En säkerhetskopia räknas bara om ni också vet att återställningen fungerar. Inte som ett antagande, utan som något ni faktiskt har provat: genomfört en återställning, mätt hur lång tid det tog och kontrollerat att allt fanns på plats igen som det skulle. Utan det testet vet ni bara att en kopia finns någonstans — inte om den kopian någonsin hjälper er.
För ett installationsföretag är det ingen teoretisk fråga. Bakom monteringsplaneringen, åtkodsäkerhetskoderna för kunders fastigheter och kopplingarna till säkerhetssystem finns system som, om de slutar fungera, inte bara påverkar er egen verksamhet utan även kundens tillgång till sin egen fastighet. Den som bemannar serviceteamet som fjärrdriver en dörr, ett larm eller en klimatanläggning är för den kunden en länk som helt enkelt måste fortsätta fungera.
Varför en otesterad säkerhetskopia inte räknas
En säkerhetskopia kan visa sig vara oanvändbar när ni behöver den av många skäl. Filen är skadad, nyckeln för att dekryptera den saknas, ordningen för systemåterställning är inte dokumenterad någonstans, eller det tar helt enkelt mycket längre tid än förväntat. Det märker ni inte på en lugn tisdag — det märker ni när monteringsplaneringen för alla montörer är borta och en kund frågar varför hans åtkomstsystem inte har svarat på två dagar.
Den skyldighet som följer av NIS2-direktivet nämner säkerhetskopior och återställning inte som en teknisk detalj utan som en av grundåtgärderna. Det direktivet själv gör inte är att föreskriva en fast testningsmall — hur ofta ni testar står aldrig som ett konkret tal i texten. Tillsynsmyndigheter tittar på den här typen av åtgärder vanligtvis för att se om en organisation kan visa att den vet vilka system som är kritiska och att den regelbundet kontrollerar att återställningen faktiskt fungerar, lämpligt baserat på hur beroende företaget är av dessa system.
Vad som specifikt berör installationsföretag
För ett installationsföretag handlar det inte bara om den egna bokföringen. Tänk på planeringsprogramvaran där montörer får sina vägar och uppdrag, CRM:en med kundkontraktsuppgifter och garantitider, och kopplingarna till åtkomstsystem eller byggnadshanteringssystem hos uppdragsgivare. En montör som kan ansluta till en kunds nätverk via en VPN-anslutning är för den kunden en extra dörr inåt — en dörr som också måste kunna stängas om något går fel.
Just de här kopplingarna gör återställningen mer komplicerad än på ett vanligt kontorssystem. Det handlar inte bara om att återställa era egna data, utan också om frågan huruvida åtkomsträttigheter, certifikat och lösenord för kundmiljöer är korrekta efter en återställning. Ett test som bara återställer er eget filsystem säger lite om kopplingen med en kund fungerar igen efter ett avbrott enligt överenskommelse.
Vad ett test konkret innebär
Ett användbart återställningstest består av några fasta delar: ni återställer en säkerhetskopia faktiskt, helst i en separat miljö så att försöket inte utgör någon risk för pågående arbete. Ni mäter hur mycket tid det tar och jämför det med vad som är godtagbart för er planering och överenskommelser med uppdragsgivare. Ni kontrollerar att alla data är fullständiga och användbara, inklusive kopplingar till externa system. Och ni dokumenterar vem som utförde testet, när, och vad resultatet blev — även om resultatet inte var bra, för just det är anledningen att förbättra något.
Den dokumentationen är omedelbar bevisstycket som en uppdragsgivare kan fråga om i en säkerhetsfrågelista, och det element som en tillsynsmyndighet förväntar sig hitta i en dokumentation om skyldigheten. Den som för sin egen del vill kontrollera om den dokumentationen redan är i ordning, eller måste börja, hittar i en kortfattad kontroll över var du befinner dig nu en första vägledning med en förklaring till varför.
För företag som är osäkra på om dessa skyldigheter berör dem direkt eller främst kommer genom krav från en uppdragsgivare är skillnaden mellan att själv vara skyldig och att beröras via leverantörskedjan ofta utgångspunkten. Den skillnaden och vad den betyder för resten av dina åtgärder är utarbetad mellan ämnen som valts ut för varje situation.
Den som efter läsning av denna typ av åtgärder främst har praktiska frågor — om vad ett konto innehåller, vad som förblir kostnadsfritt och vad som inte är det — hittar de flesta svar på vanliga frågor om plattformen. Och för den som verkligen vill upprätthålla dossieren med en status och en ansvarig person per åtgärd finns på prenumerationssidan vad som ingår där.
Huruvida en otesterad säkerhetskopia utgör en risk som en tillsynsmyndighet bedömer annorlunda än en testad är inte något som denna artikel kan fastställa för dig — det beror på dina egna system och överenskommelser, och för det är vägen till en jurist eller tillsynsmyndigheten korrekt. Vill du först få en egen bild av var du står kan du gärna genomföra den kostnadsfria snabbkontrollen eller bläddra genom de ämnen som är utarbetade för din sektor.