שרת הקבצים של עסק עם 40 עובדים נפל בשבע בבוקר. הגיבוי של אותו לילה הסתיים בהצלחה, כך אמר הדוח. בשמונה התחיל השחזור, ובשתיים בצהריים הוא עוד לא נגמר: הקבצים חזרו, ההרשאות לא, והמערכת שקוראת מאותה תיקייה לא עלתה. העסק לא איבד נתונים. הוא איבד יום עבודה.
ההבדל בין עסק שחוזר לעבוד בשעתיים לעסק שתקוע עד הערב הוא כמעט תמיד לא איכות הגיבוי. הוא השאלה אם מישהו הריץ תרגיל שחזור לפני שהיה צריך אותו באמת.
מה תרגיל שחזור בודק, ומה דוח גיבוי מוצלח לא אומר
דוח גיבוי מוצלח אומר דבר אחד: העותק נוצר. הוא לא אומר שהעותק נפתח, שמי שצריך לשחזר יודע באיזה סדר לעשות את זה, שיש לו את ההרשאות והסיסמאות בשש בבוקר, ובטח לא כמה זמן זה ייקח.
התיעוד של מיקרוסופט בנושא המשכיות ושרידות אומר את זה ישירות: יש לבדוק את הגיבויים ואת תהליכי השחזור כדי לאמת את שלמותם ו״להבין כמה זמן לוקח תהליך השחזור״. באותו מסמך מיקרוסופט מוסיפה שמי שלא תרגל את תהליכי ההתאוששות בסימולציה של תקלה צפוי להיתקל בבעיות משמעותיות כשיצטרך אותם באמת (Microsoft Azure Reliability).
שני המספרים שהתרגיל מודד: RTO ו-RPO
אותו מסמך מגדיר את שני המושגים בפשטות: RPO הוא משך אובדן הנתונים המקסימלי שאפשר לספוג, ו-RTO הוא משך ההשבתה המקסימלי שאפשר לספוג. שניהם נמדדים ביחידות זמן, לא באחוזים ולא בהבטחות.
וכאן הפער המעשי. את ה-RPO קובעת תדירות הגיבוי, ואותו אפשר לבדוק מול לוח הזמנים בלי לתרגל כלום. את ה-RTO קובע השחזור בפועל, ואותו אי אפשר לדעת בלי למדוד אותו פעם אחת. מיקרוסופט מציינת במפורש שה-RTO צריך לכלול את הזמן שלוקח לשחזר את הגיבוי, ושתרגול התוכנית הוא מה שמאמת שה-RTO בר-השגה.
איך נראה תרגיל שחזור בעסק בינוני
אין צורך להפיל את הסביבה כדי לתרגל. ברוב המקרים מדובר בשחזור לסביבה מבודדת, במקביל לעבודה הרגילה. אלה ארבעת סוגי התרגיל, מהקל לכבד:
| סוג התרגיל | מה הוא בודק באמת | תדירות סבירה | מי מריץ |
|---|---|---|---|
| שחזור קובץ בודד | שהעותק קיים ונפתח | חודשי | איש ה-IT |
| שחזור תיקייה עם הרשאות | שההרשאות והבעלות חוזרות, לא רק הנתונים | רבעוני | ספק ה-IT |
| שחזור שרת או מכונה וירטואלית לסביבה מבודדת | זמן השחזור בפועל, והאם השירות עולה | חצי-שנתי | ספק עם נציג מהעסק |
| תרגיל שולחן, בלי שחזור | מי מחליט, למי מודיעים, מה הסדר | שנתי | מנהל העסק עם ה-IT |
מה בוחרים לשחזר
לא את הקובץ הקל. בוחרים את המערכת שהעסק לא מתפקד בלעדיה חצי יום: הנהלת החשבונות, מערכת ניהול הלקוחות או ההזמנות, תיקיית התיקים השוטפים, תיבת הדואר של מי שחותם על דברים. אם התרגיל לא מרגיש מעט לא נוח, סביר שהוא לא בדק כלום.
