גיבוי מידע הוא אחד המרכיבים החשובים בהגנה על המידע ובהבטחת יכולתו של הארגון להמשיך לפעול במקרה של תקלה, מחיקה, פגיעה במערכת, אירוע סייבר או אובדן מידע.
גיבוי אפקטיבי אינו מסתכם ביצירת עותק של המידע. על הארגון לקבוע מה נדרש לגבות, באיזו תדירות, היכן יישמרו הגיבויים, מי מורשה לגשת אליהם וכיצד יוודא שניתן לשחזר את המידע בעת הצורך.
מה נדרש לבחון בתהליך הגיבוי?
מערך הגיבוי צריך להיות מותאם לפעילות הארגון, למערכות המידע ולרמת הסיכון. במסגרת התהליך יש לבחון, בין היתר:
- אילו מערכות, מאגרי מידע וקבצים נדרשים לגיבוי.
- תדירות ביצוע הגיבויים.
- תקופת שמירת הגיבויים.
- מיקום הגיבויים ואופן אחסונם.
- הרשאות הגישה לגיבויים.
- הגנה על הגיבויים מפני שינוי, מחיקה או גישה בלתי מורשית.
- הצפנת הגיבויים בהתאם לצורך.
- הפרדה מתאימה בין סביבת העבודה לבין עותקי הגיבוי.
- ניטור הצלחת תהליכי הגיבוי וטיפול בכשלים.
- ביצוע בדיקות שחזור תקופתיות.
גיבוי בסביבת ענן
גם כאשר הארגון משתמש בשירותי ענן, חשוב להגדיר באופן ברור את האחריות לגיבוי ולשחזור המידע.
יש לבדוק מה מגובה על ידי ספק השירות, מהי תקופת השמירה, אילו אפשרויות שחזור קיימות ומה נדרש מהארגון עצמו. עצם העובדה שהמידע נמצא בענן אינה מבטיחה בהכרח שכל המידע ניתן לשחזור בכל מצב.
בדיקות שחזור – לא מספיק לבצע גיבוי
גיבוי שלא ניתן לשחזר בעת הצורך עלול שלא לספק את ההגנה הנדרשת. לכן חשוב לבצע בדיקות שחזור תקופתיות ולוודא שהמידע אכן ניתן לשחזור באופן תקין ובזמן המתאים לצורכי הארגון.
את תוצאות הבדיקות יש לתעד, ובמקרה שמתגלים כשלים יש לקבוע פעולות לתיקון ולעקוב אחר ביצוען.
גיבוי, המשכיות עסקית והתאוששות מאירוע
מערך הגיבוי מהווה חלק מהיכולת של הארגון להתמודד עם אירועים המשפיעים על זמינות המידע והמערכות.
בעת תכנון הגיבוי והשחזור יש להתחשב בצורכי הפעילות העסקית ולקבוע סדרי עדיפויות לשחזור מערכות ומידע. בהתאם לצורך, נושא זה משתלב גם בתוכניות המשכיות עסקית והתאוששות מאסון.
גיבוי ושחזור במסגרת ISO 27001
במסגרת מערכת ניהול אבטחת מידע לפי ISO/IEC 27001:2022, ניהול הגיבויים צריך להיקבע בהתאם לסיכוני הארגון ולדרישות הרלוונטיות לפעילותו.
במהלך ההיערכות למבדק נבחן, בין היתר, האם הוגדרו דרישות לגיבוי, האם הגיבויים מתבצעים בפועל, האם קיימת בקרה על הצלחתם והאם הארגון מבצע בדיקות שחזור ומתעד את תוצאותיהן.
המטרה אינה רק להציג נוהל גיבוי, אלא לוודא שקיים תהליך מיושם ואפקטיבי המאפשר לארגון לשחזר את המידע ולהמשיך את פעילותו בעת הצורך.
המידע והדוגמאות המוצגים במאמר נועדו לספק מידע מקצועי ראשוני והיכרות כללית עם הנושא. המאמר מציג עקרונות ונושאים מרכזיים בלבד ואינו כולל את מלוא דרישות התקנים או את כלל הפעולות הנדרשות לצורך יישומם ועמידה בדרישותיהם. כל ארגון נדרש לבחון ולהתאים את הדרישות ואופן יישומן לסוג פעילותו, לתהליכיו, להיקף פעילותו, לסיכונים שזוהו וכן להוראות הדין ולדרישות אחרות החלות עליו.
