego dossier nie musi być odrębnym projektem: dziesięć środków podzielonych na sytuacje pokazuje, gdzie dokładnie kopia zapasowa i przywracanie pasują do całości oraz które inne środki są z nimi bezpośrednio powiązane.
To, czy kopia zapasowa i przywracanie są dla Twojej organizacji wymogiem obowiązku opieki, zależy od tego, czy samodzielnie podlegasz NIS2, czy też otrzymujesz to pytanie od zamawiającego, który NIS2 podlega. w kilka pytań zobaczyć, gdzie stojesz daje początkową wskazówkę, wraz z wyjaśnieniem, dlaczego. Jak dochodzę do tej wskazówki i jakie źródła ją podpierają, wyjaśnione jest na stronie dotyczącej naszej metodyki.
Kopia zapasowa, która nigdy nie została przywrócona, nie jest gwarancją — to pytanie czekające na odpowiedź. Chcesz wiedzieć, czy i jak ten środek jest istotny dla Twojej organizacji oraz co jeszcze do tego należy? Przeprowadź bezpłatną szybką ocenę lub przejrzyj najczęściej zadawane pytania dotyczące NIS2 aby znaleźć pytania, które inni przedsiębiorcy już zadawali.