Disaster recovery – načrt obnove po izpadu
Pregled in priprava načrta obnove IT in poslovnih storitev po izpadu, napadu ali izgubi podatkov.
Disaster recovery (DR) je načrtovan in preizkušen postopek obnove sistemov, podatkov in storitev po večjem izpadu, kibernetskem napadu ali izgubi podatkov. Določa, kdo, v kolikšnem času (RTO) in do katere točke podatkov (RPO) mora storitev ponovno vzpostaviti.
Katero težavo rešujemo
Organizacija ima varnostne kopije, ni pa dokazano, da se sistemi iz njih res obnovijo v zahtevanem času. Cilji obnove niso dogovorjeni z vodstvom, vloge v krizi niso jasne, obnova pa ni nikoli bila preizkušena.
Zakaj je to pomembno
Varnostna kopija sama še ni načrt obnove. Brez ciljev RTO in RPO, določenega vrstnega reda obnove in preizkusov ni mogoče vedeti, ali bo obnova uspela, ko jo organizacija potrebuje.
Za koga je
- Organizacije, ki so odvisne od informacijskih sistemov in ne prenesejo daljšega izpada.
- Zavezanci po ZInfV-1 / NIS2, kjer so med ukrepi tudi upravljanje varnostnih kopij, obnova po katastrofi in obvladovanje kriz.
- Podjetja, ki se pripravljajo na ISO/IEC 27001 ali ISO 22301.
- Ponudniki storitev, od katerih naročniki zahtevajo dokaz o načrtu obnove.
Kaj obsega delo
- Kritični sistemi, odvisnosti in lastniki (povezava z analizo vpliva na poslovanje, BIA).
- Cilji obnove: RTO (dopustni čas izpada) in RPO (dopustna izguba podatkov).
- Strategija obnove: varnostne kopije, replikacija, nadomestna lokacija ali storitev v oblaku.
- Postopki obnove po korakih, vloge, kontakti in vrstni red zagona sistemov.
- Zaščita varnostnih kopij pred izgubo in nepooblaščenim spreminjanjem, vključno s kopijami, ki jih napadalec ne doseže.
- Preizkusi obnove, vaje in pregled rezultatov.
Potek dela
Uvodni pogovor in dogovor o obsegu sistemov.
Pregled obstoječih načrtov, varnostnih kopij in rezultatov preizkusov.
Primerjava z zahtevami izbranega okvira (ISO 22301, ISO/IEC 27001, ZInfV-1 / NIS2) kot GAP analiza.
Svetovalni pregled ali notranja presoja načrta obnove.
Poročilo z vrzelmi, prednostnim redom ukrepov in predlogom preizkusa obnove.
Kaj potrebujemo od vas
- Seznam kritičnih sistemov in storitev ter njihovi lastniki.
- Obstoječi načrti obnove, politika varnostnih kopij in dogovori z dobavitelji.
- Dogovorjeni ali pričakovani časi obnove, če obstajajo.
- Rezultati preteklih preizkusov obnove ali izpadov.
Kaj prejmete
- Poročilo z ugotovitvami o načrtu obnove in vrzelmi.
- Priporočeni cilji RTO/RPO za potrditev vodstva.
- Prednostni načrt ukrepov in predlog scenarijev preizkusa.
Kaj ni vključeno in kje so meje
- Tehnična izvedba obnove, konfiguracija varnostnih kopij in infrastrukture.
- Izvajanje obnove ob dejanskem incidentu.
- Jamstvo, da bo obnova v izrednem dogodku uspela.
- Certifikacija ali pravno mnenje.
Presojevalec ni certifikacijski organ in ne izdaja certifikatov. Svetovalni pregled in notranja presoja nista zunanja certifikacijska presoja. Disaster recovery ni samostojen certifikacijski standard: načrt obnove je lahko del sistema po ISO 22301 ali ISO/IEC 27001.
Pogosta vprašanja
Kakšna je razlika med varnostno kopijo in disaster recovery?
Varnostna kopija je kopija podatkov. Disaster recovery je celoten načrt, kako se sistemi, podatki in storitve ponovno vzpostavijo v dogovorjenem času, skupaj z vlogami, vrstnim redom in preizkusi.
Kaj sta RTO in RPO?
RTO (recovery time objective) je najdaljši dopusten čas, v katerem mora biti storitev ponovno na voljo. RPO (recovery point objective) je največja dopustna izguba podatkov, izražena kot čas od zadnje uporabne kopije.
Ali standard ISO/IEC 27001 zahteva disaster recovery?
Standard v kontrolah vsebuje pripravljenost IKT za neprekinjenost poslovanja in varnostne kopije, ne predpisuje pa posameznih tehničnih rešitev. Obseg je odvisen od ocene tveganj organizacije.
Ali NIS2 zahteva disaster recovery?
Direktiva med ukrepi za obvladovanje tveganj navaja neprekinjenost poslovanja, kot sta upravljanje varnostnih kopij in obnova po katastrofi, ter obvladovanje kriz. Vaše obveznosti določi zakon, ki ga prenaša v slovenski pravni red (ZInfV-1), in vaš status zavezanca.
Viri
- ISO 22301:2019 – varnost in odpornost, sistemi upravljanja neprekinjenosti poslovanja (odpre se v novem zavihku)
- Direktiva (EU) 2022/2555 (NIS2), EUR-Lex, člen 21 (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.