Υπάρχουν αντίγραφα ασφαλείας και έκτακτη δυνατότητα για την αποκατάσταση της παροχής υπηρεσιών;

Το αντίγραφο ασφαλείας και η συνέχεια λειτουργίας αποτελούν ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2

Ναι, αυτό είναι ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της οδηγίας NIS2: το σημείο (γ) αναφέρει ρητώς "business continuity, such as backup management and disaster recovery, and crisis management". Το ερώτημα σχετικά με αντίγραφα ασφαλείας και έκτακτη διάταξη δεν αποτελεί λοιπόν κατηγορία υπολειπόμενη ή ερμηνεία του πελάτη — αυτό είναι ακριβώς όπως αναφέρεται στην οδηγία. Όποιος λαμβάνει αυτό το ερώτημα μπορεί να υποθέσει ότι ανήκει στο ίδιο ερωτηματολόγιο με τα άλλα εννέα μέτρα: πολιτική διαχείρισης κινδύνων, διαχείριση περιστατικών, ασφάλεια αλυσίδας αξίας, διαχείριση ευπαθειών, δοκιμή, κυβερνοασφάλεια, κρυπτογραφία, έλεγχος πρόσβασης και MFA.

Αυτό που ζητείται συγκεκριμένα συνήθως διαιρείται σε δύο μέρη: υπάρχουν αντίγραφα ασφαλείας (πόσο συχνά, πού φυλάσσονται, πότε δοκιμάστηκαν τελευταία) και υπάρχει έκτακτη διάταξη που επιτρέπει στην παροχή υπηρεσιών να συνεχίσει ή να ανακάμψει γρήγορα μετά από διακοπή — ένα σχέδιο disaster recovery, εναλλακτικές διατάξεις, χρόνοι ανάκαμψης. Μια έκθεση δοκιμής μιας backup-restore ή ένα σχέδιο συνέχειας λειτουργίας με τελευταία ημερομηνία δοκιμής αποτελεί ισχυρότερη απόδειξη από ένα έγγραφο πολιτικής χωρίς ιστορικό δοκιμής. Εάν λείπει το τελευταίο, τότε το "όχι" ή το "εν μέρει" είναι εξίσου χρήσιμη απάντηση με το "ναι" — ο πελάτης θέλει κυρίως να γνωρίζει αν είναι ακριβές, όχι αν όλα είναι πράσινα. Αυτό το μέτρο συχνά συνδέεται με τη διαδικασία διαχείρισης περιστατικών ασφάλειας, διότι μια έκτακτη διάταξη συνήθως ενεργοποιείται από ένα περιστατικό, και με την περιοδική δοκιμή των μέτρων ασφάλειας, διότι ένα αντίγραφο ασφαλείας χωρίς αποτελέσματα δοκιμής λέει λίγα για τον πραγματικό χρόνο ανάκαμψης.

Πού ακριβώς αυτό βρίσκεται στην οδηγία

Το άρθρο 21 παράγραφος 2 στοιχείο (γ) της οδηγίας (ΕΕ) 2022/2555 αναφέρει "business continuity, such as backup management and disaster recovery, and crisis management" ως ένα από τα δέκα τεχνικά και οργανωτικά μέτρα που εμπίπτουν στην πολιτική ασφάλειας ενός φορέα. Η οδηγία δεν καθορίζει ελάχιστη συχνότητα δοκιμής ή χρόνο ανάκαμψης — αυτή η κατανομή εναπόκειται στον φορέα και, κατά περίπτωση, σε εθνικές κανονιστικές διατάξεις ή σεκτοριακές απαιτήσεις του πελάτη.