בעידן המודרני חשופים עסקים רבים לאיומים על מערכת המיחשוב: החל מפגעי טבע וכלה בתקלות וחבלות מעשה ידי אדם, זאת כאשר אנו מסתמכים יותר ויותר על המחשוב ועל המידע הטמון בו כחלק קריטי וחשוב להמשך תפקודו ורווחיותו של העסק.
ניקח לדוגמא את האינטרנט. אם בעבר עסקים בודדים היו מחוברים לאינטרנט , היום רוב העסקים מחוברים לאינטרנט באופן מקוון, דבר המייעל תהליכים בעסק אך חושף את העסק לסיכונים שכדאי לתת את הדעת עליהם.
מאמר זה לא מנסה להסביר כיצד להפחית את הסיכונים והאיומים השונים בעידן שלנו: וירוסים, סוסים טרויאנים, האקרים, אסונות טבע וכד' (נושא זה הוא כתבה בפני עצמו).
את הסיכונים הנ"ל ניתן להפחית אך לא לבטל. תמיד תישאר מידה מסוימת של סיכון . בכתבה זו נטפל בנושא הגיבויים.
אחד האתגרים הגדולים בתחום המחשוב הנו המשכיות השירות (Business Continuity), כלומר המאמץ להמשיך את תפקוד העסק גם במקרה של אסון (איבוד הנתונים במערכות המחשוב). איסוף מידע קריטי לעסק, ישפיע על מתן השירות של החברה ותפקודה ויגרום לפגיעה במוניטין של החברה ולהפסדים כספיים. כמו כן, יתכן כי הפגיעה בעסק תשפיע גם על מהלך העבודה התקין של הלקוחות או הספקים של החברה ותפגע גם בהם.
ניקח לדוגמא את חברת Morgan Stanley אשר משרדיה היו בבנייני התאומים, חברה זו חזרה לעבודה שוטפת ומלאה תוך פחות מ-24 שעות לאחר פיגוע הטרור. החזרה המהירה לעבודה היתה הודות למערכת הגיבוי החליפית של החברה. מערכת הגיבוי החלופי כללה: חומרה, תוכנה, נתונים ואף אתר חילופי. החברה אומנם השקיעה כ- 100,000$ בחודש על מערך גיבויים זה, אך ניתן להתאים לעסקים קטנים ובינוניים את הפתרונות המתאימים בעלויות נמוכות מאוד ובתקציב מתאים.
כשאנו באים לתכנן את מדיניות הגבויים בעסק עלינו לשאול מספר שאלות:
1) איזה מידע יש לגבות?
2) מהו סוג המדיה המומלץ לגיבוי?
3) סוג הגיבוי?
4) מתי לגבות ובאיזו תכיפות?
5) מי אחראי לגבות את המידע?
6) אחסון, תחזוקה ואמינות הגיבוי?
איזה סוג מידע יש לגבות?
זו השאלה הראשונה שנענה עליה -
בהתייחס לשאלה זו עלינו להתייחס לכמה גורמים ושאלות:
מהו המידע החשוב בעסק? זהו המידע שבלעדיו העסק יתקשה מאוד לתפקד או לא יוכל לתפקד כלל. מידע זה איננו מוכנים לאבד.
רצוי לשאול (בעיקר בארגונים גדולים) אדם אחד מכל מחלקה (מכירות, כח אדם, הנהלת חשבונות וכו') המכיר את המחלקה בה הוא עובד, את התוכנות הנמצאות בשימוש ואת הנתונים. אדם זה יכול לומר לנו בד"כ מה הם היישומים הקריטיים לעבודת המחלקה, ומה יגרום במקרה של נפילת המערכת לקושי תפקודי למחלקה.
שאלה נוספת בהקשר זה היא: מה קובע החוק או מה קובעות התקנות. קיימים חוקים המתייחסים לגיבויי מידע מסוים ושמירת ארכיון שלו, ואי ביצוע תקנות אלו זו למעשה עבירה על החוק החושפת את העסק לתביעות משפטיות, לדוגמא מידע רפואי, מידע הנהלת חשבונות וכו'.
מהו סוג המדיה המומלץ לגיבוי?
לאחר שענינו על השאלה הקודמת, סביר להניח כי אנו מודעים לסדר הגודל של קיבולת המידע (תוך התייחסות לצפי גדילת כמות הנתונים בעתיד בהתאם לתחזית הגידול העסק).
בהתאם לנתון זה את מדיית גיבוי (תוך התייחסות לעמידות המדיה) ומהירות התקן הגיבוי (בהתאם לכמות החומר המגובה).
מומלץ לרכוש מדיות איכותיות מחברות מוכרות .
סוג הגיבוי -
ברוב תוכנות הגיבוי קיימות שלוש שיטות של גיבוי:
גיבוי מלא (Full Backup)
גיבוי שינויים (Differential Backup)
גיבוי מצטבר (Incremental Backup)
גיבוי מלא הוא גיבוי של כל החומר שהוגדר.
גיבוי שינויים הוא גיבוי של כל שינוי שבוצע בנתונים מאז הגיבוי המלא האחרון.
