Varmuuskopiointi- ja palautuspolitiikka

Varmuuskopiointi- ja palautuspolitiikka (P15) määrittää organisaation pakolliset vaatimukset tietojen, järjestelmien ja sovelluskokonaisuuksien varmuuskopioinnille ja palautukselle. Sen ensisijainen tarkoitus on suojata organisaation toiminnallista resilienssiä ja tietojen eheyttä sekä tukea liiketoiminnan jatkuvuutta myös merkittävien häiriöiden aikana, kuten järjestelmävikojen, kyberhyökkäysten tai vahingossa tapahtuvien poistojen yhteydessä. Politiikka sekä kuvaa standardoidun lähestymistavan varmuuskopiointitoimintoihin että varmistaa selkeät palautusparametrit, erityisesti määrittelemällä RTO- (Recovery Time Objective) ja RPO- (Recovery Point Objective) -odotukset. Nämä vaatimukset on yhdenmukaistettu tiiviisti organisaation tietoturvallisuuden hallintajärjestelmäviitekehyksen ja liiketoiminnan jatkuvuussuunnitelmien kanssa, mikä varmistaa oikeudellisen, sääntelyyn liittyvän ja operatiivisen vaatimustenmukaisuuden. Politiikan soveltamisala on kattava: se koskee kaikkia ISMS:n soveltamisalapiiriin kuuluvia liiketoimintakriittisiä ja operatiivisia järjestelmiä, mukaan lukien rakenteinen data ja rakenteeton data, kuten tietokannat, tiedostot, sähköpostit ja kokoonpanoasetukset. Se ulottuu kaikkiin operatiivisiin ympäristöihin (omissa tiloissa, hybridi, pilvi), varmuuskopiointivälineisiin (fyysiset omaisuuserät, virtuaaliset, organisaation ulkopuolella) sekä henkilöstöön, joka valvoo tai toteuttaa varmuuskopiointiprosesseja. Järjestelmät, jotka suljetaan varmuuskopioinnin ulkopuolelle, on arvioitava riskien arviointimenettelyllä, dokumentoitava ja hyväksyttävä muodollisesti, mikä korostaa politiikan painotusta riskienhallintaan ja vastuuvelvollisuuteen. Tavoitteissaan politiikka määrittää, että kaikki kriittiset omaisuuserät on varmuuskopioitava asianmukaisella tiheydellä, redundanssilla ja salausvaatimuksilla sekä dokumentoitava kaikki menettelyt, säilytysaikataulut ja nimetyt roolit. Palautusmekanismien on täytettävä ennalta määritetyt RTO- ja RPO-kynnykset liiketoimintavaikutusten arviointien tulosten perusteella. Varmuuskopiointiympäristön eheys ja tehokkuus validoidaan säännöllisellä palautustestauksella ja tarkastusjäljen ylläpidolla. Sääntely-yhdenmukaisuuden osalta politiikka toimeenpanee suoraan ISO/IEC 27001:2022 -kontrolleja (mukaan lukien operatiivinen jatkuvuus ja turvallinen hävittäminen), ISO/IEC 27002:2022 -vaatimuksia (kuten eheys ja palautussuunnittelu) sekä vaatimuksia NIST SP 800-53:sta, GDPR:stä, EU:n NIS2:sta ja DORA:sta. Sopimusten kolmansien osapuolten palveluntarjoajien kanssa on heijastettava organisaation odotuksia salauksesta, hävittämisestä, poikkeamien ilmoittamisesta ja testitulosten näyttämisestä. Roolit ja vastuut kuvataan yksiselitteisesti: strateginen valvonta osoitetaan ylimmälle johdolle ja tietoturvajohtajalle (CISO), operatiivinen toteutus IT- ja tietoturvatiimeille sekä IT-toiminnoille ja erikoistunut hallintotapa tietosuojavastaavalle (DPO), sovellusomistajille sekä asiaankuuluville toimittajille. Politiikka edellyttää päävarmuuskopiointiaikataulua, säännöllisiä katselmointisyklejä, vahvaa salausta, erillisiä varmuuskopiointiympäristöjä sekä tiukkoja muutoksenhallintakontrolleja. Tiukka hallintotapa varmistaa, että tarkastuslokitus ja lokit säilytetään, poikkeukset hallitaan huolellisesti ja riskien arviointi tehdään, ja palautuskyvykkyyksiä testataan määritetyin aikavälein. Lisäksi vaatimustenvastaisuus käynnistää kurinpitotoimenpiteet sisäiselle henkilöstölle sekä seuraamukset tai eskaloinnin toimittajille, ja lokien, aikataulujen sekä niihin liittyvän dokumentaation säännöllinen katselmointi on osa auditointi- ja kontrollivarmuusprosesseja. Lopuksi politiikka katselmoidaan vähintään vuosittain, jotta päivitykset heijastavat strategisia, oikeudellisia tai teknologisia muutoksia, ja siitä viestitään kaikille vaikutuksen alaisille osapuolille. Kytkeytyen hallintodokumenttien kokonaisuuteen (riskienhallinta, omaisuuden hallinta, tietojen luokittelu, tietojen säilytys, tietojen peittäminen ja tietoturvapoikkeamiin reagointi) tämä politiikka on osa organisaation kokonaisvaltaista lähestymistapaa tietoturvaan, jatkuvuuteen ja sääntelyvaatimusten noudattamiseen.