En backup er ikke en gendannelse

Hvis I vil sætte en digital medarbejder til at følge jeres backups, bør opgaven derfor ikke være: “Hold øje med, om jobbet lykkes.” I skal først beslutte, hvad I skal kunne få tilbage, hvor frisk kopien skal være, og hvilket bevis der er godt nok, når noget går galt.

I vores egen drift fulgte vi en natlig backup, som først var fejlet, fordi disken var fuld. Næste kørsel sluttede uden fejl, og den krypterede kopi blev verificeret på fjernlageret. Det lukkede den konkrete backupfejl. Det beviste ikke, at data kunne gendannes. Den forskel bør være synlig i jeres opgave fra begyndelsen.

Beslut, hvad I skal kunne få tilbage

Begynd med forretningens behov, ikke med backupværktøjets status. Hvilke data skal være tilgængelige igen, før arbejdet kan fortsætte? Hvor meget nyt arbejde kan I tåle at miste? Og hvor længe kan de berørte mennesker vente på en brugbar gendannelse?

For et ordresystem kan det for eksempel være databasen, de vedhæftede dokumenter og den konfiguration, der forbinder dem. En kopi af databasen alene er ikke nødvendigvis nok, hvis dokumenterne mangler, eller den nye installation ikke kan læse formatet.

Skriv derfor resultatet, så det kan afprøves: “Vi skal kunne gendanne gårsdagens ordrer og åbne de tilhørende dokumenter i et isoleret miljø inden for fire timer.” Tal og tidsrum skal passe til jeres virkelighed; pointen er, at “backup gennemført” ikke er resultatet.

Den beskrivelse afgør også, hvad den digitale medarbejder skal holde øje med. Den skal kunne se, om alle aftalte dele kom med, om kopien er frisk nok, og om den seneste gendannelsesprøve stadig er relevant efter ændringer i systemet.

Giv adgang til både kørslen og kopien

En joblog fortæller, hvad backupsoftwaren forsøgte. For at undersøge resultatet skal der også være læseadgang til den planlagte kørsel, lagerets verifikation, kopiens alder og størrelse samt den plads og de fejl, som kan påvirke næste kørsel.

I den konkrete sag var den nye kørsel succesfuld, fjernverifikationen bestod, og timeren ventede på næste nat. Samtidig var årsagen til den frigivne diskplads ukendt. Det var vigtigt, fordi den næste backup ellers kunne ende i samme fejl, selv om den seneste stod grøn.

Giv ikke adgang til dekrypteringsnøgler eller produktionsdata blot for at gøre kontrollen nemmere. Medarbejderen kan bekræfte, at en kopi findes og har det aftalte omfang. Den kan også kontrollere, om den godkendte gendannelsesvej peger på en navngiven nøgleejer og en nyere prøve, uden at selve nøglen eller følsomme data ligger frit i dens arbejdsrum.

Kvalitetskontrol med en digital medarbejder begynder tilsvarende med et forventet resultat og konkret evidens. I backupopgaven er det systemejeren, der skal acceptere, om den gendannede kopi faktisk er brugbar.

Aftal forskellen på opfølgning og gendannelse

Lad den tilbagevendende kontrol have klare handlemuligheder. Den digitale medarbejder kan samle fejlen, kontrollere plads og sidste vellykkede kopi, oprette en intern sag og følge næste planlagte kørsel. Den kan også sammenligne resultatet med de grænser, I allerede har aftalt.

En genkørsel kræver mere omtanke. Hvis fejlen skyldes en kortvarig netværksforbindelse, kan en ny kørsel være en ufarlig, aftalt reaktion. Hvis disken er fuld, kan samme handling forværre problemet eller fylde et andet område. Derfor bør I kun tillade automatisk genkørsel ved fejl, hvor årsag, kapacitetsgrænse og stopregel er kendt på forhånd.

