En genopretningsplan beskriver, hvordan it-systemer og data bliver brugbare igen efter et alvorligt nedbrud. Den forbinder sikkerhedskopier, infrastruktur, adgang, rækkefølge og ansvar med et konkret mål for, hvor længe organisationen kan undvære systemet, og hvor gamle de gendannede data må være.
En grøn status på backupjobbet besvarer kun en del af spørgsmålet. Hvis krypteringsnøglen mangler, identitetstjenesten er nede eller databasen ikke passer til den tilgængelige programversion, kan kopien være utilstrækkelig. Planen skal derfor afprøves som en samlet kæde. Her følger et udfyldt eksempel, hvor en virksomhed opdager, at dens faktiske gendannelse overskrider det aftalte mål.
Genopretning er den tekniske del af beredskabet
Det overordnede beredskab omfatter blandt andet mennesker, kommunikation, manuelle arbejdsgange og prioritering af opgaver. Genopretningsplanen går ned i de systemer, som understøtter disse aktiviteter. Den forklarer, hvordan en sikker driftsplatform etableres, hvordan oplysninger indlæses, og hvem der må godkende genåbning.
Knyt derfor planen til beredskabet for forretningskontinuitet. Hvis kundeservice kan arbejde manuelt i nogle timer, påvirker det prioriteringen. Men en manuel løsning kan samtidig skabe nye persondata i papirlister eller lokale filer, som senere skal føres korrekt tilbage og slettes efter behov.
Efter artikel 32 skal passende sikkerhed blandt andet omfatte evnen til rettidigt at genoprette tilgængelighed og adgang efter en fysisk eller teknisk hændelse, hvor det er relevant. Reglen fastsætter ikke ét universelt antal timer for enhver dansk virksomhed. Vurderingen afhænger af behandlingen og risikoen for personerne. Se GDPR’s artikel 32.
RTO og RPO skal kunne måles
RTO, Recovery Time Objective, er målet for tiden frem til genoprettelse af den nødvendige funktion. Definér start og slut i planen. Et mål er uklart, hvis it måler fra beslutningen om genopretning, mens ledelsen tror, at tiden regnes fra selve nedbruddet.
RPO, Recovery Point Objective, angiver hvor langt tilbage i tid det accepteres, at det genoprettede datagrundlag ligger. En målsætning på 30 minutter betyder, at organisationen søger at begrænse det tabte tidsrum til højst 30 minutter. Den siger ikke, at enhver backup automatisk opfylder målet.
Den fiktive virksomhed Fjordlevering vælger følgende mål for sit planlægningssystem efter en vurdering af kundernes afhængighed af aftalte leveringer:
| Element | Aftalt mål i eksemplet | Hvad der skal være opfyldt |
|---|---|---|
| RTO | Fire timer fra driftsstop | Planlæggerne kan se og opdatere korrekte leveringsaftaler |
| RPO | Højst 30 minutters tabt opdatering | Seneste brugbare datasæt ligger højst 30 minutter før stoppet |
| Midlertidig drift | Kontrolleret telefonliste | Kun nødvendige aftaler, begrænset adgang og efterfølgende afstemning |
| Genåbning | Godkendelse fra it og driftsansvarlig | Adgang, data og centrale arbejdsgange er kontrolleret |
Tallene er virksomhedens konstruerede mål, ikke standardkrav efter GDPR. Et hospital, en finansiel virksomhed og en mindre bookingtjeneste kan have andre behov og supplerende regler. Begrund målet ud fra konsekvenserne for personer, ikke blot tabt omsætning.
Kortlæg hele genopretningskæden
Fjordlevering opdeler kæden i identitetstjeneste, netværk, database, planlægningsprogram og beskedtjeneste. Den noterer også certifikater, hemmeligheder, licenser og leverandørkontakt. En database kan ikke alene levere den lovede funktion, hvis medarbejderne ikke kan logge ind eller se de tilknyttede dokumenter.
Brug kortlægningen af systemer og afhængigheder til at bestemme rækkefølgen. Den bør vise, hvilke dele der kan genoprettes parallelt, og hvilke der blokerer resten. Planen skal kunne tilgås, selv om virksomhedens normale dokumentlager er utilgængeligt.
I eksemplet opdager teamet, at adgang til backup kræver en godkendelse i den identitetstjeneste, som planen forudsætter allerede er gendannet. Denne cirkel løses med en særskilt, beskyttet nødadgang og en dokumenteret aktiveringsprocedure. Nødadgangen skal kunne anvendes, men også kontrolleres og lukkes igen efter brug.
Datatilsynets vejledning om backup peger på, at genopretning kan kræve mere end persondatafiler, eksempelvis software, certifikater og nøgler. Vejledningen forbinder interval, placering og afprøvning med den konkrete risikovurdering.
Vælg kopier, som hændelsen ikke rammer samtidig
En kopi på samme server beskytter dårligt mod serverens ødelæggelse. En ekstra kopi med samme administrationsadgang kan være sårbar, hvis angriberen overtager netop denne adgang. Den tekniske løsning skal passe til de hændelser, planen skal kunne håndtere.
