Η έρευνα ζητά εάν το σχέδιο συνέχειας δραστηριοτήτων της επιχείρησης έχει δοκιμαστεί ποια είναι η απάντησή μου

Δοκιμασμένο σημαίνει εδώ: ασκημένο, όχι μόνο γραμμένο

Όχι, ένα σχέδιο που υπάρχει μόνο στο χαρτί και δεν έχει ποτέ ασκηθεί, δεν ανταποκρίνεται στο ζητούμενο εδώ. Το ερώτημα σχετικά με ένα δοκιμασμένο σχέδιο επιχειρησιακής συνέχειας αφορά τη διαχείριση κρίσεων και την ανάκαμψη μετά από περιστατικά, ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της NIS2. Η δοκιμή μπορεί να πραγματοποιηθεί σε πολλά επίπεδα: μια άσκηση στρατηγικού επιπέδου κατά την οποία η ομάδα αναλύει ένα σενάριο, μια τεχνική δοκιμή failover κατά την οποία γίνεται πραγματική εναλλαγή σε εφεδρική παροχή, ή μια πλήρης προσομοίωση με ανάκαμψη από αντίγραφο ασφαλείας. Αυτό που ακριβώς θέλει να δει ο πελάτης συνήθως δεν αναφέρεται στο ίδιο το ερώτημα αλλά στη σχετική επεξήγηση — εάν εκεί αναγράφεται «απόδειξη της τελευταίας δοκιμής», ένα χαλαρό έγγραφο πολιτικής δεν είναι επαρκές.

Εάν η επιχείρηση διαθέτει σχέδιο επιχειρησιακής συνέχειας αλλά αυτό δεν έχει ακόμη δοκιμαστεί, τότε η πιο ειλικρινής απάντηση είναι «όχι» με περαιτέρω ανάπτυξη σχετικά με την προγραμματισμένη ημερομηνία δοκιμής, εάν υπάρχει. Η συμπλήρωση ενός «ναι» επειδή το σχέδιο υπάρχει, ενώ κανείς δεν έχει ποτέ ασκηθεί ή δεν έχει ελέγξει εάν το αντίγραφο ασφαλείας επανέρχεται πράγματι, είναι το είδος απάντησης που κατά τη διάρκεια μιας μεταγενέστερης ελέγχου ή περιστατικού ξαναθα προκύψει. Αυτό το θέμα σχετίζεται άμεσα με αντίγραφα ασφαλείας και έναν εκτάκτως διατάξει για την αποκατάσταση της παροχής υπηρεσιών — εκεί αναγράφεται τι ισχύει ως απόδειξη για την πλευρά της συνέχειας του ίδιου του ερωτήματος.

Πόθεν προέρχεται: άρθρο 21 και η υποχρέωση αξιολόγησης

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει «επιχειρησιακή συνέχεια, όπως η διαχείριση αντιγράφων ασφαλείας και η ανάκαμψη από καταστροφή και διαχείριση κρίσεων» ως ένα από τα δέκα υποχρεωτικά μέτρα· το ISO/IEC 27001 το αναπτύσσει στα μέτρα ελέγχου του Παράρτηματος A γύρω από τη διαχείριση συνέχειας, όπου η δοκιμή και η αξιολόγηση είναι τυπικό μέρος του μέτρου, όχι ένα ξεχωριστό βήμα. Εάν η δοκιμασμένη πολιτική συνέχειας είναι επίσης υποχρεωτική για την ίδια την επιχείρηση σύμφωνα με τον ολλανδικό Κώδικα Κυβερνοασφάλειας εξαρτάται από το εάν η επιχείρηση αυτή εμπίπτει στο πεδίο εφαρμογής — για αυτό βλέπε εάν ο οργανισμός εμπίπτει αυτοτελώς στην Οδηγία NIS2. Ανεξάρτητα από αυτή την υποχρέωση, ένας πελάτης συχνά το ζητά αυτό απλώς επειδή ένα δοκιμαστό σχέδιο είναι στην πράξη μια υπόθεση, όχι βεβαιότητα.