Politika sigurnosnog kopiranja i vraćanja – SME

Politika sigurnosnog kopiranja i vraćanja (P15S) pruža sveobuhvatan pristup osiguravanju da su svi ključni poslovni podaci zaštićeni od gubitka i da se mogu brzo oporaviti u slučaju prekida. Razvijena posebno za mala i srednja poduzeća (SME), ova politika uvažava strukturne realnosti organizacija bez složenih IT odjela, kao što je nedostatak namjenskih SOC timova ili glavnog službenika za informacijsku sigurnost (CISO). Stoga dodjeljuje glavne odgovornosti nadzora i odlučivanja glavnom izvršnom direktoru (GM), čime je praktična i usklađena s ISO/IEC 27001:2022. U svojoj srži, politika uspostavlja provediva pravila koja zahtijevaju redovito sigurnosno kopiranje svih kritičnih podataka, uključujući financijske, korisničke, HR i informacije poslovnih sustava na stolnim računalima, poslužiteljima i aplikacijama u oblaku. Politika je precizna u pogledu opsega te zahtijeva uključivanje medija za sigurnosno kopiranje kao što su USB pogoni ili rješenja temeljena na oblaku. Upućuje sve zaposlenike koji imaju odgovornost za postupanje s podacima, zajedno s vanjskim pružateljima IT podrške, da strogo slijede propisane protokole za sigurnosno kopiranje i sigurnu pohranu. P15S utvrđuje jasne ciljeve: osigurati da se svi kritični podaci sigurno sigurnosno kopiraju u intervalima usklađenima s Procjenom rizika, jamčiti pravovremeno i potpuno vraćanje podataka te spriječiti neovlašteni pristup ili manipulaciju kroz snažno šifriranje i kontrolu pohrane. Uloge i odgovornosti jasno su razgraničene: GM je odgovoran za provedbu politike, dodjelu resursa, godišnja preispitivanja i nadzor incidenata, dok IT pružatelji provode tehničku implementaciju i izvješćivanje. Zaposlenici moraju spremati rad isključivo u odobrene sustave, čime se dodatno smanjuje rizik. Politika zahtijeva dokumentirani Plan sigurnosnog kopiranja koji navodi što se sigurnosno kopira, učestalost, pravila zadržavanja i smjernice sigurnog brisanja utemeljene na povezanim politikama. Sigurnosne kopije moraju se provoditi prema utvrđenim rasporedima, primjerice dnevno ili tjedno za financijske evidencije, mjesečno za konfiguracije sustava te inkrementalno za dijeljene datoteke gdje je moguće. Kritične kontrole zahtijevaju da se podaci pohranjuju na najmanje dvije lokacije (npr. lokalno i u oblaku), da budu šifrirani kada su izvan lokacije te da budu dostupni isključivo ovlaštenom osoblju. Log-zapisi, izvješća i periodično testiranje postupaka vraćanja obvezni su, čime se podržavaju i operativna pouzdanost i zahtjevi revizije za standarde kao što su ISO/IEC 27001 i GDPR. Upravljanje rizicima i iznimkama ugrađeno je u politiku: svako odstupanje, propust ili tehnički kvar mora biti dokumentiran, obrazložen i odobren od strane GM-a. Zabranjene radnje, poput pohrane kritičnih podataka na neodobrene uređaje ili preskakanja testova vraćanja, izričito su navedene. Godišnja i incidentima potaknuta preispitivanja politike osiguravaju trajno usklađivanje s pravnim, regulatornim i tehničkim promjenama. Za probleme koji utječu na sigurnosno kopiranje ili oporavak, eskalacija i dokumentacija slijede Politiku odgovora na incidente (P30S), čime se učvršćuje integrirano upravljanje u okviru SME-ovog okruženja upravljanja informacijama. Ova politika tako omogućuje SME-ovima ispunjavanje međunarodnih zahtjeva usklađenosti uz strukturu prilagođenu njihovim operativnim realnostima.