גיבוי מצטבר הוא גיבוי של שינויים מאז הגיבוי המצטבר האחרון.
לכל שיטה חסרונות ויתרונות. עלינו לבחור את שיטת הגיבוי בהתאם לקיבולת הנתונים לגיבוי ואת תכיפות השינויים (החלטה זו צריכה להיעשות בשיתוף ובייעוץ של מחלקת המחשוב בעסק).
מתי לגבות ובאיזו תכיפות -
על מנת לענות על שאלה זו , אנו חייבים לענות על שאלה נוספת: כמה זמן עבודה (כמות מידע) העסק מוכן לאבד בצורה שלא תשפיע מהותית על תפקוד העסק? (שעה, שעתיים, יום עבודה, יומיים).
הכל תלוי בכמות המידע המוזן למערכות המחשוב ובחיוניותו. ישנם עסקים שאיבוד שעת עבודה היא איבוד כמות נתונים שאינה נסבלת. וישנם עסקים שאיבוד מידע של יום עבודה הוא בתחום הסביר מאחר וכמות הנתונים שמוזנת למערכת ביום עבודה היא לא גדולה מידי או חשובה מספיק וניתנת לשחזור על ידי הקלדה מחדש בזמן סביר.
מקובל להכין כ- 5 מדיות שונות - אחת לכל יום עבודה. מומלץ לגבות בכל יום על מדיה נפרדת (אחת לימי א' אחת ל ב' וכו').
יש הנוהגים להכין מדיה נוספת שבועית, ויש אף המחמירים ולהם מדיה נפרדת לכל יום לחודש ימים.
ברוב העסקים נהוג לגבות בסוף שנה את כל המידע (לדוגמא הנהלת החשבונות) ואת הגיבוי לאחסן במקום בטוח (נהוג להכין לפחות שני עותקים).
לעיתים נדרש לבצע גיבוי יזום בזמן שאינו חלק משגרת הגיבויים. לדוגמה גיבוי לפני עדכון גדול למסד נתונים ו/או שינויים משמעותיים במערכת המידע (עדכוני תוכנה וכו'). גם לכך יש להתייחס בקביעת נוהלי הגיבוי בעסק.
מי מגבה -
הגדרת מערכת הגיבוי, התקנה והטמעה תבצע מחלקת המחשוב בעסק, או החברה שנותנת תמיכה למחשוב.
מחלקת המחשוב/אחראי המחשוב בשיתוף עם הגורמים הנוגעים בדבר בעסק ימנו אדם בעסק שתפקידו יהיה להחליף את המדיה בכל סוף גיבוי ולבדוק בקובץ הלוג (רישום המתבצע במחשב) האם הגיבוי בוצע באופן תקין. מחלקת המחשוב / אחראי המחשוב ידאגו להכשיר אדם זה לתפקידו.
חובה לתת תפקיד זה לעובד אחד ולא יותר (ניתן לקבוע אדם נוסף ממלא מקום לאותו עובד)
ככל שמספר האנשים ה"אחראים" לגיבוי גדלים, כך גוברים הסיכויים שהמידע ישתבש בדרך והתוצאה היא שנשאר ללא גיבויים ביום שנזדקק להם.
אחסון תחזוקה ואמינות הגיבוי:
בסוף כל גיבוי יש לרשום על מדיית הגיבוי את תאריך הגיבוי, מהו המידע המגובה, מי גיבה את הנתונים, באיזו תוכנת גיבוי השתמשו ומספר המדיה (במידה וישנם מספר מדיות לכל גיבוי).
מדיות יש להחליף. כל מדיה (קלטת גבוי / תקליטורים וכו') לא יהיו יעילים לאחר כמות שימוש מסוימת. לכן, יש להחליפן בהתאם להוראות היצרן לגבי תכיפות החלפת המדיות, המקובל הוא פעם בחצי שנה עד שנה.
את המדיות הישנות ניתן להשמיד (לאחר ביצוע של גיבויי במדיות החדשות), או לאכסן.
רוב כונני הגיבוי מצריכים ניקוי על ידי קלטת ניקוי מיוחדת אחת למספר פעמים של שימוש (יש לבדוק את הוראות היצרן בהקשר זה) חשוב להקפיד על פעולה זו.
יש לקבוע נוהל לבדיקת מדיית הגיבוי על ידי מדיניות קבועה של שחזור מידע מאותן קלטות למחשב כלשהוא (ללא דריסת חומר קיים) למשל על מחיצה אחרת.
יש לבצע בדיקת תקינות לקלטות. האם תהליך השחזור עובר בהצלחה?. זאת על מנת שלא להגיע ליום בו נזדקק לגיבוי ואז יתברר שהגיבויים בוצעו באופן לא תקין.
יש לקבוע את תכיפות בדיקה זו על פי מדיניות ואופי העסק.
