أظهر حريق OVHcloud أن محلية البيانات ليست فصلًا للكوارث

ملخص

• انطلقت أجهزة إنذار الحريق في موقع OVHcloud بستراسبورغ في الساعة 00:35 من 10 مارس 2021. بدأ الحريق في غرف الطاقة في الطابق الأرضي من SBG2، ودمر ذلك المبنى، وأضر بأربع من اثنتي عشرة غرفة في SBG1، وأجبر على قطع الكهرباء في جميع أنحاء الحرم الجامعي. لم يلتهم الحريق الأولي SBG3 وSBG4، ومع ذلك كانت الخدمات فيهما غير متاحة بسبب العزل الكهربائي والتفتيش على السلامة والتنظيف وإعادة التشغيل المرحلي. لم يقتل أو يصب أحد.
• لم يحدد تحقيق السلامة الصناعية الفرنسي السبب الدقيق للأعطال الكهربائية المتزامنة تقريبًا التي لوحظت في وحدة UPS والبطاريات الرصاصية المرتبطة بها. لكنه حدد عوامل الانتشار والاستجابة: عدم وجود نظام إطفاء تلقائي في أي من المباني الخمسة في ستراسبورغ، والحركة السريعة للدخان عبر تصميم التبريد المفتوح لـ SBG2، ومحدودية سعة مياه الإطفاء، وإغلاق كهربائي صعب على مستوى الموقع. ساهم في الحد من العواقب الأسوأ: كشف فعال، وطاقم ليلي، وفصل مقاوم للحريق يحمي SBG3، ووصول زوارق إطفاء فرنسية ألمانية عالية السعة.
• كان فقدان التوفر وفقدان البيانات الدائمين نتائج مختلفة. أبلغت OVHcloud عن تعطل حوالي 65,000 عميل و120,000 خدمة، بينما لاحظت Netcraft تعطل حوالي 3.6 مليون موقع عبر 464,000 نطاق. قالت OVHcloud إن العديد من العملاء الذين فقدوا بياناتهم لم يختاروا نسخًا احتياطيًا اختياريًا. لا يغلق ذلك سؤال المساءلة: قال وثيقة تسجيل OVHcloud الخاصة إن النسخ الاحتياطية المقدمة يمكن تخزينها في نفس مركز البيانات أو في مركز مختلف، وكان حكم استئنافي لاحق يتعلق بعميل دُمر نسخته الاحتياطية المدفوعة الأوتوماتيكية في نفس المبنى مع الإنتاج.
• كشف الحدث عن خطأ فئوي في شراء الخدمات السحابية. سيادة البيانات، والولاية القانونية، وزمن الوصول، والتوفر، والنسخ الاحتياطي، والتعافي من الكوارث هي أمور مرتبطة ولكنها غير قابلة للتبديل. الاحتفاظ بالبيانات في فرنسا أو الاتحاد الأوروبي يمكن أن يلبي سياسة المحلية مع السماح بنسخ الإنتاج والاسترداد في نفس الخطر المادي. على العكس، يمكن أن تبقى نسخة بعيدة جغرافيًا داخل نفس الإقليم القانوني وتحت نفس الضوابط الأوروبية.
• كشفت OVHcloud عن تغييرات كبيرة بعد الحريق، بما في ذلك إطفاء تلقائي أوسع، وفصل أقوى، وغرف طاقة منفصلة، وقطع كهربائي عن بعد، ومراجعات للموقع، والعمل مع خدمات الإطفاء، وخيارات جديدة للمناطق المتعددة والنسخ الاحتياطي البعيد. ومع ذلك، يتطلب الإغلاق المسؤول أدلة خاصة بالخدمة والموقع: تغطية الضوابط المنجزة، والتفتيش المستقل، وتمارين واقعية للحريق وعزل الطاقة، ومواقع النسخ الاحتياطي المعلنة، واختبارات استعادة ناجحة، وإثبات أن استرداد العميل لا يعتمد على المنطقة المتضررة أو نفس مستوى التحكم.

