Copiile de siguranță și recuperarea în serviciile TIC: când ați testat-o pentru ultima dată?
Întrebarea "aveți o copie de siguranță" nu este întrebarea care contează. Întrebarea care contează este: când a încercat cineva pentru ultima dată să restabilească efectiv un sistem pornind de la acea copie de siguranță, și cât timp a durat? O copie de siguranță care se face dar nu se restabilește niciodată este în practică o presupunere. De aceea, autoritățile de supraveghere și clienții care se bazează pe măsurile de protecție din Directiva NIS2 nu se uită numai la existența unei politici de copiere de siguranță, ci la dovada că recuperarea funcționează cu adevărat.
Pentru un furnizor de servicii TIC, aceasta nu este o problemă secundară. Gestionați adesea nu doar propriul mediu, ci și sisteme ale clienților, de la distanță, uneori cu ajutorul unui subcontractant. Dacă ceva merge greșit acolo, nu contează cine a comis eroarea, ci dacă recuperarea a funcționat într-un timp pe care clientul ar putea să-l justifice. Aceasta face testul de recuperare una dintre puținele măsuri pe care nu o puteți bifa cu un document.
De ce o copie de siguranță netestată nu se ia în considerare
O copie de siguranță poate să nu fie utilizabilă din multe motive: un fișier corupt, o configurare greșită, o parolă pe care nimeni nu o mai știe, sau o procedură de recuperare care pe hârtie este corectă dar în practică durează trei zile în loc de trei ore. Niciuna dintre aceste probleme nu devine vizibilă până când cineva nu folosește efectiv copia de siguranță. Articolul 21 din Directiva NIS2 menționează în mod explicit politica de copiere de siguranță și recuperare ca parte a măsurilor de protecție pe care o organizație le ia în considerare atunci când evaluează furnizorii. În practică, aceasta înseamnă că un client care însuși se încadrează în măsurile de protecție solicită furnizorului său de servicii TIC cum este organizată recuperarea și, din ce în ce mai des, când a fost testat aceasta pentru ultima dată.
Ceea ce o autoritate de supraveghere sau un client înțelege prin "testat" nu este stabilit în mod uniform, dar întrebarea fundamentală se repetă în continuu: a existat un moment în care un sistem sau un set de date a fost efectiv restabilit, separat de mediul de producție, și a fost rezultatul înregistrat? Un raport de test cu o dată și un rezultat este ceva cu totul diferit de o comunicare internă că "copiile de siguranță funcționează".
Administrare la distanță: a cui este de fapt copia de rezervă
În administrarea la distanță, copia de rezervă a unui sistem client se află adesea nu fizic la client, ci la furnizorul de servicii, sau la un serviciu cloud pe care furnizorul de servicii l-a configurat în numele clientului. Aceasta deplasează o întrebare care la prima vedere pare tehnică către o întrebare despre responsabilitate: cine testează, cine păstrează rezultatul testului și cine poate dovedi că recuperarea funcționează dacă clientul o solicită? Un chestionar de securitate al unui achiziator pune întrebări din ce în ce mai concrete în această privință, și "asta face partenerii nostri de hosting" nu este un răspuns pentru un supraveghetor sau un auditor — este o trimitere care necesită o verificare independentă.
De aceea, este indicat să se stabilească pentru fiecare sistem client cine are acces la copia de rezervă, cum este asigurat accesul respectiv și cine este responsabil pentru ultimul test de recuperare. măsurile de diligență cuvintă-cuvântă pe fiecare subiect arată cum se raportează copia de rezervă și recuperarea la celelalte măsuri din diligența cuvintă-cuvântă, cum ar fi controlul accesului și înregistrarea incidentelor.
Subcontractanți: cine testează ce
Mulți furnizori de servicii ICT lucrează cu subcontractanți pentru anumite componente: o parte de hosting, o parte care gestionează firewall-ul, un freelancer care implementează patch-uri. Dacă unul dintre ei gestionează și copia de rezervă, testul de recuperare dispare cu ușurință între două părți: furnizorul de servicii crede că subcontractantul testează, subcontractantul crede că asta nu face parte din mandatul lui. Pentru achiziitor nu face nicio diferență — el pune întrebarea la partea cu care are un contract.
De aceea, este util să precizați explicit în acordurile cu un subcontractor cine efectuează testul de recuperare, cât de des și cine păstrează dovada. Dovada nu trebuie să fie un raport detaliat; o dată, o descriere a ceea ce a fost restaurat și rezultatul sunt de obicei suficiente pentru a arăta unui client că recuperarea nu este o presupunere.
Ceea ce documentați și ceea ce nu
Un test de recuperare este muncă umană: cineva restaurează un sistem, măsoară cât timp durează și verifică dacă datele sunt corecte. Această muncă o faceți dvs. sau o angajați furnizorului dumneavoastră de administrare; o platformă nu poate face asta pentru dvs., nici nu poate înlocui un test de penetrare sau o audit. Ceea ce ajută, în schimb, este un loc unde rezultatul fiecărui test se găsește alături de celelalte măsuri de îndeplinire a obligațiilor de diligență, astfel încât la chestionarul următor să nu trebuiască să căutați când s-a întâmplat ultima dată.
Dacă nu știți încă dacă organizația dvs. cade ea însăși sub obligația de diligență sau numai prin intermediul unui client primitor cu aceste întrebări, vedeți în cinci întrebări unde vă situați vă oferă o primă indicație. Doriți să știți cum tratăm datele pe care le documentați într-un dosar de acest tip, cum tratăm datele dvs. explică asta. Și dacă bănuiți că situația dvs. nu se aplică exact aici, consultați răspunsuri la întrebări care revin mai des sau contactați autoritatea de supraveghere pentru sectorul dvs.
Verificarea gratuită NIS2 și baza de cunoștințe de pe secria.eu arată unde se situează exact back-up și recuperarea în situația dvs., fără a fi nevoie de un cont.