Atsarginės kopijos ir veiklos tęstinumas: ko reikalauti iš IT tiekėjo

Atsarginės kopijos ir veiklos tęstinumas nėra tas pats. Atsarginė kopija atsako į klausimą „ar mūsų duomenys kur nors išsaugoti?”, o veiklos tęstinumas — į daug svarbesnį klausimą „per kiek laiko po incidento vėl dirbsime ir kiek duomenų prarasime?”. Įmonei, kuri nori realiai apsisaugoti, reikia abiejų: patikimai daromų kopijų pagal 3-2-1 taisyklę ir dokumentuoto, reguliariai testuojamo atkūrimo plano su aiškiais RPO ir RTO rodikliais.

Praktikoje dažniausia problema — ne tai, kad kopijos nedaromos, o tai, kad niekas niekada nebandė iš jų atsikurti. Kopija, kurios atkūrimas netestuotas, yra tik prielaida, kad viskas gerai. Apie tai, kad kažkas negerai, sužinoma pačiu blogiausiu momentu — po gedimo, klaidos ar išpuolio.

Šiame tekste paaiškiname, kuo skiriasi kopijos ir tęstinumas, ką reiškia RPO ir RTO, kokių konkrečių dalykų reikalauti iš IT tiekėjo ir kokios klaidos pasitaiko dažniausiai.

Kodėl atsarginės kopijos dar negarantuoja veiklos tęstinumo

Atsarginė kopija — tai duomenų dublikatas, iš kurio teoriškai galima atsikurti. Veiklos tęstinumas — tai visuma sprendimų, užtikrinančių, kad po incidento įmonė realiai grįžtų prie darbo: kas atkuriama pirmiausia, kas už tai atsakingas, kur atkuriamos sistemos, jei pagrindinė infrastruktūra nepasiekiama, ir kiek visa tai užtrunka.

Įsivaizduokite, kad serveris sugedo, o kopijos yra. Ar žinote, per kiek valandų veiks apskaitos sistema? Kas ją atkurs, jei atsakingas žmogus atostogauja? Kokioje įrangoje ji bus atstatyta ir paleista, jei sugedo pats serveris? Ar mes turime tokią įrangą, jei ne – per kiek laiko ir iš kur gausime? Jei į šiuos klausimus atsakymo nėra, turite kopijas, bet neturite tęstinumo plano. Todėl IT priežiūros sutartyje verta atskirai aprašyti ne tik kopijų darymą, bet ir atkūrimo įsipareigojimus.

3-2-1 taisyklė paprastais žodžiais

Klasikinė ir iki šiol geriausiai praktikoje pasiteisinusi taisyklė:

• 3 kopijos — originalūs duomenys ir bent dvi atsarginės kopijos;
• 2 skirtingos laikmenos ar aplinkos — pavyzdžiui, vietinis kopijų serveris ir debesijos saugykla, kad vienos technologijos gedimas nesunaikintų visko;
• 1 kopija kitoje vietoje — fiziškai nutolusi nuo pagrindinės infrastruktūros: kitame duomenų centre ar debesyje, kad gaisras, vagystė ar šifravimo ataka biure jos nepasiektų.

Papildomas šiuolaikinis reikalavimas — bent viena kopija turi būti nepakeičiama (angl. immutable) arba atjungta (angl. off-line) nuo pagrindinio tinklo, kad jos negalėtų užšifruoti ar ištrinti užpuolikas, gavęs administratoriaus teises pagrindiniame tinkle.

RPO ir RTO: kiek duomenų galite prarasti ir kiek galite stovėti

Du rodikliai, kuriuos turi žinoti kiekvienas vadovas:

• RPO (Recovery Point Objective) — kiek duomenų galite sau leisti prarasti. Jei kopijos daromos kartą per parą, blogiausiu atveju prarasite iki paros darbo. Reiškia prarastus duomenis reikės iš kažkur gauti ir suvesti rankomis. Jei tai nepriimtina, kopijos turi būti daromos dažniau.
• RTO (Recovery Time Objective) — kiek laiko galite stovėti. Per kiek laiko kopijos bus atstatytos ir bus galima dirbti. Tai laikas nuo incidento iki momento, kai sistemos vėl veikia. Kuo trumpesnis RTO, tuo brangesni ir sudėtingesni sprendimai jo reikia.