تحول الحريق المادي إلى حدث مساءلة سحابية

عبارة "بيانات في السحابة" تشجع على التجريد. إنها مفيدة عندما يريد المهندسون واجهة قياسية للقدرة الحاسوبية، لكنها خطيرة عندما يبدأ صناع القرار في معاملة الموقع والطاقة والنار كتفاصيل تخص شخصًا آخر. كل خادم افتراضي يرتكز في غرفة. كل نسخة تخزين تحتل معدات متصلة بأنظمة الكهرباء والتبريد. كل سير عمل استرداد يعتمد على أشخاص وشبكات وبيانات اعتماد وفهارس ومكان يمكن الحصول منه على سعة بديلة.

جعلت ستراسبورغ تلك السلسلة المادية مرئية. في الساعات الأولى من 10 مارس 2021، دمر الحريق SBG2، أحد المباني في حرم OVHcloud في Port du Rhin. دُمر SBG1 جزئيًا. تم إغلاق مركزَي البيانات الآخرين في الموقع على الرغم من أن التحديث الأولي للشركة وصفهما بأنهما غير متضررين. لذلك انتقل الفقدان عبر ثلاث آليات متميزة على الأقل: دُمرت المعدات ماديًا؛ تعرضت المعدات في المباني المجاورة للحرارة والدخان والماء أو عدم اليقين؛ وأصبحت المعدات السليمة غير متاحة عندما كان لا بد من عزل الموقع كهربائيًا وجعله آمنًا.

هذه الآليات مهمة لأنها تتوافق مع ضوابط مختلفة. يمكن للإطفاء التلقائي والتقسيم احتواء الحريق. يمكن لمناطق الطاقة المستقلة تقليل المساحة التي يحتاج رجال الإطفاء إلى فصلها. يمكن لتطبيق متعدد المواقع الاستمرار بينما موقع واحد غير متاح. يمكن للنسخ الاحتياطي عن بعد المؤكد دعم إعادة البناء بعد تدمير البيانات. يمكن لصفحة الحالة توجيه العملاء خلال تلك الخيارات. تسمية كل هذا "تكرار" يخفي من يتحكم في كل طبقة وما هو الحدث الذي يمكنها النجاة منه.

أكثر إعادة بناء عامة موثوقة هو تقرير التحقيق الصادر عن المكتب الفرنسي للتحقيقات والتحليل في المخاطر الصناعية (BEA-RI) في مايو 2022. ولايته كانت الوقاية، وليس توزيع المسؤولية المدنية أو الجنائية. هذا الحدود مهمة. يمكن للتقرير وضع ملاحظات وأسباب محتملة وعوامل مساهمة وتوصيات سلامة. لا يمكن تحويله إلى حكم قضائي بأن كل ضعف تم تحديده كان مهملاً أو أن ضعفًا واحدًا تسبب قانونيًا في خسارة عميل معين.

تحليل المساءلة يطرح سؤالًا مرتبطًا لكنه أوسع: أي الجهات الفاعلة كانت لديها سلطة على الظروف التي سمحت لحدث ليلي واحد في المعدات أن يصبح انقطاعًا في عدة مبانٍ، واستعادة طويلة، وخسارة عميل لا رجعة فيها؟ OVH تسيطر على تصميم الموقع وتشغيله، والمنتجات المقدمة، ودقة أوصافها، والاستجابة. العملاء يسيطرون على تصنيف أعباء العمل، والهندسة المعمارية، والعديد من اختيارات الخدمة، والنسخ المستقلة. الجهات التنظيمية والمهنية تسيطر على أجزاء من الإطار الأدنى. لا يمحو أي من هذه الأدوار الآخرين.

