Články.

Data obnovená, služba stojí

Typický test obnovy ověří, že se server nebo soubor vrátí. Služba ale stojí na dalších službách a ty běžná kontrola zálohy neověří:

• Čas. Bez synchronizovaného času selže ověřování i kontrola certifikátů.
• Identita a jmenné služby. Bez adresářové služby (Active Directory, Microsoft Entra ID) a DNS (Domain Name System) se nikdo nepřihlásí a systémy se navzájem nenajdou.
• Certifikáty a klíče. Šifrovanou zálohu neobnovíte bez dostupné správy klíčů, komunikaci mezi systémy zastaví chybějící certifikační autorita.
• Licence. Aktivace, která potřebuje spojení ven, nebo licenční server, se kterým nikdo nepočítal.
• Síť. Adresy, směrování a pravidla firewallu pro prostředí, do kterého se obnovuje.

Kruhové závislosti

Nejzrádnější jsou závislosti, které se navzájem blokují. V běžném provozu nevadí, při obnově z nuly zastaví všechno. Zálohovací server ke startu potřebuje produkční adresářovou službu, kterou má teprve obnovit. Plán obnovy leží na sdíleném disku, který se obnovuje.

Mimo IT

Obnova stojí i na tom, co v žádném nástroji nevidíte: napájení a chlazení, přístup do budovy a serverovny mimo pracovní dobu, náhradní hardware a lidé, kteří vědí, co dělat, včetně jejich zástupu. Tuto vrstvu prověří až skutečný test obnovy, nikoli kontrola zálohy.

Zdokumentované pořadí obnovy není důkaz. Důkazem je pokus.

Na co se zeptat

• Obnovili jste někdy celou službu, nebo jen jednotlivé servery?
• Naběhne váš zálohovací server, když kolem něj neběží nic jiného?
• Kde najdete plán obnovy a hesla, když nefungují systémy, které je drží?

Úspěšná záloha je předpoklad. Doklad o odolnosti je až služba, která po obnově skutečně běží, a čas, za který se to podařilo.

Souvisí se službou Ověření obnovy.

Co znamená oddělení

Air-gap (doslova vzduchová mezera) původně znamenal fyzicky odpojené médium, typicky pásku v trezoru. Dnes se tak označují i logická řešení. Užitečnější než spor o název je otázka, co se s kopií dá udělat z produkčního prostředí. Kopie je oddělená, když na ni odtud nedosáhne nic: ani přihlášení, ani chyba konfigurace, ani zneužitý účet správce.

Přerušení, nebo zúžení

• Fyzický air-gap: médium mimo dosah jakékoli sítě. Hranicí je lidský proces: kdo médium vyměňuje, kde leží a jak se eviduje.
• Logický air-gap: kopie dosažitelná sítí, chráněná neměnností a oddělenými přihlašovacími údaji.
• Síťové oddělení: samostatný segment s řízeným tokem dat, který stojí na správnosti konfigurace.

U fyzického oddělení je cesta z produkce ke kopii přerušená, u logického a síťového jen zúžená. Omezení není přerušení. Obojí má své místo, jen je dobré vědět, co z toho skutečně máte.

Co air-gap není

• Pásková knihovna trvale připojená do sítě. Páska, kterou ovládá stejný zálohovací server jako produkci, se dá přepsat stejně jako disk.
• Kopie v cloudu se stejnými správci. Pokud se do ní přihlašuje stejný administrátor jako do produkce, je to jen kopie v jiné lokalitě.
• Neměnné úložiště samo o sobě. Neměnnost brání smazání a přepsání, oddělení řeší přístup. Obojí se doplňuje, viz článek o neměnném úložišti.

Rozhodující tedy není jen to, kudy se ke kopii dostanete, ale také kdo k ní může.

Co oddělení nevyřeší

Do izolované kopie se stejně spolehlivě uloží i data, která už byla zašifrovaná nebo poškozená. A pokud je retence kratší než doba, po kterou útočník zůstal v prostředí nepozorován, pocházejí všechny izolované kopie z doby po průniku. Oddělení proto potřebuje kontrolu integrity a dostatečně dlouhou retenci.