את המדיות שעליהן ביצענו את הגיבוי יש לאחסן במקום בטוח בעסק, למשל בכספת. לנושא יש חשיבות בהיבט של אבטחת המידע בעסק. חשוב לזכור כי המדיה מכילה את המידע הקריטי והרגיש בעסק, ולמעשה ברגע שאין הגנה על המדיה כל החומר בעסק חשוף ולא משנה כמה השקיע העסק בהגנה על מערכות המחשוב. בהקשר זה רצוי לציין כי קיימות כספות חסינות אש מיוחדות לאחסון מדיה. יש להקפיד כי לא מדובר בכספות חסינות אש רגילות המתאימות לאחסון ניירת (נייר נשרף בטמפ' יותר גבוהות ממדיה מגנטית).
חובה להוציא גיבוי אחד בתדירות יומית / פעם ביומיים / שבועית (בהתאם לאופי העסק) מחוץ לעסק למקרה שבו כל המבנה יפגע בצורה זו או אחרת. את הגיבוי יש לאחסן בכספת אצל בעל/ת העסק או אדם אחראי מטעמו.
על מנת לשמור על אמינות הגיבוי מקובל לסרוק את המידע שיהיה נקי מוירוסים לפני הגיבוי. כמו כן בהרבה תוכנות גיבוי קיימת אפשרות לבצע בדיקה שהמידע על הקלטת נכתבת בצורה תקינה (verify).
רצוי להפעיל תכונה זו.
יש לבדוק האם למידע שאנו מגבים ניתן לבצע גיבוי חם (גיבוי הפועל גם כאשר עובדים על הנתונים בזמן הגיבוי) או גיבוי קר (גיבוי בזמן שלא עובדים על הנתונים). על שאלה זו יענו אנשי המחשוב בעסק וזאת בהתאם לתוכנת הגיבוי ולסוג הנתונים המגובים.
לאחר התייחסות לכל השאלות שנשאלו לעיל וקביעת מדיניות מסודרת של גיבויים בחברה, עלינו להמשיך ולבדוק את תקפות ונכונות מדיניות זו באופן קבוע.
יש לקבוע נוהל מסודר של הכנסת תוכנות ו/או יישומים חדשים לעסק, לדוגמה: מה קורה כאשר עובד מסוים קיבל אישור לרכוש תוכנה מסוימת לעסק (לדוגמה: תוכנת שרטוט) אך לא ידעו את מחלקת המחשוב על תוספת זו. ביום בו יקרוס המחשב ואיתו המידע, יתברר כי מעולם לא גובה המידע של תוכנה היות והגורמים הנוגעים בדבר לא עודכנו.
לכן, חשוב לקבוע מדיניות מסודרת של הכנסת תוכנות, ישומים ו/או שינוי של מחיצות וקבצים במחשבים ובשרתים וזאת על מנת שמחלקת המחשוב/אחראי המחשוב יוכלו לעדכן את הגיבויים בהתאם.
עסקים מטבעם גדלים, וכך גם כמות המידע הנמצאת במערכות המחשוב שלהם, האם מידע שהיה נחוץ לפני שנתיים שלוש עדיין נחוץ? האם יש צורך לגבות אותו? האם התווספו תוכנות חדשות? האם התווסף מידע נוסף למערכת? האם בעקבות כך יש צורך לשנות את תכיפות הגיבוי? שאלות אלו יש לבחון כל הזמן.
האם המדיה שעליה אנו מגבים (ואיתה כונן הגיבוי ) עדיין מקובלת בשוק? מה יקרה אם יתברר כי כבר לא מייצרים מדיות מסוג זה - כוננים מסוג זה -
קיימים עסקים רבים שגיבוי את נתוני העסק בדיסקטים מסוג 1.2 ומתקשים כיום למצוא כונן ומחשבים מתאימים לשחזור החומר.
לכן חשוב לוודא שכאשר המדיה או כונני הגיבוי אינם מקובלים בשוק, לשקול מעבר לאמצעי גיבוי אחרים מקובלים יותר.
בהמשך לנקודה זו, מה לגבי ארכיון הגיבויים שלנו? ארכיון הגיבוי של שנים קודמות? מתי המדיה שנמצאת בארכיון אינה תקינה או רצויה?
קיימות חברות המאפשרות לאחסן ולגבות את המידע אצלם, כמו כן ישנן חברות המציעות שרותי גיבוי דרך האינטרנט (חלקן בתשלום וחלקן בחינם), או פתרונות חומרה כדוגמת האפשרות לשני מחשבים / דיסקים מסונכרנים ביניהם המגבים בזמן אמיתי אחד את השני cluster servers . כל אלו הם אמצעים נוספים וחשובים, אך חשוב להבין כי אינם תחליף לנוהל גיבוי מסודר בבית העסק עצמו.
את כל השאלות האלו יש לבחון מבעוד מועד. זיכרו ! גיבויים הם לכאורה הדבר הפחות חשוב עד ליום שבו נזקקים להם. ביום זה מדובר בדבר החשוב ביותר בעסק ומחירו הוא לאין ערוך. לכן עלינו להיות ערוכים מדי יום - לרגע שבו נזדקק לגיבוי. השאלה אינה האם נזדקק להם אלא מתי.