ما تثبته الأدلة، وما لا تثبته

يضع تقرير BEA-RI أول إنذار في الساعة 00:35. وصل حارس إلى غرفة طاقة SBG2 في الساعة 00:37 ووجد دخانًا أسود كثيفًا. تم إخلاء المبنى في الساعة 00:39، واستدعت خدمة الإطفاء والإنقاذ في Bas-Rhin في الساعة 00:42، ووصلت أولى الفرق في الساعة 00:59. استخدمت صفحة الحوادث العامة لـ OVH الساعة 00:47 كوقت اندلاع الحريق. يجب الحفاظ على الاختلاف بدلاً من إجباره في طابع زمني واحد: كان لدى تحقيق السلامة إمكانية الوصول إلى أجهزة الإنذار والسجلات التشغيلية، بينما قدمت صفحة الشركة علامة عامة للحادث.

تم قطع الطاقة الطارئة عن SBG2 في الساعة 01:13 وعن SBG1 وSBG3 وSBG4 في الساعة 01:28. رأت فرق الإطفاء تقوسًا كهربائيًا وأجلت نشر المياه الرئيسية حتى يمكن السيطرة على الخطر. بحلول الساعة 01:42، انتشر الحريق عبر الطابق الأول. في حوالي الساعة 02:00، أبلغ رجال الإطفاء عن اشتعال عام لـ SBG2. وصل زورق الإطفاء عالي السعة EUROPA حوالي الساعة 03:00، مستخدمًا المجرى المائي المجاور. تم إخماد الحريق في الساعة 10:02، واعتبرت العملية منتهية في الساعة 18:13.

حدد التحقيق أصل الحريق في غرف تضم بطاريات ومعدات إمداد طاقة غير منقطعة. أظهرت تسجيلات الفيديو والمراقبة عطلًا كهربائيًا شبه متزامن في وحدة UPS ASI2 والبطاريات المرتبطة بها، والتي كانت في غرف منفصلة. كان هناك صيانة على UPS في ذلك الصباح وقياسات رطوبة غير عادية في وقت لاحق من اليوم. أدرج المحققون عدة فرضيات، بما في ذلك الرطوبة، أو عطل متعلق بالصيانة، أو التشغيل في ظروف غير متوقعة. قالوا صراحة إن الأدلة غير كافية لاختيار سبب بدء دقيق.

غالبًا ما فُقد هذا القيد في إعادة سرد تقول إن نظام تبريد متسرب أو UPS تمت صيانته مؤخرًا "تسبب" في الحريق. سجل الحوادث الفرنسي ARIA الرسمي هو تأكيد مفيد لبيئة غرفة المحطة والاستجابة، لكنه لا يحول آلية معقولة إلى سبب جذري مثبت. يجب أن يقول حساب موثوق إن الأحداث الكهربائية المبكرة ومنطقة الأصل معروفة؛ سبب حدوث تلك الأحداث لم يُحل في تقرير BEA-RI المنشور.

لا يمنع التمييز تحليل التحكم. يجب أن تكون المنظمة مستعدة لفشل المعدات دون معرفة أي مكون سيفشل بعد ذلك. تم تصميم الحماية من الحرائق حول هذا عدم اليقين. السؤال المسؤول ليس فقط ما إذا كان ينبغي لـ OVH أن تتوقع تسلسلًا كهربائيًا معينًا. بل هو ما إذا كان الكشف والتحكم التلقائي والتقسيم والماء والعزل الكهربائي وتصميم المبنى وإجراءات الطوارئ قد أعطت الأشخاص والخدمات المجاورة حماية مستقلة كافية بعد اشتعال شيء ما.

المبنى كشف الخطر لكنه لم يستطع احتوائه

موقع ستراسبورغ قام بعمل جيد في سلامة الأرواح. عمل كشف الدخان البصري والشفط. سمح التوظيف الليلي بالتحقق السريع والاتصال المبكر برجال الإطفاء. نجا الجميع، ولم تكن هناك إصابات. ينسب تقرير BEA-RI الفضل لتلك الضوابط. يجب أن تحتفظ المساءلة بالحواجز الناجحة بعناية مثل الفاشلة، لأن التصميم المستقبلي يعتمد على معرفة ما اشترى الوقت بالفعل.