מה מתעדים בסוף
דף אחד: שעת התחלה, שעת סיום, מה שוחזר, מי ביצע, מה נכשל ומה תוקן בעקבות זה. זה המסמך שעונה גם לביקורת, גם ללקוח שמבקש לראות נוהל, וגם לשאלה הפשוטה ״מתי בדקנו את זה לאחרונה״. מיקרוסופט מדגישה באותו מקור שהתרגיל צריך לכלול את התהליכים האנושיים ולא רק את הטכניים, וזה בדיוק מה שתיעוד תופס: מי לא היה זמין בטלפון, למי חסרו הרשאות, ואיזו סיסמה אף אחד לא מצא.
שלוש טעויות שחוזרות בתרגילים
- שחזור על גבי הסביבה החיה. תרגיל לא אמור לסכן את מה שעובד. משחזרים לנתיב אחר, לשרת זמני או למכונה וירטואלית מבודדת.
- תרגיל שרץ רק אצל הספק. אם אף אחד מהעסק לא נכח, החלק שבאמת נופל באירוע אמיתי כלל לא נבדק: ההחלטות, הזמינות והתקשורת.
- מדידה בינארית של הצליח או לא הצליח. המספר שחשוב הוא הזמן. בלעדיו אין RTO, יש הערכה.
הגיבוי הוא רק אחד משני הצדדים
המדריך של סוכנות הסייבר האמריקאית CISA להתמודדות עם כופרה (StopRansomware Guide) מחזיק את שני הקצוות יחד. מצד אחד גיבויים מוצפנים ולא מקוונים שנבדקים באופן סדיר בתרחיש התאוששות. מצד שני צמצום מה שחשוף לאינטרנט, כולל סגירת פורטי RDP שאינם בשימוש, אימות דו-שלבי על חיבורי VPN וסריקת חולשות סדירה למכשירים הפונים לאינטרנט (CISA StopRansomware Guide).
זאת חלוקת העבודה הנכונה: תרגיל שחזור מוכיח שאפשר לחזור, וניטור חשיפות חיצוניות מצמצם את הסיכוי שתצטרכו. אצלנו שני הצדדים עובדים יחד: ההמשכיות והגיבוי ב-M-Challenge, והניטור השוטף ב-MCS – Managed Cyber Security.
שאלות שחוזרות
כל כמה זמן צריך תרגיל שחזור מלא?
אין מספר אחד, יש נגזרת של ה-RTO. אם ההתחייבות הפנימית היא לחזור לעבוד בארבע שעות, תרגיל מלא פעם בחצי שנה הוא מינימום סביר, לצד בדיקות קטנות חודשיות.
הגיבוי שלנו בענן, גם אז צריך לתרגל?
כן. ספק הענן מתחייב שהעותק קיים וזמין, לא שהעסק שלכם יודע להחזיר ממנו מערכת שלמה ובכמה זמן. את החשבון הזה פירקנו בהרחבה במדריך גיבוי, שחזור ותגובה לאירוע.
אפשר לתרגל בלי שהעובדים ירגישו?
בדרך כלל כן. שחזור לסביבה מבודדת לא נוגע בסביבה החיה. תרגיל שולחן בכלל לא דורש מערכות, רק חצי שעה של האנשים הנכונים באותו חדר.
מה ההבדל בין תרגיל שחזור לתוכנית התאוששות?
התוכנית היא המסמך: מה קודם למה, מי מוסמך להחליט, לאיזו תשתית מתאוששים ומה ה-RTO המוצהר לכל מערכת. התרגיל הוא מה שמוכיח שהמסמך נכון. אנחנו בונים את שניהם יחד במסגרת המשכיות עסקית ותוכנית התאוששות מאסון.
אם אין בעסק תיעוד של תרגיל שחזור מהשנה האחרונה, זאת כבר התשובה לשאלה אם הוא נדרש. אפשר להתחיל בקטן: מערכת אחת, שחזור אחד לסביבה מבודדת, סטופר. צרו קשר ונרכיב את התרגיל הראשון, כולל רשימת הבדיקה והתיעוד שנשאר אחריו.
אריאל מרום, מייסד ומנכ״ל M-Challenge ומוביל פיתוח MCS – Managed Cyber Security. פעיל בתחום המחשוב, הענן ואבטחת המידע מאז 2007.