Záloha sa počíta iba vtedy, keď ste otestovali, že s ňou môžete obnoviť — nielen či tam súbor je, ale či sa zdrojový kód, vývojová linka a príslušné tajomstvá po incidente opäť funkčne vrátia. V softwarovom vývoji nejde iba o úložisko, ktoré môžete obnoviť, ale o celý reťazec: správa verzií, build-servery, pipelines, testovací prostredia a kľúče a tokeny, ktoré k nim patria. Bez otestovaného postupu obnovy zistíte počas incidentu, či to funguje, a to je najhorší čas na zistenie.
Povinnosť starostlivosti v rámci NIS2 explicitne uvádza kontinuitu a obnovu ako súčasť desiatich opatrení z článku 21. Smernica neurčuje pevnú frekvenciu testovania ani konkrétnu formu — tá sa vypĺňa pre každú organizáciu a národná transpozícia môže pridať svoje vlastné dôrazy. Čo sa však vždy opakuje, v kontrolných zoznamoch bezpečnosti od nákupčích a v tom, čo regulátoři považujú za rozumné, je rozlíšenie medzi zálohou a zálohou, ktorú ste obnovili a vedia, že výsledok funguje.
Čo presne znamená "otestované"
Test nie je to isté ako zelené zaškrtnutie v zálohovaccom softvéri. Otestované znamená, že niekto zálohu skutočne obnovil v samostatnom prostredí, overil, či sa kód kompiluje, či build uspeje a či aplikácia funguje podľa očakávaní. Až potom viete, či je moment obnovy použiteľný a koľko času trvá. Záloha, ktorá sa vytvára, ale nikdy sa neobnovuje, je v praxi predpokladom obnovy, nie osvedčenou obnovou.
Čo konkrétne obnovíte vo vývojovej línke
V softwarovom vývoji je zdrojový kód zriedka jedinou vecou, ktorú môžete stratiť. Myslite na konfiguráciu CI/CD pipeline, build-skripty, závislosti od vonkajších balíkov, prístupové kľúče pre registry a cloudové prostredia a históriu v samotnom systéme správy verzií. Plán obnovy, ktorý pokrýva iba kód, ale nie pipeline ani tajomstvá, nechá organizáciu po incidente stále bez prevádzky. Preto je užitočné určiť pre každú z týchto súčastí osobitne: kde je záloha, kto ju môže obnoviť a bolo to niekedy vycvičené.
Ako často je rozumné testovať
V smernici nie je určená pevná lehota, ako často musíte vykonať test obnovy. Čo sa v praxi považuje za rozumné, súvisí s tým, ako často sa prostredie mení: vývojová linka, ktorá zmení konfiguráciu pipeline každý týždeň, si vyžaduje častejšie testovanie ako stabilné prostredie, ktoré zostáva mesiace bez zmien. Mnohé organizácie si vyberajú pevný kalendárny bod — napríklad každého štvrťroka — v kombinácii s testom po každej veľkej zmene v infraštruktúre. Dôležitejšie ako frekvencia je, že tam bol aspoň jeden moment a že môžete poukázať na to, kedy.
Čo si zaznamenáte ako dôkaz
Nákupčí, ktorý zasiela kontrolný zoznam bezpečnosti, zriedka pýta na techniku za vašou zálohou. Otázka je zvyčajne jednoduchšia: kedy bola naposledy otestovaná, kto test vykonal a aký bol výsledok. Na odpoveď na ňu stačí zaznamenať tri veci: dátum posledného testu obnovy, kto test vykonal a ktorá súčasť bola obnovená — kód, pipeline, tajomstvá alebo všetky tri. Bez tohto záznamu zostáva odpoveď na kontrolný zoznam spomienkou namiesto dôkazu a to je presne rozdiel, ktorý chce vidieť ohodnocovateľ na druhej strane stola.
Prepojenie so zvyškom dossiera
Zálohovanie a obnova sa zriedka vyskytujú samy o sebe. To, kto smie vykonať postup obnovy, súvisí s kontrolou prístupu k vývojovému potoku; to, čo sa počas poruchy pokazilo, by malo byť zaregistrované v tej istej evidencii incidentov, ktorá sa vedie aj pre ostatné opatrenia. Nastavenie takéhoto dossiera nemusí byť samostatný projekt: desať opatrení rozdelených podľa situácie ukazuje, kde sa zálohovanie a obnova presne nachádzajú v celkovom kontexte a ktoré ďalšie opatrenia s nimi priamo súvisia.
To, či sa zálohovanie a obnova v Vašej organizácii považujú za povinné opatrenie, závisí od toho, či sami podliehate NIS2 alebo či sa s touto otázkou stretávate prostredníctvom obstarávateľa, ktorý podlieha. v niekoľkých otázkach vidieť, kde stojíte poskytuje prvú indikáciu spolu s vysvetlením, prečo. Ako dospejeme k tejto indikácii a ktoré zdroje sú jej základom, je uvedené na stránke o našom postupe.
Záloha, ktorá nikdy nebola obnovená, nie je zárukou — je to otázka, ktorá čaká na odpoveď. Chcete vedieť, či a ako je toto opatrenie pre Vašu organizáciu relevantné a čo s tým ďalej súvisí? Urobte bezplatnú rýchlu skúšku alebo si prelistujte najčastejšie kladeným otázkam o NIS2 pre otázky, ktoré si už položili iní podnikatelia.