Tõsiste IT-keskkondade rikete taastamise strateegiad

Tõsine IT-rike annab harva hoiatusmärgi : lunavara, mis krüpteerib serverid minutitega, pikaajaline elektrikatkestus, ulatuslik inimlik eksimus või tulekahju andmekeskuses. Kui midagi sellist juhtub, pole enam küsimus selles, kas kaotate andmeid, vaid selles, kui kauaks olete maas ja kui palju see ettevõttele maksma läheb tulu, maine ja regulatiivse vastavuse osas.

Selles kontekstis on tõsiste IT-tõrgete ja katastroofide korral taastestrateegiate olemasolu muutunud ülioluliseks. Ainult varukoopiate olemasolust ei piisa; vaja on terviklikku lähenemisviisi, mis ühendab tehnoloogia, protsessid, inimesed ja selge otsustusprotsessi, et teie organisatsioon saaks jätkata tegevust isegi siis, kui oluline osa selle infrastruktuurist on maas.

Mis on tegelikult katastroofidejärgne taastamine ja miks see pole lihtsalt varundamine?

Katastroofijärgne taastamine (inglise keeles disaster recovery ehk DR) on strateegiate, tehnoloogiate ja protseduuride kogum, mis on loodud kriitiliste süsteemide, rakenduste ja andmete taastamiseks pärast tõsist intsidenti, mis ületab tavapäraseid kõrge käideldavuse või isetaastumise mehhanisme.

Erinevalt väikestest, mööduvatest tõrgetest (klassikalised pilveteenuste „tühjendused“, mis iseenesest lahenevad) on katastroof laiaulatuslik sündmus, millel on tõsine mõju : pilvepiirkonna täielik rike, andmekeskuse kadumine, laialt levinud lunavararünnak, massiline andmete korruptsioon või konfiguratsiooniviga, mis keelab samaaegselt nii tootmise kui ka administreerimise.

Sellistel juhtudel ei jäeta taastamist juhuse hooleks, vaid seda toetab katastroofidejärgse taastamise plaan (DRP) : ametlik, üksikasjalik ja teostatav dokument, mis kirjeldab, kes mida teeb, mis järjekorras, milliste tööriistadega ja milliste kriteeriumide alusel otsustatakse tõrkesiire ja normaalseks naasmine.

On oluline mõista, et varukoopiad ja õnnetusjuhtumijärgne taastamine ei ole sünonüümid . Varukoopiad on osa plaanist, kuid katastroofidejärgne taastamine hõlmab sellest palju enamat: see määratleb taastamisajad, vastuvõetava andmekao, alternatiivse infrastruktuuri, protseduurid, rollid, suhtluse ja regulaarse testimise, et tagada kõige toimimine.

Varukoopiad, RTO, RPO ja muud teie strateegiat suunavad põhinäitajad

Tõsiste rikete korral rakendatav taastamisstrateegia tugineb mitmele kvantitatiivsele näitajale, mis määratlevad mängureeglid . Kui te pole neid määratlenud, pole teil tegelikult strateegiat, vaid pigem heade kavatsuste kogum.

Esimene on RTO (taasteaja eesmärk) , mis tähistab maksimaalset vastuvõetavat aega, mille jooksul süsteem või teenus võib olla maas, enne kui selle mõju ettevõttele muutub vastuvõetamatuks. Seda mõõdetakse sekundites, minutites või tundides, olenevalt töökoormuse kriitilisusest.

Teine on RPO (taastepunkti eesmärk) , mis määrab maksimaalse andmemahu, mida organisatsioon on nõus kaotama , väljendatuna ajana viimase kehtiva taastepunkti ja intsidendi aja vahel (näiteks 5 minutit, 1 tund, 24 tundi jne). See väärtus teisendatakse varundamise sageduse, replikatsiooni ja säilituspoliitikateks.

Lisaks on soovitatav mõõta tegelikku seisakuaega (süsteemide efektiivne kättesaamatusaeg) ja taastamise järjepidevuse eesmärki (RCO) , mis keskendub andmete ja protsesside järjepidevusele pärast taastamist . Teenuste kiirel taaskäivitamisel pole mõtet, kui taastatud andmed on valesti joondatud või rikutud, mis põhjustab vigu, mittevastavust või lahknevusi.

