8.13 Kopie zapasowe informacji
W skrócie: kopie zapasowe są wykonywane według ustalonej polityki, przechowywane z dala od oryginału i regularnie sprawdzane przez odtwarzanie.
Cel: umożliwienie odtworzenia po utracie danych lub systemów.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Corrective (korygujące) |
| Właściwości bezpieczeństwa informacji | #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Recover (odtwarzanie) |
| Zdolności operacyjne | #Continuity (ciągłość działania) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja ustanawia politykę tematyczną kopii zapasowych, określającą wymagania dotyczące retencji i ochrony.
- Plan kopii uwzględnia: dokładne i kompletne zapisy kopii i udokumentowane procedury odtwarzania, zakres i częstotliwość dopasowane do wymagań biznesowych i krytyczności, przechowywanie w odległym miejscu, by uniknąć skutków katastrofy w głównej lokalizacji, ochronę fizyczną i środowiskową kopii (7.5).
- Nośniki kopii regularnie się testuje. Procedury odtwarzania sprawdza się i testuje, by mieć pewność, że zadziałają w wymaganym czasie.
- Kopie chroni się szyfrowaniem, gdy ważna jest poufność.
- Monitoruje się wykonanie kopii i reaguje na błędy, by zapewnić ich kompletność.
- Okres retencji kopii ustala się z uwzględnieniem wymagań dotyczących archiwizacji. Usuwanie informacji (8.10) obejmuje także kopie.
- Przy usługach chmurowych organizacja ustala, jak dostawca wykonuje kopie, czy spełniają one jej wymagania i jak je odtwarzać.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Reguła 3-2-1-1-0 (rozwinięcie klasycznej 3-2-1 spopularyzowane przez dostawców systemów kopii, m.in. Veeam): trzy kopie, dwa rodzaje nośników, jedna poza siedzibą, jedna offline lub niezmienna, zero błędów w teście odtwarzania.
- Osobne poświadczenia i domena administracyjna dla systemu kopii — ransomware celuje w konsolę backupu.
- Okresowe pełne odtworzenie systemu krytycznego na czas, porównane z RTO i RPO (5.30).
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.13 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 5.29 Bezpieczeństwo informacji podczas zakłóceń, 5.30 Gotowość ICT do zapewnienia ciągłości działania, 8.7 Ochrona przed złośliwym oprogramowaniem, 8.10 Usuwanie informacji, 8.14 Redundancja środków przetwarzania informacji.
- ISO/IEC 27002:2013: 12.3.1.