zabezpieczenie
kopie zapasowe i odtwarzanie
Kopie danych i systemów, które da się przywrócić w czasie, który sam wyznaczysz. NIS2 wymienia kopie zapasowe i odtwarzanie po awarii. DORA opisuje politykę, testy i osobne środowisko do odtwarzania.
- co chroni
- droga powrotu do działających systemów i danych po awarii, skasowaniu lub ransomware
- kto za to odpowiada
- szef IT, z właścicielami biznesowymi
- zacznij od
- systemy, których firma nie może zatrzymać, potem jeden test odtworzenia
czym jest
Kopie zapasowe i odtwarzanie to trzymanie kopii danych i systemów oraz umiejętność przywrócenia ich w czasie, który wyznaczyłeś. Kopia, której nigdy nie odtworzono, to domysł. Dowodem jest odtworzenie.
NIS2 wymienia zarządzanie kopiami zapasowymi i odtwarzanie po awarii wśród minimalnych środków. DORA idzie dalej dla podmiotów finansowych: pisemna polityka z zakresem i częstotliwością, okresowe testy i odtwarzanie na systemach odseparowanych od źródła. RODO wymaga zdolności do przywrócenia dostępu do danych osobowych w rozsądnym czasie po incydencie.
Zacznij od pytania biznesowego. Które systemy są najważniejsze, jak długo każdy może nie działać i ile danych możesz stracić? Te odpowiedzi ustalają, jak często kopiujesz i jak szybko musisz odtworzyć. Potem trzymaj co najmniej jedną kopię tam, gdzie nie sięgnie ransomware ani skradzione konto administratora, i testuj odtwarzanie według harmonogramu.
podstawa NIS2 art. 21(2)(c); DORA art. 12(1), 12(2); RODO art. 32(1)(c). Cele odtwarzania i harmonogram to praktyka.
jak kopie oddalają się od tego, co chronią
- 1system produkcyjnydane i systemy, z których ludzie korzystają dziś
- 2pierwsza kopiablisko, szybka do odtworzenia
- 3druga kopiaw innym miejscu, pod innymi kontami
- 4kopia zablokowanazwykli administratorzy nie zmienią jej ani nie usuną
przed czym chroni każda kolejna kopia
- awaria dyskuwystarczy pierwsza kopia
- skasowany folderprzywrócą go starsze wersje
- ransomwaredruga i zablokowana kopia są poza jego zasięgiem
- skradzione konto administratorabezpieczna zostaje tylko kopia zablokowana
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę z kilkuset osobami i nocnym zadaniem kopii, które od lat raportuje sukces.
Zadanie kopiuje główne serwery i nic poza nimi. Brakuje narzędzi w chmurze, to samo konto administratora obsługuje produkcję i kopie, a nikt niczego nie odtworzył. Gdy ransomware wchodzi przez to konto, kopie zostają zaszyfrowane razem z żywymi danymi.
Biznes uzgodnił, jak długo każdy system może nie działać i ile danych może stracić. Lista zasobów jest porównana z zakresem kopii, jedna kopia leży tam, gdzie zwykłe konta administratorów nie sięgają, a co roku odtwarza się jeden prawdziwy system do czystego miejsca i zapisuje czas.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(c) | Ciągłość działania, taka jak zarządzanie kopiami zapasowymi i odtwarzanie po awarii, oraz zarządzanie kryzysowe. | Zdecyduj, co kopiujesz, jak często i ile może trwać odtworzenie. Potem odtwórz jeden prawdziwy system, żeby pokazać, że to działa. |
| DORA | DORA art. 12(1) | Udokumentowane polityki i procedury kopii zapasowych: zakres danych, minimalna częstotliwość zależna od krytyczności informacji lub poufności danych oraz procedury i metody odtwarzania. | Napisz politykę z zakresem i częstotliwością dla każdego systemu oraz procedurę odtwarzania, którą wykona ktoś inny niż jej autor. |
| DORA | DORA art. 12(2) i 12(3) | Systemy kopii, które można uruchomić bez szkody dla bezpieczeństwa i danych, okresowe testy oraz odtwarzanie na systemach odseparowanych fizycznie i logicznie od źródła. | Testuj odtwarzanie według harmonogramu. Miej środowisko do odtwarzania, które nie dzieli kont ani przestrzeni dyskowej z produkcją. |
| RODO | RODO art. 32(1)(c) | Zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego. | Włącz do testów odtwarzania systemy z danymi osobowymi i zapisz, ile trwało odtworzenie. |
podstawa NIS2 art. 21(2)(c); DORA art. 12(1), 12(2), 12(3); RODO art. 32(1)(c). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy obejmuje każdy system z Twojej listy, także usługi w chmurze i narzędzia SaaS, czy tylko serwery w Waszych pomieszczeniach?
