Sikkerhedskopier, der rent faktisk er gendannet

Situation. Alt, hvad virksomheden har — git‑repositorierne, databasen, sitet — lå på én cloud‑instans, og udbyderens snapshot af den var hele gendannelsesberedskabet. Et snapshot hos udbyderen er godt at have og dårligt at stole på: det ligger under samme konto som den maskine, det beskytter, ingen her har krypteret det, og ingen havde nogensinde gendannet fra et.

Opgave. Sikkerhedskopierne skulle krypteres, ligge uden for værten, udtyndes efter en opbevaringspolitik og — den del, der som regel springes over — faktisk bruges til gendannelse efter en fast plan, uden at nogen skulle huske at gøre det.

Handling. Sikkerhedskopieringen kører på en systemd‑timer: et databasedump, der hvor der er en database, derefter et krypteret, deduplikeret snapshot over SFTP til lager hos en anden udbyder, så en udtynding efter opbevaringspolitikken og til sidst et integritetstjek. En dead man’s switch pinges kun ved succes, og netop den skelnen gør den til en alarm og ikke en log — en kørsel, der fejler, siger ingenting, og det er tavsheden, der udløser alarmen. Derudover kører der hver måned en gendannelsesøvelse: den henter en kendt fil ud af sikkerhedskopilageret og sammenligner den, så det, der kontrolleres, er en gendannelse og ikke en sikkerhedskopi. Adgangssætningen skrives til en fil, som systemd‑enhederne læser, i stedet for at blive sendt gennem miljøvariabler, fordi supervisoren fortolker escape‑tegn i miljøvariablernes værdier, og en adgangssætning med en omvendt skråstreg ville i al stilhed være blevet en anden end den, der oprettede lageret. Bagefter blev gendannelsesberedskabet gennemgået og dokumenteret, og de huller, der var tilbage, blev nævnt eksplicit i dokumentet i stedet for at vente på at blive opdaget under en hændelse.

Resultat. Virksomheden kan miste værten og få sine data tilbage, og den sætning hviler på en gendannelse, der kørte i sidste måned, ikke på en sikkerhedskopi, der kørte i nat. Gennemgangens mest værdifulde resultat var listen over det, der stadig ikke er dækket, og det er netop den del, som en grøn sikkerhedskopirapport i kraft af sin opbygning ikke kan fortælle nogen.