Artikkel 32 GDPR
Katastrofegjenopprettingsplan
Bedrifter bør etablere en katastrofegjenopprettingsplan som utfyller kontinuitetsplanen.
Katastrofegjenopprettingsplan utfyller kontinuitetsplan
En katastrofegjenopprettingsplan er den tekniske delen av en kontinuitetsplan, og begge går hånd i hånd. Kort sagt, kontinuitetsplanen gir ansatte en beskrivelse av hvordan selskapet vil fortsette å operere i tilfelle en pågående krise.
Imidlertid beskriver en katastrofegjenopprettingsplan i stedet hvordan IT-infrastrukturen og behandlingen av personopplysninger vil bli gjenopprettet under eller etter en krise. I tillegg har en katastrofegjenopprettingsplan en tendens til å være mer detaljert.
Et organisatorisk sikkerhetsforanstaltning
Artikkel 32 i GDPR krever at selskaper implementerer hensiktsmessige tekniske og organisatoriske sikkerhetstiltak for å beskytte de behandlede personopplysningene. En katastrofegjenopprettingsplan er et organisatorisk sikkerhetstiltak som kan være egnet for mange selskaper å ta. Bedrifter må blant annet kunne gjenopprette tilgjengeligheten til og tilgangen til personopplysninger i tilfelle en tapt eller lignende hendelse. Dette er noe som en katastrofegjenopprettingsplan hjelper bedrifter til å gjøre.
Hvilke spørsmål vil en katastrofegjenopprettingsplan svare på?
- Hvilke systemer er kritiske for din virksomhet?
- Hva er restitusjonstiden for de ulike systemene?
- Hvor mye data kan virksomheten miste?
- Hvordan administrerer bedriften sikkerhetskopieringsfiler og lagring?
- Hvilke skritt bør ansatte ta for å gjenopprette IT-systemer?
- Hvem er ansvarlig for å gjøre hva i restaureringsarbeidet?
- Hvordan skal selskapet kommunisere internt og eksternt?
Godt å vite forskjellen mellom Recovery Time Objective og Recovery Point Objective
Mål for gjenopprettingstid (RTO)
Kort sagt, RTO angir maksimal tid en forretningskritisk prosess, IT-tjeneste, applikasjon eller lignende kan være ute av drift etter at en hendelse har oppstått, før det fører til uakseptable konsekvenser. Hovedfokuset i dette tilfellet er på tiden til utvinning. Hvis RTO er 3 timer, betyr det at systemet må gjenopprettes og være i drift igjen innen 3 timer etter avbrudd. Det er viktig å huske på at de ulike systemene som brukes av foretaket, kan ha ulik innfordringstid. For eksempel kan det være kritisk at et journalsystem må gjenopprettes i løpet av få minutter, mens et HR-system kan stenges i flere timer uten uakseptabel innvirkning på selskapet. Jo lavere RTO, jo mer sofistikerte løsninger det trenger å implementere.
Mål for gjenopprettingspunkt (RPO)
Dette tiltaket angir mengden tap av data, uttrykt i tid bakover fra hendelsen, som foretaket kan tape som et maksimum. Fokuset i dette tilfellet er på datatoleranse og tap av data. Hvis for eksempel RPO er 15 minutter, betyr det at data som er opprettet eller endret senest 15 minutter før hendelsen inntraff, må kunne gjenopprettes.
Nøkkelen til en effektiv katastrofegjenopprettingsplan er en god sikkerhetskopieringsstrategi
Det er viktig at bedriften sørger for at backupinnstillingene til de ulike digitale systemene er konfigurert på ønsket måte. I tillegg er det nyttig å teste om sikkerhetskopifilene fungerer, er i stand til å gjenopprette filer på riktig måte og inneholder riktig mengde sikkerhetskopidata. I tilfelle en hendelse med tap av data, kan selskapet forhåpentligvis gjenskape filene gjennom sikkerhetskopifilene.
Steg-for-trinns gjenopprettingsinstruksjoner
En katastrofegjenopprettingsplan skal være klar og inneholde praktiske instruksjoner. For eksempel:
- Hvordan ansatte er å starte servere.
- Hvordan ansatte vil gjenopprette databaser fra backup.
- I hvilken rekkefølge de ulike systemene som benyttes av foretaket, skal aktiveres på nytt.
- Hvordan ansatte vil gjenskape søknader.
- Verifisering av logger.
- Hvordan sikkerhetskontrollen av nettverket utføres etter at en hendelse har inntruffet.
Håndbok for hvert system
Det er nyttig å lage en skriftlig håndbok for hvert system som selskapet har identifisert som kritisk. For eksempel er det nyttig å inkludere kontaktinformasjonen til leverandøren av systemet i håndboken.
Ansvar og rollefordeling
For å håndtere en krise så godt som mulig, er det nyttig å avklare roller og ansvar dersom en slik situasjon skulle oppstå. For eksempel hvilke IT-teknikere som er ansvarlige for å gjenopprette hvilke systemer. Ved å ha klare roller og ansvar, er restaureringsprosessen mer sannsynlig å bli fremskyndet. Dette kan hjelpe selskapet med å oppfylle krav til tilgjengelighet.
Kommunikasjon i tilfelle hendelser
Kommunikasjon i bedrifter er ekstremt viktig, spesielt under en krise. Det er nyttig å avklare hvordan alle ansatte skal informeres i tilfelle krise dersom den vanlige kommunikasjonskanalen ikke fungerer. I tillegg bør selskapet klargjøre hvem som er ansvarlig for å kontakte eksterne parter, for eksempel leverandører, den nasjonale databeskyttelsesmyndigheten og kunder.
Test planen regelmessig
Den beste måten å vite om en katastrofegjenopprettingsplan fungerer i praksis i tilfelle en krise er ved å teste den i praksis. I tillegg er det en mulighet til å identifisere muligheter for forbedring i møte med en reell krise. For eksempel bør selskapet teste for å gjenopprette deler av systemet og / eller hele systemet, trene ansatte gjennom ulike øvelser med virkelige scenarier, simulere inntrengninger som fører til fiktive brudd på personopplysninger, etc. Vær oppmerksom på at det er nyttig å dokumentere testene og tiltakene som er tatt og deres effektivitet.
Dokument for å bevise juridisk overholdelse
En katastrofegjenopprettingsplan bør skrives som selskaper må kunne demonstrere at de overholder GDPR i praksis, etter prinsippet om ansvarlighet fastsatt i artikkel 5 (2) GDPR. Det er også nyttig å ha flere dokumenter for en katastrofegjenopprettingsplan. Slik som prosedyrer for sikkerhetskopiering, prosedyrer for datainnbrudd og risikovurderinger.
Oppdatere og forbedre
GDPR er en kontinuerlig øvelse som krever regelmessig oppdatering og forbedring. Det samme gjelder katastrofegjenopprettingsplaner. Planen bør oppdateres, for eksempel når selskapet innfører nye systemer eller etter hvert som selskapet vokser og trenger nye tiltak. Planen bør revideres og revideres minst en gang i året, men oftere for større selskaper.
Mer informasjon
Passordhåndtering er et annet organisatorisk sikkerhetstiltak som kan være nyttig å ta
Det er nyttig for bedrifter å etablere ansattes passordprosedyrer som et organisatorisk sikkerhetstiltak. Med andre ord definere hvordan ansatte skal opprette sikre passord, beskytte dem mot uautorisert tilgang, handle hvis det er mistanke om eksponering, etc. I tillegg kan to-trinns autentisering eller innlogging via biometriske personopplysninger være hensiktsmessig ved systemer som behandler sensitive personopplysninger.