- Czy jedną kopię można trzymać tam, gdzie zwykłe konta administratorów nie mogą jej zmienić ani usunąć, i czy możesz to pokazać?
- Czy kopie są szyfrowane i kto trzyma klucze? Jeśli klucze leżą tylko w systemie, który odtwarzasz, kopia nic nie da.
- Czy pokazuje wynik testu odtworzenia, a nie tylko raport, że zadanie się wykonało?
- Ile trwa pełne odtworzenie Twojego największego systemu, zmierzone na Waszych danych i w Waszej sieci?
- Czy można odtworzyć do czystego środowiska, czy tylko na wierzch systemu, który zawiódł?
- Czy przechowuje starsze wersje wystarczająco długo, żeby wrócić do stanu sprzed uszkodzenia lub zaszyfrowania plików?
- Kto dostaje informację o nieudanym zadaniu i kto sprawdza, że ktoś ją przeczytał?
podstawa praktyka
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Uzgodnij cele odtwarzania dla najważniejszych systemów, skopiuj je i odtwórz jeden do czystego środowiska, ze stoperem.
- solidnie
Obejmij każdy system z listy zasobów, trzymaj jedną kopię poza zasięgiem kont administratorów i testuj odtwarzanie według harmonogramu.
- mocno
Odtwórz cały krytyczny system z kopii zablokowanej, przećwicz to z ludźmi, którzy robiliby to w prawdziwym incydencie, i napraw każdą lukę, którą znajdziesz.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
kopie nigdy nieodtwarzane
Zadanie raportuje sukces od lat i nikt nie sprawdził drogi w przeciwną stronę. Jedynym dowodem, że kopia działa, jest test odtworzenia.
jedno konto kasuje wszystko
Jeśli konto obsługujące produkcję sięga też do kopii, jedno skradzione hasło sięga do obu. Jedną kopię trzymaj poza zasięgiem tego konta.
systemy, których brakuje
Usługi w chmurze i narzędzia SaaS często wypadają z zadania kopii, bo nikt w IT ich nie skonfigurował. Porównaj listę zasobów z zakresem kopii.
cele odtwarzania, których nikt nie uzgodnił
Jak długo system może nie działać i ile danych możesz stracić, to decyzja biznesowa. Jeśli zgaduje IT, liczby ustali pierwszy prawdziwy incydent.
podstawa praktyka
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| polityka kopii zapasowych: zakres, częstotliwość, retencja | szef IT | co roku |
| zapis testu odtworzenia: data, system, czas, braki | szef IT | co najmniej raz w roku |
| lista systemów z uzgodnionymi celami odtwarzania | szef IT, z właścicielami biznesowymi | co roku |
| logi zadań kopii i zapis nieudanych zadań, które ktoś obsłużył | szef IT | co kwartał |
podstawa DORA art. 12(1) i 12(2) dla polityki i okresowych testów. Częstotliwości odświeżania to Twój wybór.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Wybierz jeden system i odtwórz go w tym miesiącu do czystego środowiska, ze stoperem.