Varukoopia taastamise test on KüTS-i nõue

Jah. Küberturvalisuse seaduse esmased turvameetmed nõuavad, et teenuseosutaja testib varukoopiast andmete taastamist. Nõue on Vabariigi Valitsuse määruse nr 121 (VVm) lisa punktis 3.6. Pelgalt varundamisest ei piisa: koopia, mida pole kunagi taastatud, on oletus.

Allpool selgitame, mida punkt 3.6 täpselt ütleb, miks just testimine jääb tegemata ja mida juhatus saab kirjalikult tõendada.

Mida punkt 3.6 nõuab

VVm lisa (VV 31.08.2026 määruse nr 79 sõnastuses) kohaselt peab teenuseosutaja varundama regulaarselt tööks vajalikke andmeid, hoidma varundatud andmeid töösüsteemist eraldi ja testima varukoopiast andmete taastamist. Need on kolm eraldi nõuet.

• Regulaarne varundus. Lisa ei määra sagedust. Valige see andmete kriitilisuse järgi: arveldus iga päev, arhiiv harvem.
• Eraldi hoidmine. Koopia ei tohi asuda samas töösüsteemis. Lunavara krüpteerib ka külge ühendatud varukettad. Praktikas aitab 3-2-1 reegel: kolm koopiat, kaks erinevat andmekandjat, üks asukoht väljaspool kontorit.
• Taastamise test. Peate näitama, et koopiast saab andmed tegelikult tagasi.

Miks kolmas nõue jääb tegemata

Varundus seadistatakse üks kord. Edasi usaldatakse automaatikat ja logis on roheline linnuke. Küll töötab.

Roheline linnuke tähendab ainult, et fail kopeeriti. See ei tähenda, et fail on täielik ja loetav. Taastamisel selgub sageli, et krüpteerimisvõti puudub, andmebaas jäi varundamata või taastamine kestab nädala, mitte tunni.

Mida see tähendab juhatusele

Juhatuse liige peab tegutsema korraliku ettevõtja hoolsusega. Koopia, mille toimimist pole kunagi kontrollitud, ei ole usaldusväärne alus. See on hoolsuskohustuse rikkumine. Andmete kadumisel küsitakse esimesena, mida juhatus ette võttis. Kirjalik testiprotokoll on sellele vastus.

Lisa lubab ka erandi. Meedet ei pea rakendama, kui see ei ole asjakohane või rakendatav ja Te olete rakendamata jätmise riskid teadvustanud. Samuti võib võtta samaväärse meetme. Mõlemal juhul pange otsus ja põhjendus kirja. Suuliselt teadvustatud riski ei saa tõendada.

Punkt 3.1 nõuab lisaks asendusprotseduuride kavandamist süsteemide tõrgete korral. Taastamise test annab neile numbrid: kui kaua taastamine päriselt kestab.

Kolm sammu sel nädalal

• Taastage valik andmeid. Võtke kriitilised andmed (arveldus, kliendibaas, e-post) ja taastage need testkeskkonda, mitte töösüsteemi peale.
• Fikseerige tulemus. Kirjutage ühele lehele kuupäev, kulunud aeg ja tulemus. Märkige, mis ebaõnnestus.
• Määrake järgmine test. Pange kirja kuupäev ja vastutaja. Sagedus sõltub andmete kriitilisusest.

Mida testiprotokoll sisaldab

Protokoll ei pea olema paks. Üks leht, mille täitmine võtab kümme minutit. Aga see peab vastama küsimusele, mida küsitakse siis, kui midagi on juba juhtunud: mida Te tegite ja kuidas Te teate, et see töötab?

• Mida taastasite. Nimetage süsteem ja andmed. „Kõik“ ei ole vastus. Valige need, ilma milleta Teie äri seisab: arveldus, kliendiandmed, e-post.
• Millal ja kes. Kuupäev ja nimi. Konkreetne vastutaja, mitte „IT“.
• Kui kaua see kestis. Kirjutage päris aeg, mitte oletus. See number on Teie asendusprotseduuride alus (punkt 3.1): kui süsteem seisab, siis mitu tundi saate ilma hakkama?
• Kas andmed olid terved. Avage failid, kontrollige kirjeid. Taastatud fail, mida ei saa avada, ei ole taastatud.
• Mis ebaõnnestus. Puuduv parool, vana koopia, katkine seadistus. Ebaõnnestumine testis – fine! Ebaõnnestumine päris juhtumi ajal – ei ole.
• Mida parandasite ja millal testite uuesti. Kuupäev ja vastutaja.

Ebaõnnestunud ja parandatud test on tõend, et süsteem töötab. Test, mida ei tehtud, ei ole tõend millegi kohta.

See üheleheküljeline dokument on ühtlasi kirjalik tõend selle kohta, et olete riskiga päriselt tegelenud. Seda arvestatakse juhatuse hoolsuskohustuse hindamisel.

HoneyRISK-is märgite meetme juures staatuse, põhjenduse ja vastutaja ning lisate tõendi failina. Esmaste turvameetmete moodul on HoneyRISK-is tasuta.