Selve gendannelsen er en anden handling. Den kan kræve dekryptering, et isoleret testmiljø og adgang til data, som ikke må kopieres vilkårligt. Et menneske bør vælge testens omfang og godkende brugen af data. Den digitale medarbejder kan forberede prøven, samle resultatet og føre det tilbage til driftsoversigten, men tilladelsen følger ikke automatisk med retten til at læse backuploggen.

Brug to forskellige afslutninger

Luk backupfejlen, når der igen findes en frisk kopi med det aftalte indhold, og fjernlagerets kontrol er bestået. Notér samtidig det, der stadig er ukendt. I vores sag var den præcise afslutning: Ny backup gennemført og fjernverificeret; gendannelse ikke testet; årsagen til den frigivne plads ukendt.

Det er ikke en halv løsning. Det er to forskellige spørgsmål, som ikke bør gemmes i samme grønne status.

Gendannelsestesten er først færdig, når de valgte data er hentet tilbage til et egnet miljø, kan åbnes eller bruges som aftalt, og ejeren har accepteret resultatet. Registrér dato, anvendt kopi, tidsforbrug, mangler og hvem der vurderede prøven. Så kan næste kontrol se, om testen stadig dækker det system, I faktisk driver.

CISA anbefaler i sin vejledning om ransomware og genopretning, at kritiske backups holdes offline og krypteret, og at deres tilgængelighed og integritet testes regelmæssigt i et gendannelsesscenarie. En teknisk verificering af kopien er nyttig, men den regelmæssige prøve viser noget andet: om organisationen kan bruge den, når det gælder.

Før resultatet tilbage til den almindelige drift

En bestået prøve skal ændre mere end rapporten. Hvis gendannelsen tog seks timer, selv om I havde brug for fire, skal tidsplanen, systemet eller forventningen rettes. Hvis et dokumentarkiv manglede, skal det ind i næste backup. Hvis ingen kunne finde den nødvendige nøgle, skal ejerskabet af nøglen afklares uden at gøre den bredt tilgængelig.

Det samme gælder efter en fejl. Når den fulde disk er årsagen, skal nogen beslutte, om gamle filer må slettes, kapaciteten skal udvides, eller backuppen skal flyttes. Den digitale medarbejder må gerne dokumentere valgmulighederne, men bør ikke rydde data for at få næste status til at blive grøn.

Brokk & Sindre skriver om, hvorfor en log ikke i sig selv er en vej tilbage. Det gælder også her. Backuploggen hjælper jer med at forstå hændelsen. Først en aftalt gendannelsesvej gør det muligt at rette den.

Begynd med én kopi og én konkret prøve

Vælg ét system, hvor et datatab ville være mærkbart, men hvor en isoleret prøve kan gennemføres uden at forstyrre produktionen. Aftal én kopi og ét genkendeligt resultat: en bestemt mappe, et databaseudtræk eller et lille sæt ordrer med tilhørende dokumenter.

Lad den første afprøvning svare på fem praktiske spørgsmål: Kom de aftalte data med? Kunne de dekrypteres gennem den godkendte vej? Kunne de åbnes i testmiljøet? Hvor lang tid tog det? Og accepterede systemejeren resultatet?

Brug derefter erfaringen til at aftale den tilbagevendende opfølgning. Rutinetjekket kan køre ofte og med læseadgang. Gendannelsesprøven kan ske sjældnere og med et menneske ved de valg, der åbner følsomme data eller påvirker drift. Hvis systemet ændres væsentligt, bør næste prøve rykkes frem.

En grøn backup fortæller, at en kopiering sluttede som forventet. Den fortæller ikke, at arbejdet kan fortsætte efter et tab. Når I gør den forskel til en del af opgaven, kan en digital medarbejder følge de natlige kørsler uden at give jer en falsk tryghed – og samtidig gøre det tydeligt, hvornår et menneske skal bevise, at vejen tilbage faktisk virker.