Lühidalt
Taastetest on kontrollitud katse taastada varukoopiast päris süsteem või andmed, mõõta kulunud aega ja dokumenteerida tulemus. See erineb varundustöö logist: töö võib olla „õnnestunud“, kuid varukoopia võib olla krüpteeritud vale võtmega, poolik või taastamiseks liiga aeglane.
NIS2 nõuab toimepidevust, varunduse haldamist ja taastamist. Tõend, mida auditeerija ootab, ei ole ekraanitõmmis „Backup completed“, vaid taastamise plaan, testi logi, mõõdetud RTO/RPO ja vastutaja kinnitus.
Miks varunduse olemasolu ei tõenda taastamist
Varundustarkvara testib tavaliselt kirjutamist ja kopeerimist. See ei testi seda, kas rakendus käivitub taastatud andmetega, kas domeeni- või identiteedisõltuvused on olemas või kas krüpteerimisvõti on alles. Ransomware'i puhul võib ründaja olla juba varundussüsteemis sees; siis on „olemasolev“ varukoopia osa rünnakust, mitte päästerõngas.
CISA soovitab hoida kriitilistest andmetest offline ja krüpteeritud varukoopiaid ning testida nende kättesaadavust ja terviklust regulaarselt. See on oluline eristus: olemasolu, terviklus ja taastatavus on kolm eri kontrolli.
RPO ja RTO: kaks numbrit, millest test algab
| Mõiste | Küsimus | Testi mõõdik |
|---|---|---|
| RPO | Kui palju andmeid võib kaduda? | Viimase taastatava varukoopia vanus vs lubatud kadu |
| RTO | Kui kaua võib teenus olla maas? | Taastamise algusest kuni teenuse kontrollitud avamiseni kulunud aeg |
Kui RPO ja RTO on kirjas ainult poliitikas, ei ole neid testitud. Sea iga kriitilise süsteemi kohta eraldi eesmärk ja kirjuta, kas test mõõtis seda tegelikult. Näiteks „e-post taastub 4 tunni jooksul“ on testitav; „varundus on korras“ ei ole.
Mida taastetest peab katma
- Andmed: andmebaas, failid, objektihoidla ja konfiguratsioon.
- Rakendus: kood, keskkonnamuutujad, sertifikaadid, saladused ja integraatsioonid.
- Identiteet: kasutajad, rollid, teenuskontod ja MFA seadistus.
- Taristu: virtuaalmasinad, võrguseadistus, DNS ja salvestus.
- Sõltuvused: kolmandad osapooled, milleta rakendus ei käivitu.
Kõige sagedasem üllatus ei ole andmebaas, vaid rakenduse saladus, sertifikaat või identiteedisõltuvus, mida keegi varunduse nimekirja ei pannud.
Neli testi taset
| Tase | Mida tõestab | Millal sobib |
|---|---|---|
| 1. Faili taaste | Üksiku faili või tabeli taastamine | Kõige sagedamini; kiire kontroll |
| 2. Rakenduse taaste | Rakendus käivitub taastatud andmetega | Kord kvartalis või suurema muudatuse järel |
| 3. Täielik süsteem | VM, võrk ja sõltuvused taastuvad | Kriitilised süsteemid; vähemalt kord aastas |
| 4. Isolatsioonistsenaarium | Taastamine ilma pearaamatu või admin-keskkonnata | Ransomware'i ja DR-i õppus |
Alusta madalaimast tasemest, mis annab usaldusväärse vastuse, mitte kõrgeimast, mis on liiga kallis. Kui aeg ei luba täielikku taastetesti, testi vähemalt rakenduse käivitumist ja dokumenteeri piirang.
90-minuti testi plaan
- 0–10 min: kinnita eesmärk, süsteem, RPO/RTO ja see, kes katkestab testi, kui midagi läheb valesti.
- 10–25 min: vali varukoopia ja kontrolli selle kuupäeva, tervikluse ja krüpteerimisvõtme olemasolu.
- 25–55 min: taasta isoleeritud keskkonda; ära taasta üle tootmise ega kasuta jagatud admin-kontot.
