גיבוי ענן מול גיבוי מקומי – מה מגן על העסק?

כששרת קבצים אינו זמין ביום עבודה עמוס, השאלה אינה אם יש גיבוי אלא כמה זמן ייקח להחזיר את העסק לפעילות. הדיון על גיבוי ענן מול גיבוי מקומי אינו בחירה טכנית בין שני מוצרים. זו החלטה עסקית שמשפיעה על זמינות שירות, אמון לקוחות, עמידה בהתחייבויות ועל היכולת להתאושש מאירוע סייבר בלי לאבד נתונים קריטיים.

עסק קטן או בינוני עשוי להסתמך על מערכת הנהלת חשבונות, מסמכים, תיקי לקוחות, תיבות דואר, מערכות רפואיות או חינוכיות, קבצים משותפים ושרתים וירטואליים. מחיקה בשוגג, תקלה בדיסק, הצפה במשרד או מתקפת כופר יכולים לפגוע בכל אלה. גיבוי נכון אינו רק העתק של מידע. הוא תוכנית שחזור שנבדקה, מוגנת ומותאמת לקצב שבו העסק צריך לחזור לעבוד.

מהו גיבוי מקומי ומה הוא נותן לעסק?

גיבוי מקומי נשמר בתוך אתר העסק או במיקום פיזי שנמצא בשליטת הארגון, למשל על שרת גיבוי ייעודי, התקן אחסון רשת או דיסקים מוצפנים. היתרון הבולט שלו הוא מהירות. כאשר יש צורך לשחזר קובץ בודד, תיקייה או שרת שלם, העברת הנתונים ברשת המקומית תהיה בדרך כלל מהירה בהרבה מהורדה מהאינטרנט.

לגיבוי מקומי יש גם יתרון של שליטה ישירה. המידע נמצא בסביבת הארגון, ללא תלות מיידית בחיבור האינטרנט או בזמינות ספק חיצוני. במשרדים שבהם נפח הנתונים גדול במיוחד, כגון מערכות הדמיה, ארכיונים, קבצי תכנון או מאגרי וידאו, זהו שיקול משמעותי. שחזור של טרה-בייטים רבים מהענן עלול לקחת זמן, גם כאשר קיים חיבור מהיר.

אולם לגיבוי מקומי יש נקודת תורפה ברורה: הוא חשוף לאותו אתר ולאותם אירועים שפוגעים במערכות המקור. שריפה, גניבה, נזקי מים, קפיצת מתח או הצפנה של סביבת הרשת על ידי תוקף עלולים לפגוע גם בשרת הגיבוי. אם עותק הגיבוי מחובר תמיד לרשת, תוכנת כופר עלולה לנסות למחוק או להצפין אותו יחד עם הנתונים הפעילים.

לכן, גיבוי מקומי לבדו מתאים רק במצבים מוגבלים מאוד, וגם אז הוא דורש הפרדה נכונה, הרשאות מחמירות, הצפנה ובדיקות שוטפות. מהיר ככל שיהיה, הוא אינו בהכרח עותק שמסוגל לשרוד אסון באתר.

גיבוי ענן מול גיבוי מקומי: ההבדלים החשובים

גיבוי ענן מעביר עותקים מוצפנים של המידע אל תשתית מרוחקת. במקרה של תקלה מקומית, אובדן ציוד או פגיעה באתר, העותק נשאר זמין ממיקום נפרד. זו הסיבה שגיבוי בענן נחשב רכיב מרכזי בתוכנית המשכיות עסקית, במיוחד עבור ארגונים שאין להם אתר התאוששות חלופי משלהם.

היתרון הראשון הוא הפרדת מיקום. מידע שנשמר מחוץ למשרד אינו תלוי בשלמות החדר שבו נמצא השרת. היתרון השני הוא גמישות: אפשר להרחיב נפח אחסון בלי להחליף חומרה בכל פעם שהעסק גדל. בנוסף, עובדים מורשים ומנהלי מערכות יכולים לנהל את הגיבוי מרחוק, בהתאם למדיניות גישה מאובטחת.

מצד שני, ענן אינו פתרון קסם. מהירות השחזור תלויה ברוחב הפס, בנפח הנתונים ובאופן שבו בנוי מערך הגיבוי. שחזור של קובץ דחוף יכול להיות מהיר, אך התאוששות מלאה של שרתים רבים לאחר אירוע רחב עשויה להימשך זמן. חשוב גם להבין ששירות ענן שבו עובדים מדי יום אינו בהכרח גיבוי. מחיקה, סנכרון שגוי או שינוי זדוני יכולים לעבור בין המכשירים והשירותים אם אין שמירת גרסאות והגנת גיבוי נפרדת.

בבחירה בין גיבוי ענן לגיבוי מקומי, ההבדל האמיתי הוא בין מהירות שחזור לבין שרידות מחוץ לאתר. לעסק שצריך להגן על עצמו באופן רציני, התשובה ברוב המקרים אינה או-או אלא שילוב מתוכנן של השניים.

למה מודל משולב הוא בדרך כלל הבחירה הנכונה

הגישה המקובלת היא לשמור עותק מקומי לצורך שחזור מהיר, לצד עותק ענן או עותק חיצוני מבודד לצורך התאוששות מאסון. כך, אם עובד מחק בטעות תיקייה, ניתן לשחזר אותה במהירות מהגיבוי המקומי. אם אירוע כופר השבית את הרשת או שהאתר נפגע, אפשר לפנות לעותק המרוחק.

