Säkerhetskopior och återställning inom metall- och tillverkningsindustrin: när testade du det senast?
Frågan som spelar roll är inte om det finns en säkerhetskopia, utan när någon senast försökte återställa den. En säkerhetskopia som görs men aldrig återställs kan vara ofullständig, skadad eller helt enkelt inte passa den maskin där den någon gång måste användas. Det upptäcker ni inte genom att läsa en loggfil, utan genom att faktiskt testa det.
För metall- och tillverkningsindustrin är detta ingen teoretisk fråga. CNC-styrningar, MES-programvara, PLC:er och planeringssystemen runt dem är allt oftare anslutna till samma nätverk som kontorsautomatiseringen. Om det nätverket går ner på grund av ett tekniskt fel eller en incident är frågan inte bara om data kommer tillbaka, utan om produktionslinjen kan köra igen inom en rimlig tid. Det är vad skyldigheten att tillämpa riskkontrollåtgärder enligt NIS2-direktivet handlar om: inte att äga en säkerhetskopia, utan att kunna påvisa återställning.
Varför återställningstestet väger tyngre än säkerhetskopian i sig
En säkerhetskopieringsstrategi består vanligtvis av tre delar: vad som kopieras, hur ofta och var det sparas. Det är de delarna som företag vanligtvis har ordning på, ofta redan i många år genom IT-leverantören. Den fjärde delen saknas hos många små och medelstora företag: ett planerat, återkommande test där någon faktiskt återställer säkerhetskopian på en testmiljö och kontrollerar att resultatet fungerar.
Det testet visar om säkerhetskopia och återställning faktiskt passar ihop. En säkerhetskopia av en databasserver utan motsvarande konfigurationsfiler från den anslutna maskinen är ofta oanvändbar i praktiken. Detsamma gäller en säkerhetskopia som innehåller filen men inte licensnyckeln eller kopplingen till styrningen som styr produktionslinjen. Den sortens luckor hittar ni bara genom att återställa, inte genom att läsa inställningarna.
Vad detta betyder för system som är anslutna till nätverket
Produktionssystem som tidigare stod isolerade från kontorsnätverket är på många företag nu anslutna till det: för fjärrstöd, för planeringsdata eller för att en leverantör behöver åtkomst för uppdateringar. Den kopplingen gör företaget effektivare, men innebär också att ett fel eller en incident på kontorsnätverket kan spridas till produktionsgolvet.
Vid test av återställning är det därför praktiskt att skilja mellan säkerhetskopian av administrativa system och säkerhetskopian av produktionssystem. Båda har en egen återställningstid, en egen ägare och en egen risk om det går fel. Ett test som bara täcker kontorsservern säger ingenting om hur snabbt en CNC-maskin kan läsa en ritning igen efter ett fel.
Vad ni dokumenterar och varför det är lika viktigt som själva testet
Ett återställningstest som ingen har dokumenterat är för en tillsynsmyndighet eller en uppdragsgivare omöjligt att skilja från ett test som aldrig ägde rum. Dokumentering behöver inte vara komplicerad: testets datum, vilket system som återställdes, vem som utförde det och vad resultatet var. Det är exakt den sortens bevis som dyker upp i en säkerhetsfrågelista från en uppdragsgivare och den sortens underlag som blir relevant vid en incidentanmälan.
Om ni vill organisera detta per åtgärd hittar ni överblicken över alla ämnen per situation hur säkerhetskopia och återställning förhåller sig till de nio övriga riskkontrollåtgärderna från skyldigheten att tillämpa riskkontrollåtgärder, till exempel åtkomstkontroll och incidentregistrering. Det förhindrar att återställning blir stående på egen hand, skild från resten av er dokumentation.
Hur ofta är testet tillräckligt ofta
Det finns ingen fast tidsperiod som gäller för alla företag; det beror på hur kritisk systemet är och hur snabbt det måste fungera igen efter ett avbrott. Ett årligt test är för vissa system för sällan, för andra tillräckligt. Tillsynsmyndigheter och direktivet själv föreskriver ingen intervall; de förväntar sig att en organisation själv kan förklara varför den valda frekvensen är lämplig för systemets betydelse.
Är du osäker på om ditt företag klassificeras som viktig eller kritisk enhet med plikt att vidta säkerhetsåtgärder, eller om du endast möter krav från en uppdragsgivare om säkerhetskopior, så ger NIS2-kontrollen där ett första svar på några frågor. Vanliga frågor om vad som är obligatoriskt och vad som inte är det finns samlade på sidan med vanliga frågor.
Ett återhämtningstest tar tid, men mindre än att återbygga ett produktionssystem från början när ingen vet om säkerhetskopian fungerar. Vill du se hur detta passar tillsammans med de övriga skyldigheterna i en mapp, med status, dokumentation och en ansvarig person för varje åtgärd? Gör först den kostnadsfria NIS2-kontrollen, eller läs vidare i kunskapsbasen.