Zdefiniuj, co obejmuje „witryna”
Zacznij od inwentarza usług. Dla każdej strony, portalu, sklepu lub kampanii zanotuj właściciela biznesowego, właściciela technicznego, konto hostingowe, kontrolę domeny i DNS, repozytorium, magazyny treści i mediów, integracje oraz niezbędne poświadczenia. Oznacz, co można odbudować z kontroli wersji, a co zawiera unikatowe zapisy.
Uwzględnij konfigurację świadomie: przekierowania, ustawienia CDN lub zapory, zadania cykliczne, szablony i pliki infrastruktury jako kodu. Nie kopiuj na ogólny manifest żywych sekretów; wskaż zamiast tego zatwierdzony system przechowywania sekretów i procedurę dostępu awaryjnego. Dokumentacja WordPress pokazuje częsty brak — typowa witryna potrzebuje zarówno plików, jak i oddzielnej bazy danych.
Zdefiniuj najmniejszą bezpieczną wersję, która może zapewnić istotne informacje lub transakcje.
Nadaj zgodnym eksportom bazy danych, plików, mediów i konfiguracji wspólną sygnaturę czasową lub etykietę wersji.
Ustal częstotliwość i przechowywanie według tolerancji biznesowej
Wybierz częstotliwość na podstawie tempa i wartości zmian. Zapisz RPO prostym językiem, a następnie sprawdź, czy każdy unikatowy magazyn jest przechwytywany wystarczająco często. Noczne kopiowanie plików nie spełni czterogodzinnego RPO dla szybko zmieniającej się bazy danych.
Ustal RTO oddzielnie. Uwzględnij zatwierdzenie, czystą infrastrukturę, odtworzenie, walidację, zmiany ruchu i komunikację wewnętrzną. Mierz to podczas ćwiczenia, zamiast polegać na zapewnieniach dostawcy. Przechowuj starsze punkty wystarczająco długo, aby dotrzeć do nich przed wystąpieniem błędu lub opóźnionym wykryciem, a następnie konsultuj retencję z ekspertami ds. prywatności, archiwów lub prawa, gdy dane tego wymagają.
Porównaj odstęp między pełnymi punktami odzyskiwania z RPO każdej usługi.
Zweryfikuj, czy uprawniona osoba może znaleźć starszy zatwierdzony punkt przywracania.
Oddziel i zabezpiecz kopie do odzyskiwania
Używaj wielu kopii w różnych lokalizacjach lub usługach, aby jedno konto, lokalne zdarzenie lub błąd nie usunęły każdej opcji. CISA zaleca regularne automatyczne kopie, kopię poza miejscem produkcji, szyfrowanie i kopie offline. NCSC odradza urządzenia backupowe stale podłączone na stałe i rekomenduje więcej niż jedno rozwiązanie lub lokalizację kopii zapasowych.
Chroń administrację kopiami zasadą najmniejszych uprawnień, wieloskładnikowym uwierzytelnianiem tam, gdzie jest dostępne, odrębnymi kontami administratorów i przeglądami dostępu. Używaj ochrony przed usunięciem, historii wersji lub niezmienialnego magazynu tylko po zrozumieniu kosztów i zachowania przy odzyskiwaniu. Szyfruj przechowywane dane i testuj zarządzanie kluczami. Szyfrowanie bez dostępnych kluczy jest bezużyteczne; szeroko współdzielony dostęp osłabia każdą kopię.
Kopia powinna mieć istotnie inny tryb awarii niż produkcja.
Wypisz, kto może czytać, zmieniać, usuwać i przywracać kopie; usuń przestarzały dostęp.
Spisz instrukcję odzyskiwania (runbook) i przypisz uprawnienia
Runbook to przetestowana procedura odzyskiwania. Trzymaj kopię dostępną bez dotkniętej witryny, produkcyjnego dostawcy tożsamości lub normalnego systemu czatu. Zawrzyj kontakty i zastępstwa, uprawnienia, priorytet systemów, lokalizacje kopii, wymogi wstępne, kolejność przywracania, kontrole walidacyjne i warunki zatrzymania.
Wyznacz odpowiedzialnego właściciela odzyskiwania i zastępstwo dla każdej krytycznej usługi. Zdefiniuj, kto zatwierdza przywrócenie do produkcji, zmiany DNS i walidację danych biznesowych. Jeśli w grę wchodzą dane kart płatniczych, wrażliwe dane osobowe lub regulowane zapisy, zdobądź kwalifikowaną opinię bezpieczeństwa, prywatności, prawników i tam, gdzie dotyczy, wymagania PCI przed podjęciem decyzji o zachowaniu, powiadomieniu lub przywróceniu.
Zapisz wybrany punkt przywracania, osobę zatwierdzającą, systemy dotknięte, wynik walidacji i wyjątki.
Udokumentuj kontrolowany dostęp awaryjny; nigdy nie polegaj na urządzeniu lub pamięci jednego pracownika.
Przywracaj bezpiecznie po podejrzeniu kompromisu
Nie nadpisuj automatycznie produkcji najnowszą kopią, gdy możliwy jest nieautoryzowany dostęp, malware lub podejrzane usunięcie. Postępuj zgodnie z procedurą incydentu, oceń, które konta i kopie mogą być dotknięte, wybierz punkt na podstawie dowodów i odbuduj lub odizoluj środowisko odzyskiwania przed jego ponownym podłączeniem.
CISA kieruje odzyskiwaniem według priorytetu usług krytycznych i ostrzega przed ponownym zainfekowaniem czystych systemów. NCSC zaleca podłączać kopie zapasowe tylko do urządzeń znanych jako czyste i skanować je przed przywróceniem. Te kroki zmniejszają ryzyko, ale nie gwarantują czystości. Eskaluj do wykwalifikowanej pomocy ds. reagowania na incydenty, gdy dochodzenie, zabezpieczanie dowodów lub obowiązki powiadomień mogą mieć zastosowanie.
Przywróć usługę o najwyższym priorytecie na czystej infrastrukturze, zwaliduj ją, a następnie kontynuuj według zależności.
Sprawdź ścieżki użytkownika, dane, zadania, integracje, administrację, logowanie i nowe pokrycie kopii zapasowych.
Wykorzystaj ćwiczenia jako dowód i wejście do naprawy
Przeprowadzaj częściowe przywrócenia, izolowane pełne odbudowy, ćwiczenia utraty zależności lub scenariusze stołowe zgodnie z ryzykiem. Zacznij od bezpiecznego, istotnego testu i z czasem zwiększaj realizm. CISA zaleca pełne i częściowe testy przywracania; NCSC rekomenduje ćwiczenia wyjaśniające role, odpowiedzialności stron trzecich i priorytety.
Mierz wiek punktu odzyskiwania względem RPO i upływający czas odzyskania względem RTO. Zapisz identyfikator zestawu, uczestników, wynik walidacji, nieudane kroki i właściciela dla każdej poprawki. Powtórz test po zamknięciu luk i po istotnych zmianach platformy, tożsamości, bazy danych lub dostawcy. SIU może uporządkować tę pracę prewencyjną; nie jest to system kopii zapasowej ani usługa monitorowania na żywo.
Zachowaj zwięzły zapis tego, co przywrócono, gdzie, co przeszło, co nie przeszło i kto to zaakceptował.
Powtórz ukierunkowane testy po istotnych zmianach architektury lub dostawcy.