في الفرق الصغيرة يختصر التعافي من الكوارث عادةً في سطر واحد داخل مستند لم يفتحه أحد قط: النسخ الاحتياطي مفعّل. العبارة صحيحة ومع ذلك لا تمثل إجابة عن أي شيء، لأنها لا تقول شيئاً عن عمر البيانات التي ستستعيدها، ولا عن المدة التي تستغرقها عملية الاستعادة، ولا عما إذا كان أحد قد أجرى استعادة واحدة كاملة من قبل.

في المسافة الفاصلة بين امتلاك نسخ احتياطية والقدرة الفعلية على الاستعادة تتحول معظم الأعطال إلى حوادث كبيرة. النسخة الاحتياطية الموجودة والمحدّثة والتي لم تُستعَد أبداً ليست سوى فرضية، واللحظة التي تختبرها فيها هي أسوأ لحظة ممكنة لاكتشاف أن الفرضية كانت خاطئة.

رقمان يحوّلان الرأي إلى خطة. كم من البيانات تستطيع تحمّل فقدانه، وكم من الوقت تستطيع تحمّل التوقف فيه؟ هذان هما هدف نقطة التعافي وهدف زمن التعافي لديك. وما لم يصرّح بهما أحد من جانب الأعمال، يظل كل نقاش تقني حول وتيرة النسخ الاحتياطي بلا حسم، لأنه ببساطة لا يوجد معيار يمكن الاحتكام إليه.

RPO وRTO بعبارات بسيطة

هدف نقطة التعافي، أي RPO، هو مقدار البيانات الذي تستطيع خسارته. النسخ الاحتياطي الليلي يعني RPO مقداره 24 ساعة: عطل في الساعة 17 يمحو كل ما أُنتج منذ الليلة السابقة. وإذا كان هذا غير مقبول فإن جدول النسخ الاحتياطي خاطئ، ولا يعوّض عن ذلك أي قدر من العناية في مواضع أخرى.

هدف زمن التعافي، أي RTO، هو المدة التي تستطيع التوقف خلالها. وهو يشمل كل شيء: الانتباه إلى العطل، واتخاذ القرار، وتجهيز الموارد، والاستعادة، والتحقق، وإعادة تحويل حركة الزوار. تقدّر الفرق خطوة الاستعادة وحدها وتنسى الخطوات الخمس الأخرى، ولهذا السبب تستغرق عمليات التعافي الحقيقية أضعاف الوقت المتوقع.

كلاهما قرار تجاري وليس قراراً تقنياً، وكلاهما يكلّف مالاً كلما شُدّ أكثر. RPO مقداره خمس دقائق يتطلب نسخاً متزامناً مستمراً. RTO مقداره ساعة واحدة يتطلب بنية تحتية يمكن إعادة بنائها آلياً، لأن أحداً لن يهيّئ خادماً يدوياً خلال ساعة واحدة وهو تحت الضغط.

النقاش المثمر هو النقاش حول المفاضلة. أخبر جانب الأعمال بتكلفة كل مستوى ودعه يختار، بدلاً من اختيار رقم داخل فريق الهندسة والأمل في أنه سيوافق توقعات لم يصرّح بها أحد قط.

النسخة الاحتياطية غير المختبرة ليست نسخة احتياطية

الإخفاقات المؤلمة نادراً ما تكون غياب النسخ الاحتياطي. إنها في الغالب نسخ احتياطية تبيّن أنها غير صالحة للاستخدام في اللحظة التي احتجت إليها فيها.

الأسباب المتكررة، وكلها لا تظهر إلا عند الاستعادة: المهمة تفشل بصمت منذ أسابيع لأن لا أحد يراقب النجاح بالدقة نفسها التي يراقب بها الفشل. ملف التفريغ التقط بنية الجداول دون البيانات، أو التقط جزءاً من الجداول فقط لأن أحدهم أضاف الباقي إلى قائمة استثناء. الملف مشفّر بمفتاح كان مخزّناً على الجهاز نفسه الذي تعطّل. النسخة الاحتياطية تعيش في الحساب نفسه أو المنطقة نفسها التي يعيش فيها ما يفترض أن تحميه.

