Hva er operasjonell resiliens for et WordPress-nettsted?
Det er nettstedets evne til å komme i drift igjen etter nedetid, innbrudd eller en mislykket oppdatering, innen en tid virksomheten din på forhånd har sagt at den kan leve med. I praksis handler det om ting du kan sjekke: Finnes det en sikkerhetskopi, og lar nettstedet seg gjenopprette fra den? Hvem har tilgang til kontrollpanelet og serveren? Hvordan kommer oppdateringer ut i produksjon? Hvem gjør hva når noe går galt?
Jeg heter Mariusz Szatkowski, har jobbet med WordPress siden 2006 og jobber alene fra Gdynia i Polen, uten team og underleverandører. I resiliensarbeid tar jeg WordPress-delen: sikkerhetskopier og tester av dem, oppdateringer, kode, tilganger og en skriftlig beskrivelse som innkjøp kan legge ved et leverandørspørreskjema.
Hvilket regelverk gjelder i Norge?
Det norske regelverket i kraft er digitalsikkerhetsloven (LOV-2023-12-20-108), som trådte i kraft 1. oktober 2025. Den gjennomfører det første NIS-direktivet (EU) 2016/1148 gjennom EØS-avtalen. Tilbydere av samfunnsviktige tjenester skal oppfylle krav til sikkerhet og varsle hendelser som virker betydelig inn på tjenesteleveransen uten unødig opphold (§ 7 og § 8).
I EU gjelder NIS2, direktiv (EU) 2022/2555. Artikkel 21 krever blant annet kontinuitet, som håndtering av sikkerhetskopier og gjenoppretting etter katastrofer, og sikkerhet i leverandørkjeden. Norske leverandører til en omfattet virksomhet i EU møter derfor de samme spørsmålene via kontrakten.
Personopplysninger følger GDPR, som gjelder i Norge gjennom personopplysningsloven. Brudd meldes til Datatilsynet innen 72 timer.
Jeg er selv ikke omfattet av NIS2, siden jeg driver alene, som mikroforetak i Polen under størrelsesgrensen. Om virksomheten din er omfattet av digitalsikkerhetsloven eller av NIS2 hos en EU-kunde, vurderer juristen din.
NSMs grunnprinsipper som sjekkliste
NSMs grunnprinsipper for IKT-sikkerhet er råd fra NSM. Mange norske innkjøpere bygger spørreskjemaene sine på dem. De fire kategoriene passer godt på et WordPress-nettsted:
| Kategori hos NSM | Hva det betyr for WordPress-delen |
|---|---|
| Identifisere og kartlegge | Oversikt over plugins, tema, versjoner, integrasjoner og hvem som har tilgang |
| Beskytte og opprettholde | Oppdateringer via staging, tofaktorinnlogging for administratorer, sikkerhetskopier |
| Oppdage | Oppetidsovervåking, varsler om sårbarheter i installerte plugins |
| Håndtere og gjenopprette | Gjenoppretting fra kopi, testet på staging, og en skriftlig beskrivelse av hva som skjedde |
Sikkerhetskopier etter 3-2-1 og gjenopprettingstesten
3-2-1-regelen betyr tre kopier av dataene på to ulike typer lagring, der én ligger utenfor hovedserveren. På et WordPress-nettsted er det som regel en kopi hos hostingleverandøren, en i separat lagring i et EU-land med innlogging serveren ikke kjenner, og en offline eller hos en annen leverandør, utenfor rekkevidde for løsepengevirus på serveren.
En sikkerhetskopi teller først når noen har gjenopprettet fra den. Jeg gjenoppretter nettstedet på staging fra en fersk kopi og skriver ned:
- dato og hvilken kopi jeg brukte,
- hvor lang tid det tok fra nedlasting til fungerende nettsted,
- hvor gammel den nyeste databasekopien var, altså din faktiske RPO,
- hva som feilet og hva jeg rettet.
