معظم الشركات التي تبدأ العمل معنا تعتقد أن لديها نسخة احتياطية. في الواقع لديها مجلد يتزامن مع السحابة، أو قرص خارجي موصول بالخادم طوال الوقت. برنامج الفدية يجد كليهما. النسخ الاحتياطي الحقيقي هو نسخة لا تستطيع البرمجيات الخبيثة الوصول إليها، وقد استعاد منها أحدهم البيانات بنجاح بالفعل.
قاعدة 3-2-1، بلغة بسيطة
قاعدة 3-2-1 هي أول ما نتحقق منه لدى أي عميل جديد. ليست معقدة، وهي تغطي معظم السيناريوهات التي تُسقط الشركات.
- ثلاث نسخ لكل ما هو مهم. النسخة الأصلية، ونسختان احتياطيتان منفصلتان إضافيتان.
- نوعان من الوسائط على الأقل. ليس قرصين في خزانة الاتصالات نفسها، بل مثلاً تخزين محلي وسحابة معاً.
- نسخة واحدة خارج الموقع. إذا وقع حريق أو فيضان أو اختراق للشبكة، فلن تكون هذه النسخة موجودة هناك.
نضيف إلى هذه القاعدة بنداً رابعاً، ونراه الأهم على الإطلاق. نسخة واحدة يجب أن تكون غير قابلة للحذف أو التشفير، حتى لو حصل المهاجم على كلمة مرور مدير الشبكة.
عملياً يبدو الأمر هكذا: نسخة محلية سريعة تستعيدون منها ملفاً واحداً في دقائق، ونسخة في السحابة للاستعادة بعد حادث، ونسخة مقفلة لا يمكن المساس بها طوال فترة الاحتفاظ. النسخ الثلاث تعمل تلقائياً، ولا يحتاج أي من موظفيكم إلى تذكّر توصيل قرص يوم الخميس.
نسخة احتياطية لم تستعيدوا منها ليست نسخة احتياطية
في سنوات عملنا في الميدان رأينا ذلك مراراً. هناك مهمة نسخ احتياطي، وتقرير يُرسل بالبريد، ومدير مطمئن. ثم يأتي اليوم الذي يلزم فيه الاستعادة، ليتبيّن أن المهمة كانت تعمل على مجلد نُقل قبل عام، أو أن الملف مشفّر بكلمة مرور لا يذكرها أحد.
النسخة الاحتياطية التي لم تفحصوها ليست تأميناً، بل أمنية.
لذلك لا تُعتبر النسخة الاحتياطية سليمة إلا بعد استخراج ملف منها فعلياً، وبعد تشغيل خادم كامل من نسخة. وكل ذلك يجب أن يُوثّق: من فحص، ومتى، وكم استغرق الأمر.
التقرير الأخضر في البريد يعني أن المهمة انتهت، لا أن البيانات سليمة. رأينا نسخاً احتياطية عملت بنجاح نصف عام على قاعدة بيانات مفتوحة، فكان الملف الناتج عنها لا يُفتح أصلاً. الفرق بين الحالتين لا يظهر إلا عند المحاولة. لدينا، فحص الاستعادة جزء من الخدمة الدورية، وليس شيئاً يُطلب على حدة.
ماذا يفعل برنامج الفدية بأقراص الشبكة ومجلدات المزامنة
برنامج الفدية لا يتوقف عند الحاسوب المصاب. بل يمسح الشبكة ويبحث عن كل ما يمكن لهذا المستخدم الكتابة إليه.
- الأقراص المعيَّنة على الشبكة. القرص المشترك على الخادم يُشفَّر كأنه مجلد محلي. فإذا كانت للموظف صلاحية الكتابة، فهي متاحة أيضاً لبرنامج الفدية.
- مجلدات المزامنة. OneDrive أو Dropbox أو Google Drive ترفع الملفات المشفرة إلى السحابة خلال دقائق. المزامنة ليست نسخاً احتياطياً.
- نسخة احتياطية متصلة دائمًا. القرص الخارجي الذي يبقى موصولًا بالخادم، أو مجلد النسخ الاحتياطي على الشبكة، يُمحى أولًا. وهناك بالضبط يجري البحث.
- النسخ الاحتياطية للنظام. نسخ الظل والنسخ الاحتياطية المحلية تُحذف بأمر واحد، حتى قبل أن يبدأ التشفير أصلاً.
من يهاجم الشركات يعرف أين توجد النسخة الاحتياطية، ويحذفها أولًا. لهذا فإن نسخة لا يمكن حذفها، أو نسخة مفصولة فيزيائيًا عن الشبكة، هي الفرق بين أسبوع من المتاعب وبين شركة تغلق أبوابها.