هذه النقطة الأخيرة صارت أثقل وزناً مما كانت عليه سابقاً. النسخة الاحتياطية الموضوعة في البيئة نفسها التي تعمل فيها الأنظمة الحية محمية من عطل العتاد ومن لا شيء آخر. فهي لا تنجو من اختراق الحساب، ولا من حذف عرضي على مستوى الحساب، ولا من برمجية فدية تصل إلى كل ما تصل إليه بيانات الاعتماد نفسها.

الطريقة الوحيدة لمعرفة أن النسخة الاحتياطية تعمل هي أن تستعيدها. ضع ذلك في التقويم، ونفّذه مرة كل ربع سنة على الأقل، وقس زمنه بالساعة. ذلك الزمن المقيس هو RTO الحقيقي لديك، خلافاً للرقم المكتوب في المستند.

ما الذي يجب أن يغطيه التعافي من الكوارث

البيانات هي الجزء البديهي ونادراً ما تكون الجزء البطيء. أما ما يُطيل عمليات التعافي فهو غالباً ما لم يدرجه أحد في القائمة.

قاعدة البيانات، ويتذكرها الجميع. الملفات المرفوعة، التي تعيش في مكان منفصل وكثيراً ما لا يوجد لها نسخ احتياطي إطلاقاً. الإعدادات والمفاتيح السرية، التي لا توجد في أحيان كثيرة إلا على الجهاز العامل. نظام أسماء النطاقات والشهادات، التي يتعذر إنشاؤها بسرعة إذا كان الحساب الذي يحتفظ بها هو نفسه ما فقدته. البنية التحتية ذاتها، أي الخوادم والشبكات والقواعد، وهي سريعة إعادة البناء إذا كانت معرّفة على هيئة كود، وبطيئة إلى حد مؤلم إذا أُنشئت بالنقر.

ثم معرفة كيفية ارتباط هذا كله ببعضه، وهي العامل الأكبر منفرداً في تحديد زمن التعافي داخل فريق صغير. النظام الذي يستطيع شخص واحد إعادة بنائه من ذاكرته يكون زمن تعافيه مساوياً لمدى توفر ذلك الشخص، وهذا ليس خطة.

اكتب الجرد قبل الخطة. معظم الفرق تكتشف أثناء إعداد تلك القائمة مكوّناً واحداً على الأقل بلا أي نسخة احتياطية، واكتشافه بهذه الطريقة أرخص كثيراً من البديل.

خطة تتسع لصفحة واحدة

المستندات الطويلة لا تُقرأ أثناء الحادث. اهدف إلى شيء يستطيع شخص مرهق أن يتبعه في الثالثة فجراً دون حاجة إلى التفكير.

يجب أن تتضمن الخطة: من يقرر أن التعافي قد بدأ، لأن التردد في الإجابة عن سؤال ما إذا كان هذا يُعد كارثة هو مصدر شائع جداً للتأخير. أين توجد النسخ الاحتياطية وكيف تصل إليها، بما في ذلك بيانات اعتماد لا تعتمد على النظام المتعطل. خطوات الاستعادة بالترتيب، ومحددة بما يكفي لاتباعها دون ارتجال. كيف تتحقق من نجاح العملية، أي فحص ملموس بدلاً من انطباع بأن الموقع يفتح. ومن الذي يجب إبلاغه، داخلياً وخارجياً.

احتفظ بها في مكان ينجو من العطل. خطة التعافي المخزنة داخل النظام الذي يفترض أن تستعيده فقط خطأ متكرر ويمكن تفاديه بالكامل.

المنطق نفسه ينطبق على الوصول. إذا كان شخص واحد يمتلك بيانات اعتماد حساب الاستضافة فإن زمن تعافيك محكوم بما إذا كان سيرد على الهاتف. يغطي دليل تحصين خادم Linux ضوابط الوصول التي يعتمد عليها هذا كله.

متناسب لا مثالي

الفريق الصغير لا يحتاج إلى نظام احتياطي ساخن في منطقة ثانية. التكلفة حقيقية، والتعقيد يجلب معه أنماط أعطال خاصة به.