الكشف لم يقابله إطفاء تلقائي. وجد التحقيق أنه لا يوجد في أي من المباني الخمسة في الموقع نظام حماية تلقائي من الحرائق. تم مراقبة غرف البطاريات وUPS في SBG2، لكن لم يكن هناك نظام مصمم لإخماد الحريق أو السيطرة عليه أو تأخيره في مراحله الأولى. كان بإمكان مثل هذا النظام أن يعمل قبل الإغلاق الكهربائي الكامل ودون تعريض رجال الإطفاء لمعدات حية. لم يكن ليضمن الإخماد، خاصة في غرفة كهربائية، لكنه كان يمكن أن يغير منحنى نمو الحريق.

ثم ساعد المبنى في انتشار الدخان والحرارة. استخدم SBG2 تصميم تبريد مفتوح يشبه البرج، وكان شديد النفاذية للهواء الخارجي. في غضون خمس عشرة دقيقة من الحدث الأولي، كانت أجهزة الكشف الشفط قد نشطت في كل مستوى. حذر BEA-RI من أن توقيت الكشف أظهر دخانًا، وليس بالضرورة لهبًا، لكنه استنتج أن البناء سمح بانتشار الدخان بسرعة. في غضون تسعين دقيقة تقريبًا، كان SBG2 مشتعلًا بشكل عام. كان التباين مع SBG3 المجاور مفيدًا: جدران مقاومة للحريق لمدة ساعتين وباب حريق، بالإضافة إلى مياه الإطفاء، تركته أقل تضررًا من SBG1 الأصغر والأقل حماية.

تفاعلت المياه والطاقة مع هذا التصميم. كان إمداد المياه العامة للإطفاء المتاح للاستجابة الأولى غير كافٍ للحدث المتطور، وفقًا للتحقيق، ولم يكن لـ OVH خزان مياه إطفاء خاص بها ولا طريقة لضخها مباشرة من القناة القريبة. كان وصول EUROPA حاسمًا. الاستقلال الكهربائي، وهو عادة قوة لمراكز البيانات، جعل العزل الطارئ صعبًا أيضًا: جمع الموقع بين تغذية الشبكة والمولدات وأنظمة البطاريات الكبيرة. لم تستطع خدمة الإطفاء تطبيق تيارات مياه كبيرة بأمان حتى تم تحييد تلك المصادر.

هذا هو مفارقة مرونة البنية التحتية. الطاقة الاحتياطية تحافظ على الحوسبة أثناء فشل عادي للمرافق، لكنها تصبح مصدر طاقة آخر يجب إدارته أثناء الحريق. تدفق الهواء المفتوح يمكن أن يقلل تكلفة التبريد ويحسن كفاءة التشغيل، لكنه يمكن أن يضعف احتواء الدخان والحرارة. المعدات الكثيفة ومرافق الموقع المشتركة يمكن أن تحسن اقتصاديات الحجم، لكنها تركز العواقب. كل تحسين يخلق خطرًا يجب السيطرة عليه بحاجز مختلف.

استجابة OVH الرسمية لتوصيات BEA-RI جادلت بأن عدم وجود إطفاء تلقائي لم يخالف مطلبًا تنظيميًا وأن إرشادات الصناعة التي استشهد بها التحقيق تعود إلى ما بعد تصميم SBG2. هذا مهم للتحليل القانوني والامتثال. إنها ليست نهاية المساءلة التشغيلية. الامتثال الأدنى يسأل عما إذا كانت القاعدة تفرض رقابة. المرونة تسأل عما إذا كانت الرقابة ضرورية لسيناريو عالي العواقب معقول. قرار OVH بعد الحريق بتعميم الإطفاء التلقائي عبر المواقع غير المجهزة هو بحد ذاته دليل على أن معالجة المخاطر تغيرت.