Šie rodikliai skirtingoms sistemoms gali ir turi skirtis — nėra prasmės archyvui taikyti tokius pačius reikalavimus kaip pardavimų sistemai. Pavyzdinė logika:

Atsakymai į šiuos klausimus turi ateiti iš verslo, ne iš IT skyriaus — IT tiekėjo darbas yra pasiūlyti techninį sprendimą, kuris sutartus rodiklius užtikrina. Kaip šie rodikliai siejasi su paslaugų lygio įsipareigojimais, plačiau aprašėme puslapyje apie tai, kokio SLA reikia jūsų įmonei.

Ko reikalauti iš IT tiekėjo

Jei atsarginėmis kopijomis rūpinasi išorinis partneris, sutarkite ir raštu įtvirtinkite šiuos dalykus:

1. Reguliarus atkūrimo testavimas. Ne „kopijos daromos”, o „atkūrimas periodiškai išbandomas ir apie rezultatą pateikiama ataskaita”. Tik sėkmingas testinis atkūrimas įrodo, kad kopija veikia.
2. Nutolusios kopijos. Bent viena kopija privalo būti už pagrindinės infrastruktūros ribų bei atjungta (off-line) arba nekeičiama (immutable) — kitame duomenų centre arba debesijoje.
3. Šifravimas. Kopijos turi būti šifruojamos ir saugant, ir perduodant — jose yra visi jautriausi įmonės duomenys.
4. Dokumentuotas atkūrimo planas. Kas, ką ir kokia tvarka atkuria, kur saugomi prisijungimai, kokie sutarti RPO ir RTO kiekvienai sistemai.
5. Reguliarios ataskaitos. Ar visos kopijos pavyko, ar buvo klaidų, kada paskutinį kartą testuotas atkūrimas. Nuolatinis automatizuotas stebėjimas, koks taikomas IT sistemų priežiūros ir stebėjimo paslaugose, leidžia apie nepavykusią kopiją sužinoti tą pačią dieną, o ne po incidento.

Tipinės klaidos, kurios paaiškėja per vėlai

• Kopijos tame pačiame serveryje ar toje pačioje patalpoje. Sugedus diskų masyvui ar kilus gaisrui, ar hakeriui užkodavus duomenis, kartu žūva ir originalas, ir „kopija”.
• Niekada netestuotas atkūrimas. Dažniausia visų klaida: kopijų procesas rodo „sėkminga”, bet atsikurti iš jų realiai neįmanoma — sugadinti failai, trūkstamos duomenų bazės, pamiršti slaptažodžiai. Ne viena įmonė neturi kitos įrangos į kurią bus atstatoma kopija ir paleistas veikimas, jei dabartinė įranga sugedo.
• Nešifruotos kopijos. Pavogta ar pamesta kopijų laikmena tampa duomenų nutekėjimu su visomis teisinėmis pasekmėmis.
• Kopijuojama ne viskas. Nauji serveriai, naujos sistemos ar darbuotojų kompiuteriai neįtraukiami į kopijų planą, nes „niekas nepagalvojo”.
• Kopijos pasiekiamos su tais pačiais administratoriaus prisijungimais. Užpuolikas, perėmęs administratoriaus paskyrą, pirmiausia ištrina kopijas.

Ransomware kontekstas: kopijos — paskutinė gynybos linija

Šifravimo išpuolio metu užpuolikai sąmoningai ieško atsarginių kopijų ir bando jas sunaikinti ar užšifruoti, kad įmonė neturėtų kito pasirinkimo, tik mokėti išpirką. Todėl kopijų architektūra turi būti kuriama darant prielaidą, kad pagrindinis tinklas jau pažeistas: nutolusios, nepakeičiamos, atskirais prisijungimais apsaugotos kopijos ir aiškus atkūrimo scenarijus.

Atsarginės kopijos yra paskutinė, bet ne vienintelė gynybos linija — apie prevencines priemones ir NIS2 reikalavimus rašome IT saugos paslaugų puslapyje, o jei jūsų įmonei taikoma direktyva, pravers ir apžvalga apie NIS2 reikalavimus įmonėms. Verta žinoti, kad veiklos tęstinumas ir atsarginės kopijos yra tarp NIS2 aiškiai įvardijamų rizikos valdymo priemonių.

Debesijos vaidmuo

Debesija natūraliai išsprendžia „vienos kopijos kitoje vietoje” reikalavimą: duomenys saugomi fiziškai nutolusioje, profesionaliai valdomoje infrastruktūroje. Altic IT klientų sprendimai kuriami Microsoft Azure debesijoje arba patikimame Baltijos šalių Tier III duomenų centre — abiem atvejais kopijos atsiduria aplinkoje su profesionalia fizine ir logine apsauga, kurios biuro serverinė paprastai neturi.