ما تحتاجه معظم الفرق الصغيرة أرخص كثيراً: نسخ احتياطية في حساب منفصل ببيانات اعتماد لا تستطيع البيئة الحية استخدامها، واستعادة مختبرة ومقيسة زمنياً وفق جدول، وبنية تحتية معرّفة على هيئة كود بحيث يمكن إعادة إنشائها دون تنقيب أثري، وخطة من صفحة واحدة قرأها أحدهم فعلاً.

هذه المجموعة تغطي عطل العتاد، والحذف العرضي، واختراق الحساب، وبرمجيات الفدية، وهي معظم ما يحدث في الواقع. وكل ما يتجاوز ذلك هو قرار حول قيمة أي تقليص إضافي في زمن التوقف، وهذا سؤال موجّه إلى جانب الأعمال لا إلى فريق الهندسة.

تراجع Mecanik هذا كله وتبنيه ضمن خدمة تحليل أمن الخوادم . والسؤال الأول واحد دائماً ولا علاقة له بالتقنية: كم من الوقت تستطيع التوقف، ومن الذي قرر ذلك؟

تدوينات ذات صلة: اتفاقيات مستوى الخدمة التي تعني شيئاً ، أمن سلسلة توريد البرمجيات للفرق الصغيرة ، وكلاء الذكاء الاصطناعي للأعمال: التكلفة ومواضع الفشل وتطوير برمجيات التقنية المالية في بريطانيا: FCA والتكلفة .

الأسئلة الشائعة

ماذا يعني RPO وRTO؟ هدف نقطة التعافي هو مقدار البيانات الذي تستطيع تحمّل خسارته، ولذلك يعني النسخ الاحتياطي الليلي RPO مقداره 24 ساعة. وهدف زمن التعافي هو المدة التي تستطيع تحمّل التوقف خلالها، بما في ذلك الانتباه إلى العطل واتخاذ القرار وتجهيز الموارد والاستعادة والتحقق وإعادة تحويل حركة الزوار. كلاهما قرار تجاري، وكلاهما يكلّف أكثر كلما شُدّ.

لماذا لا تُعد النسخة الاحتياطية غير المختبرة نسخة احتياطية؟ لأن أنماط الفشل لا تظهر إلا عند الاستعادة. المهام تفشل بصمت لأسابيع حين لا يراقب أحد النجاح كما يراقب الفشل، وملفات التفريغ تلتقط بنية الجداول دون البيانات أو تُسقط الجداول المستثناة، ومفاتيح التشفير تقبع على الجهاز الذي تعطّل، والنسخ تعيش في الحساب نفسه الذي يعيش فيه ما تحميه. استعِد مرة كل ربع سنة وقس الزمن.

أين ينبغي تخزين النسخ الاحتياطية؟ في حساب منفصل أو منطقة منفصلة، ببيانات اعتماد لا تستطيع البيئة الحية استخدامها. النسخة الاحتياطية في البيئة نفسها تحمي من عطل العتاد ومن لا شيء آخر: فهي لا تنجو من اختراق الحساب، ولا من حذف على مستوى الحساب، ولا من برمجية فدية تصل إلى كل ما تصل إليه بيانات الاعتماد نفسها.

ما الذي ينساه الناس عند التخطيط للتعافي من الكوارث؟ الملفات المرفوعة المخزنة بمعزل عن قاعدة البيانات، والإعدادات والمفاتيح السرية التي لا توجد إلا على الجهاز العامل، ونظام أسماء النطاقات والشهادات المحفوظة في حساب قد يُفقد هو نفسه، والبنية التحتية التي أُنشئت بالنقر بدل تعريفها على هيئة كود، ومعرفة كيفية ارتباط الأجزاء ببعضها حين يمتلكها شخص واحد فقط.

هل يحتاج الفريق الصغير إلى نظام احتياطي ساخن؟ غالباً لا. التكلفة حقيقية، والتعقيد المضاف يجلب أنماط أعطال خاصة به. النسخ الاحتياطية في حساب منفصل، والاستعادة المختبرة والمقيسة زمنياً، والبنية التحتية المعرّفة على هيئة كود، وخطة من صفحة واحدة قرأها أحدهم، ستغطي عطل العتاد والحذف العرضي واختراق الحساب وبرمجيات الفدية، وهي معظم ما يحدث.