Viability sp. z o.o.

Jak zapewnić ciągłość działania biznesów cyfrowych w trakcie wojny w cyberprzestrzeni?

23 lutego 202223 lutego 2022

Usługi cyfrowe są nieodłącznym elementem naszego życia. Przyzwyczajeni jesteśmy do ich nieustannej dostępności. Dlatego nie jest wcale łatwo budować scenariusze na wypadek zakłócenia funkcjonowania systemu bankowego, niedostępności Internetu, czy na przykład całodniowego blackout’u. Biorąc jednak pod uwagę doświadczenia innych państw (np. Estonii) oraz „warunki wojenne”, należy uwzględnić i takie czynniki w swoich planach BCP. Chodzi o to, by skutecznie chronić ciągłość działania biznesów cyfrowych.

Mamy od wczoraj alarm CHARLIE–CRP i całkiem prawdopodobne, że już wkrótce będzie to DELTA-CRP. Dla instytucji odpowiedzialnych za obiekty infrastruktury krytycznej w naszym kraju, takich jak: banki, elektrownie, firmy telekomunikacyjne, elektrociepłownie, itd., oznacza to zwiększoną gotowość i konieczność prowadzenia całodobowych dyżurów. Chodzi o zapewnienie szczególnego nadzoru w obszarze bezpieczeństwa i ciągłości działania systemów. Czy w związku z tym i my powinniśmy w jakiś sposób zabezpieczyć ciągłość działania biznesów cyfrowych na wypadek wojny w cyberprzestrzeni?

Wektory ataków w cyberprzestrzeni skierowane są na cele, których zakłócenie funkcjonowania odczują duże społeczności. Przykładowo, niedostępność niektórych usług bankowych albo ogrzewania i ciepłej wody na określonym terenie. Mogą to być również długotrwałe wyłączenia energii elektrycznej. Jak widać na przykładach, mimo że atak nie będzie wymierzony w nasz biznes, w jego efekcie może nastąpić zakłócenie ciągłości działania. Jak przeciwdziałać takim sytuacjom?

Oto kilka sposobów zwiększających odporność naszego biznesu cyfrowego na przestój, spowodowany skutkami wojny w cyberprzestrzeni.

Dublowanie dostawców. Wykorzystajmy rozproszony charakter usług internetowych. W Internecie nie da się po prostu wyciągnąć „globalnej wtyczki”. Dlatego, jeżeli masz e-commerce zlokalizowany w Polsce, to replikuj całą witrynę do usługodawcy spoza RP lub na inny kontynent. Wykorzystaj darmowe usługi do ręcznego lub automatycznego zarządzania ruchem, np. CloudFlare. W razie problemów w Polsce, możesz łatwo przełączyć swoich klientów na swój sklep uruchomiony np. w USA.
System bezpieczeństwa. Skorzystaj z komercyjnych narzędzi zabezpieczających, jak na przykład: BitNinja, czy Imunify360, które automatycznie odetną Twoje aplikacje od wielu znanych zagrożeń, a w szczególności od miejsc w sieci o wątpliwej reputacji.
Monitorowanie w trybie ciągłym swoich aplikacji oraz SLA dostawcy. To da Ci szansę na szybką reakcję w razie ataku lub awarii po stronie usługodawcy. Jeżeli coś się stanie z Twoim sklepem, a masz replikę lub kopię, pozwoli Ci to szybko odtworzyć usługę w bezpiecznej lokalizacji. Monitorowanie możesz zorganizować przy pomocy: UptimeRobot lub UpDown.io.
Dodatkowe kanały płatności. Skorzystaj z bramek płatności niezależnych od polskiego systemu bankowego. Dość popularne na zachodzie systemy to PayPal i Stripe. W razie problemów z bankowością w Polsce, nadal będzie możliwe realizowanie transakcji płatniczych. W przypadku sprzedaży dóbr fizycznych ważne jest, aby zaplanować zapasowy łańcuch dostaw.
Kanały komunikacji kryzysowej. Warto zawczasu zorganizować alternatywne metody komunikacji, by zespół wiedział, jak ma się ze sobą porozumiewać w przypadku awarii operatorów GSM, czy niedostępności serwera pocztowego. Z pomocą może przyjść sporo darmowych narzędzi, jak na przykład komunikatory typu: Signal, Viber, Slack, Mattermost, itd.

Masz wątpliwości jak zabezpieczyć swój biznes cyfrowy i potrzebujesz szybkiej pomocy? Może zastanawiasz się, czy DRaaS lub DRC jest dla Ciebie? Skorzystaj z naszej darmowej konsultacji.

Czy kopia zapasowa (backup) to ratunek od przestoju?

14 października 201817 listopada 2020

Po co nam usługi disaster-recovery, przecież my nie żyjemy w Ameryce. W końcu jakie jest prawdopodobieństwo katastrofalnego zdarzenia, które akurat zniszczy nasz budynek? Uwielbiam taką retorykę! A już Albert Einstein mówił: „Wyobraźnia jest ważniejsza od wiedzy, ponieważ wiedza jest ograniczona”. Proponuję zatem nieco poszerzyć nasze horyzonty i rozważyć, czy rzeczywiście w każdym przypadku dobrze wykonany backup to ratunek od przestoju.

