Models i registres · ISO 27001 · Apartat A.5.30 y A.8.13
Registre de proves de continuïtat i de còpies de seguretat
La prova que les còpies es poden restaurar i que els serveis es recuperen en el temps compromès, no només que el pla existeix.
En una frase
El registre de proves de continuïtat i de còpies de seguretat documenta què s'ha provat, amb quin objectiu de temps de recuperació, quin resultat s'ha obtingut i què s'ha corregit; és l'evidència dels controls 5.30, que demana planificar, implantar, mantenir i provar la preparació de les TIC, i 8.13, que demana provar regularment les còpies.
- On ho demana la norma
- ISO 27001 · Apartat A.5.30 y A.8.13 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Bona pràctica Evidència dels controls 5.30 i 8.13 de l'annex A
- Qui l'emplena
- Responsable de sistemes El propietari del servei valida que el resultat compleix els seus objectius
- Quan
- Segons el pla de proves Restauracions de còpies més freqüents; proves completes de commutació com a mínim una vegada l'any
- Quant de temps es conserva
- El fixa l'organització ISO/IEC 27001 no dona terminis: demana decidir la conservació i l'eliminació de la informació documentada (7.5.3). Cobrir el cicle de certificació de tres anys permet mostrar l'històric a la renovació.
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
El control 5.30, nou a l'edició de 2022, demana que la preparació de les TIC per a la continuïtat es planifiqui, s'implanti, es mantingui i es provi segons els objectius de continuïtat del negoci. El 8.13 demana mantenir còpies de la informació, el programari i els sistemes, i provar-les regularment.
Un pla de continuïtat que no s'ha provat mai és una hipòtesi. El que demana l'auditor és el resultat de l'última prova i el que va canviar després.
La norma no fixa quin tipus de prova ni amb quina freqüència; ISO 22301 és la referència si es vol un sistema de continuïtat complet.
Estructura
Camps que ha de tenir el model
- Servei o sistema provat i tipus de prova (restauració, commutació, simulacre de taula)
- Objectiu: temps de recuperació i punt de recuperació acceptables
- Data, participants i escenari
- Resultat mesurat davant de l'objectiu
- Incidències trobades durant la prova
- Accions de millora, responsable i termini
- Conclusió: superada o no superada
Exemple
Exemple: restauració de la base de dades de producció
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Prova | Restauració completa de la base de dades de la plataforma en un entorn aïllat |
| Objectiu | Recuperar en menys de 4 hores amb una pèrdua màxima de 24 hores de dades |
| Data i participants | 21 de maig de 2026 · cap d'infraestructura i dos tècnics |
| Resultat | Restaurada en 5 h 10 min · dades íntegres fins a la còpia de les 02:00 |
| Incidència | El procediment no recollia la regeneració de les claus de xifratge |
| Acció | Actualitzar el procediment i repetir la prova · 30 de juny |
| Conclusió | No superada · repetida el 26 de juny: 3 h 20 min, superada |
A l'auditoria
Errors que solen assenyalar els auditors
- Es comprova que la còpia «ha acabat bé», mai que es pot restaurar.
- No hi ha objectius de recuperació amb què comparar el resultat.
- Les proves fallides no es registren o no generen accions.
- El pla de continuïtat no s'ha actualitzat després de canviar de proveïdor de núvol.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Les proves de recuperació i els plans de continuïtat queden documentats a la plataforma.
- 2El pla de continuïtat és un registre versionat, i cada prova enllaça amb les accions que genera.
- 3Les accions derivades s'assignen amb responsable i data, amb avís si es retarden.
Preguntes freqüents
El que ens pregunten abans de començar
Cal certificar-se en ISO 22301?
No. ISO/IEC 27001 demana la preparació de les TIC per a la continuïtat, no un sistema complet de continuïtat del negoci. ISO 22301 és útil com a guia, però no és un requisit.
Val un simulacre de taula?
Com a part del pla de proves, sí: valida els rols i la comunicació. Però no substitueix la restauració real de còpies, que és el que demostra el control 8.13.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Operació
L'operació tradueix l'anàlisi de riscos en controls reals: accessos, xifratge, còpies de seguretat i un…
Model de declaració d'aplicabilitat ISO 27001
Què ha de recollir la declaració d'aplicabilitat d'ISO 27001 (6.1.3 d): controls necessaris, justificació…
Model d'anàlisi de riscos de seguretat ISO 27001
Com documentar l'anàlisi de riscos de seguretat que demana ISO 27001: criteris d'acceptació, propietari…
Model de pla de tractament de riscos ISO 27001
Què ha d'incloure el pla de tractament de riscos d'ISO 27001 (6.1.3 e): opció triada, controls, responsable…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27002:2022 — Controls de seguretat de la informació ISO/IEC · Febrer de 2022