lista kontrolna pyta, czy plan ciągłości działalności firmy był testowany, jaka powinna być moja odpowiedź

Testowanie oznacza tutaj: ćwiczenie, a nie tylko spisanie na papierze

Nie, plan, który istnieje tylko na papierze i nigdy nie był ćwiczony, nie spełnia tego, co tutaj się wymaga. Pytanie o testowany plan ciągłości biznesu dotyczy zarządzania kryzysowego i восстановления po incydentach, jednej z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2. Testowanie może odbywać się na wielu poziomach: ćwiczenie przy stoliku, podczas którego zespół omawia scenariusz, techniczny test przejścia w tryb failover, w którym faktycznie dokonuje się przełączenia na rozwiązanie nadzwyczajne, lub pełna symulacja z przywróceniem z kopii zapasowej. To, co dokładnie chce zobaczyć klient, zwykle nie znajduje się w samym pytaniu, ale w dołączonej do niego instrukcji — jeśli tam napisano "dowód ostatniego testu", samodzielny dokument polityki nie jest wystarczający.

Jeśli przedsiębiorstwo ma plan ciągłości, ale ten plan nie został jeszcze przetestowany, najbardziej uczciwą odpowiedzią jest "nie" wraz z wyjaśnieniem dotyczącym planowanej daty testu, jeśli taka istnieje. Wpisanie "tak", ponieważ plan istnieje, podczas gdy nikt nigdy nie ćwiczył ani nie sprawdzał, czy kopia zapasowa rzeczywiście się przywraca, to rodzaj odpowiedzi, która przy późniejszej kontroli lub incydencie i tak wychodzi na jaw. Ten temat bezpośrednio dotyka kopii zapasowych i nadzwyczajnego środka do przywrócenia świadczenia usługi — tam podane są dowody, które liczą się dla części ciągłości biznesu tego samego pytania.

Skąd to pochodzi: artykuł 21 i wymóg oceny

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia "ciągłość działalności, na przykład zarządzanie kopiami zapasowymi i odzyskiwaniem awaryjnym, oraz zarządzanie kryzysowe" jako jedno z dziesięciu obowiązkowych środków; ISO/IEC 27001 rozwija to w Załączniku A poprzez środki kontroli dotyczące zarządzania ciągłością, gdzie testowanie i ocena są standardową częścią środka, a nie osobnym krokiem. To czy testowana polityka ciągłości działalności jest również obowiązkowa dla własnego przedsiębiorstwa zgodnie z holenderską ustawą o cyberbezpieczeństwie, zależy od tego, czy przedsiębiorstwo samo znajduje się w zakresie stosowania — zobacz to czy przedsiębiorstwo samo podlega dyrektywie NIS2Los od tego obowiązku klient często pyta o to po prostu dlatego, że niezweryfikowany plan w praktyce to założenie, a nie pewność.