أربعة مبانٍ لم تعني أربع نتائج مستقلة

من لوحة تحكم العميل، يمكن أن تبدو SBG1 وSBG2 وSBG3 وSBG4 كعدة مواقع بنية تحتية. أثناء الحادث شكلت موقع طوارئ واحد. احترق SBG2. تأثر SBG1 وSBG3 بالحريق بدرجات متفاوتة. لم يتضرر SBG4 من الحريق الأولي. ومع ذلك، قُطعت الكهرباء عن الأربعة، وسيطر على الوصول، وكان لا بد من تقييم الأنظمة المشتركة، وتطلبت البنية التحتية الباقية التنظيف والتفتيش وإعادة الكابلات وإعادة التشغيل المرحلي.

سجل تحديث ستراسبورغ المعاصر لـ OVHcloud يجعل الطابع المادي للاستعادة مرئيًا بشكل غير عادي. قامت الفرق بإزالة وتنظيف وتفتيش وإعادة تركيب وإعادة تشغيل المعدات غرفة بغرفة، وممر بممر، وحامل بحامل، وخادم بخادم. نُقلت الخوادم الملوثة بالسخام إلى مصنع في Croix للعمل المتخصص. نُقلت الآلات القابلة للاسترداد من SBG1 إلى مراكز بيانات أخرى. حاول متخصصو استعادة البيانات استرداد الأقراص من الغرف المتضررة.

لم تكن الاستعادة الأولى خطية. أصبح SBG3 جاهزًا للتشغيل في 18 مارس. في مساء 19 مارس، تم اكتشاف دخان في غرفة بطاريات SBG1 غير متصلة. أغلقت OVH SBG1 وSBG4 مرة أخرى كإجراء احترازي وراجعت جدول إعادة التشغيل. استؤنفت استعادة الخدمة في 22 مارس. بحلول أواخر مارس، كانت خوادم SBG4 المعدنية متاحة وكانت خدمات SBG3 تعود بنسب مئوية، بينما كانت معدات SBG1 لا تزال تُنظف وتُصلح وتُنقل.

قال وثيقة تسجيل OVH لاحقًا إن معظم خدمات العملاء عادت في غضون ثلاثة إلى أربعة أسابيع وتم استعادة الخدمة بالكامل لحوالي 65,000 عميل متضرر، باستخدام حوالي 120,000 خدمة، بحلول بداية مايو. "استعادة الخدمة" لا يمكن قراءتها على أنها "استعادة جميع البيانات". يمكن توفير خادم بديل بينما تظل أقراص العميل وسجلاته السابقة مدمرة. يجب أن يفصل تقرير الاسترداد بين توفر البنية التحتية، وبدء التطبيق، واستعادة البيانات، وحداثة البيانات، والقبول التجاري.

يظهر الإغلاق على مستوى الموقع أيضًا لماذا يمكن أن تكون كلمة "مركز بيانات" دقيقة جدًا لتخطيط الكوارث. نطاق الفشل هو ما يمكن أن يؤثر عليه الخطر معًا. لاستجابة الحريق في ستراسبورغ، شمل النطاق ذو الصلة المباني المجاورة، وإجراءات عزل الطاقة، والوصول الطارئ، وسعة المياه، والدخان، والعمليات المشتركة، وسلطة السلامة التي تتحكم في إعادة الدخول. لم تخلق أسماء المباني المتعددة استردادًا مستقلاً إذا كان نفس القرار الطارئ يمكن أن يجعلها جميعًا غير متاحة.

عد التأثير يتطلب أكثر من رقم واحد

وجد القياس الخارجي لـ Netcraft للانقطاع حوالي 3.6 مليون موقع عبر 464,000 نطاق متميز غير متصل وأكثر من 18 بالمائة من عناوين IP المنسوبة إلى OVH في مسحها الأخير لا تستجيب خلال النافذة المقاسة. هذه نظرة على نطاق الإنترنت لفقدان الوصول. تلتقط النطاقات الفرعية المستضافة وترتيبات الاستضافة النهائية، ولهذا السبب تتجاوز بكثير عدد عملاء OVH.

