Udhëzime për Vazhdimësinë e Biznesit dhe Rimëkëmbjen nga Fatkeqësitë për Datalab Cloud

Datalab, jemi të përkushtuar të sigurojmë operacione të pandërprera të biznesit për përdoruesit tanë. Për ta arritur këtë, kemi vendosur Business Continuity (BC) dhe Disaster Recovery (DR) politika të qarta, të cilat janë thelbësore për funksionimin e qetë të shërbimeve tuaja në rast fatkeqësish ose ngjarjesh të paparashikuara. Në bashkëpunim me partnerin tonë Mainstream, sigurojmë një infrastrukturë të fortë që mundëson rimëkëmbje të shpejtë dhe humbje minimale të të dhënave.

1. Objektivat Kryesore: RTO dhe RPO

Për të siguruar operacione të pandërprera të biznesit, vendosen objektivat e mëposhtme:

• RTO (Recovery Time Objective): Koha maksimale e lejuar për rimëkëmbjen e sistemit pas një ngjarjeje. Për shërbimet tona, qëllimi është të rikthehen të gjitha shërbimet brenda 24 orë. Për shërbimet kritike, siç është qasja në aplikacionet e biznesit, RTO redukohet në 6 orë.

1.1. RPO (Recovery Point Objective)

Në përputhje me kërkesat e standardit ISO/IEC 27001, RPO për sistemet e informacionit është vendosur në 24 orë.

Backup-et kryhen çdo natë, duke siguruar që në rast të një incidenti të sigurisë, dështimi ose fatkeqësie, humbja maksimale e mundshme e të dhënave të jetë e kufizuar në jo më shumë se 24 orë.

Kjo vlerë bazohet në vlerësimin e rrezikut, kërkesat e biznesit dhe një proces të vendosur dhe të monitoruar të backup-it.

Për klientët që porosisin mjedisin e tyre virtual (infrastrukturë virtuale të dedikuar), ku disa baza të dhënash të të njëjtit klient hostohen në një server, RPO mund të reduktohet më tej.

Në raste të tilla, RPO përcaktohet individualisht bazuar në dizajnin teknik të mjedisit dhe kërkesat e klientit.

Shembull: Për mjedise virtuale të dedikuara, një RPO prej 4 orë mund të vendoset, që do të thotë se humbja maksimale e lejuar e të dhënave është e kufizuar në jo më shumë se 4 orë para se të ndodhë incidenti.

2. Strategjia BC dhe DR

Në bashkëpunim me Mainstream, sigurojmë një strategji që përfshin komponentët kryesorë të mëposhtëm:

• Redundanca Gjeografike e Qendrave të të Dhënave: Të dhënat ruhen në dy qendra të pavarura të të dhënave, duke ofruar rezistencë ndaj problemeve lokale si ndërprerje të energjisë, përmbytje ose zjarre.
• Zgjidhje Backup-i: Të gjitha shërbimet mbrohen me zgjidhjen Veeam Backup , e cila mundëson backup-e ditore, javore dhe mujore. Të dhënat janë gjithmonë të disponueshme për rikthim në rast gabimesh ose ndërprerjesh.
• Plani DR: Plani i rimëkëmbjes nga fatkeqësitë përfshin procedura për rikthimin e shpejtë të aplikacioneve dhe të dhënave, duke përdorur teknologjitë më të fundit dhe backup-e në disa nivele për të minimizuar kohën e ndërprerjes.

3. Përgjegjësia për Procedurat e Sigurisë

3.1. Mainstream Cloud Provider

Mainstream Cloud Provider është përgjegjës për infrastrukturën bazë cloud. Kjo përfshin sigurinë e infrastrukturës cloud, sigurinë fizike të qendrave të të dhënave, infrastrukturën e rrjetit dhe menaxhimin e komponentëve bazë të infrastrukturës (serverë virtualë, sisteme operative, rrjete). Gjithashtu siguron enkriptimin e të dhënave në nivelin e infrastrukturës, kryen backup-edhe bashkëpunon në sigurimin e përputhshmërisë me GDPR brenda infrastrukturës së tij.