Debesijos saugykla taip pat leidžia lanksčiai didinti apimtis augant duomenims ir automatizuoti kopijų darymą bei stebėjimą. Daugiau apie galimus modelius — debesijos paslaugų puslapyje, o jei svarstote apskritai atsisakyti savo serverinės, palyginimą rasite puslapyje sava serverinė ar duomenų centras / debesija.

Kodėl Altic IT

Atsarginių kopijų ir veiklos tęstinumo sprendimus kuriame ir prižiūrime kaip ISO standartais sertifikuota IT paslaugų įmonė — su dokumentuotais procesais, automatizuotu stebėjimu ir reguliariomis ataskaitomis klientams.

• 180+ aptarnaujamų klientų, ~350 prižiūrimų serverių ir ~3 500 kompiuterių bei mobilių įrenginių;
• ISO 27001 (informacijos sauga) ir ISO 20000 (IT paslaugų valdymas) sertifikatai;
• profesinės atsakomybės ir kibernetinių rizikų draudimas — 2 mln. EUR;
• debesija Microsoft Azure arba Baltijos šalių Tier III duomenų centre (Delska);
• nuolatinis automatizuotas IT sistemų stebėjimas ir reguliarios ataskaitos;
• per pirmus 3 mėnesius incidentų kiekis klientams sumažinamas iki 5 kartų, o didžioji dauguma klientų atėjo pagal rekomendacijas.

Dažniausiai užduodami klausimai

• Kaip dažnai reikia daryti atsargines kopijas?

  Tiek dažnai, kiek duomenų negalite sau leisti prarasti — tai apibrėžia RPO rodiklis. Kritinėms sistemoms kopijos daromos dažnai, mažai kintantiems archyvams — rečiau. Vienodo atsakymo visoms įmonėms nėra: dažnumas nustatomas įvertinus kiekvienos sistemos svarbą verslui.

• Kaip sužinoti, ar mūsų kopijos tikrai veikia?

  Vienintelis patikimas būdas — testinis atkūrimas: iš kopijos realiai atkuriama sistema ar failai ir patikrinama, ar viskas veikia. Tokie testai turi vykti reguliariai, o jų rezultatai — fiksuojami ataskaitose. Jei tiekėjas negali parodyti paskutinio sėkmingo atkūrimo testo įrodymų, laikykite, kad kopijų patikimumas nežinomas.

• Ar pakanka kopijų „Microsoft 365″ aplinkoje?

  Debesijos paslaugų teikėjas užtikrina infrastruktūros veikimą, bet už pačių duomenų apsaugą nuo ištrynimo, klaidų ar šifravimo atakų atsako klientas. Todėl ir debesijos aplinkų duomenims rekomenduojama atskira papildomų atsarginių kopijų strategija su savo saugojimo terminais ir atkūrimo galimybėmis, nepriklausoma nuo M365.

• Kuo skiriasi atsarginės kopijos nuo veiklos tęstinumo plano?

  Kopijos yra tik viena tęstinumo plano dalis. Tęstinumo planas papildomai apibrėžia, kas ir kokia tvarka atkuria sistemas, kur jos paleidžiamos, per kiek laiko turi veikti ir kaip įmonė dirba atkūrimo metu. Kopijos be plano dažnai reiškia ilgą ir chaotišką atsikūrimą.

• Ar atsarginės kopijos apsaugo nuo ransomware?

  Apsaugo tik teisingai suprojektuotos: nutolusios, šifruotos, atjungtos (off-line) ar nekeičiamos )immutable), nepasiekiamos su pagrindiniais administratoriaus prisijungimais ir reguliariai testuojamos. Užpuolikai sąmoningai taikosi į kopijas, todėl vien jų buvimas negarantuoja, kad po išpuolio bus iš ko atsikurti.

Pasitikrinkite atsarginių kopijų patikimumą

Nelaukite incidento, kad sužinotumėte, ar jūsų kopijos veikia. Altic IT specialistai įvertins jūsų atsarginių kopijų strategiją, atkūrimo galimybes ir pateiks konkrečias rekomendacijas. Susisiekite telefonu +370 5 2032018 arba per kontaktų puslapį — aptarsime jūsų situaciją ir sutarsime dėl patikros.

Susisiekti su Altic IT