ο πελάτης ρωτά για το χρόνο ανάκαμψης μας μετά από διακοπή λειτουργίας, τι συμπληρώνω

Ο χρόνος ανάκαμψης δεν είναι ένας αριθμός RTO/RPO αλλά μια περιγραφή διαδικασίας

Αυτό που συνήθως ζητείται εδώ δεν είναι ένας μόνο αριθμός αλλά εάν υπάρχει μια διαδικασία συνέχειας: υπάρχει ένα σχέδιο έκτακτης ανάγκης, έχει δοκιμαστεί και πόσο γρήγορα ανοίγει η υπηρεσία. Μην συμπληρώνετε λοιπόν ένα συγκεκριμένο χρόνο ανάκαμψης εάν δεν έχει κατοχυρωθεί πουθενά — για παράδειγμα σε ένα BCP (business continuity plan) ή DRP (disaster recovery plan) με καθορισμένο RTO (recovery time objective) και RPO (recovery point objective). Εάν δεν αναφέρεται εκεί, τότε η απάντηση "όχι, δεν έχει καθοριστεί επίσημα ακόμα" είναι η ειλικρινής απάντηση, ενδεχομένως με μια εξήγηση ότι υπάρχουν μεν αντίγραφα ασφαλείας αλλά χωρίς δοκιμασμένο χρόνο ανάκαμψης.

Πολλοί πελάτες συνδυάζουν αυτό το ερώτημα με ένα ερώτημα σχετικά με την ίδια τη διαδικασία περιστατικού: υπάρχει μια διαδικασία για τον εντοπισμό ενός σφάλματος και την κλιμάκωσή του πριν ακόμη ξεκινήσει η επισκευή. Ελέγξτε λοιπόν και τη διαδικασία διαχείρισης περιστατικών ασφάλειας, γιατί χωρίς αυτή τη διαδικασία, ο χρόνος επανάκαμψης δεν είναι ούτως ή άλλως δυνατό να γίνει δεσμευτικός. Αν ορίσατε RTO/RPO, τότε το αποδεικτικό έγγραφο είναι συνήθως το ίδιο το έγγραφο BCP/DRP ή μια έκθεση δοκιμής της τελευταίας δοκιμής failover ή restore. Αν λείπει η έκθεση δοκιμής, δώστε μάλλον "όχι" παρά μια δοκιμαστέα υπόθεση.

Πού προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Annex A

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει ρητώς ανάμεσα στα δέκα μέτρα την «business continuity, such as backup management and disaster recovery» ως υποχρεωτικό τμήμα της πολιτικής ασφάλειας μιας οντότητας. Το ISO/IEC 27001 το αναλύει στο Annex A ανάμεσα στα μέτρα ελέγχου για τη διαθεσιμότητα και συνέχεια των εγκαταστάσεων επεξεργασίας πληροφοριών. Για το ερώτημα εάν η δική σας επιχείρηση είναι υποχρεωμένη να έχει αυτή τη διαδικασία, είναι πρώτα σχετικό εάν εμπίπτετε στο πεδίο εφαρμογής της οδηγίας — ελέγξτε το μέσω εάν ο οργανισμός εμπίπτει αυτοτελώς στην Οδηγία NIS2.