klausimynas klausia apie mūsų atsigavimo laiką po kibernetinio saugumo incidento

Atkūrimo laikas priklauso nenutrūkstamumui, o ne incidento reagavimui

Šis klausimas priklauso verslo nenutrūkstamumo priemonei pagal NIS2 21 straipsnio 2 dalį, o ne incidento valdymui. Klientas nori sužinoti, kaip ilgai paslauga gali būti sustabdyta po kibernetinio incidento, kol kritiniai procesai vėl prasideda — dažnai sąrašas tai klausia kaip RTO (atkūrimo laiko tikslas) ir kartais taip pat klaudia apie RPO (atkūrimo taško tikslą, kiek duomenų praradimo yra priimtino). Tai nėra atskiri skaičiai, kuriuos tu sugalvoji vietoje; jie turėtų kilti iš jau egzistuojančio nenutrūkstamumo plano arba iš atkūrimo plano, susijusio su atsarginės kopijos tvarkymu.

Jei tu neformaliai nefixavai tų reikšmių, tai "dar nenustatytas" yra teisingas atsakymas čia — nemerk įvertintų duomenų, kurių negali pagrįsti. RTO nurodant be to, kad už jį stovi išbandytas atkūrimo planas, yra pažadas, kuris bus atskaitomas kito gedimo metu. Pirmiausia patikrink, ar yra atsarginės kopijos ir neatsitiktinumo priemonės paslaugų atkūrimui.; jei jie yra, atkūrimo laikas paprastai jau jame nurodomas arba jį galima nustatyti atliekant stalo pratybas. Jei ši nuostata dar neegzistuoja, tai yra viena iš dešimties priemonių iš NIS2 21 straipsnio 2 dalies, kurią dar reikia įdiegti.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

21 straipsnio 2 dalies c punktas iš NIS2 aiškiai nurodo verslo tęstinumą, įskaitant atsarginių kopijų valdymą ir neatidėliotiną atkūrimą, kaip vieną iš dešimties privalomų priemonių; pagal Kibernetinio saugumo įstatymą — Nyderlandų įgyvendinimą, kuris įsigalioja 2026 m. rugpjūčio 15 d. — galioja ta pati klasifikacija subjektams, kuriems taikomas šis įstatymas. Kurie taikyti ISO/IEC 27001, atitinkamą kontrolės priemonę randa Priede A pagal informacijos saugumo tęstinumo kategoriją. Atkreipkite dėmesį: atkūrimo laikas pats savaime nėra nurodomas kaip skaitinis dydis jokiame iš šių šaltinių — šią normą organizacija nustato pati remiantis savo rizikos analize. Jei dar nėra aišku, ar šis klausimas yra privalomas konkrečiai organizacijai, tai galima nustatyti per klausimą, ar ar pati įmonė patenka į NIS2 direktyvą arba jos nacionalinį diegimą.