Disaster Recovery Plan (DRP)-aren garrantzia

Cibererasoak, hardware eta software akatsak, hondamendi naturalak edo baita giza akatsak gero eta ohikoagoak diren arren, enpresa askok ez dute oraindik Hondamendi Berreskuratzeko Plangintza sendoa. Kezkagarria ez da soilik prozedura edo dokumentu baten ezagutza edo falta, baizik eta kultura eta prozesu argirik ez izatea larrialdi bati erantzuteko. Ingurune batean, non minutu bakoitza geldialdi ekonomia eta ospe galerarekin lotzen den, inprobisazioa ez litzateke aukera izan behar.

Erakunde askotan, segurtasun kopiak irregularki egiten dira, haien osotasuna egiaztatu gabe eta eguneratze ziklorik gabe. Baina akats ohikoena eta garestiena berreskurapena probatu ez izana da. Terabyte kopuru handiak izateak ez du balio, une egokian ezin badira berreskuratu behar den denbora barruan edo datuak hondatuta badaude. Probak egitea da bakarrik bermatzen duena prozedurak funtzionatzen dutela, arduradunek nola exekutatu dakitela eta RTO eta RPO helburuak praktikan betetzen direla, ez soilik teoriaren arabera. Horrez gain, garrantzitsua da backup plataformetan alerta eta eguneroko txostenak konfiguratu akatsak garaiz detektatzeko eta sorpresa saihesteko behar den egunean.

Gaur egun, ransomwarea negozioaren jarraipenaren arrisku handienetako bat da. Eraso hauek ez dute soilik produkzio sistemak zifratzen, baizik eta backupak sare berean eskuragarri badaude, ransomwareak hauek ere zifratu nahi ditu. Horregatik, ezinbestekoa da backup inmutagarriak (aldatu edo ezabatu ezin direnak) eta sare segmentazioa bezalako neurriak aplikatzea kopiak babesteko.

Datuen babeserako oinarrizko printzipio bat 3-2-1 araua da: informazioaren gutxienez 3 kopia egitea, 2 medio desberdinetan gordeta, eta 1 kopia kokapen fisiko arrazoizko batekin deslokalizatua, edo hodeian. Praktika honek galera arriskua minimizatzen du eta zerbitzuaren berreskurapena eta negozioaren jarraipena bermatzen du egoera okerrenean.

“Distantzia fisiko arrazoizkoaren” garrantziari buruz, adibide erreal bat dago oso ondo azaltzen duena. 2001eko irailaren 11n, enpresa batzuek beren informazio guztia galdu zuten, CPD nagusia Torres Gemelaketako batean eta backup kopia bestean baitzegoen. Biak erori zirenean, ez zen ezer berreskuratzeko geratu.

Aktibo teknologiko eta informazio guztien zerrenda eguneratua eta dokumentatua (CMDB) izatea funtsezkoa da DRP eraginkorrerako. Inbentario zehatzik gabe, ezinezkoa da zein sistema, aplikazio eta datu diren negozioaren funtzionamendurako kritikoak identifikatzea. Sailkapen honek baliabideak eta ahaleginak lehentasunez jartzeko oinarria ematen du berreskurapenean, jarraipena benetan eragiten duen lehenik berreskuratuz eta geldialdi denbora minimizatuz. Gainera, dokumentazio argiak talde arteko koordinazioa errazten du eta krisi uneetan erabakiak azkartzen ditu.

DRP eraginkorra ez da soilik IT arloaren ardura; konpromiso bat da, erakundeko atal guztiek parte hartzen dutena. Eremu kritiko bakoitzak hondamendi kasuan bere papera ezagutu behar du, prozesuen lehentasunetik hasi eta bezero eta hornitzaileekin komunikaziora arte. Negozioaren jarraipena ez da teknologian bakarrik oinarritzen, baizik eta pertsonen, prozesuen eta sistemaren arteko koordinazioan. Erresilientzia kultura gabe, plan onena ere paperean gelditu daiteke.

DRP bat izatea ez da praktika ona soilik, sektore askotan derrigorrezko araudia da. ISO/IEC 27001 bezalako estandarrak eta markoak, Segurtasun Nazionaleko Esquema (ENS) edo finantza sektorerako DORA araudia negozioaren jarraipen eta hondamendien berreskurapen planak eskatzen dituzte. Eskakizun hauek betetzen ez badira, zigorrak, ziurtagiri galera eta araudi-murrizketak ekar ditzake, beraz DRP ondo diseinatua gobernantza eta betetze tresna garrantzitsua da.

Laburbilduz, galdera ez da istripua gertatuko den ala ez, baizik eta noiz. Eta une hori iristen denean, prestaketan inbertitu duten enpresek bakarrik jarrai dezakete normaltasunez funtzionatzen. DRP eraginkor batek, eguneratutako, monitorizatutako, 3-2-1 araua jarraituz banatutako backup-ek babestua eta berreskuratze-proba periodikoekin, ez da gastua, negozioaren biziraupen poliza bat da.

Eta amaitzeko, galdera garrantzitsu bat: zure enpresa benetan prest al dago? Autoebaluatzeko, galdera hauei ziurtasunez erantzutea beharrezkoa da:

• 3-2-1 araua jarraituz backup-ak al dituzu?

• Urtean behin gutxienez berreskuratze-probak egiten al dituzu?

• Zure RTO eta RPOak definitu eta dokumentatu al dituzu?

• Plana eremu kritikoak barne hartzen ditu, eta ez soilik IT?

Erantzun hauetako batean zalantzarik baduzu, zure DRPk arreta behar du.

Daniel Calzada, Zerolynx-en IT arduraduna Zerolynx by Cybertix