Насоки за Континуитет на Бизнисот и Обнова по Катастрофа за Datalab Хостинг

Datalab, сме посветени на обезбедување непрекинато работење за нашите корисници. За да го постигнеме ова, воспоставивме јасни Континуитет на Бизнисот (BC) и Обнова по Катастрофа (DR) политики, кои се клучни за непречено функционирање на вашите услуги во случај на катастрофи или непредвидени настани. Во соработка со нашиот партнер Mainstream, обезбедуваме робусна инфраструктура која овозможува брза обнова и минимална загуба на податоци.

1. Клучни цели: RTO и RPO

За да се обезбеди непречено работење, поставени се следните цели:

• RTO (Recovery Time Objective): Максимално дозволено време за обнова на системот по настан. За нашите услуги, целта е да се обноват сите услуги во рок од 24 часа. За критични услуги, како пристап до бизнис апликации, RTO е намален на 6 часа.

1.1. RPO (Recovery Point Objective)

Во согласност со барањата на ISO/IEC 27001 стандардот, RPO за информациските системи е поставен на 24 часа.

Сигурносни копии се прават секоја ноќ, со што во случај на безбедносен инцидент, дефект или катастрофа, максималната можна загуба на податоци е ограничена на не повеќе од 24 часа.

Оваа вредност е базирана на проценка на ризик, бизнис барања и воспоставен и мониторинг процес за сигурносни копии.

За корисници кои нарачуваат сопствено виртуелно опкружување (дедикирана виртуелна инфраструктура), каде што повеќе бази на истиот клиент се хостирани на еден сервер, RPO може дополнително да се намали.

Во такви случаи, RPO се определува индивидуално според техничкиот дизајн на опкружувањето и барањата на клиентот.

Пример: За дедикирани виртуелни опкружувања, може да се постави RPO од 4 часа , што значи дека максималната дозволена загуба на податоци е ограничена на не повеќе од 4 часа пред да се случи инцидентот.

2. BC и DR стратегија

Во соработка со Mainstream, обезбедуваме стратегија која ги вклучува следните клучни компоненти:

• Географска редундантност на податочни центри: Податоците се чуваат во два независни податочни центри, што обезбедува отпорност на локални проблеми како прекини на струја, поплави или пожари.
• Решенија за сигурносни копии: Сите услуги се заштитени со Veeam Backup решение, кое овозможува дневни, неделни и месечни сигурносни копии. Податоците секогаш се достапни за враќање во случај на грешки или прекини.
• DR план: Планот за обнова по катастрофа вклучува процедури за брзо враќање на апликации и податоци, користејќи најнови технологии и повеќеслојни сигурносни копии за минимизирање на застојот.

3. Одговорност за безбедносни процедури

3.1. Mainstream Cloud Provider

Mainstream Cloud Provider е одговорен за основната cloud инфраструктура. Ова вклучува безбедност на cloud инфраструктурата, физичка безбедност на податочните центри, мрежна инфраструктура и управување со основните инфраструктурни компоненти (виртуелни сервери, оперативни системи, мрежи). Исто така обезбедува енкрипција на податоците на инфраструктурно ниво, врши сигурносни копии, и соработува во обезбедување усогласеност со GDPR во рамките на својата инфраструктура.

3.2. Datalab (Извршител – Обработувач)

Datalab е одговорен за развој, работа и безбедност на апликациите кои работат на cloud инфраструктурата. Ова вклучува развој на апликации, нивно одржување, обезбедување достапност и перформанси, и имплементација на безбедносни ажурирања и заштита од напади. Datalab исто така соработува во менаџирање на податоци, управување со кориснички сметки, енкрипција на податоци, обезбедување усогласеност со GDPR, и обработка на индивидуални барања (DSAR), но секогаш во рамките на насоките и целите поставени од клиентот.

3.3. Краен клиент (Контролор на податоци)

клиентот како контролор на податоци е одговорен за содржината на податоците и целта и начинот на обработка на личните податоци. Ова значи дека клиентот одлучува кои податоци се обработуваат, зошто и како. Клиентот е одговорен за податоците внесени од корисниците, бизнис правилата за управување со податоци и кориснички сметки, и одговарање на индивидуални барања поврзани со нивните права (DSAR). Дополнително, клиентот ја носи крајната одговорност за усогласеност со GDPR во однос на законитоста на обработката.