Izolace, která se neobnoví, je archiv

Pásky, ze kterých obnova trvá dny. Cloudová kopie, jejíž stažení trvá déle, než firma vydrží bez provozu. Izolovaná kopie má smysl jen tehdy, když víte, za jak dlouho z ní obnovíte kritické služby.

Na co se zeptat

• Kdo ve vašem prostředí dokáže zkrátit retenci zálohy?
• Je vaše izolovaná kopie odpojená, nebo jen hůř dosažitelná?
• Za jak dlouho z ní obnovíte kritickou službu a kdy jste to naposledy zkusili?

Odpovědi ukážou, zda je izolace skutečná, nebo jen popsaná v nabídce. Ověřit ji jde pokusem, ne pohledem do konfigurace.

Souvisí se službou Posouzení a návrh.

Co neměnnost znamená

Kopie je neměnná, když ji do uplynutí stanovené doby nedokáže změnit ani smazat nikdo, včetně toho, kdo úložiště spravuje. Neměnnost nepřináší zálohovací software, ale cílové úložiště: objektové úložiště se zámkem objektů, zabezpečený linuxový repozitář, deduplikační zařízení, diskové pole, cloudová služba nebo páska WORM (Write Once Read Many).

Měkký a tvrdý režim

Většina řešení má měkčí a tvrdší režim, jen je jinak pojmenovává: governance a compliance, v cloudu „zapnuto“ a „uzamčeno“. V měkkém režimu může účet se zvláštním oprávněním zámek zrušit. Chrání tedy před omylem, ne před ukradeným účtem, a právě kvůli němu se neměnnost nasazuje. V tvrdém režimu lhůtu nezkrátí nikdo, ani správce. Z konzole přitom rozdíl na první pohled vidět není.

Kdo ji přesto obejde

• root na linuxovém repozitáři, ať se k serveru dostane jakkoli,
• správce zařízení, pokud je zámek v měkkém režimu,
• kdokoli, kdo posune čas. Retence se počítá podle hodin úložiště, a když se posunou dopředu, lhůta vyprší dřív.

Co neměnnost nechrání

• Data poškozená už při zálohování. Uzamkne se zdravá i zašifrovaná záloha.
• Katalog. Když jde změnit katalog zálohovacího softwaru, data sice zůstanou, ale nikdo neví, co v nich je.
• Nové zálohy. Kdo ovládne zálohovací software, existující kopie nezničí, ale může zastavit vytváření nových.
• Krátkou retenci. Pokud útok odhalíte za šest týdnů a retence je čtrnáct dní, chráníte už jen stav po průniku.

Tvrdý režim má i svou cenu. Špatně nastavenou retenci nejde vzít zpět, kapacita se neuvolní a právo na výmaz podle GDPR nelze splnit smazáním. Patří to do návrhu, ne do reakce.

Neměnnost chrání data před změnou, ne přístup k nim. Proto se doplňuje s oddělením, viz článek o air-gapu.

Na co se zeptat

• V jakém režimu je váš zámek a kdo ho může zrušit?
• Čím je vynucený čas, podle kterého se retence počítá?
• Kdy jste z neměnné zálohy naposledy obnovili celou službu?

Neměnnost, kterou nikdo nezkusil obejít, je jen deklarovaná. Ověří ji pokus o obejití a obnova z uzamčené kopie, ne pohled do konfigurace.

Souvisí se službou Posouzení a návrh.

Pondělí, osm ráno

ERP nenaběhlo. IT obnovuje, ale v jakém pořadí? Fakturace, sklad, výroba, e-shop, mzdy? Kdo rozhodne, co počká? A ví IT, že výroba vydrží čtyři hodiny na papírových průvodkách, ale expedice bez skladu ani hodinu?

Bez BIA se tato rozhodnutí dělají až během výpadku, pod tlakem a podle toho, kdo je nejhlasitější.