RPO وRTO، بلغة الشركات
رقمان يحددان النسخ الاحتياطي لديكم، ومن الأفضل أن يحددهما المدير وليس الفني. RPO هو حجم العمل الذي تقبلون خسارته. RTO هو المدة التي تقبلون خلالها التوقف عن العمل.
| نوع البيانات | حجم العمل الذي يمكن خسارته | خلال أي مدة تعودون إلى العمل |
|---|---|---|
| نظام المحاسبة أو ERP | حتى 15 دقيقة | حتى ساعتين |
| صناديق البريد والمستندات | حتى ساعة | حتى أربع ساعات |
| محطة عمل موظف | حتى يوم | حتى يوم عمل واحد |
| الأرشيف والمشاريع المنتهية | حتى 24 ساعة | حتى أسبوع |
هذا الجدول مثال وليس وصفة جاهزة. في مكتب محاسبة خلال موسم التقارير تصبح الأرقام أكثر تشددًا بكثير، وفي استوديو تصميم يكون الأرشيف تحديدًا هو الأصل الأثمن. نحن نملأ هذا الجدول معكم، قبل أن نقرر أي حل نشتري.
هذا الترتيب يوفر المال ولا يضيف الأمان فقط. حين تعرفون أن أرشيف سنوات يمكنه الانتظار أسبوعًا، لا داعي للدفع مقابل استرجاعه الفوري. وحين تعرفون أن نظام التحصيل لا يمكنه التوقف أكثر من ساعتين، يصبح واضحًا لماذا يستحق الاستثمار فيه تحديدًا. النسخ الاحتياطي الصحيح هو دائمًا ترتيب أولويات، وليس صندوقًا واحدًا يناسب الجميع.
ماذا ننسخ احتياطياً غير الملفات
نسخ الملفات احتياطيًا هو جزء من العمل فقط. هذه هي الأمور التي تُنسى عادةً، ومن دونها يتعطل الاسترجاع.
- صناديق البريد وMicrosoft 365. السحابة تحمي من عطل الأجهزة، لكنها لا تحمي من الحذف، ولا من موظف غادر، ولا من حساب تعرض للاختراق. هناك حاجة إلى نسخة احتياطية منفصلة للبريد ومجلدات المشاركة والفرق.
- خوادم كاملة. ليست البيانات وحدها، بل نسخة كاملة للجهاز يمكن تشغيلها على عتاد آخر من دون إعادة تثبيت كل شيء.
- الإعدادات والتكوين. جدار حماية، ومبدّل شبكة، وطابعات شبكية، وساعة حضور، ومنظومة هاتفية. عملية الاستعادة تتوقف عند هذه الأمور بالذات.
- الاشتراكات والنطاقات وصناديق البريد. مَن يملك النطاق، ومَن يدفع الاشتراك، وأين رمز التحقق. في لوحة التحكم لإدارة IT الذي نبنيه لكل عميل يجمع كل شيء في مكان واحد، بما في ذلك الأجهزة حسب كل موظف.
- كلمات المرور والتوثيق. إذا كان التوثيق الوحيد محفوظًا في ملف على الخادم الذي جرى تشفيره، فلا يوجد توثيق.
ما يعطل عمليات الاسترجاع هو في الغالب من النوع الممل. طابعة لم تجد برنامج التشغيل، نظام ينتظر ترخيصًا، واجهة ربط مع البنك تطلب إعادة المصادقة. الملفات تعود خلال ساعة، لكن المكتب لا يعود إلى العمل إلا بعد يومين. لذلك نتعامل مع التكوين والتوثيق كبيانات بكل معنى الكلمة.
تمرين استعادة، مرة في السنة
التمرين لا يحتاج إلى أن يكون حدثًا كبيرًا. ساعتان في السنة، في وقت يناسبكم، وتعرفون إن كان النظام يعمل فعلًا.
- نختار مسبقًا ما سنسترجعه: صندوق بريد واحد، مجلد عمل وخادم واحد.
- نُخرج النسخة الاحتياطية المحلية من المعادلة ونسترجع من النسخة البعيدة، كما في الحالة الحقيقية.
- نقيس بالساعة كم استغرق الأمر حتى عاد النظام إلى العمل، وليس حتى انتهى نسخ الملفات.
- نتحقق من صحة البيانات، ومن أن المستخدمين يسجلون الدخول، ومن أن الطابعات وواجهات الربط تعمل.
- نسجل ما تعطل ونصلحه قبل التمرين التالي.
