Backup som tjeneste: kundens spørgsmål til leverandøren

En NIS2-kunde, der har lagt sin backup hos jer, stiller to spørgsmål, som let blandes sammen: Er kopierne beskyttet mod den, der bryder ind? Og kan vi få vores data tilbage, når det gælder? En penetrationstest kan bidrage til svaret på det første. Det andet kræver noget andet, nemlig dokumenterede gendannelser. Svaret hviler på den måde, lovteksten og forordningen beskriver backup: som en del af driftskontinuiteten, hvor både beskyttelse og genopretning skal kunne vises.

Det er nyttigt at holde de to spørgsmål adskilt over for kunden. Teksten er ikke juridisk rådgivning.

Hvor kundens spørgsmål kommer fra

NIS 2-lovens § 6, stk. 1, nr. 3, nævner driftskontinuitet, herunder backupstyring og reetablering efter en katastrofe og krisestyring, blandt de foranstaltninger, en omfattet enhed skal have. Har kunden lagt backup hos jer, er jeres tjeneste en del af den foranstaltning, og kunden ser på jer gennem kravet om forsyningskædesikkerhed i § 6, stk. 1, nr. 4. → Driftskontinuitet hos leverandøren

Gennemførelsesforordning (EU) 2024/2690 gælder bestemte digitale udbydere, herunder cloud, datacentre og administrerede tjenester. Bilagets punkt 4.2 er konkret om backup. Punkt 4.2.2 nævner blandt andet genopretningstider, lagring af kopier på sikre steder, som ikke er i samme netværk som systemet, passende fysisk og logisk adgangskontrol til kopierne og gendannelse af data. Punkt 4.2.3 nævner regelmæssig integritetskontrol, og punkt 4.2.6 regelmæssige test af genopretning, hvor resultaterne dokumenteres. Kunder uden for forordningens kreds kan låne punkterne til deres krav.

Hvad kunden kan spørge jer om

Med forordningens punkter som skabelon kan kundens spørgsmål samles i fem:

Adskillelse · ligger kopierne i et andet netværk end kundens systemer, og kan en indtrænger hos kunden nå dem?
Adgang · hvem hos jer kan slette, ændre eller læse kopierne, og hvordan er de konti beskyttet? → Privilegerede konti hos MSP’en
Adskillelse mellem kunder · kan én kundes kopier nås fra en anden kundes miljø?
Integritet · kontrolleres det, at kopierne er hele og ikke ændret?
Genopretning · hvornår er en gendannelse sidst prøvet, hvor lang tid tog den, og hvad blev fundet?

De tre første kan en penetrationstest belyse. De to sidste kræver jeres egne kontroller og gendannelsestest.

Kunden kan også spørge om opbevaringsperioder, som forordningens punkt 4.2.2, litra f, nævner, og om kopiernes placering. Det er oplysninger om tjenestens indretning, som I svarer på ud fra aftalen og jeres dokumentation, ikke ud fra en test.

Det, en penetrationstest kan vise

En test af backuptjenesten handler om, hvor langt en angriber, der allerede har fodfæste et sted, kan nå. Testen kan undersøge, om kundens egne administratorkonti kan bruges til at slette eller ændre kopierne hos jer, om jeres administrationskonsol er beskyttet med flere faktorer og adskilt fra andre systemer, og om en kunde kan nå en anden kundes kopier. → Segmentering som foranstaltning

Testen skal tilrettelægges, så den viser rækkevidden uden at ændre i rigtige kopier. Det kan ske med testdata, en testkunde i tjenesten eller ved at stoppe, når det er vist, at en handling ville være mulig. Aftal det med testeren før start. En backup, der bliver beskadiget under en test, er præcis det, kunden frygter.

Vælg også tidspunktet med omhu. En test, der falder samtidig med kundernes natlige kopiering, kan forstyrre den og efterlade et hul i kopierne. Lad testen ligge uden for kopieringsvinduerne, og kontrollér bagefter, at kopieringen er forløbet normalt for alle kunder.

Det, en penetrationstest ikke kan vise

En penetrationstest gendanner ikke data. Den siger intet om, hvorvidt kopierne er komplette, om de kan læses, eller hvor lang tid en genopretning tager. Det er gendannelsestest, som forordningens punkt 4.2.6 nævner, der kan dokumentere det.

For kunden er det vigtigt at vide, hvem der står for gendannelsestesten. Står I kun for at opbevare kopier, kan det være kunden, der skal prøve en gendannelse til sit eget miljø. Står I for hele genopretningen, er det jer. Skriv fordelingen ind i aftalen, og vær præcis over for kunden om, hvilke gendannelser I har dokumentation for. → Når en test ikke er svaret

Sådan svarer I kunden

Et svar, kunden kan bruge, kan bestå af fire dele:

Tjenestens opbygning · kort om, hvor kopierne ligger, og hvordan de er adskilt fra kundens systemer og fra andre kunder.
Seneste penetrationstest · et resumé af, hvad testen viste om adgang, adskillelse og administrationskonsol. → Resumé, erklæring eller rapport
Integritetskontrol · hvordan og hvor ofte I kontrollerer kopierne efter jeres egen procedure.
Seneste gendannelsestest · dato, omfang, tidsforbrug og eventuelle fejl, for kundens data eller for en sammenlignelig gendannelse.

Skelnen mellem de fire gør det muligt for kunden at se, hvad der er dokumenteret, og hvad der mangler. Er en af delene ikke på plads, så skriv det og angiv, hvornår den forventes at være det. Et svar med et kendt hul og en dato er mere brugbart for kunden end et svar, der lader hullet stå uomtalt, og kunden kan selv vurdere hullet i sin risikovurdering.

Et tænkt eksempel

En driftsleverandør leverer backup til en vandforsyning og tredive andre kunder. Vandforsyningen spørger, om backuppen er sikret mod ransomware. Leverandøren lader sin backupplatform teste med to testkunder. Testen viser, at en administratorkonto hos en kunde ikke kan slette kopierne hos leverandøren, men at leverandørens egen administrationskonsol kunne nås fra kontornettet. Konsollen flyttes til et adskilt administrationsnet. Vandforsyningen får et resumé af testen, oplysning om rettelsen og dokumentation for den seneste gendannelse af vandforsyningens egne data, som de to parter gennemførte sammen.

Det skal I lade være med

At svare på et spørgsmål om genopretning med en penetrationstest · testen gendanner ikke noget.
At teste mod rigtige kopier uden aftale · en beskadiget backup er den værste fejl.
At glemme jeres egne administratorer · de kan nå alle kunders kopier.
At lade det være uklart, hvem der tester gendannelse · skriv det i aftalen.
At love en genopretningstid, I ikke har prøvet · brug dokumenterede tal.

Hvad kan og ikke kan konkluderes

En penetrationstest af backuptjenesten kan vise, om kopierne og administrationen var beskyttet mod den adgang, testen opnåede, og om kunderne var adskilt. Den kan ikke vise, at kopierne kan gendannes, eller hvor lang tid det tager. Det kræver dokumenterede gendannelser. Om det samlede svar er tilstrækkeligt, vurderer kunden ud fra aftalen.