Säkerhetskopior och återställning i IT-tjänster: när testade ni det senast?
Frågan "har ni en säkerhetskopia" är inte den fråga som spelar roll. Den fråga som spelar roll är: när försökte någon senast att från den säkerhetskopian faktiskt återställa ett system, och hur lång tid tog det? En säkerhetskopia som skapas men aldrig återställs är i praktiken endast ett antagande. Tillsynsmyndigheter och köpare som baserar sig på skyddspliktåtgärderna i NIS2-direktivet tittar därför inte bara på existensen av en säkerhetskopieringspolicy, utan på bevis för att återställning faktiskt fungerar.
För en IT-tjänsteleverantör är detta ingen bisak. Du hanterar ofta inte bara din egen miljö, utan också kundsystem, på distans, ibland med hjälp av en underleverantör. Om något går fel där spelar det ingen roll vem som gjorde felet, utan om återställningen fungerade inom en tid som kunden kunde försvara. Det gör återställningstestet till en av få åtgärder som du inte kan boka av med ett dokument.
Varför en otesterad säkerhetskopia inte räknas
En säkerhetskopia kan av många anledningar inte vara användbar: en skadad fil, en felaktig konfiguration, ett lösenord som ingen längre har, eller en återställningsprocedur som på papperet är korrekt men i praktiken tar tre dagar i stället för tre timmar. Inget av dessa problem blir synligt förrän någon faktiskt använder säkerhetskopian. Artikel 21 i NIS2-direktivet nämner uttryckligen policy för säkerhetskopiering och återställning som en del av de riskhanteringsåtgärder som en organisation beaktar hos sina leverantörer. I praktiken betyder det att en köpare som själv är omfattad av skyddsplikten frågar sin IT-leverantör hur återställning är organiserad och, allt oftare, när det senast testades.
Vad en tillsynsmyndighet eller en köpare förstår med "testerat" är inte enhetligt fastslaget, men kärnfrågan återkommer varje gång: har det funnits ett tillfälle då ett system eller en dataset faktiskt återställdes, skilt från produktionsmiljön, och är resultatet dokumenterat? En testrappport med ett datum och ett resultat är något annat än ett internt meddelande om att "säkerhetskopieringarna körs".
Fjärradministration: vars säkerhetskopia är det egentligen
Vid fjärradministration ligger säkerhetskopian av ett kundsystem ofta inte fysiskt hos kunden, utan hos tjänsteleverantören, eller hos en molntjänst som tjänsteleverantören har konfigurerat för kundens räkning. Det förskjuter en fråga som på första anblicken verkar teknisk till en fråga om ansvar: vem testar, vem bevarar testresultatet, och vem kan visa att återställning fungerar om kunden frågar efter det? En säkerhetsfrågelista från en köpare frågar här allt mer konkret, och "vår hostingleverantör gör det" är för en tillsynsmyndighet eller revisor inget svar — det är en hänvisning som kräver en egen kontroll.
Det är därför klokt att per kundsystem fastslå vem som har åtkomst till säkerhetskopian, hur denna åtkomst är säkrad, och vem som är ansvarig för det senaste återställningstestet. skyddspliktåtgärderna per ämne framtagna visar hur säkerhetskopiering och återställning förhåller sig till de andra åtgärderna från skyddsplikten, som åtkomstkontroll och incidentregistrering.
Underleverantörer: vem testar vad
Många IT-tjänsteleverantörer arbetar med underleverantörer för specifika delar: en hostingleverantör, en part som hanterar brandväggen, en frilansare som distribuerar uppdateringar. Om en av dem också hanterar säkerhetskopian, försvinner återställningstestet lätt mellan två parter: tjänsteleverantören tror att underleverantören testar, underleverantören tror att det inte är en del av hans uppdrag. För köparen spelar det ingen roll — han ställer frågan till den part han har ett avtal med.
Det är därför lämpligt att uttryckligen ange i avtalen med en underleverantör vem som utför återställningstestet, hur ofta och vem som förvarar beviset. Beviset behöver inte vara en omfattande rapport; ett datum, en beskrivning av vad som återställdes och resultatet räcker vanligtvis för att visa en köpare att återställning inte är en antagelse.
Det du dokumenterar, och det du inte gör
En återställningstest är manuellt arbete: någon återställer ett system, mäter hur lång tid det tar och kontrollerar om uppgifterna stämmer. Du utför det arbetet själv eller låter din administrativa partner göra det; en plattform kan inte göra det för dig, precis som den inte kan ersätta ett penetrationtest eller en granskning. Det som hjälper är en plats där resultatet av varje test tillsammans med de andra åtgärderna för cyberbeveiliging är samlat, så att du vid nästa frågelista inte behöver söka efter när det senast gjordes.
Om du ännu inte vet om din organisation själv omfattas av ansvaret för cyberbeveiliging, eller bara får dessa frågor via en köpare, fem frågor visar var du står ger en första indikation. Vill du veta hur vi behandlar de uppgifter du registrerar i ett sådant register, hur vi behandlar dina uppgifter förklarar det. Och om du är osäker på om din situation täcks här, se då under svar på frågor som kommer upp ofta eller rådgör med tillsynsmyndigheten för din sektor.
Den kostnadsfria NIS2-kontrollen och kunskapsbasen på secria.eu visar var säkerhetskopior och återställning i din situation ligger exakt, utan att du behöver ett konto.