klausimynas klausia, ar verslo tęstinumo planas buvo testuotas, ką atsakysiu

Testuotas reiškia čia: pratybose atliktas, ne tik parašytas

Ne, planas, kuris egzistuoja tik popieriuje ir niekada nebuvo pratybose atliktas, neatitinka to, kas čia prašoma. Klausimas apie testinį verslo tęstinumo planą susijęs su krizės valdymu ir atsigavymu po incidentų, viena iš dešimties priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies. Testai gali būti atlikti keliuose lygmenyse: stalinės pratybos, kuriose komanda aptaria scenarijų, techninis failover testas, kuriame tikrai perjungiama į avarinę sistemą, arba pilnas modeliavimas su atsigavimu iš atsarginės kopijos. Tai, ką tiksliai nori matyti klientas, paprastai nėra pačiame klausime, bet jo paaiškinime — jei ten parašyta "paskutinio testo įrodymas", atskiras politikos dokumentas nepakanka.

Jei įmonė turi tęstinumo planą, bet jis dar nebuvo testuotas, teisingiausias atsakymas yra "ne" su paaiškinajimu apie planuojamą testo datą, jei ji yra. Žymėti "taip", nes planas yra, o niekas niekada nėra pratybose dalyvavęs ar nepatikrinęs, ar atsarginė kopija tikrai atkuriama, yra tokios rūšies atsakymas, kuris vėlesniame audite arba incidente vis tiek išaiškėja. Šis klausimas tiesiogiai liečia Kaip tai susiję su tęstinumu ir rizikos analize — ten nurodyta, kas laikoma įrodymu tęstinumo aspektu iš to paties klausimo.

Iš kur tai kilęs: 21 straipsnis ir patikrinimo pareiga

NIS2 direktyvos 21 straipsnio 2 dalis nurodo "verslo tęstinumą, tokį kaip atsarginių kopijų valdymas ir avarijinis atsistatymas, ir krizės valdymą" kaip vieną iš dešimties privalomų priemonių; ISO/IEC 27001 tai detalizuoja Annex A kontrolės priemonėse dėl tęstinumo vadybos, kur testai ir vertinimas yra standartinė priemonės dalis, o ne atskiras žingsnis. Ar testuotas tęstinumo politika yra privaloma pačiai įmonei pagal Nyderlandų Kibernetinio saugumo įstatymą, priklauso nuo to, ar pati įmonė patenka į taikymo sritį — žr. ar įmonė pati patenkanti į NIS2 direktyvos taikymo sritį— Ten nurodyta, kas yra leistina kaip įrodymas tęstinumo aspektu iš to paties klausimo. Asmeniškai nuo tos pareigos klientas tai dažnai klausias tiesiog todėl, kad netestuotas planas praktikoje yra prielaida, o ne garantija.