3.2. Datalab (Provider – Processor)

Datalab është përgjegjës për zhvillimin, operimin dhe sigurinë e aplikacioneve që funksionojnë në infrastrukturën cloud. Kjo përfshin zhvillimin e aplikacioneve, mirëmbajtjen e tyre, sigurimin e disponueshmërisë dhe performancës, si dhe implementimin e përditësimeve të sigurisë dhe mbrojtjen nga sulmet. Datalab gjithashtu bashkëpunon në menaxhimin e të dhënave, menaxhimin e llogarive të përdoruesve, enkriptimin e të dhënave, sigurimin e përputhshmërisë me GDPRdhe trajtimin e kërkesave individuale (DSAR), por gjithmonë brenda udhëzimeve dhe qëllimeve të përcaktuara nga klienti.

3.3. Klienti Final (Data Controller)

klienti si kontrollues i të dhënave është përgjegjës për përmbajtjen e të dhënave dhe qëllimin dhe mënyrat e përpunimit të të dhënave personale. Kjo do të thotë se klienti vendos cilat të dhëna përpunohen, pse dhe si. Klienti është përgjegjës për të dhënat e futura nga përdoruesit, rregullat e biznesit për menaxhimin e të dhënave dhe llogarive të përdoruesve, si dhe përgjigjen ndaj kërkesave të individëve lidhur me të drejtat e tyre (DSAR). Gjithashtu, klienti mban përgjegjësinë përfundimtare për përputhshmërinë me GDPR lidhur me ligjshmërinë e përpunimit.

4. Testime të Rregullta dhe Kontrollet e Gatishmërisë

Në përputhje me praktikat më të mira për BC, kryejmë sa vijon:

• Simulime dhe Testime të Rregullta: Çdo 6 muaj, kryejmë testime të rimëkëmbjes, duke simuluar skenarë të ndryshëm për të kontrolluar sa shpejt mund të rikthejmë të dhënat dhe shërbimet.
• Auditime: Me kërkesë të klientit, mund të kryhen auditime të sistemit dhe kontrolle të procedurave të sigurisë për të siguruar përputhshmërinë me politikat e brendshme të sigurisë dhe standardet ndërkombëtare.

5. Siguria e Komunikimit

Për të siguruar komunikim të sigurt dhe të enkriptuar ndërmjet përdoruesve dhe shërbimeve tona, ofrojmë:

• Lidhje HTTPS: Të gjitha lidhjet ndërmjet përdoruesve dhe aplikacioneve tona janë të enkriptuara duke përdorur HTTPS protokollin për të siguruar transmetimin e të dhënave.
• Qasje VPN: Për siguri shtesë, lidhjet VPN janë të disponueshme, duke lejuar përdoruesit të lidhen në mënyrë të sigurt me serverët tanë. Autentifikimi me shumë faktorë (MFA) është i disponueshëm për mbrojtje shtesë kur aksesohet informacion i ndjeshëm.

6. DR dhe Afatet

Në rast fatkeqësish të mëdha, si dështime të infrastrukturës së serverëve ose sulme, mund të rikthejmë të dhënat brenda afateve të mëposhtme:

• Rimëkëmbja e Infrastrukturës Virtuale: Koha për rikthimin e makinave virtuale dhe serverëve SQL është 3 deri në 6 orë gjatë orarit të punës.
• Rimëkëmbja e të Dhënave nga Backup-et: Koha për rikthimin e të dhënave nga backup-et vlerësohet në 3 deri në 5 orë, në varësi të fushës dhe kompleksitetit të rimëkëmbjes.
• Disponueshmëria e të Dhënave: Të gjitha backup-et janë të disponueshme në disa kopje për periudha të ndryshme kohore (ditore, javore, mujore).

