قبل اعتماد خيار الاستضافة، اكتب قيمتين: أقصى فقد مقبول، أي أطول فترة من البيانات الأخيرة تقبل أن تضيع، وأقصى توقف مقبول، أي أطول مدة تقبل أن تعمل فيها البوابة بالإجراء البديل. ثم اطلب من المورد استرجاعًا فعليًا من نسخة احتياطية إلى بيئة منفصلة أمام فريقك، وقِس القيمتين كما حدثتا، لا كما وُعد بهما.
والاختبار لا ينجح بعودة قاعدة البيانات وحدها. ينجح حين تعود المستندات المرفوعة والإعدادات وسجل التدقيق والحسابات، ويجد الحارس زائرًا معروفًا على شاشة البوابة بحالته الصحيحة. اجعل ذلك شرطًا مكتوبًا قبل القبول.
وجود النسخة لا يثبت الاسترجاع
جملة «لدينا نسخ احتياطية يومية» تجيب عن سؤال لم يُطرح. فالمصنع لا يحتاج النسخة بذاتها، بل يحتاج أن يعود النظام إلى البوابة خلال مدة يعرفها، وبفقد يعرف حجمه. وبين النسخة والعودة أربع فجوات تظهر عادة في أول اختبار:
- مكونات خارج النسخة: وثائق المقاولين المرفوعة قد تُحفظ في مخزن ملفات مستقل عن قاعدة البيانات، فيعود الملف بلا مرفقاته. وكذلك الإعدادات وقوالب الإشعارات وإصدارات محتوى التوعية.
- زمن لا يعرفه أحد: لم يُقَس قط كم يستغرق الاسترجاع بحجم البيانات بعد سنة تشغيل، ولا من ينفّذه إن وقع العطل ليلًا.
- ترتيب العودة: عودة الخادم لا تعني عمل البوابة. فشاشة البوابة تحتاج الحسابات والصلاحيات وروابط الزوار وقناة الإشعارات أيضًا.
- ما بعد نقطة النسخة: كل تصريح صدر وكل دخول سُجّل بعد آخر نسخة يختفي. وفي المصنع، معنى ذلك أن قائمة الموجودين بعد الاسترجاع قد لا تضم أشخاصًا داخل الموقع فعلًا.
تذكر صفحة الاستضافة وأمن البيانات أن النسخ في الاستضافة المدارة دورية بسياسة وتواتر يُتفق عليهما، مع اختبار الاسترجاع لا الاكتفاء بوجود النسخ، وأن النسخ في التشغيل الداخلي يتبع سياسة المنشأة. لكن الصفحة لا تنشر قيمًا للفقد أو التوقف، وهذا صحيح، لأنها تُتفق لكل مشروع. وهذا المقال يساعدك على تحديدها واختبارها.
قيمتان تكتبهما قبل أي اختبار
يُعرف المصطلحان في الأدبيات التقنية باختصارين إنجليزيين، RPO وRTO. لكن الأوضح لصاحب القرار في المصنع أن يُصاغا بلغة البوابة:
| القيمة | السؤال الذي تجيب عنه | يحددها عمليًا |
|---|---|---|
| أقصى فقد مقبول | لو عاد النظام الآن من آخر نسخة، كم ساعة من التصاريح والدخول والخروج والاعتمادات نقبل أن نعيد إدخالها أو نفقدها؟ | تواتر النسخ، ووجود سجل ورقي أو مطبوع يغطي الفترة المفقودة |
| أقصى توقف مقبول | كم ساعة تستطيع البوابة أن تعمل بالإجراء البديل قبل أن يتعطل التشغيل أو تضيع السيطرة على الموجودين؟ | سرعة الاسترجاع، ومن ينفذه، وجودة الإجراء البديل عند البوابة |
القيمتان قرار تشغيلي قبل أن تكونا قرارًا تقنيًا. لذلك لا تتركهما لتقنية المعلومات وحدها. فمسؤول أمن البوابات هو من يعرف كم ساعة يصمد الدفتر البديل في ذروة الصباح، ومسؤول المقاولين هو من يعرف ما يعنيه ضياع اعتماد عشرين وثيقة رُفعت أمس.
لا تنشر صفحات الموقع قيمًا لأقصى فقد أو أقصى توقف، ولا نسبة توفر، ولا موقعًا بديلًا للتعافي من الكوارث. فلا تفترض أيًا منها في المقارنة. اكتب قيمك في طلب العرض، واطلب من كل مورد أن يرد عليها كتابيًا بما يلتزم به، وبما يلزم لتحقيقه من تواتر نسخ وتكلفة.
