Zálohy a obnovenie v poskytovaní ICT služieb: kedy ste to naposledy testovali?
Otázka "máte zálohu" nie je otázka, ktorá sa počíta. Otázka, ktorá sa počíta, je: kedy sa naposledy niekto pokúsil skutočne obnoviť systém z tejto zálohy a ako dlho to trvalo? Záloha, ktorá sa síce vytvára, ale nikdy sa neobnovuje, je v praxi iba predpoklad. Dozorné orgány a odberatelia, ktorí sa opierajú o opatrenia povinnosti starostlivosti z Smernice NIS2, sa preto pozerajú nielen na existenciu politiky zálohovánia, ale na dôkaz, že obnovenie skutočne funguje.
Pre poskytovateľa služieb IKT to nie je vedľajšia záležitosť. Často spravujete nielen vlastné prostredie, ale aj systémy zákazníkov, na diaľku, niekedy s pomocou podľa dodávateľa. Ak tam niečo pôjde zle, nejde o to, kto chybu spravil, ale či obnovenie fungovalo v čase, ktorý by mohol zákazník zdôvodniť. To robí test obnovenia jedným z mála opatrení, ktoré nemôžete označiť iba dokumentom.
Prečo sa netestovaná záloha nepočíta
Záloha nemôže byť použiteľná z mnohých dôvodov: poškodený súbor, nesprávna konfigurácia, heslo, ktoré už nikto nemá, alebo postup obnovenia, ktorý je teoreticky správny, ale v praxi trvá tri dni namiesto troch hodín. Žiadny z týchto problémov sa neobjaví, kým si niekto zálohu skutočne nepoužije. Článok 21 Smernice NIS2 výslovne spomína politiku zálohovánia a obnovenia ako súčasť opatrení riadenia rizík, ktoré organizácia zohľadňuje pri svojich dodávateľoch. V praxi to znamená, že odberateľ, ktorý sám podlieha povinnosti starostlivosti, sa svojho poskytovateľa služieb IKT pýta, ako je obnovenie usporiadané, a čoraz viac, kedy bolo naposledy testované.
To, čo si dozorný orgán alebo odberateľ predstavuje pod pojmom "testované", nie je jednotne establecované, ale základná otázka sa vracia stále nanovo: bol okamih, kedy sa systém alebo dataset skutočne obnovil, oddelene od produkčného prostredia, a bol výsledok zdokumentovaný? Testovacia správa s dátumom a výsledkom je niečo iné ako interné oznámenie, že "zálohy bežia".
Správa na diaľku: čia záloha to vlastne je
Pri správe na diaľku sa záloha systému zákazníka často fyzicky nenachádza u zákazníka, ale u poskytovateľa služieb, alebo u cloudovej služby, ktorú poskytovateľ usporiadal v mene zákazníka. To posúva otázku, ktorá sa zdá na prvý pohľad technická, na otázku zodpovednosti: kto testuje, kto uchovává výsledok testu, a kto môže preukázať, že obnovenie funguje, ak sa na to zákazník pýta? Zoznam bezpečnostných otázok od odberateľa sa tu čoraz konkrétnejšie pýta, a "to robí naša hostingová partia" nie je pre dozorný orgán alebo audítora odpoveďou — je to odkaz, ktorý si vyžaduje vlastnú kontrolu.
Je preto rozumné si pre každý systém zákazníka uviesť, kto má prístup k zálohе, ako je tento prístup zabezpečený, a kto je zodpovedný za posledný test obnovenia. opatrenia povinnosti starostlivosti usporiadané podľa témy ukazuje, ako sa zálohovanje a obnovenie vzťahujú na ostatné opatrenia z povinnosti starostlivosti, ako je kontrola prístupu a evidencia incidentov.
Podľa dodávatelia: kto testuje čo
Mnohí poskytovatelia služieb IKT pracujú s podľa dodávateľmi na špecifických častiach: hostingová partia, partia spravujúca firewall, slobodný pracovník rozširujúci záplaty. Ak jeden z nich spravuje aj zálohu, test obnovenia sa ľahko stratí medzi dvoma stranami: poskytovateľ služieb si myslí, že podľa dodávateľ testuje, podľa dodávateľ si myslí, že to nie je súčasťou jeho úlohy. Pre odberateľa to nie je rozdiel — ten kladie otázku strane, s ktorou má zmluvu.
Preto je užitočné explicitne určiť v dohodách s subdodávateľom, kto vykonáva skúšku obnovy, ako často sa vykonáva a kto si uchováva dôkaz. Tento dôkaz nemusí byť rozsiahla správa; zvyčajne postačuje dátum, popis toho, čo bolo obnovené, a výsledok, aby ste zákazníkovi ukázali, že obnova nie je len predpoklad.
Čo si zaznamenáte a čo nie
Skúška obnovy je ľudská práca: niekto obnoví systém, zmeria, ako dlho to trvá, a skontroluje, či sú údaje správne. Túto prácu vykonávate sami alebo si ju nechávate urobiť svojou správcovskou spoločnosťou; platforma to za vás nemôže urobiť, rovnako ako nemôže nahradiť skúšku penetrácie alebo audit. Čo však pomáha, je miesto, kde je výsledok každej skúšky spolu s ostatnými opatreniami starostlivosti v jednom mieste, takže pri nasledujúcom zozname otázok nemusíte hľadať, kedy sa to naposledy stalo.
Ak ešte neviete, či vaša organizácia sama podlieha povinnosti starostlivosti, alebo sa s týmito otázkami zaoberáte len prostredníctvom objednávateľa, v piatich otázkach vidieť, kde stojíte dáva prvú indikáciu. Chcete vedieť, ako s údajmi, ktoré ste si zaznamenali v takomto dossier, zaobchádzame, ako zaobchádzame s vašimi údajmi to vysvetľuje. A ak ste si nie ste istí, či sa vaša situácia presne vzťahuje na toto, pozrite sa v časti odpovede na otázky, ktoré sa často opakujú alebo sa poraďte s dozorom na vašom sektore.
Bezplatná skúška NIS2 a vedomostná základňa na secria.eu ukazujú, kde sa v prípadne vašej situácie presne nachádzajú zálohy a obnova, bez toho, aby ste potrebovali účet.