Free ebook: NIS2 ready using ISO 27001 best practices
Download ebook

Learn more about the connected frameworks

I24

Varmuuskopiointi

Other tasks from the same security theme

Documenting and delegating ownership of own backup processes

Critical
High
Normal
Low

In connection with the data systems listing, we describe for which systems we are responsible for the implementation of the backup. The organization’s own backup processes are documented and an owner is assigned to each. The documentation includes e.g.:

  • which system is used for backing up data?
  • how are the backups protected (encryption, physical location)?
  • how long are the backups retained?
I24: Varmuuskopiointi
12.3.1: Information backup
ISO 27001
12.3: Backup
ISO 27001
PR.IP-4: Backups
NIST CSF
8.13: Information backup
ISO 27001

Regular testing, evaluation, and recovery instructions for backups

Critical
High
Normal
Low

The media used for backups and the restoration of backups are tested regularly to ensure that they can be relied on in an emergency.

Accurate and complete instructions are maintained for restoring backups. The policy is used to monitor the operation of backups and to prepare for backup failures.

12.3: Backup
ISO 27001
12.3.1: Information backup
ISO 27001
12.1.1: Documented operating procedures
ISO 27001
PR.IP-4: Backups
NIST CSF
8.13: Information backup
ISO 27001

Varmuuskopioiden rekisteröinti ja käsittelyn seuranta (TL III)

Critical
High
Normal
Low

Varmuuskopioista on rekisterit ja varmuuskopioiden käsittely kirjataan sähköiseen lokiin, tietojärjestelmään, asianhallintajärjestelmään, manuaaliseen diaariin tai tietoon (esimerkiksi dokumentin osaksi).

No items found.

Procedures and log for data restoration efforts

Critical
High
Normal
Low

The organization should have a clear, written step-by-step procedure for carrying out data restoration efforts. There should also be a log of data restorations carried out. The log should contain:

  • the person responsible
  • date and time of the restoration
  • a description of the restored data
  • data that was restored manually
A.11.3: Control and logging of data restoration
ISO 27018

Salassa pidettävää tietoa sisältävien varmuuskopioiden suojaus (ST III-II)

Critical
High
Normal
Low

Varmuuskopioinnin tavoitteena on rajata menetettävän tiedon määrää ja pystyä palauttamaan tiedot tarpeeksi nopeasti ja luotettavasti.

Suojaustasoilla III-II toteutetaan seuraavat toimenpiteet varmuuskopioiden suojaamiseksi:

  • Varmuuskopiot käsitellään ja säilytetään niiden elinkaaren ajan vähintään ko. suojaustason järjestelmissä
  • Käsiteltäessä samalla varmistusjärjestelmällä tarkastusoikeuden varaavien eri omistajien tietoja, tarkastusoikeuden mahdollistavat erottelumenettelyt on toteutettava ko. suojaustason mukaisesti varmistusjärjestelmän liittymien ja tallennemedioiden osalta
  • Varmuuskopioiden siirtämiseen sovelletaan samoja toimintatapoja kuin muun tietoaineiston siirtämiseen
  • Varmistusmediat hävitetään ko. suojaustason mukaisesti
  • Varmuuskopioista on rekisterit ja varmuuskopioiden käsittely kirjataan sähköiseen lokiin, tietojärjestelmään, asianhallintajärjestelmään, manuaaliseen diaariin tai asiakirjaan
I24: Varmuuskopiointi

Salassa pidettävää tietoa sisältävien varmuuskopioiden suojaus (ST IV)

Critical
High
Normal
Low

Varmuuskopioinnin tavoitteena on rajata menetettävän tiedon määrää ja pystyä palauttamaan tiedot tarpeeksi nopeasti ja luotettavasti.

Suojaustasolla IV toteutetaan seuraavat toimenpiteet varmuuskopioiden suojaamiseksi:

  • Varmuuskopiot käsitellään ja säilytetään niiden elinkaaren ajan vähintään ko. suojaustason järjestelmissä
  • Käsiteltäessä samalla varmistusjärjestelmällä tarkastusoikeuden varaavien eri omistajien tietoja, tarkastusoikeuden mahdollistavat erottelumenettelyt on toteutettava ko. suojaustason mukaisesti varmistusjärjestelmän liittymien ja tallennemedioiden osalta
  • Varmuuskopioiden siirtämiseen sovelletaan samoja toimintatapoja kuin muun tietoaineiston siirtämiseen
  • Varmistusmediat hävitetään ko. suojaustason mukaisesti
I24: Varmuuskopiointi

Determining responsibilities for backing up important information assets

Critical
High
Normal
Low

With adequate backups, all important data and programs can be restored after a disaster or media failure. An important first step in a functional backup strategy is to identify who is responsible for backing up each piece of data. Determining the responsibility for backup is the responsibility of the owners of the information assets (systems, hardware).

If the backup is the responsibility of the partner, we will find out:

  • how comprehensively does the partner back up the data?
  • how the data can be recovered if necessary?
  • how the backups are agreed in the contracts?

If the backup is our own responsibility, we will find out:

  • whether the data backup process exists and is documented?
  • whether the coverage and implementation cycle of the backup is at the level required by the importance of the data?
I24: Varmuuskopiointi
12.3.1: Information backup
ISO 27001
12.3: Backup
ISO 27001
PR.IP-4: Backups
NIST CSF
8.13: Information backup
ISO 27001

Preparing for quick data recovery after faults

Critical
High
Normal
Low

Restorability refers to how quickly personal data are restored to be available and accessible in the event of a physical or technical failure.

12.3.1: Information backup
ISO 27001
17.1.2: Implementing information security continuity
ISO 27001
12.3: Backup
ISO 27001
PR.PT-5: Mechanisms
NIST CSF
5.29: Information security during disruption
ISO 27001

Defining a backup strategy

Critical
High
Normal
Low

With adequate backups, all important data and programs can be restored after a disaster or media failure. To determine your backup strategy, it is important to map / decide on at least the following:

  • What systems are on our responsibility to back up?
  • How critical is each data asset and how often, based on this, they need to be backed up and to what extent (partial or complete copy)?
  • Where are backups stored and how are they protected?
  • How long will backups need to be retained?
  • What system is used for doing the back up?
  • How backup media is destroyed reliably
12.3.1: Information backup
ISO 27001
12.3: Backup
ISO 27001
8.13: Information backup
ISO 27001