מודל זה נשען על עיקרון 3-2-1: שלושה עותקים של המידע, על שני סוגי מדיה שונים, כאשר עותק אחד לפחות נמצא מחוץ לאתר. ארגונים שמבקשים לשפר את ההגנה מפני כופרה מאמצים לעיתים גם את עקרון 3-2-1-1-0: עותק נוסף שאינו ניתן לשינוי או מנותק, ואפס שגיאות בבדיקות השחזור.

המילה החשובה כאן היא בדיקות. גיבוי שמסומן כתקין בדוח אינו בהכרח גיבוי שניתן לשחזר ממנו מערכת שלמה. יש לבדוק באופן יזום שחזור קבצים, שחזור תיבות דואר, עלייה של שרת וירטואלי ושחזור מידע למיקום חלופי. הבדיקה גם מגלה אם חסרים רכיבים קריטיים כמו הגדרות מערכת, מסדי נתונים או הרשאות גישה.

איך להגדיר את רמת ההגנה הנדרשת

לפני שבוחרים פלטפורמה או נפח אחסון, יש להגדיר מה באמת קריטי לעסק. לא כל קובץ מחייב אותו קצב גיבוי ואותו זמן שחזור. מערכת הזמנות פעילה, למשל, עשויה לדרוש התאוששות בתוך זמן קצר מאוד, בעוד ארכיון ישן יכול להמתין יותר.

שני מדדים עוזרים לקבל החלטה. הראשון הוא RPO – כמה מידע העסק מוכן לאבד במקרה של תקלה. אם מבצעים גיבוי אחת לילה, ייתכן שאובדן של יום עבודה שלם יהיה אפשרי. אם זה אינו מתקבל על הדעת, יש להגדיר גיבויים תכופים יותר או הגנה רציפה על מערכות מסוימות.

המדד השני הוא RTO – כמה זמן העסק יכול להישאר מושבת. משרד עורכי דין קטן יכול אולי לעבוד חלקית במשך כמה שעות, אך מוקד שירות, מרפאה או מערכת מכירות עשויים להיפגע כמעט מיד. נתון זה קובע אם מספיק לשחזר לענן, אם נדרש גיבוי מקומי מהיר, או אם צריך סביבת התאוששות שמאפשרת להפעיל שרתים חלופיים.

כדאי למפות גם את שירותי הענן עצמם: Microsoft 365, Google Workspace, מערכות CRM, שירותי קבצים ותוכנות ייעודיות. האחריות של ספק השירות על זמינות התשתית אינה תמיד כוללת שחזור מלא של כל גרסה, כל מחיקה וכל פריט שהמשתמש שינה. מדיניות גיבוי נפרדת מספקת שליטה טובה יותר בתקופות השמירה וביכולת השחזור.

אבטחת גיבוי היא חלק מהגיבוי

תוקפי כופרה יודעים שהגיבוי הוא קו ההגנה האחרון. לכן הם מנסים להשיג הרשאות מנהל, למחוק עותקים, לשנות מדיניות שמירה או להצפין מאגרי גיבוי. הגנה אפקטיבית כוללת הפרדת חשבונות ניהול, אימות רב-שלבי, הצפנה בתעבורה ובאחסון, ניטור התראות ושמירת עותקים בלתי ניתנים לשינוי כאשר הדבר מתאים לסביבת הארגון.

גם הרשאות העובדים דורשות תשומת לב. עובד אינו צריך לקבל גישה מלאה למאגרי הגיבוי רק משום שהוא משתמש בקבצים שמגובים בהם. ההפרדה הזו מצמצמת נזק במקרה של גניבת סיסמה, טעות אנוש או חשבון שנפרץ. לצד זאת, יש לקבוע מי רשאי לאשר שחזור, במיוחד כאשר מדובר במידע אישי, רפואי או פיננסי.

שאלות שכדאי לשאול לפני שמחליטים

החלטה נכונה אינה מתחילה בשאלה כמה עולה נפח אחסון. היא מתחילה בהבנת תרחישי הכשל של העסק. כדאי לברר האם ניתן לשחזר שרת שלם ולא רק קבצים, כמה גרסאות נשמרות, היכן נמצא העותק המרוחק, מי מקבל התראה על כשל בגיבוי, ומהו תהליך העבודה כאשר נדרש שחזור בשעת חירום.

חשוב לשאול גם מי אחראי בפועל. בארגונים רבים הגיבוי מוגדר פעם אחת ונשכח, עד שמתגלה שהוא לא כלל מערכת חדשה או שנכשל במשך שבועות ללא טיפול. שירות מנוהל מסודר כולל ניטור, טיפול בתקלות, בדיקות שחזור ותיעוד של סדרי העדיפויות העסקיים. זהו ההבדל בין רכישת כלי לבין קבלת יכולת התאוששות אמיתית.

ב-Tuzali מתייחסים לגיבוי כחלק ממעטפת רחבה יותר של ניהול תשתיות, אבטחת מידע ורציפות עסקית. התאמת הפתרון צריכה להתבסס על מערכות העסק, נפח המידע, חיבורי התקשורת, דרישות האבטחה ומשך ההשבתה שהארגון יכול לספוג.

הצעד הנכון הבא הוא לא להמתין לתקלה כדי לגלות את הפערים. קבעו בדיקת שחזור יזומה, בחנו מה יקרה אם המשרד כולו לא יהיה זמין מחר בבוקר, וודאו שיש אדם אחראי שיודע בדיוק כיצד מחזירים את הפעילות למסלול.