«Сделали резервную копию. А кто сказал, что вы сможете восстановиться?»

На прошлой неделе из-за атак были выведены из строя несколько крупных дата-центров. Деятельность огромного количества компаний, использующих эту инфраструктуру, практически остановилась.

Тот, кто не хотел платить за безопасность, будет за нее расплачиваться. Нет смысла говорить о бизнесе, который считает, что лучшая защита – просто не думать о рисках. Такой бизнес долго не живет.

И о тех, у кого все сработало в штатном режиме, тоже говорить нет смысла. Риск = вероятность наступления события Х на последствия. Событие случилось, компания готова, последствия сведены к нулю или минимизированы.

Я же хочу обратить внимание на тех, кто вроде и пытался защититься, но не смог.

К сожалению, в моей практике не редко встречаются ситуации, когда вроде и безопасность в компании организована, и риски определены, и регламенты какие-то есть. НО как это будет работать – никто не знает.

На примере происходящего это выглядит так: риск потери данных/падения систем и т.д. был выявлен и защитная мера предусмотрена – резервное копирование данных.
Только вот восстановить работу компании из этих резервных данных никто не пробовал.
Не просто отчитаться о наличии резервной копии, а действительно запустить системы, восстановить доступы, наладить процессы. Оказывается, никто не знает, как развернуть инфраструктуру максимально быстро, на чем, в какой последовательности и как долго будет длиться этот процесс.
Теоретически кто-то знает, как это должно быть, но в реальности все оказалось по-другому.

Помните, что теория без практики мертва?

И потери множатся каждую минуту: потерянные заказы, сорванные обязательства, разорванные контракты.

Мысль моя сегодня проста, как ситцевые трусы:
нельзя считать, что защита работает, пока вы не убедились в этом на практике.

Если есть план эвакуации – должны быть тренировочные эвакуации.
Если есть система резервного копирования данных – должно быть учебное восстановление.
Если есть система реагирования на любую другую угрозу – должны быть учения!

Победа любит подготовленных!

Нельзя считать риск управляемым, пока вы не проверили, как работает защита.

А когда вы в последний раз проверяли не наличие защитных мер, а их реальную эффективность?

Телеграм

ВКонтакте

#безопасность_для_бизнеса