Need näitajad võimaldavad hinnata DRP tõhusust, võrreldes tegelikke aegu ja kaotusi määratletud eesmärkidega, ning aitavad seada prioriteete investeeringutele ja kohandada arhitektuuri (näiteks teatud süsteemide puhul minnes igapäevastelt varukoopiatelt peaaegu reaalajas replikatsioonile).

Tehnoloogiliste katastroofide tüübid, mis võivad teie ettevõtte pankrotti viia

Tõsiste rikete taastamisstrateegiad peavad arvestama paljude ohtudega, mis võivad tegevust häirida , alates kõige ilmsematest kuni kõige vähem intuitiivsete, kuid sama kahjulike ohtudeni.

Nende hulka kuuluvad loodusõnnetused (üleujutused, tulekahjud, maavärinad, tugevad tormid, keskkonnamõjud), mis võivad andmekeskuse, peakorteri või kriitilise teenusepakkuja täielikult töövõimetuks muuta.

Lisaks sellele on infrastruktuuriprobleemid : pikaajalised elektrikatkestused ilma piisava varutoiteta, ulatuslikud riistvararikked, jahutusprobleemid, võrgu kokkuvarisemised, samuti interneti- või asukohtadevahelise ühenduse katkestused, mis muudavad võtmesüsteemid ligipääsmatuks, isegi kui need kohapeal edasi töötavad.

Teine kriitiline valdkond on küberrünnakud : lunavara, mis krüpteerib servereid ja varukoopiaid , pahavara, mis rikub andmeid, DDoS-rünnakud, mis sulgevad terveid veebisaite, sissetungid, mis filtreerivad tundlikku teavet või manipuleerivad pahatahtlikult süsteemiseadetega.

Me ei tohi unustada inimlikke vigu (andmebaaside juhuslik kustutamine, vigased juurutused, kontrollimatud konfiguratsioonimuudatused) ega tarkvaratõrkeid (ebaõnnestunud värskendused, vead, ühildumatused), mis võivad pärast pealtnäha väikest muudatust muuta kriitilised rakendused töökõlbmatuks.

Lõpuks on olemas sellised riskid nagu tahtlikud siseringiohud (rahulolematud töötajad või aktiivse volitusega endised töötajad) ning tervise- või geopoliitilised katastroofid , mis muudavad hooned kasutuskõlbmatuks või jätavad terve personali koju, sundides aktiveerima hädaolukorras kaugtööd ja -teenuseid teistest asukohtadest.

Sektorid ja organisatsioonid, kus DR ei ole valikuline

Kuigi igal ettevõttel peaks olema põhiline katastroofidejärgse taastamise plaan , on sektoreid, kus vastupidavus on de facto kohustus, olgu see siis regulatsioonide, otsese mõju tõttu inimeste elule või äärmise sõltuvuse tõttu digiteenustest.

Esiteks finantsteenused (pangandus, kindlustus, finantstehnoloogia), millel on ranged regulatiivsed raamistikud, mis nõuavad tugevaid, testitud ja auditeeritavaid plaane . Andmete rikkumine või kadumine võib kaasa tuua trahve, kohtuvaidlusi ja kohese usalduse kaotuse.

Tervishoid on veel üks kriitiline juhtum: haiguslood, pildisüsteemid, erakorralise meditsiini platvormid ja vastuvõtud peavad olema peaaegu kogu aeg kättesaadavad; pikaajaline rike võib avaldada otseseid tagajärgi patsientide tervisele ja tuua kaasa tõsiseid õiguslikke tagajärgi.

Teiste võtmesektorite hulka kuuluvad telekommunikatsioon, IT, e-kaubandus, jaemüük, tootmine, kommunaalteenused, avalik haldus, ülikoolid ja teaduskeskused , meedia ning lennundus- ja kaitsesektor . Paljudes nendes sektorites ei ole teenuse järjepidevus mitte ainult soovitav eesmärk, vaid ka lepinguline või regulatiivne nõue.