جدول القيمتين بحسب أثر البوابة
لا تكتب قيمة واحدة للنظام كله قبل أن تسأل: ما البوابة الأكثر تضررًا؟ فالقيمة تُحدد على أصعب بوابة، لأن الاسترجاع يعيد النظام كله دفعة واحدة. وهذه أنماط شائعة، فاختر الأقرب إليك:
| نمط البوابة | أثر ساعة توقف | أثر ساعة بيانات مفقودة | ما يحسم القيمة |
|---|---|---|---|
| بوابة رئيسية بورديات متصلة ومقاولين | تغيير وردية بلا شاشة، وتمديدات تصاريح لا يملك الحارس منحها | دخول فرق لا يظهر في قائمة الموجودين بعد العودة | هل يوجد إخراج دوري مطبوع للقائمة يغطي الفترة؟ |
| بوابة نهارية لزوار الأعمال | تأخير الاستقبال، ويمكن التسجيل يدويًا | زيارات قليلة يسهل إعادة إدخالها | عدد الزيارات في أسوأ ساعة |
| بوابة شاحنات بنوافذ مواعيد | طابور شاحنات وتأخر الاستلام | مواعيد معدّلة وإشعارات للمستودع تضيع | طول الطابور الذي تتحمله الساحة خارج البوابة |
| نظام مركزي لعدة مصانع | كل المواقع تعمل بالبديل في وقت واحد | فقد في كل المواقع معًا | قدرة الفريق على تنسيق المطابقة في كل موقع |
وعندما تكون لديك القيمة التي تحتملها أصعب بوابة، اسأل سؤالين قبل أن تكتبها: كم يكلف المورد تحقيقها؟ وكم يكلفك أنت تحسين الإجراء البديل بدلها؟ فأحيانًا يكون الإخراج الدوري لقائمة الموجودين مطبوعة أو مصدّرة بجدول زمني، وهو متاح في النظام، أرخص من مضاعفة تواتر النسخ. وإجراء البوابة أثناء التوقف نفسه موضوع مقال الخطة البديلة عند انقطاع الاتصال، فلا نكرره هنا.
بروتوكول الاسترجاع في سبع خطوات
تجربة استرجاع نظام الزوار قبل اعتماد الاستضافة
يُنفَّذ في بيئة منفصلة عن التشغيل، بحضور تقنية المعلومات ومسؤول النظام ومشرف بوابة. ويُكتب محضره بالأوقات الفعلية. في الاستضافة المدارة ينفذه المورد، وفي التشغيل الداخلي ينفذه فريقكم بدعم المورد للتطبيق، كما ستكون الحال يوم العطل الحقيقي.
- اتفاق مكتوب قبل البدء: القيمتان المستهدفتان، والمكونات التي يجب أن تعود (قاعدة البيانات، والمستندات المرفوعة، والإعدادات، وسجل التدقيق، والحسابات والصلاحيات)، ومعيار النجاح لكل مكون، ومن ينفذ ومن يشهد.
- سجلات علامة قبل النسخة وبعدها: أنشئ قبل أخذ النسخة مباشرة مجموعة معروفة: زيارة لزائر اختبار، ورفع وثيقة لمقاول اختبار، وإصدارًا جديدًا لمحتوى توعية، وتعديل صلاحية. ثم أنشئ بعد النسخة مجموعة ثانية. فالأولى يجب أن تعود، والثانية يجب ألا تعود. بهذا تقيس الفقد فعلًا لا افتراضًا.
- إعلان العطل وتشغيل الساعة: يُسجَّل وقت البدء كأن النظام فُقد في تلك اللحظة. ولا يُحسب الاسترجاع من لحظة بدء الفني عمله، بل من لحظة الإعلان. فزمن الوصول إلى من ينفذ جزء من التوقف.
- الاسترجاع بالإجراء الموثق: يُنفَّذ من الوثيقة المكتوبة لا من ذاكرة شخص. وكل خطوة تحتاج قرارًا أو صلاحية غير متاحة تُسجَّل، لأنها ستتكرر ليلًا.
- فحص السلامة: تُقارن أعداد السجلات بحسب النوع بما كانت عليه عند نقطة النسخة. وتُفتح عينة من المستندات المرفوعة. ويُتحقق من أن سجل التدقيق عاد ولا يقبل التعديل، وأن مسارات الاعتماد وإصدارات التوعية والصلاحيات كما كانت.