Skojarzenie dotyczące katastrof najczęściej bierze się z rozdzielnego tłumaczenia wyrazów „disaster” i „recovery”. Wówczas krążymy wokół zdarzeń kategorii: tornado, upadek statku powietrznego, pożar czy powódź. Tymczasem już Google Translator to zestawienie wyrazów tłumaczy jako: „odzyskiwanie po awarii”. A że awaria me wiele imion i zwykle wydarzy się w najgorszym momencie, to i jest miejsce na rozważania czy ten firmowy backup to na pewno odpowiedź na każdą sytuację. Odpowiedź oczywiście jest przecząca.

Pora na konkrety. Kiedy zdecydowanie potrzebujesz usług disaster-recovery:

Jeśli przetwarzasz dane we własnej serwerowni, która nie spełnia standardu Uptime Institute Tier II lub ANSI/TIA-942 Tier 2.
Gdy nie dublujesz kluczowej infrastruktury (serwery, przełączniki) i nie stosujesz mechanizmów wysokiej dostępności (high availability).
Gdy sprzęt, którego używasz ma więcej niż 3 lata i jest już po gwarancji.
Jeśli Twój kontrakt serwisowy z dostawcą przewiduje naprawę lub wymianę w następnym dniu roboczym (np. 8x5xNBD).
Jeśli godzinna przerwa w dostępności choćby jednego serwera jest biznesowo nie do zaakceptowania.
Jeśli nie masz własnego zespołu IT lub masz tylko jednego fachowca.
Gdy nie masz ubezpieczenia typu business interruption rozszerzonego o systemy IT i dane[1].
Jeśli przywracanie z kopii zapasowej krytycznego serwera zajmuje kilka godzin.

Nawet jeśli tylko jeden z punktów pasuje do sytuacji jaką masz w firmie, powinieneś poważnie rozważyć usługi z zakresu disaster-recovery, np. DRaaS. Jeśli pasujących punktów jest więcej (wyłączając oczywiście pkt. 5 i 7), wówczas ryzyko wystąpienia przestoju jest bardzo wysokie. Kopia zapasowa jest niezbędna, jednak nie przywróci normalnego funkcjonowania, gdy pojawi się problem sprzętowy. W takiej sytuacji potrzebny jest szybki start na innym sprzęcie np. w zapasowej lokalizacji lub w chmurze publicznej dostawcy nawet w ciągu 15 minut.

[1] na dzień pisania tego artykułu w Polsce nie znalazłem takiej oferty.

Nie ma świętości Panie i Panowie. Awaria nie zaczeka!

27 marca 201717 listopada 2020

Prędzej czy później każdy sprzęt zawiedzie. Dlaczego? Bo steruje nim napisane przez ludzi oprogramowanie. Może to trochę obrazoburcze, ale w tej kwestii trudno będzie mnie przekonać. Tempo zmian jest już tak duże, że wyprodukowanie aplikacji bez błędów graniczy z cudem. Pośpiech jest, jak wiadomo, zabójcą dokładności. Jeśli dodać do tego, stale rosnącą liczbę funkcji, i że teraz „każdy może programować”, to przyszłość w kontekście niezawodności jawi się w czarnych barwach. Spoko, jest i na to rada, ale pamiętajcie, awaria nie zaczeka na człowieka!

Zawsze trafiam na najtrudniejsze przypadki. Zawieszony iPhone tak, że trzeba cierpliwie czekać aż bateria się wyczerpie, router sieci domowej, który nie wiedzieć czemu „przyjmuje” tylko połączenia wifi ze smartfonów, a na koniec zawieszający się Polar V800 właśnie wtedy gdy zaczynam trening, grrr! W rezultacie myślę, że gdy ja dzwonię na help-desk techniczny producenta lub dostawcy usług, to wszyscy w tym momencie biegną schronić się do toalety 😉 Tradycyjnie mój przypadek jest nikomu nieznany, a przez to pomoc nigdy nie nadchodzi. Zwykle muszę sam, metodą prób i błędów, zdiagnozować problem i zapanować nad trudną materią. Kosztuje mnie to sporo czasu i nerwów, ale przez to już dawno pogodziłem się z faktem, że nie ma rzeczy/systemów bezawaryjnych. I jeszcze jedno, tak samo jak zakup drogiego auta leczy z przeświadczenia, że drogie i markowe się nie psuje, tak samo powinno myśleć się o swojej własnej serwerowni. Czyż nie?

W dodatku, wszystko zaczyna komunikować się ze sobą nawzajem, a to, plus wszechobecne bezpieczeństwo, jeszcze powiększa złożoność serwowanych nam ekosystemów informatycznych.

Zawsze hołduję nadmiarowości i namawiam Was do tego by, planując zasoby IT, zarówno własne jak i chmurowe, pamiętać o redundancji. Poza tym biznesowo, dla procesów krytycznych musi być wcześniej opracowana „ścieżka awaryjna”. Chcesz działać mimo awarii, przygotuj się na to zawczasu. Nie licz na inteligencję swojej organizacji i że jakoś to będzie. Gdy coś się wydarzy nie będzie czasu na wymyślanie, wtedy trzeba szybo działać by minimalizować przestój.

Zachęcam do zapoznania się z tekstem: „Czy mojej firmie potrzebne jest zapasowe centrum danych (w domyśle – DraaS)?”