Sellest hoolimata näitavad uuringud, et märkimisväärsel arvul VKEdel puudub endiselt ametlik DRP ; enam kui pooled väikeettevõtetest mõnel Euroopa turul tegutsevad ilma dokumenteeritud ja testitud plaanita, tuginedes traditsioonilistele varuvariantidele ja lootes, et „mitte ei juhtu halba õnne“.

Rikete taastamise strateegia olulised komponendid

Tugev katastroofidejärgse taastamise strateegia ühendab endas mitu elementi, mis koos võimaldavad katastroofi mõju vähendada ja tegevuse mõistliku aja jooksul taastada . See ei ole üksik tööriist, vaid pigem hästi integreeritud tehniline ja organisatsiooniline ökosüsteem.

Esimene sammas on varukoopiad . Me räägime andmete ja konfiguratsioonide perioodilisest dubleerimisest, mis on salvestatud põhisüsteemist eraldi turvalistes kohtades: kohalikel ketastel, pilvesalvestuses, välistes hoidlates või kõigi eelnevate kombinatsioonides.

Parima tava kohaselt rakendatakse tavaliselt 3-2-1 reeglit : andmetest tehakse vähemalt kolm koopiat (tootmiskeskkond pluss kaks koopiat) kahel erinevat tüüpi andmekandjal ja üks neist väljaspool kontorit. Lisaks kasutatakse kindlatel ajahetkedel hetktõmmiseid , mis võimaldavad taastada väga hiljutisi olekuid ilma täielikke varukoopiaid taastamata.

Teine sammas on redundantne infrastruktuur , mis hõlmab duplikaatservereid, replikeeritud salvestusruumi, alternatiivseid võrke, teiseseid andmekeskusi või täiendavaid pilvepiirkondi. Idee seisneb selles, et esmase keskkonna rikke korral oleks võimalik töökoormus kiiresti teise keskkonda (aktiivne-aktiivne, aktiivne-passiivne, soe või külm) migreerida.

Kolmas komponent on plaani regulaarne testimine . Ainult protseduuride kirjutamisest ei piisa: tuleb simuleerida katastroofe, teostada osalisi või täielikke tõrkesiirdeid, valideerida saavutatud aegu RTO/RPO eesmärkide suhtes ning tuvastada vigu või lünki enne, kui on liiga hilja.

Lisaks hõlmab hea strateegia pidevaid riskihindamisi , mis tuvastavad ohud, hindavad nende tõenäosust ja mõju ning võimaldavad ressursside prioriseerimist. See on kombineeritud suhtlusprotokollidega , mis täpsustavad, kuidas, millal ja kellega intsidendi ajal teavet jagatakse (sisemine meeskond, juhtkond, kliendid, tarnijad, regulaatorid jne).

Katastroofide taastamise ja äritegevuse järjepidevuse plaanid

Äritegevuse järjepidevus ja katastroofidejärgne taastamine käivad käsikäes, kuid need ei ole samad. Äritegevuse järjepidevus keskendub oluliste funktsioonide töös hoidmisele häiriva sündmuse ajal ja pärast seda , samas kui katastroofidejärgne taastamine keskendub IT-süsteemide ja andmete taastamisele.

Hea järjepidevuse raamistik sisaldab tavaliselt mitut plaani: hädaolukorra plaani (kuidas intsidendi ajal tegutseda: evakueerimine, inimeste ja varade kaitsmine), äritegevuse järjepidevuse plaani (kuidas jätkata minimaalsete teenuste osutamist), äritegevuse jätkamise plaani (kuidas naasta normaalsesse seisu), intsidentide haldamise plaani (kes koordineerib, mis on prioriteediks, kuidas aru anda) ja lõpuks katastroofidejärgset taastamisplaani , mis käsitleb IT-tehnilisi aspekte.

Seega peab katastroofidejärgse taasteplaan (DRP) olema kooskõlas äritegevuse järjepidevuse plaaniga , jagama eeldusi, prioriteete ja mõõdikuid ning see ei tohi olla eraldiseisev dokument, mida näeb ainult tehniline meeskond. Juhtkond peab mõistma selle tagajärgi, kinnitama investeeringud ning haarama määratletud SLO-de, RTO-de ja RPO-de riskimõjusid.