- اختبار البوابة: يبحث مشرف البوابة عن زائر العلامة الأول، فيجد حالته وتصريحه. ويسجّل دخولًا، فيظهر في قائمة الموجودين بوقت آخر تحديث. ولا يجد زائر العلامة الثاني. ويتأكد أن رابط تسجيل زائر جديد يعمل من خارج الشبكة.
- المحضر والتكرار: يُكتب الفقد الفعلي والتوقف الفعلي مقابل المستهدف، وما فشل وسببه، والتعديل المطلوب. ويُحدد موعد التكرار: دوريًا، وبعد أي تغيير كبير في البنية أو الإصدار أو مكان التخزين.
ينجح الاختبار حين تتحقق ثلاثة شروط معًا: عادت المكونات الخمسة كلها، وجاء الفقد والتوقف الفعليان ضمن القيمتين، ونجح اختبار البوابة. وإن نجح الاسترجاع وفشل اختبار البوابة، فالنتيجة فشل.
ما بعد الاسترجاع: البيانات المفقودة على البوابة
أغلب البروتوكولات تنتهي عند «عاد النظام». أما في المصنع فيبدأ عند هذه النقطة عمل يجب أن يكون مكتوبًا قبل وقوع العطل، لأن الفترة بين آخر نسخة ولحظة العودة لها أثر على البوابة:
- قائمة الموجودين: تُطابق بالقائمة الورقية أو المطبوعة التي عملت بها البوابة أثناء التوقف. ويُسجَّل دخول من دخل بعد نقطة النسخة، ويُغلق إداريًا بسبب مسجّل من خرج ولم يظهر خروجه.
- التصاريح والاعتمادات: كل اعتماد صدر بعد نقطة النسخة يحتاج إعادة إصدار. ويُبلَّغ أصحابها بأن الرمز السابق لم يعد صالحًا إن لزم ذلك.
- المستندات: يُطلب من الشركات المقاولة إعادة رفع ما رفعته في الفترة المفقودة، ويُعاد اعتماده.
- السجل: كل ما أُعيد إدخاله يُسجَّل حدثًا جديدًا بسبب واضح، ولا يُكتب كأنه وقع في وقته الأصلي. فسجل التدقيق يجب أن يُظهر أن استرجاعًا حدث.
وهنا سؤال يغفل عنه كثيرون. ففي التشغيل الداخلي، النسخ ضمن سياستكم، وقد تحتفظون بنسخ أطول من مدة الاحتفاظ المضبوطة في النظام. فاسأل: إذا حُذف سجل زائر بانتهاء مدته، فكم يبقى في النسخ الاحتياطية؟ وإذا استُرجعت نسخة قديمة، فهل يعود سجل كان يجب أن يُحذف؟ اسأل المورد كيف يعالج ذلك، واعرض الجواب على من وضع جدول الاحتفاظ لديكم.
ما يُكتب في العرض والعقد
القيم والاختبار لا تحمي المصنع ما لم تُكتب. هذه أربع صياغات تُضاف إلى طلب العرض، ثم تنتقل إلى اتفاق مستوى الخدمة:
- «يحدد المورد تواتر النسخ ومدة الاحتفاظ بها ومكان حفظها، ويذكر أي المكونات تشملها النسخة: قاعدة البيانات والمستندات المرفوعة والإعدادات وسجل التدقيق».
- «يرد المورد على قيمتي أقصى فقد وأقصى توقف المذكورتين في الطلب بما يلتزم به، وما يلزم لتحقيقه وتكلفته إن اختلف».
- «يُنفَّذ اختبار استرجاع وفق البروتوكول المرفق قبل القبول، ويُعد نجاحه شرطًا لاعتماد خيار الاستضافة».
- «يُكرر الاختبار دوريًا بموعد متفق عليه، ويُسلَّم محضره لتقنية المعلومات لدى المنشأة».
وإن كانت منشأتكم ضمن نطاق الضوابط الأساسية للأمن السيبراني، فالاختبار ليس ممارسة جيدة فقط. ففي النسخة الإنجليزية المنشورة من الضوابط (ECC-2:2024)، يشترط الضابط ٢-٩-٣ أن تشمل متطلبات إدارة النسخ الاحتياطية والاسترجاع، كحد أدنى، نطاق نسخ يغطي الأصول التقنية والمعلوماتية الحساسة، والقدرة على الاسترجاع السريع للبيانات والأنظمة بعد الحوادث السيبرانية، والاختبار الدوري لفاعلية الاسترجاع. والنطاق كما تنشره الهيئة يشمل الجهات الحكومية والشركات والجهات التابعة لها، وكل جهة خاصة تملك بنية تحتية وطنية حساسة أو تتولى تشغيلها أو استضافتها. وتطبيق ذلك على حالتكم عند مسؤول الأمن السيبراني لديكم.
