Varnostne kopije in okrevanje v storitvah IKT: kdaj ste jih nazadnje testirali?
Vprašanje »ali imate varnostno kopijo« ni vprašanje, ki se šteje. Vprašanje, ki se šteje, je: kdaj je bil varnostni sistem nazadnje dejansko obnovljen iz te varnostne kopije in koliko časa je to trajalo? Varnostna kopija, ki je sicer narejena, a nikoli obnovljena, je v praksi le predpostavka. Nadzorni organi in naročniki, ki se opirajo na obveznosti za varnost iz direktive NIS2, zato ne gledam samo na obstoj politike varnostnih kopij, ampak na dokaz, da je okrevanje res uspešno.
Za ponudnika storitev IKT to ni stranska zadeva. Pogosto ne upravljate le lastnega okolja, ampak tudi sisteme strank na daljavo, včasih s pomočjo podizvajalca. Če tam kaj narobe, se ne šteje, kdo je napako naredil, ampak ali je okrevanje delovalo v času, ki ga je naročnik lahko upravičil. To naredi test okrevanja v eno redkih ukrepov, ki ga ne morete prečrtati z dokumentom.
Zakaj nepreizkušena varnostna kopija se ne šteje
Varnostna kopija je lahko neuprabna iz različnih razlogov: pokvarjena datoteka, napačna konfiguracija, geslo, ki ga nihče več ne pozna, ali postopek okrevanja, ki je na papirju primeren, v praksi pa traja tri dni namesto tri ure. Noben od teh problemov se ne pojavi, dokler varnostne kopije dejansko ne uporabi nekdo. Člena 21 direktive NIS2 izrecno omenjata politiko varnostnih kopij in okrevanja kot del ukrepov za upravljanje tveganj, ki jih mora organizacija upoštevati pri svojih izvajalcih. To v praksi pomeni, da naročnik, ki je sam predmet obveznosti za varnost, svojega ponudnika storitev IKT vprašuje, kako je okrevanje urejeno in, čedalje pogosteje, kdaj je bilo to nazadnje preizkušeno.
Kaj nadzorni organ ali naročnik razume pod »testirano«, ni enotno določeno, a jedrno vprašanje se vedno znova pojavlja: je bil trenutek, ko je bil sistem ali nabor podatkov dejansko obnovljen, ločeno od proizvodnega okolja, in ali je bil rezultat zabeležen? Poročilo testa s datumom in rezultatom je kaj drugega kot interno sporočilo, da »varnostne kopije tečejo«.
Upravljanje na daljavo: čigava je pravzaprav varnostna kopija
Pri upravljanju na daljavo varnostna kopija sistema stranke pogosto ne nahaja fizično pri stranki, ampak pri ponudniku storitev ali pri storitve v oblaku, ki jo je ponudnik storitev za stranko nastavil. To premakne vprašanje, ki se na prvi pogled zdi tehnično, v vprašanje o odgovornosti: kdo testira, kdo hrani rezultat testa in kdo lahko dokže, da okrevanje deluje, če to stranka zahteva? Vprašalnik za varnost naročnika tukaj vedno bolj konkretno sprašuje in »to počne naš ponudnik gostovanja« za nadzorni organ ali revizorja ni odgovor — je sklicevanje, ki zahteva lastno preverjanje.
Zato je pametno, da za vsak sistem stranke navedete, kdo ima dostop do varnostne kopije, kako je ta dostop zavarovan in kdo je odgovoren za zadnji test okrevanja. ukrepi obveznosti za varnost po temah razvrščeni prikazuje, kako se varnostne kopije in okrevanje nanašajo na druge ukrepe iz obveznosti za varnost, kot so nadzor dostopa in registracija incidentov.
Podizvajalci: kdo testira kaj
Številni ponudniki storitev IKT delajo s podizvajalci za posebne dele: ponudnik gostovanja, podjetje, ki upravlja požarni zid, samostojni delavec, ki uvaja popravke. Če eden od njih upravlja tudi varnostno kopijo, test okrevanja zlahka izgine med dvema strankama: ponudnik storitev misli, da testira podizvajalec, podizvajalec misli, da to ni del njegove naloge. Za naročnika to nima razlike — ta postavlja vprašanje stranki, s katero ima pogodbo.
Zato je smiselno, da se v sporazumih s podizvajalcem izrecno dogovori, kdo izvaja test obnove, kako pogosto in kdo hrani dokaz. Dokaz ne mora biti obsežno poročilo; datum, opis tega, kaj je bilo vrnjeno, in rezultat običajno zadoščata, da pokažete naročniku, da je obnova dejstvo in ne zgolj predpostavka.
Kaj zabeležite in kaj ne
Test obnove je delo človeka: nekdo sistemu vrne prejšnje stanje, izmeri, kako dolgo to traja, in preverka, ali so podatki pravilni. To delo opravite sami ali ga zaupate svojemu upravljavcu; platforma tega ne more narediti namesto vas, prav tako kot ne more nadomestiti testa penetracije ali inšpekcije. Kar pa pomaga, je mesto, kjer je rezultat vsakega testa skupaj z drugimi ukrepi varnostne obveznosti na enem mestu, tako da pri naslednji vprašalniku ne trebate iskati, kdaj se je to zgodilo nazadnje.
Če še ne veste, ali vaša organizacija sama spada pod varnostno obveznost ali le preko naročnika dobiva ta vprašanja, v petih vprašanjih vidi, kje ste je tu prvi pokazatelj. Želite vedeti, kako upravljamo s podatki, ki jih zabeležite v takšen dosje, kako upravljamo s svojimi podatki to pojasnjuje. In če dvomite, ali se vaša situacija sodi natančno sem, poglejte odgovore na vprašanja, ki se pogosteje pojavljajo ali se posvetujte s nadzornim organom za vašo dejavnost.
Brezplačni pregled NIS2 in baza znanja na secria.eu pokažeta, kje sta varnostna kopija in obnova v vaši situaciji natančno, brez potrebe po računu.