Töökoormuse klassifikatsioon ja kriitilisuse tasemed

Realistlike ja kulutõhusate taastamisstrateegiate väljatöötamiseks on soovitatav töökoormused järjestada vastavalt nende olulisusele ettevõtte ja kättesaadavuse nõuete seisukohast, selle asemel, et püüda kõike maksimaalsel tasemel kaitsta.

Üheks äärmuseks on Tier 0 ehk missioonikriitilised süsteemid , kus seisakuid on vastuvõetamatu ja taotletakse 99,99% lähedast või suuremat käideldavust, kusjuures RTO-sid mõõdetakse sekundites ja RPO-sid nullilähedaselt. Tavaliselt kasutatakse siin mitmesõlmelisi või mitme piirkonna aktiiv-aktiivseid arhitektuure , mis on võimelised ühe piirkonna rikke korral kogu koormuse neelama.

Üks aste allpool on 1. taseme ehk ärikriitilised süsteemid , mis toetavad tulusid ja kliendikogemust, kuid taluvad väga lühikesi katkestusi, kui taastamine on kiire ja andmekadu minimaalne (RTO ja RPO minutites). Need süsteemid kombineerivad tavaliselt aktiivse-aktiivse ja aktiivse-passiivse ooterežiimi keskkondi.

2. tasemel leiame sisemised ettevõtte operatsioonisüsteemid (aruandlus, kontoritööriistad), mille tüüpiline SLO on umbes 99,9% ja mis toetavad tundidepikkuseid seisakuid, kui on olemas usaldusväärne mehhanism nende taastamiseks (aktiivne-passiivne ooterežiim, varundamine ja automatiseeritud taastamine).

Lõpuks hõlmab 3. tase administratiivseid ja madala prioriteediga süsteeme , nagu arhiveerimine, testimiskeskkonnad ja koolitus. Siin võivad taastumisajad (RTO) ulatuda tundidest päevadeni ning kõige kulutõhusam lähenemisviis on loota peaaegu eranditult varundamise ja arhiveerimise peale , seades andmete terviklikkuse kiirusest kõrgemale.

Peamine on see, et see liigitamine toimub tihedas koostöös ettevõttega , vormistades iga valdkonna ootused. Ilma selle ühtlustamiseta on lihtne mittekriitilisi koormusi üle dimensioneerida ja tõeliselt kriitilisi koormusi halvasti kaitsta.

Katastroofide taastamise strateegiate ja lahenduste tüübid

Sõltuvalt RTO/RPO nõuetest ja eelarvest saame rakendada erinevaid tehnilisi taastamisstrateegiaid , kombineerides neid vastavalt igale töökoormusele ja selle kriitilisuse tasemele.

Põhiline lähenemisviis on traditsiooniline varundamine ja taastamine , kus täielikud, inkrementaalsed või diferentsiaalvarundused salvestatakse kohalikele ketastele, välistele hoidlatele või avalikele pilvedele. See on tüüpiline valik 2. ja 3. taseme süsteemide puhul, kus pikem taastamisaeg on vastuvõetav.

Täiustatud tase on taastamine teiseses andmekeskuses , kas kohapeal või välise pakkuja juures. Andmed ja paljudel juhtudel virtuaalmasinad või konteinerid replikeeritakse nii, et esmase andmekeskuse tõsise rikke korral saab alternatiivse asukoha kiiresti aktiveerida.

Tänapäevastes keskkondades on tavaline toetuda pilvepõhistele katastroofidejärgsele taastamisele ja DRaaS- lahendustele (Disaster Recovery as a Service) , kus teenusepakkuja vastutab kriitiliste süsteemide koopiate majutamise ja korraldamise, replikatsiooni haldamise, tõrkesiirde ja perioodilise testimise eest vastavalt teenustaseme lepingutele.

Teine oluline element on virtualiseerimine : virtuaalsete masinate või tervete konteinerkeskkondade replikeerimine teisele platvormile võimaldab tänu füüsilise kihi abstraktsioonile teenuseid minutitega taastada , isegi erinevatel riistvaradel.