4. Редовно тестирање и проверки на подготвеност

Во согласност со најдобрите практики за BC, ги спроведуваме следните активности:

• Редовни симулации и тестови: На секои 6 месеци, вршиме тестови за обнова, симулирајќи различни сценарија за да провериме колку брзо можеме да ги вратиме податоците и услугите.
• Аудити: На барање на клиентот, може да се спроведат системски аудити и проверки на безбедносни процедури за да се обезбеди усогласеност со внатрешни безбедносни политики и меѓународни стандарди.

5. Безбедност на комуникацијата

За да обезбедиме безбедна и енкриптирана комуникација помеѓу корисниците и нашите услуги, обезбедуваме:

• HTTPS конекција: Сите врски помеѓу корисниците и нашите апликации се енкриптирани со HTTPS протокол за безбедно пренесување на податоци.
• VPN пристап: За дополнителна безбедност, VPN конекции се достапни, што им овозможува на корисниците безбедно да се поврзат со нашите сервери. Мултифакторска автентикација (MFA) е достапна за дополнителна заштита при пристап до чувствителни информации.

6. DR и временски рамки

Во случај на значајни катастрофи, како дефекти на серверска инфраструктура или напади, можеме да ги вратиме податоците во следните временски рамки:

• Обнова на виртуелна инфраструктура: Време за враќање на виртуелни машини и SQL сервери е 3 до 6 часа во работно време.
• Обнова на податоци од сигурносни копии: Време за враќање на податоци од сигурносни копии се проценува на 3 до 5 часа, во зависност од обемот и комплексноста на обновата.
• Достапност на податоци: Сите сигурносни копии се достапни во повеќе копии за различни временски периоди (дневни, неделни, месечни).

7. Безбедност и заштита од напади

За заштита на нашата инфраструктура и кориснички податоци, ги имплементиравме следните безбедносни мерки:

• Пенетрационо тестирање: Редовно спроведуваме пенетрациони тестови како дел од нашите активности за обезбедување безбедност на cloud инфраструктурата и хостираните (Cloud) опкружувања што се користат за испорака на нашите услуги. Тестирањето го вршат независни трети страни, што обезбедува објективност и усогласеност со најдобрите индустриски практики. Тестирањето се спроведува периодично, обично еднаш годишно; сепак, во моментов имплементираме автоматизирана платформа за пенетрационо тестирање која ќе овозможи почести и континуирани тестирања во иднина. Оваа платформа ќе биде достапна и за нашите клиенти како дополнителна услуга.
• Менаџирање на ранливости: Редовно вршиме скенирања за ранливости на нашите системи и хостирани опкружувања. Проценките на ранливости се спроведуваат најмалку еднаш месечно, а по потреба и почесто. Идентификуваните ранливости ги следиме, менаџираме и отстрануваме преку нашиот интерен процес за менаџирање на ранливости, при што активностите за отстранување се интегрирани во редовното работење на нашите технички тимови.
• Изјава за усогласеност: Сите активности поврзани со пенетрационо тестирање и скенирање на ранливости се дел од нашата програма за безбедност, која е усогласена со барањата на ISO/IEC 27001:2022. Изјава за усогласеност може да се издаде на барање.

8. Заклучок

Datalab Хостинг обезбедува безбедно и стабилно опкружување за вашите податоци, со јасно дефинирани BC и DR процеси. Нашата политика за обезбедување непрекинато работење овозможува брза обнова на услуги и податоци, го намалува ризикот од застој во работењето и обезбедува висок степен на заштита на податоците во случај на катастрофи.

Оваа информација ќе биде јавно достапна на нашиот UserSite, со што нашите клиенти секогаш се информирани за нашите практики и процедури за обезбедување BC.

9. Усогласеност со ISO 27000 Безбедносна Политика

Сите горенаведени политики за Континуитет на Бизнисот (BC) и Обнова по Катастрофа (DR) се усогласени со барањата на ISO/IEC 27001 безбедносната рамка, која поставува насоки за заштита на информациските системи, управување со ризици и обезбедување континуитет на работењето. Сите активности поврзани со безбедносни процедури, како сигурносни копии, обнова и DR, се внимателно планирани и извршувани во согласност со принципите на ISO/IEC 27001 и редовно се мониторираат преку интерни и екстерни аудити за да се обезбеди усогласеност со безбедносните стандарди.

Сите активности поврзани со менаџирање на ранливости и пенетрационо тестирање се вклучени во нашата програма за безбедност и се изведуваат во согласност со барањата на ISO/IEC 27001:2022. Во согласност со нашите политики за безбедност и доверливост, изјави за усогласеност се достапни и на барање.

​