Varnostna kopija se šteje samo, če ste tudi testirali, da z njo lahko obnovite — ne samo ali datoteka obstaja, ampak ali se izvorna koda, razvojni pipeline in povezane skrivnosti po incidentu dejansko vrnejo v delno stanje. Pri razvoju programske opreme ne gre le za skladišče, ki ga lahko obnovite, ampak za celoten lanec: upravljanje verzij, gradniki, cevovodi, testna okolja in ključi ter žetoni, ki jih spremljajo. Brez preizkušenega postopka obnovitve boste šele med incidentom vedeli, ali deluje, in to je najslabši čas, da to ugotovite.
Zahteva za primerno skrbnost v okviru NIS2 izrecno omenja kontinuiteto in obnovitev kot del desetih ukrepov iz člena 21. Direktiva ne predpisuje fiksne pogostosti testiranja niti konkretne oblike — to se izpolni glede na organizacijo, nacionalna izvedba pa lahko doda svoje poudarke. Kaj pa se vedno pojavi, tako v vprašalnikih naročnikov kot v tem, kar nadzorniki štejejo za razumno, je razlika med tem, da imate varnostno kopijo, in varnostno kopijo, ki ste jo obnovili in veste, da rezultat deluje.
Kaj točno pomeni »testiranje«
Test ni enako zeleni kljukici v programski opremii za varnostne kopije. Testiranje pomeni, da je nekdo varnostno kopijo dejansko obnovil v ločenem okolju, preveril, ali se koda prevede, ali gradnja uspe in ali aplikacija deluje kot pričakovanja. Šele takrat veste, ali je trenutek obnovitve uporaben in koliko časa traja. Varnostna kopija, ki se sicer naredi, vendar nikoli ne obnovljena, je v praksi predpostavka o obnovitvi, ne pa dokazana obnovitev.
Kaj točno obnovite v razvojnem pipeline-u
Pri razvoju programske opreme je izvorna koda redko edina stvar, ki jo lahko izgubite. Pomislite na konfiguracijo CI/CD-cevovoda, gradne skripte, odvisnosti zunanjih paketov, dostopne ključe za registre in oblačna okolja ter zgodovino samega sistema za upravljanje verzij. Načrt obnovitve, ki pokriva samo kodo, ne pa tudi cevovoda ali skrivnosti, organizacijo po incidentu pusti še vedno paralizirano. Zato je smiselno za vsak od teh delov posebej določiti: kje je varnostna kopija, kdo jo lahko obnovil in ali je to kdaj že bilo izvedeno.
Kako pogosto je testiranje razumno
V direktivi ni navedena fiksna roka, kako pogosto morate izvesti test obnovitve. Kar se v praksi šteje za razumno, je povezano s tem, kako pogosto se okolje spremeni: razvojni pipeline, ki tedensko spremeni konfiguracijo, zahteva pogostejše testiranje kot stabilno okolje, ki ostane mesece nespremenjeno. Mnoge organizacije se odločijo za fiksno časovno točko — na primer vsako četrtletje — v kombinaciji s testom po vsakem večjem spremembi infrastrukture. Bolj kot pogostost je pomembno, da je bil trenutek sploh, in da lahko navedete, kdaj.
Kaj zabeležite kot dokazilo
Naročnik, ki pošlje vprašalnik o varnosti, redko sprašuje o tehnologi za varnostno kopijo. Vprašanje je običajno enostavnejše: kdaj je bilo to nazadnje testirano, kdo je test izvedel in kakšen je bil rezultat. Za ta odgovor je dovolj zabeležiti tri stvari: datum zadnjega testa obnovitve, kdo je test izvedel in kateri del je bil obnovljen — koda, pipeline, skrivnosti ali vse skupaj. Brez te dokumentacije ostane odgovor na vprašalnik spominjanje namesto dokazila, in to je natanko razlika, ki jo bo ocenjevalec na drugi strani mize želel videti.
Povezanost s preostankom dossierja
Varnostne kopije in obnovitev jih redko srečamo samostojno. To, kdo sme izvesti postopek obnovitve, je povezano z nadzorom dostopa do razvojne proge; kaj je šlo narobe med motilno situacijo, sodi v isto evidencijo incidentov, ki se vodi tudi za ostale ukrepe. Takšno beležko nastavi ni treba kot ločen projekt: deset ukrepov razčlenjenih po situaciji prikazuje natančno, kam se varnostne kopije in obnovitev umestita v celoto, in kateri drugi ukrepi so z njima neposredno povezani.
Ali sta varnostni kopiji in obnovitev za vašo organizacijo obvezna ukrepa za upravljanje tveganja, je odvisno od tega, ali sami spadate pod NIS2 ali pa to vprašanje prejmete od naročnika, ki je pod NIS2. v nekaj vprašanjih vidite, kje stojite daje o tem prvo navedbo, s pojasnilom zakaj. Kako pridemo do te navedbe in kateri viri so ji v osnovi, je pojasnjeno na strani o našem delovanju.
Varnostna kopija, ki je še nikoli ni bila obnovljena, ni jamstvo — to je vprašanje, ki čaka na odgovor. Če želite vedeti, ali in kako je ta ukrep relevanten za vašo organizacijo, in kaj se pri tem še spada? Naredite brezplačno hitro preverjanje ali pa prebrskajte najpogostejša vprašanja o NIS2 za vprašanja, ki so si jih že postavili drugi podjetniki.