7. Siguria dhe Mbrojtja nga Sulmet

Për të mbrojtur infrastrukturën dhe të dhënat e përdoruesve tanë, kemi implementuar masat e mëposhtme të sigurisë:

• Testim i Penetrimit: Rregullisht kryejmë teste të penetrimit si pjesë e aktiviteteve të sigurisë për infrastrukturën cloud dhe mjediset e hostuara (Cloud) që përdoren për ofrimin e shërbimeve tona. Testimi kryhet nga ofrues të pavarur të sigurisë, duke siguruar objektivitet dhe përputhje me praktikat më të mira të industrisë. Testimi kryhet periodikisht, zakonisht çdo vit; megjithatë, aktualisht po implementojmë një platformë të automatizuar të testimit të penetrimit që do të mundësojë testime më të shpeshta dhe të vazhdueshme në të ardhmen. Kjo platformë do të jetë gjithashtu e disponueshme për klientët tanë si shërbim shtesë.
• Menaxhimi i Vulnerabiliteteve: Rregullisht kryejmë skanime të vulnerabiliteteve në sistemet dhe mjediset e hostuara. Vlerësimet e vulnerabiliteteve kryhen të paktën çdo muaj, dhe më shpesh kur është e nevojshme. Ndjekim, menaxhojmë dhe korrigjojmë vulnerabilitetet e identifikuara përmes procesit të brendshëm të menaxhimit të vulnerabiliteteve, me aktivitetet e korrigjimit të integruara në operacionet e rregullta të ekipeve tona teknike.
• Deklaratë Përputhshmërie: Të gjitha aktivitetet që lidhen me testimin e penetrimit dhe skanimin e vulnerabiliteteve janë pjesë e programit tonë të sigurisë, i cili është në përputhje me kërkesat e ISO/IEC 27001:2022. Deklarata e përputhshmërisë mund të lëshohet me kërkesë.

8. Konkluzion

Datalab Cloud ofron një mjedis të sigurt dhe të qëndrueshëm për të dhënat tuaja, me procese të qarta BC dhe DR . Politika jonë për sigurimin e operacioneve të pandërprera të biznesit mundëson rimëkëmbje të shpejtë të shërbimeve dhe të dhënave, redukton rreziqet e ndërprerjes së biznesit dhe ofron nivele të larta të mbrojtjes së të dhënave në rast fatkeqësish.

Kjo informacion do të jetë publikisht i disponueshëm në UserSite, duke siguruar që klientët tanë të jenë gjithmonë të informuar për praktikat dhe procedurat tona për sigurimin e BC.

9. Përputhshmëria me Politikën e Sigurisë ISO 27000

Të gjitha politikat e përmendura për Business Continuity (BC) dhe Disaster Recovery (DR) janë në përputhje me kërkesat e ISO/IEC 27001 kornizës së sigurisë, e cila përcakton udhëzime për mbrojtjen e sistemeve të informacionit, menaxhimin e rreziqeve dhe sigurimin e vazhdimësisë së biznesit. Të gjitha aktivitetet që lidhen me procedurat e sigurisë, si backup, rimëkëmbje dhe DR, planifikohen dhe ekzekutohen me kujdes në përputhje me parimet e ISO/IEC 27001 dhe monitorohen rregullisht përmes auditimeve të brendshme dhe të jashtme për të siguruar përputhshmërinë me standardet e sigurisë.

Të gjitha aktivitetet që lidhen me menaxhimin e vulnerabiliteteve dhe testimin e penetrimit janë të përfshira në programin tonë të sigurisë dhe kryhen në përputhje me kërkesat e ISO/IEC 27001:2022. Në përputhje me politikat tona të sigurisë dhe konfidencialitetit, deklaratat e përputhshmërisë janë gjithashtu të disponueshme me kërkesë.

​