Nõudlikumate süsteemide jaoks kasutatakse aktiiv-passiivseid (külm või kuum ooterežiim) ja aktiiv-aktiivseid arhitektuure , mis ühendavad koormuse tasakaalustajaid, sünkroonset või asünkroonset replikatsiooni ning automaatseid või käsitsi lülitusmehhanisme, et koormus saaks piirkondade vahel liikuda lõppkasutajat võimalikult vähe mõjutades.

Kuidas samm-sammult katastroofijärgse taastamisplaani koostada

Tõhusa katastroofidejärgse taastamisplaani (DRP) loomine hõlmab struktureeritud protsessi, mitte kiiruga pärastlõunal kokku pandud dokumenti. Laias laastus saab välja tuua mitu sammu, mis on ühised praktiliselt kõigile metoodikatele.

Lähtepunktiks on ärimõju analüüs (BIA) , mille käigus tuvastatakse olulised protsessid ja funktsioonid, hinnatakse nende häirimise majanduslikku ja mainekahju ning seatakse prioriteedid vastavalt nende panusele organisatsiooni eesmärkide saavutamisse.

Järgmisena tuleb riskihindamine (RA) : ohtude (looduslikud, tehnilised, inimlikud, organisatsioonilised) loetlemine, nende tõenäosuse analüüsimine, mõju hindamine ja haavatavuste tuvastamine. See hindamine võib kombineerida kvalitatiivset (riski tajumine) ja kvantitatiivset (ajaloolised andmed, statistika, hinnangulised kulud) lähenemisviisi.

Sealt edasi määratletakse iga süsteemi või ärivoo jaoks taastamis-eesmärgid (RTO, RPO, RCO) , viies need vastavusse tehniliste ja eelarveliste oludega. Need eesmärgid suunavad tehnoloogiate, võrgutopoloogiate, replikatsioonitüübi ja varundamise sageduse valikut.

Eesmärgid seatud eesmärkidega töötatakse välja taastestrateegiad : varundusskeemid, replikatsioon piirkondade või andmekeskuste vahel, kohapealsete ja pilvelahenduste valik, hübriidpilve või mitmikpilve kasutamise kriteeriumid ning alternatiivsete asukohtade (kuum, soe, külm) määratlemine.

Samal ajal töötatakse välja kommunikatsiooniplaan , milles on üksikasjalikult kirjeldatud, kes katastroofi välja kuulutab, keda teavitatakse, milliste kanalite kaudu, kui sageli ja milliseid sõnumeid kasutatakse. See plaan arvestab nii sisemiste sihtrühmadega (juhtkond, töötajad, tehnilised meeskonnad) kui ka väliste sihtrühmadega (kliendid, partnerid, regulaatorid).

Teine oluline valdkond on rollide ja vastutuse määramine . Määratakse DR-haldur, luuakse katastroofide taastamise meeskond ning dokumenteeritakse rakenduste omanikud, kommunikatsioonijuhid, tarnijate koordinaatorid, varahaldurid jne koos eskalatsiooniteede ja raskusastmetega.

Lõpuks on taastamisprotseduurid dokumenteeritud selgete käitusraamatute kujul: sammud teise piirkonda üleminekuks, andmebaaside taastamiseks, DNS-i ümberkonfigureerimiseks, andmete terviklikkuse valideerimiseks, kasutaja juurdepääsu taasavamiseks ja seejärel protseduurid esmasesse keskkonda naasmiseks (tõrketagastus), kui olukord stabiliseerub.

Tööraamatud, suhtlus ja skaleerimine: plaani haldamine surve all

Katastroofijärgsel taastamisplaanil (DRP) on mõte ainult siis, kui seda saab kaose keskel korrapäraselt rakendada . Selleks on olulised kolm komponenti: tegevusjuhendid, kommunikatsiooniplaan ja eskalatsiooniplaan.

Taasteprotsessi käsiraamatud kirjeldavad selgelt tehnilisi samme: intsidentide tuvastamine ja klassifitseerimine, katastroofi väljakuulutamine, alternatiivse infrastruktuuri aktiveerimine, andmete taastamine, liikluse vahetamine, valideerimine ja sulgemine. Igal toimingul peab olema määratud vastutav isik ja selged edukriteeriumid.

