klient küsib meie taastamisaega peale katkestust, mida ma sinna täidan

Taastamise aeg ei ole RTO/RPO-number, vaid protsessi kirjeldus

Siin tavaliselt küsitakse mitte üht arvu, vaid kas jätkusuutlikkuse protsess on olemas: kas on hädaabi varustus, kas seda on testitud ja kui kiiresti teenus taastub. Seega ärge sisestage konkreetset taastamisaega, kui seda pole kusagil määratletud — näiteks BCP-s (business continuity plan) või DRP-s (disaster recovery plan) määratletud RTO-ga (recovery time objective) ja RPO-ga (recovery point objective). Kui seda seal pole, siis on "ei, pole veel ametlikult määratletud" aus vastus, võimalikult lisaselgitusega, et varukoopiad küll on olemas, kuid nende testitud taastamisajaga ei.

Paljud kliendid kombineerivad selle küsimuse häire protsessi enda kohta esitatud küsimusega: kas protsess häire avastamiseks ja eskaleerimiseks on olemas enne taastamise alustamist. Kontrollige seega ka turvalisusincidendi käsitlemise menetlusest, sest ilma sellise protsessita ei ole taastamisaeg iialgi kindel. Kui olete RTO/RPO määratlenud, siis on tõendiks tavaliselt BCP/DRP-dokument ise või viimase failover- või restore-testi aruanne. Kui see testi aruanne puudub, andke pigem "ei" kui kontrollimatule eeldusele.

Kust see tuleb: artikkel 21 lõige 2 ja Lisa A

NIS2-direktiivi artikli 21 lõige 2 nimetab kümne meetme hulgas otsesõnu "business continuity, such as backup management and disaster recovery" kui üksuse turvalisuspoliitika kohustuslikku osa. ISO/IEC 27001 seda arendab välja Annex A-s infovarade töö- ja jätkusuutlikkuse kontrollimeetmete all. Küsimuse osas, kas teie ettevõte ise peab seda protsessi omama, on esmalt oluline, kas te direktiivist allustate — kontrollige seda või ettevõte ise ei kuulu NIS2-direktiivi allakaudu. Hollandi Küberturvalisuse seadus paneb selle kohustuse paika, jõustumisega 15. augustil 2026; kuni selleni küsivad kliendid seda sageli juba, eeldades oma enda ahelakohustusi.