Проблема: зелёный статус не равен работающему сервису
Задание резервного копирования может завершиться успешно, хотя для запуска приложения потребуются недоступная база, система идентификации, ключ шифрования или лицензия. Статус описывает задание, но не доказывает, что люди смогут работать с восстановленным сервисом, а данные будут актуальными и достоверными.
Практическая проверка вместо галочки
Выберите важный бизнес-процесс и согласуйте с его владельцем допустимую потерю данных и время восстановления. Поднимите приложение вместе с данными в изолированной среде. Проверьте зависимости в нужном порядке и доступность отдельных аварийных учётных данных и ключей. Затем уполномоченный представитель бизнеса проверяет типовые записи и операции. Зафиксируйте фактическую точку восстановления, время, сбои и решения, не помещая реальные персональные данные в отчёт.
Что нельзя считать доказанным заранее
Открытый файл не доказывает целостность базы, работоспособность всех интеграций или то, что копия создана до компрометации. Неизменяемая копия полезна, но права на управление сроками хранения и аварийными доступами тоже требуют проверки. Выборочное восстановление не доказывает готовность всей инфраструктуры. Укажите границы теста и запланируйте более широкую проверку там, где это необходимо.
Восстановление и расследование идут параллельно
Запуск сервиса не отвечает на вопрос, читали ли или копировали данные. При активном инциденте согласуйте с ответственным сдерживание и сохранение доказательств: по возможности соберите нужные журналы, зафиксируйте их происхождение и целостность, привлеките специалистов по праву и персональным данным. При выборе точки восстановления учитывайте риск вернуть уже скомпрометированные данные или повторно подключить небезопасную систему.
Результат, с которым можно работать руководителю
Полезная проверка заканчивается конкретным документом: сервис и границы теста, целевое и фактическое время, возраст данных, успешные проверки, обнаруженные пробелы, ответственные и дата повторного теста. Неудачное упражнение — не провал команды, а возможность устранить зависимость до реального простоя.
Дополнительные материалы: руководство CISA StopRansomware и рекомендации NIST по планированию восстановления.