RTO og RPO bestemmer virksomheten din, fordi bare dere vet hva en time uten nettbutikk koster. Testen viser om tallene holder. Vanlige feil: et plugin som i månedsvis har tatt kopi av wp-content, men aldri av databasen, og en kopijobb som stoppet etter et passordbytte eller full disk uten at noen merket det. I vedlikeholdsavtalen min lagres kopier minst 30 dager i EU-land. En nettbutikk med bestillinger hele dagen trenger som regel databasekopi oftere enn én gang i døgnet.
Når noe skjer
Varsling til myndighetene gjør virksomheten din: hendelser etter digitalsikkerhetsloven til den myndigheten loven peker ut, brudd på personopplysningssikkerheten til Datatilsynet. Som databehandler varsler jeg deg uten ugrunnet opphold når jeg får vite om et brudd (GDPR artikkel 33 nr. 2), og gir deg det jeg ser i WordPress: siden når, hvilke kontoer, hvilke filer, hvilke data som kan ha kommet på avveie. Deretter gjenoppretter jeg fra en kopi tatt før hendelsen, tetter hullet og skriver ned forløpet.
Jeg har ingen døgnvakt og garanterer ingen responstid. Trenger rutinen din noen som kan nås om natten, må den rollen ligge i virksomheten din eller hos en leverandør som tilbyr det.
Oppdateringer, plugins og tilganger
Plugins er den vanligste veien inn i et WordPress-nettsted. Jeg fører en oversikt over plugins og temaer med versjoner (WP-CLI lager den på sekunder), følger med på sårbarhetsmeldinger og fjerner plugins som forfatteren har sluttet å vedlikeholde. Hver oppdatering går til staging først.
Tilganger er det andre innkjøp spør om. Et vanlig funn: noen bygde nettstedet for flere år siden, samarbeidet er over, og administratorkontoen deres virker fortsatt, uten tofaktorinnlogging. Jeg går gjennom kontoer i WordPress, hos hostingleverandøren og hos domeneregistraren, slår på tofaktorinnlogging for administratorer og gir deg en liste over hvem som har hvilken tilgang.
Hva skjer hvis utvikleren blir borte?
Jeg jobber alene, så spørsmålet gjelder meg direkte, og det er lurt å stille det før du signerer. Svaret mitt: Tilgangene til nettsted, hosting og domene er dine, koden ligger i et repositorium sammen med en beskrivelse av miljøet og oppskrifter på rutineoppgaver som gjenoppretting fra kopi og tilbakerulling av en oppdatering. En annen WordPress-utvikler kan ta over derfra uten meg.
Penetrasjonstester
NSM nevner inntrengningstester som et eget prinsipp. En slik test bør gjøres av et firma som har det som spesialfelt, på oppdrag fra virksomheten din. Jeg hjelper med å avgrense WordPress-delen, gjør klar staging for testen og retter funnene i kode og konfigurasjon.
Omfang og grenser for tjenesten
Dette gjør jeg: sikkerhetskopier og gjenopprettingstester, oppdateringer via staging, gjennomgang av tilganger, sikkerhetsrettelser i WordPress-kode og konfigurasjon, og en skriftlig beskrivelse av alt dette til innkjøp. Før jeg får tilgang til personopplysninger, signerer vi en databehandleravtale etter GDPR artikkel 28. Avtalen er en B2B-avtale etter polsk rett.
Dette gjør jeg ikke: døgnvakt, trusselovervåking som et SOC, varsling til myndigheter på dine vegne eller juridisk vurdering av om virksomheten din er omfattet. Det finnes ingen SLA og ingen garantert reparasjonstid. Hosting selger jeg ikke; jeg jobber med leverandøren du har valgt.
Beslektede tjenester
- Sikkerhetsrevisjon av WordPress: gjennomgang av plugins, kontoer og konfigurasjon før det første spørreskjemaet.
- Vedlikehold av WordPress-nettsider: løpende drift med sikkerhetskopier, overvåking og oppdateringer.
- Kontakt: beskriv nettstedet og spørreskjemaet du skal svare på. Jeg svarer på e-post med spørsmål og et forslag til omfang.