Kommunikatsiooniplaan määrab iga sidusrühma jaoks aktiveerimiskriteeriumid (milline sündmus käivitab kriisikommunikatsiooni), rollid (kes räägib ja kelle nimel), kanalid (e-post, SMS, koostöövahendid, avalikud staatuse lehed) ja värskenduste sageduse, vältides nii väärinfot kui ka ülekoormust.

Eskalatsiooniplaan määratleb, kuidas intsidenti keeruliseks muutudes eskaleeritakse: kes võtab koordineerimise üle , kui peamine vastutav isik pole kättesaadav, millised lävendid nõuavad tippjuhtkonna kaasamist, mida peetakse kriitiliseks intsidendiks ja mis lahendatakse operatiivtasandil ilma ametliku katastroofideklaratsioonita.

Kõike seda tuleb testida kontrollitud simulatsioonides, vaadates hiljem üle tuvastatud ajad, kitsaskohad ja lüngad, et plaani järjestikustes iteratsioonides täiustada . Katastroofijärgne taastamisplaan (DRP), mida kunagi ei testita, on praktikas väärtusetu.

Optimeerige kulusid ilma vastupidavust kahjustamata

Tõsistest riketest taastumisel on nii otseseid kui ka kaudseid kulusid; seepärast on oluline investeering vastavalt riskile suuruse järgi planeerida , selle asemel, et soovida maksimaalset kaitset kõige jaoks.

Tier 0 süsteemides, kus seisakuid pole võimalik arvestada, eeldatakse tavaliselt mitmes piirkonnas töötava redundantse infrastruktuuri maksumust , kasutades ülevarustatud konfiguratsioone või konfiguratsioone, mis on piirkondliku katkestuse korral võimelised koheselt skaleeruma. Siin tugineb optimeerimine pigem reservide kasutamisele, platvormi allahindlustele ja disainide lihtsustamisele kui võimsuse vähendamisele.

1. taseme süsteemides eelistatakse sageli ooterežiimi , kus teiseseid keskkondi hoitakse poole võimsusega ja need skaleeritakse uuesti tõrke korral. See pakub kulude kokkuhoidu võrreldes täielikult aktiivsest aktiivseks seadistusega, säilitades samal ajal hea RTO/RPO. Juurutuste automatiseerimine infrastruktuuri abil koodi ja CI/CD abil vähendab mõlema keskkonna joondamiseks vajalikku pingutust.

2. ja 3. taseme puhul seab lähenemisviis esikohale külma ooterežiimi ja varundamist koos taastamisega , kasutades odavamat salvestusruumi (külm- või arhiveeritud tasand), georeplitseeritud koopiaid ja planeeritud taastamist. Peamine on tagada, et taastetestid vastaksid kokkulepitud RTO-dele ja säilituspoliitikad oleksid kooskõlas juriidiliste nõuetega.

Kõigil juhtudel on abiks ressursside märgistamine ja DR-i jaoks konkreetsed eelarved , pilvepõhiste kulude haldamise tööriistade kasutamine tarbimise jälgimiseks ning kaitsetasemete kohandamine äriprioriteetide või töökoormuse kaalu muutumisel.

Selle lähenemisviisi korral muutub katastroofidejärgne taastamine pigem mõistlikuks tasakaaluks aktsepteeritud riski, hallatavate kulude ja tegeliku vastupidavuse vahel , mitte ebamääraseks lubaduseks või kontrollimatuks eelarvereaks.

Hästi läbimõeldud, dokumenteeritud ja testitud tõsiste rikete taastamisstrateegiate olemasolu, mis on kohandatud iga organisatsiooni spetsiifilisele riskile, on see, mis tähistab piiri kontrollitud katkestuse, millest väljutakse tugevamana, ja kriisi vahel, mis kahjustab ettevõtte tulu, mainet ja isegi elujõulisust; aja ja ressursside pühendamine sellele valdkonnale on lõppkokkuvõttes väga otsene viis ettevõtte südame kaitsmiseks.