Ar yra atsarginės kopijos ir nenumatytos aplinkybės paslaigų atkūrimui?

Atsarginė kopija ir tęstinumas yra atskira priemonė 21 straipsnio 2 dalyje

Taip, tai yra viena iš dešimties priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies: (c) punktas aiškiai nurodo „verslo tęstinumą, tokį kaip atsarginės kopijos valdymas ir nelaimės atkūrimas, ir krizių valdymas‟. Klausimas apie atsargines kopijas ir nepredmetinę paslaugų pristatymo atkūrimo nuostatą nėra likusios kategorijos ar kliento interpretacija — tai tiesiogiai nurodyta direktyvoje. Kas gauna šį klausimą, gali tikėtis, kad jis priklauso tam pačiam klausimų blokui kaip ir kitos devynios priemonės: rizikos politika, incidentų tvarkymas, grandinės saugumas, pažeidžiamumo valdymas, testinis tikrinimas, kibersaugos higiena, kriptografija, prieigos kontrolė ir MFA.

Tai, kas konkrečiai klausiama, dažniausiai skirstoma į dvi dalis: ar yra atsarginės kopijos (kaip dažnai, kur saugomos, kada paskutinį kartą testuotos) ir ar yra nepredmetinė paslaugų pristatymo nuostata, leidžianti paslaugai tęstis ar greitai atkurti po sutrikdymo — nelaimės atkūrimo planas, alternatyvios nuostatos, atkūrimo laikai. Atsarginės kopijos atkūrimo testas arba tęstinumo planas su paskutine testo data yra stipresnis įrodymas nei politikos dokumentas be testo istorijos. Jei pastarasis trūksta, tada „ne‟ arba „iš dalies‟ yra toks pat naudingas atsakymas kaip „taip‟ — klientas nori žinoti, ar tai teisinga, o ne tai, kad viskas žalia. Šioji priemonė dažnai yra susijusi su procedūrą saugumo incidentams tvarkytines nepredmetinė nuostata paprastai suaktyvinimą suaktyvina incidentas, ir su saugumo priemonių periodinio vertinimones atsarginė kopija be testo rezultato sako mažai apie tikrąjį atkūrimo laiką.

Kur tai tiksliai nurodyta direktyvoje

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies (c) punkte nurodomas „verslo tęstinumas, tokis kaip atsarginės kopijos valdymas ir nelaimės atkūrimas, ir krizių valdymas‟ kaip viena iš dešimties techninio ir organizacinio pobūdžio priemonių, kurios priklauso subjekto saugumo politikai. Pati direktyva nenustato minimalios testo dažnumo ar atkūrimo laiko — šią nuostatą nustato subjektas ir, jei taikytina, nacionaliniai įgyvendinimo teisės aktai arba klientų sektoriniai reikalavimai.