Fjordlevering vælger adskilte administrationskonti og en ekstra kopi, som ikke kan slettes gennem den almindelige produktionskonto. Beskyttelse mod ændring, fysisk eller logisk adskillelse og en anden placering kan indgå. De er konkrete sikkerhedsvalg, som skal beskrives og afprøves; en bestemt huskeregel om antal kopier er ikke i sig selv en universel lovregel.
Replikering og backup løser heller ikke præcis samme problem. Hurtig replikering kan videreføre en fejlagtig ændring eller sletning til den anden instans. Genopretning efter en sådan hændelse kræver et brugbart tidligere tidspunkt og en vurdering af, hvilke efterfølgende ændringer der skal genskabes.
Sikkerhedskopierne skal beskyttes mod uvedkommende under overførsel og opbevaring. Hvis de er krypterede, skal nøglerne kunne genfindes sikkert i nødscenariet. Planen skal også kunne håndtere, at en almindelig administrator er fraværende.
En udfyldt genopretningsprocedure
Fjordleverings procedure starter med, at hændelseslederen afgrænser de berørte systemer og beslutter, om genopretning skal ske i et rent miljø. Ved mistanke om kompromittering skal årsagen undersøges og adgangen sikres, før den gamle drift kopieres tilbage. Ellers kan virksomheden genindføre samme sårbarhed eller skadelige kode.
It-teamet etablerer herefter det nødvendige netværk og den kontrollerede identitetsadgang. Det vælger en verificeret backup, kontrollerer dens tidspunkt og indlæser databasen sammen med den passende programversion. Beskeder til kunder holdes tilbage, indtil data er afstemt, så gamle hændelser ikke udløser nye, forkerte beskeder.
Driftsansvarlige kontrollerer udvalgte aftaler mod uafhængige oplysninger. De ser blandt andet efter manglende ændringer, dobbeltbookinger og forkerte kontaktoplysninger. Rettigheder kontrolleres med almindelige brugere, så en vellykket administratorlogin ikke forveksles med korrekt drift.
Planen henviser samtidig til proceduren for brud på persondatasikkerheden. Et tilgængelighedsbrud kan berøre GDPR, selv om der ikke er konstateret lækage. Genopretning og vurdering af anmeldelse er parallelle opgaver; en fungerende backup afgør ikke alene, om et brud skal anmeldes.
Øvelsen viser forskellen mellem mål og resultat
I det konstruerede øvelsesforløb stopper systemet klokken 09.00. Den seneste brugbare backup afspejler data klokken 08.20. Arbejdsfunktionen godkendes først klokken 13.40, fordi teamet mangler adgang til en nødvendig konfigurationsfil.
Resultatet er 4 timer og 40 minutters genopretning og et datagrundlag, der ligger 40 minutter før stoppet. Begge dele overskrider virksomhedens mål. Teamet registrerer derfor øvelsen som utilstrækkelig i forhold til de aftalte krav, selv om systemet til sidst starter.
Den driftsansvarlige gennemgår de 40 minutters ændringer. To leveringsaftaler mangler en ny tid, og én annullering skal genetableres. Kontrollen illustrerer, hvorfor RPO også handler om de faktiske ændringer og deres konsekvenser. En tidsangivelse kan skjule væsentlige fejl, hvis kritiske ændringer ikke kan rekonstrueres.
Korrigerende handlinger bliver at inkludere konfigurationsfilen, ændre backupforløbet og afprøve hele kæden igen. Virksomheden må enten dokumentere, at de oprindelige mål nu kan nås, eller genoverveje løsningen og risikoen. Et nyt mål må ikke blot vælges for at få en mislykket øvelse til at se vellykket ud.
Gendan ikke persondata, som allerede skulle være slettet
En ældre backup kan indeholde oplysninger, der siden er slettet fra drift. Fjordlevering har derfor et trin, hvor relevante sletninger og begrænsninger genanvendes, før almindelig behandling genoptages. Ellers kan genopretningen forlænge opbevaring eller genaktivere en kundes fravalg.
Datatilsynet angiver, at oplysninger skal slettes fra backup, hvis det er teknisk muligt. Hvis enkelte oplysninger ikke teknisk kan slettes dér, skal den dataansvarlige sikre, at tidligere slettede oplysninger også fjernes ved genetablering. Se tilsynets vejledning om sletning og backup.
Fastlæg derfor både kopiernes levetid og proceduren ved tilbageførsel. Knyt den til virksomhedens regler for opbevaringsbegrænsning. Beskyttede sikkerhedskopier bør ikke udvikle sig til et ubegrænset arkiv, som bruges til almindelige opslag.
Hold planen anvendelig efter ændringer
Fjordlevering gennemgår planen efter skift af database, identitetsløsning eller backupudbyder og efter hændelser, som afslører nye afhængigheder. Afprøvningshyppigheden vælges efter risiko og ændringstakt. Artikel 32 indeholder ikke et generelt krav om præcis månedlige eller årlige genopretningsøvelser for alle virksomheder.
Den afsluttende status angiver systemets version, seneste verificerede genopretning, mål og faktiske resultater samt åbne handlinger. Ledelsen kan dermed se, hvad organisationen kan genoprette i praksis. Planens værdi ligger i denne dokumenterede evne, ikke i antallet af sider eller i backupværktøjets grønne symbol.