Atsarginių kopijų kūrimo ir atkūrimo politika – SVV

Atsarginių kopijų kūrimo ir atkūrimo politika (P15S) pateikia išsamų požiūrį, kaip užtikrinti, kad visi esminiai verslo duomenys būtų apsaugoti nuo praradimo ir galėtų būti greitai atkurti sutrikimo atveju. Ši politika, sukurta specialiai mažoms ir vidutinėms įmonėms (SVV), atsižvelgia į organizacijų be sudėtingų IT departamentų struktūrines realijas, pavyzdžiui, į tai, kad nėra specializuotų SOC komandų ar CISO. Todėl ji priskiria pagrindines priežiūros ir sprendimų priėmimo atsakomybes generaliniam vadovui (GV), todėl yra praktiška ir suderinta su ISO/IEC 27001:2022. Politikos esmė – vykdytinos taisyklės, reikalaujančios reguliariai kurti visų kritinių duomenų atsargines kopijas, įskaitant finansinius, klientų, personalo ir verslo sistemų duomenis staliniuose kompiuteriuose, serveriuose ir debesijos taikomųjų programų aplinkoje. Politika tiksliai apibrėžia taikymo sritį, įtraukdama atsarginių kopijų laikmenas, tokias kaip USB laikmenos ar debesija pagrįsti sprendimai. Ji nurodo visiems darbuotojams, atsakingiems už duomenų tvarkymą, kartu su išoriniais IT pagalbos teikėjais, griežtai laikytis nustatytų atsarginių kopijų kūrimo ir saugaus saugojimo protokolų. P15S apibrėžia aiškius tikslus: užtikrinti, kad visi kritiniai duomenys būtų saugiai kopijuojami intervalais, suderintais su rizikos vertinimu, garantuoti savalaikį ir pilną duomenų atkūrimą bei užkirsti kelią nesankcionuotai prieigai ar klastojimui, taikant patikimą šifravimą ir saugojimo kontrolę. Vaidmenys ir atsakomybės aiškiai apibrėžti: GV yra atskaitingas už politikos vykdymo užtikrinimą, išteklių paskirstymą, kasmetines peržiūras ir incidentų priežiūrą, o IT paslaugų teikėjai atsako už techninį įgyvendinimą ir ataskaitų teikimą. Darbuotojai privalo saugoti darbą tik patvirtintose sistemose, taip dar labiau mažindami riziką. Politika reikalauja dokumentuoto atsarginių kopijų plano, kuriame nurodoma, kas kopijuojama, kopijavimo dažnis, saugojimo taisyklės ir saugaus ištrynimo gairės, paremtos susijusiomis politikomis. Atsarginės kopijos turi būti daromos pagal nustatytus grafikus, pavyzdžiui, kasdien arba kas savaitę finansiniams įrašams, kas mėnesį sistemų konfigūracijoms ir, kur įmanoma, inkrementiškai bendrinamiems failams. Kritinės kontrolės priemonės reikalauja duomenis saugoti bent dviejose vietose (pvz., vietoje ir debesijoje), šifruoti, kai saugoma už organizacijos ribų, ir suteikti prieigą tik įgaliotam personalui. Žurnalai, ataskaitos ir periodinis atkūrimo procedūrų testavimas yra privalomi, palaikant tiek operacinį patikimumą, tiek audito reikalavimus pagal tokius standartus kaip ISO/IEC 27001 ir BDAR. Rizikos ir išimčių valdymas yra integruotas: bet koks nukrypimas, spraga ar techninis gedimas turi būti dokumentuotas, pagrįstas ir patvirtintas GV. Draudžiami veiksmai, tokie kaip kritinių duomenų saugojimas nepatvirtintuose įrenginiuose ar atkūrimo testų praleidimas, yra aiškiai išvardyti. Kasmetinės ir incidentų inicijuotos politikos peržiūros užtikrina nuolatinį suderinamumą su teisiniais, reglamentavimo ir techniniais pokyčiais. Klausimams, turintiems įtakos atsarginių kopijų kūrimui ar atkūrimui, eskalavimas ir dokumentavimas vykdomi pagal reagavimo į incidentus politiką (P30S), taip įtvirtinant integruotą valdyseną SVV informacijos valdymo aplinkoje. Ši politika suteikia SVV galimybę atitikti tarptautinius atitikties reikalavimus, taikant struktūrą, pritaikytą jų veiklos realijoms.