Co BIA dává IT

• Priority obnovy odvozené od dopadu na firmu, ne od velikosti serveru.
• Cíle obnovy od vlastníka procesu, ne odhadnuté IT: RTO (Recovery Time Objective) pro čas do obnovení služby a RPO (Recovery Point Objective) pro přípustnou ztrátu dat.
• Pořadí obnovy a závislosti mezi procesy, systémy, lidmi a dodavateli.
• Argument pro rozpočet: když vedení samo stanoví, že proces musí běžet do čtyř hodin, je jasné, kolik to stojí.

Od dopadu k cíli obnovy

BIA nezačíná u RTO, ale otázkou, jak dlouho proces může stát, než jsou dopady pro firmu nepřijatelné (MTPD, Maximum Tolerable Period of Disruption). Cíl obnovy se z této hranice odvozuje a musí být kratší. Druhou důležitou veličinou je minimální přijatelný provoz během výpadku (MBCO, Minimum Business Continuity Objective). Firma často nepotřebuje obnovit všechno naráz, potřebuje vědět, co musí běžet hned.

Kde se ukáže mezera

Teprve když vedle sebe stojí požadavek byznysu a naměřený čas obnovy, je vidět rozdíl. Například výroba potřebuje systém do čtyř hodin, ale test obnovy ukázal dvanáct. S takovou mezerou se dá pracovat: změnit architekturu, upravit postup, nebo vědomě přijmout riziko. To poslední je rozhodnutí vedení, ne IT.

Pozor jen na to, co se měří. Obnovená data ještě nejsou obnovená služba.

Na co se zeptat

• Kdo u vás stanovil cíle obnovy: vlastník procesu, nebo IT?
• Víte, jak dlouho vydrží bez IT váš nejdůležitější proces?
• Porovnali jste požadovaný čas obnovy s naměřeným?

Norma ISO 22301 analýzu dopadů výslovně vyžaduje a NIS2 požaduje řízení kontinuity provozu. Hlavní důvod je ale praktický: bez BIA obnova nemá podle čeho určit, co je důležité.

Souvisí se službou Kontinuita a pravidelná revize.

Kde se náklady skrývají

• Metrika licence. Zálohovací software se platí podle počtu serverů, objemu chráněných dat, objemu uložených dat nebo podle uživatelů. Stejné prostředí může při jiné metrice stát výrazně jinak.
• Podpora ve čtvrtém a pátém roce. U hardwaru bývá v prvních letech v ceně, později je dražší. Nabídka na tři roky ten rozdíl neukáže.
• Růst dat. Kolik bude stát další terabajt za dva roky a je to dané ve smlouvě?
• Garance datové redukce. Platí jen za popsaných podmínek. Šifrovaná a už komprimovaná data se téměř nezmenší.
• Modely jako služba. Platí se za spotřebu, ale nad minimálním závazkem, který je skutečnou spodní hranicí ceny.
• Odchod. Obnovíte staré zálohy, když předplatné skončí?

Dvakrát placená ochrana

Ochranu lze snadno zaplatit dvakrát: neměnné snímky v diskovém poli a zároveň neměnná kopie v zálohování, bez sladěné retence a účelu. Dvě nezávislé vrstvy mohou mít smysl, ale má to být vědomé rozhodnutí, ne náhoda dvou nabídek.

Stejné se stejným

Dvě nabídky se nejlépe porovnávají na stejném rozsahu: stejná data, stejné retence, stejná izolovaná kopie a stejná úroveň podpory, rozložené na pět let. Pak je lépe vidět, co je skutečně levnější a proč.

Na co se zeptat

• Podle jaké metriky platíte a jak se cena změní, když data porostou?
• Kolik bude stát podpora v pátém roce?
• Co se stane s vašimi zálohami, když se rozhodnete pro jiné řešení?

Výsledkem nemusí být nutně nejlevnější nabídka, ale rozhodnutí, které obstojí i za pět let, s doložitelným důvodem, proč bylo zvoleno.

Souvisí se službou Posouzení a návrh.