ومكان هذه البنود في العقد مع بقية بنود الدعم والخروج يشرحه مقال بنود الدعم والتحديثات والخروج. أما موقع الاختبار في خطة التنفيذ، فيكون قبل الانتقال للتشغيل ضمن مراحل التطبيق والتدريب والدعم، إلى جانب حالات اختبار القبول.
مثال: نسخة يومية وتوقع ساعة
مصنع بثلاث ورديات يكتشف الفجوة بين ما يريد وما يُنسخ
مثال توضيحي افتراضيمثال توضيحي افتراضي، وليس نتيجة تشغيل موثقة لعميل. والقيم فيه أمثلة لطريقة التفكير، لا توصية لمصنعك. مصنع ببوابة رئيسية تعمل على مدار اليوم، يقارن عرضين باستضافة مدارة.
- القيم الأولىكتبت تقنية المعلومات «لا فقد ولا توقف». وحين طُلب من الموردين الرد عليها، جاءت التكلفة غير مقبولة، فعُقدت جلسة مع مسؤول أمن البوابات.
- القيم المتفق عليهاتبيّن أن البوابة تصمد بقائمة مطبوعة نحو أربع ساعات. فكُتب أقصى توقف أربع ساعات. وكُتب أقصى فقد ساعة واحدة، بشرط إخراج القائمة مطبوعة كل ساعة.
- الفجوةأحد العرضين ينسخ يوميًا، فيصل الفقد في أسوأ حالة إلى يوم كامل. فطُلب منه ما يلزم لتواتر أقرب وتكلفته، أو قبول يوم كامل بشرط إجراء مطابقة مكتوب.
- الاختبار الأولعادت قاعدة البيانات خلال المدة، لكن وثيقة مقاول العلامة عادت بلا ملف. فالمستندات كانت في مخزن لم يدخل الإجراء. فشل الاختبار رغم عودة الخادم.
- الاختبار الثانيبعد تعديل الإجراء عادت المكونات الخمسة. ووجد المشرف زائر العلامة الأول، ولم يجد الثاني. وطُبّق إجراء المطابقة على القائمة المطبوعة، فوُقّع المحضر واعتُمد خيار الاستضافة.
أسئلة متكررة
التقرير السابق مفيد كدليل على أن المورد يختبر، لكنه أُجري على بيانات أخرى وحجم آخر، وربما على مكونات أقل. ما يهمك أن تعود بياناتك أنت بمستنداتها، وأن يجد حارسك الزائر على الشاشة. اقبل التقرير السابق مدخلًا، واشترط اختبارك قبل القبول.
لا ينبغي. فالاسترجاع يتم إلى بيئة منفصلة عن التشغيل، والنظام يوفر فصل بيئة الاختبار عن بيئة التشغيل. وتبقى البوابة تعمل كالمعتاد، وتُستخدم سجلات العلامة لقياس ما عاد وما لم يعد.
النسخ هنا ضمن سياسة منشأتكم، فالاسترجاع على فريقكم في الأصل. لكن إعادة تشغيل التطبيق والتحقق من مكوناته قد تحتاج المورد. اكتب ذلك في مصفوفة المسؤوليات: من يسترجع، ومن يتحقق من التطبيق، وبأي وقت استجابة في كل وردية.
هذا سؤال للمورد لا افتراض. صفحات الموقع لا تذكر استرجاعًا جزئيًا لموقع أو لسجل محدد. فإن كان مهمًا لكم، كأن يُحذف إعداد بالخطأ في مصنع واحد، فاطلب الجواب مكتوبًا واختبره في البروتوكول نفسه.
لا توجد قيمة واحدة لكل المنشآت. الشائع أن يُكرر دوريًا بموعد ثابت يُكتب في العقد، وبعد كل تغيير كبير: ترقية إصدار، أو نقل التخزين، أو إضافة موقع، أو تغيير مزود البنية. والأهم أن يُكرر بالبروتوكول نفسه ليُقارن بما سبقه.
- وثيقة ECC-2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني بنسختها الإنجليزية (قسم النطاق وقابلية التطبيق، والضابط ٢-٩ إدارة النسخ الاحتياطية والاسترجاع)
- صفحة الهيئة التي تنشر وثائق الضوابط وتحديثاتها
رُوجع في أكتوبر ٢٠٢٦. النسخة العربية من الضوابط هي المعتمدة في التفسير، وراجع آخر تحديث لها مع فريقك. والمقال لا يقدّم رأيًا قانونيًا.