Policy för säkerhetskopiering och återställning – SME

Policy för säkerhetskopiering och återställning (P15S) ger ett heltäckande angreppssätt för att säkerställa att all väsentlig affärsdata skyddas mot förlust och kan återställas snabbt vid en störning. Policyn är utvecklad specifikt för små och medelstora företag (SME) och tar hänsyn till de strukturella förutsättningarna i organisationer utan komplexa IT-avdelningar, såsom avsaknad av dedikerade SOC-team eller informationssäkerhetschef (CISO). Därför tilldelas General Manager (GM) ett övergripande ansvar för tillsyn och beslutsfattande, vilket gör policyn både praktisk och förenlig med ISO/IEC 27001:2022. I grunden fastställer policyn genomdrivbara regler som kräver regelbunden säkerhetskopiering av all kritisk data, inklusive finansiell information, kundinformation, HR-data och information i affärssystem över stationära datorer, servrar och molnapplikationer. Policyn är tydlig avseende omfattning och kräver att säkerhetskopieringsmedia såsom USB-enheter eller molnbaserade lösningar inkluderas. Den instruerar all personal med ansvar för datahantering, tillsammans med externa IT-supportleverantörer, att strikt följa föreskrivna protokoll för säkerhetskopiering och säker lagring. P15S anger tydliga mål: att säkerställa att all kritisk data säkerhetskopieras på ett säkert sätt med intervall som är anpassade till riskbedömning, att garantera snabb och fullständig dataåterställning samt att förhindra obehörig åtkomst eller manipulation genom robust kryptering och lagringskontroll. Roller och ansvar är tydligt avgränsade, där GM ansvarar för policygenomdrivande, resursallokering, årliga översyner och incidenttillsyn, medan IT-leverantörer hanterar teknisk implementering och rapportering. Anställda ska endast spara arbete i godkända system, vilket ytterligare minskar risk. Policyn kräver en dokumenterad säkerhetskopieringsplan som beskriver vad som säkerhetskopieras, frekvens, lagringsregler och riktlinjer för säker radering som bygger på relaterade policyer. Säkerhetskopieringar ska utföras enligt fastställda scheman, till exempel dagligen eller veckovis för finansiella register, månadsvis för systemkonfigurationer och inkrementellt för delade filer där det är möjligt. Kritiska kontroller kräver att data lagras på minst två platser (t.ex. lokalt och i molnet), krypteras vid lagring utanför platsen och är åtkomlig strikt för behörig personal. Loggar, rapporter och periodisk testning av återställningsprocedurer är obligatoriska, vilket stödjer både driftsäkerhet och revisionskrav för standarder såsom ISO/IEC 27001 och GDPR. Risk- och undantagshantering är inbyggd: varje avvikelse, brist eller tekniskt fel ska dokumenteras, motiveras och godkännas av GM. Förbjudna åtgärder, såsom att lagra kritisk data på icke-godkända enheter eller att hoppa över återställningstester, anges uttryckligen. Årliga och incidentdrivna policyöversyner säkerställer fortsatt anpassning till rättsliga, regulatoriska och tekniska förändringar. För frågor som påverkar säkerhetskopiering eller återhämtning ska eskalering och dokumentation följa Policy för incidenthantering (P30S), vilket säkerställer integrerad styrning i SME:ns informationshanteringslandskap. Policyn gör därmed det möjligt för SME att uppfylla internationella efterlevnadskrav med en struktur som är anpassad till deras operativa verklighet.