في كل تمرين تقريبًا يظهر شيء صغير كان سيوقف الاسترجاع الحقيقي: ترخيص، كلمة مرور، عنوان شبكة أو واجهة ربط مع مورد. من الأفضل اكتشافه في ساعتين مخططتين بدلًا من الثالثة فجرًا.
الساعة الأولى، عندما يحدث ذلك
إذا رأيتم ملفات بامتداد غريب أو رسالة فدية على الشاشة، فترتيب الخطوات مهم. هذا ما نقوله لعملائنا عبر الهاتف.
- نفصل المحطات والخوادم المشبوهة عن الشبكة، سواء بالكابل أو لاسلكيًا. لا نطفئها، لأن الإطفاء يفقدنا معلومات تساعد في التشخيص.
- نفصل النسخة الاحتياطية. القرص الخارجي نخرجه، وحساب النسخ الاحتياطي السحابي نجمّده قبل أن تستمر المزامنة.
- نغيّر كلمات مرور مديري النظام من محطة نظيفة، ونتحقق ممن اتصل من الخارج.
- نتصل هاتفيًا بمن يتولى IT لديكم. عندنا استجابة خلال 10 دقائق، والعطل المعطِّل تتم معالجته خلال 30 دقيقة، على مدار 24 ساعة.
- لا ندفع ولا نتراسل مع المهاجم بمفردنا. نوثّق كل شيء، ونبلّغ هيئة الأمن السيبراني الوطنية الإسرائيلية وشركة التأمين إن كانت لديكم وثيقة تأمين سيبراني.
من هذه اللحظة الأمر ماراثون وليس سباقًا قصيرًا. أولًا نتأكد من أن المهاجم لم يعد في الشبكة، ثم نبني بيئة نظيفة، وعندها فقط نعيد البيانات وفق ترتيب الأولويات الذي حددتموه مسبقًا. من يسترجع إلى شبكة لا تزال مصابة يمر بالعملية كلها مرتين. نحن متاحون 24/7 ويمكن الاتصال على 050-8271299 في أي ساعة.
الأسئلة الشائعة
كل ملفاتنا في Microsoft 365، هل نحتاج إلى نسخة احتياطية إضافية؟
نعم. السحابة تضمن ألا يتعطل خادم Microsoft، لكنها لا تضمن بقاء بياناتكم. حذف قام به موظف، أو حساب مخترق، أو برنامج فدية يزامن ملفات مشفّرة، كلها تصيب السحابة أيضاً. النسخ الاحتياطي الخارجي للبريد والمشاركات وفرق Teams إضافة صغيرة في التكلفة.
ما الفرق بين المزامنة والنسخ الاحتياطي؟
المزامنة تعكس الحالة الحالية على جميع الأجهزة، بما فيها الأخطاء. إذا حُذف ملف أو شُفّر، تنقل المزامنة ذلك إلى الجميع خلال دقائق. أما النسخ الاحتياطي فيحفظ نسخاً سابقة ويتيح العودة إلى نقطة ما قبل الضرر.
كم مرة يجب إجراء النسخ الاحتياطي؟
يتحدد ذلك بحسب كمية العمل التي تقبلون خسارتها. النظام الذي تعمل عليه الشركة بكاملها يُنسخ عادةً كل 15 دقيقة إلى ساعة، والأرشيف يمكن نسخه مرة يومياً. نحدد ذلك معكم، لكل نظام على حدة، لا وفق قاعدة واحدة لكل الشركة.
دفعنا ثمن نسخ احتياطي قبل عامين، هل يكفي ذلك؟
ليس مؤكداً. يجب التحقق من أن المهام ما زالت تعمل على المجلدات الصحيحة، وأن هناك نسخة لا يمكن حذفها، وأن أحداً استعاد منها فعلياً. فحص كهذا يستغرق لدينا نحو ساعة في جلسة تقييم، بلا تكلفة وبلا التزام.
إذا تعرضنا لهجوم، كم يستغرق العودة إلى العمل؟
يعتمد على ما كان مُعدّاً مسبقاً. الشركة التي تملك صور أجهزة كاملة ونسخة معزولة تعود إلى العمل عادةً في اليوم نفسه أو في اليوم التالي. أما الشركة التي تعتمد على نسخة احتياطية حُذفت مع الخادم فقد تخسر أسابيع، وأحياناً بيانات لا تعود.
مرتبط بالموضوع: خدمات تكنولوجيا المعلومات المُدارة وأمن المعلومات · لوحة تحكم إدارة تكنولوجيا المعلومات · خوادم وتخزين بأسعار المستورد · طلب فني