- 55–75 min: käivita rakendus, kontrolli sisselogimist, andmeid ja kriitilist töövoogu.
- 75–90 min: mõõda RTO, kirjuta kõrvalekalded ja otsusta, kas tulemus on aktsepteeritav.
Testi ajal ei ole eesmärk „kõik töötab“, vaid aus tulemus. Kui taastamine ebaõnnestub, on see väärtuslikum kui roheline ekraan, mis peidab puudujäägi.
Mida mõõta ja millist tõendit hoida
- Aeg: algus, varukoopia valik, taastamise lõpp ja teenuse kontroll.
- Andmekadu: taastatud punkt vs RPO; puuduvad kirjed ja nende mõju.
- Terviklus: failide arv, kontrollsummad, andmebaasi kontroll ja rakenduse test.
- Kõrvalekalded: mida ei õnnestunud taastada ja miks.
- Kinnitus: testi läbiviija, vastutaja ja kuupäev.
Hoia tõendit koos varunduspoliitika ja riskiregistriga. Auditeerija ei vaja ainult logi, vaid seost: see süsteem, see RTO, see test, see tulemus, see parandus.
Levinud vead
- Testitakse ainult faili: andmebaas taastub, rakendus mitte.
- Varundus ja admin samas domeenis: ründaja pääseb mõlemale ligi.
- Krüpteerimisvõti on varundusega samas hoidlas: kaitset ei ole.
- Puudub omanik: kõik eeldavad, et keegi teine testib.
- Testi tulemus jääb logisse: parandusi ei järgita ja järgmine test kordab sama viga.
NIS2 kontekst
NIS2 artikli 21 kohaselt peavad kohustuslased tagama toimepidevuse, sealhulgas varunduse haldamise ja taastamise, ning kriisijuhtimise. See ei ütle, millist tarkvara kasutada ega ühtset testi sagedust, kuid nõuab, et protsess toimiks ja oleks tõendatav. Vaata kõiki kümmet meedet NIS2 kontrollnimekirjast ja kohaldumist NIS2 juhendist.
Kui soovid välist kontrolli, saab küberaudit vaadata varunduse tõendid ja protsessi, kuid see ei asenda täielikku DR-õppust.
Küsimused varunduse taastetesti kohta
Kui tihti taastetesti teha?
Sagedus sõltub riskist, RTO-st ja muudatuste mahust. Kriitiliste süsteemide puhul on mõistlik testida vähemalt kord kvartalis ning pärast olulist muudatust taristus, rakenduses või varunduslahenduses. NIS2 ei sätesta ühtset sagedust; oluline on riskipõhine otsus ja tõend.
Kas pilvevarundus on piisav?
Pilv on asukoht, mitte automaatselt taastamisstrateegia. Kontrolli, kas varukoopia on eraldi kontolt, immutability või versioonidega, kas võtmed on eraldi ja kas taastamine toimib ilma peakontota. Pilvepakkuja varundus ei pruugi katta sinu rakenduse konfiguratsiooni.
Kas taastetest asendab DR-õppust?
Ei. Taastetest kontrollib varukoopiast taastamist; DR-õppus katab laiema stsenaariumi, rollid, side, otsustamise ja teenuse taastamise järjekorra. Üks test võib toetada teist, kuid need ei asenda teineteist.
Mida auditeerija küsib?
Eelkõige seost: kriitiliste süsteemide loetelu, RPO/RTO, varunduspoliitika, viimase testi kuupäev, testi tulemus, kõrvalekalded ja paranduste seis. Ekraanitõmmis „Backup completed“ ei ole taastetesti tõend.
Allikad
- NIS2 direktiiv (EL) 2022/2555, artikkel 21.
- CISA #StopRansomware Guide: offline, krüpteeritud varukoopiad ja regulaarne test.
- Tehisabiline: NIS2 kontrollnimekiri.
See artikkel on selgitav, mitte õigus- ega auditinõu. Kohustuse ulatuse ja tõendite piisavuse kinnitab sinu organisatsiooni riskipõhine otsus ja pädev asutus.