65,000 عميل متضرر و120,000 خدمة لـ OVH تصف العلاقات التجارية والمنتجات. لا يقول أي رقم عدد المستخدمين النهائيين الذين لم يتمكنوا من الوصول إلى خدمة، أو عدد الشركات التي فقدت قناة إيرادات، أو عدد مجموعات البيانات التي كانت غير قابلة للاسترداد. حددت تقارير Reuters المعاصرة بوابات حكومية وبنوكًا ومتاجر ومواقع إخبارية وخدمات أخرى عبر الإنترنت من بين الاضطراب. تظهر تلك الأمثلة تنوع العواقب، وليس تعدادًا كاملاً.

التباين أيضًا مع مرور الوقت. موقع عديم الحالة مع كود في مستودع خارجي يمكن إعادة بنائه في منطقة أخرى في ساعات. خدمة مُدارة مع بيانات استرداد محفوظة من قبل المزود قد تعود عندما يستعيد OVH منصته. عميل خادم معدني ينتظر التفتيش أو النقل المادي قد يظل غير متصل لأسابيع. عميل كانت بيانات إنتاجه ونسخه الاحتياطية الوحيدة مدمرة واجه خسارة دائمة، بغض النظر عن سرعة وصول خادم جديد فارغ.

لذلك يجب أن يستخدم تقرير حادث مسؤول عدة مقامات: العملاء، الخدمات، الخوادم المادية، النطاقات، العناوين غير القابلة للوصول خارجيًا، نطاقات المدة، عمليات الاستعادة الناجحة من المزود، إعادة البناء التي بدأها العميل، وحالات فقدان البيانات الدائمة. يجب أن يحدد عدد العملاء الذين ليس لديهم نسخة احتياطية، أو نسخة في نفس المبنى، أو نسخة في نفس الموقع، أو منطقة OVH مختلفة، أو نسخة تحت سيطرة مستقلة. الأدلة العامة لا توفر هذه المصفوفة الكاملة.

الغياب مهم لأن العلاج يجب أن يتبع آلية الفقدان. إذا لم يختار العملاء نسخة احتياطية عن بعد معروضة بوضوح، فإن تثقيف أفضل للمنتج وإعدادات افتراضية أكثر أمانًا ذات صلة. إذا كان منتج يسمى نسخًا احتياطيًا وضع جميع النسخ داخل مبنى واحد دون إفصاح واضح عن نطاق الفشل، فإن تصميم المنتج والتعاقد أساسيان. إذا كانت النسخ البعيدة موجودة لكن العملاء لم يتمكنوا من استردادها لأن الهوية أو المفاتيح أو الفهارس أو مسارات الشبكة كانت مرتبطة بستراسبورغ، فإن استقلالية نظام الاسترداد هي المشكلة. تجميع هذه الحالات في "بعض العملاء لم يكن لديهم نسخة احتياطية" يمنع المساءلة الدقيقة.

النسخ الاحتياطي هو ادعاء حول استعادة مستقبلية

قال وثيقة تسجيل OVHcloud لعام 2021 إن خدمات النسخ الاحتياطي للبيانات كانت خدمات مدفوعة اختيارية لمعظم العملاء وأن بعضًا منهم عانى من فقدان دائم للبيانات. كما قال إن العملاء يمكنهم اختيار خيارات معروضة يتم فيها تخزين البيانات المنسوخة إما في نفس مركز البيانات أو في مركز بيانات مختلف. خدمات معينة مُدارة من المزود، بما في ذلك البريد، انقطعت بشكل طفيف فقط ولم تفقد بيانات لأن OVH قامت بنسخها احتياطيًا.

تلك الإفصاحات تهزم قصتين بسيطتين. من غير الدقيق القول إن OVH نسخت كل خدمة احتياطيًا وفشلت في الحفاظ على جميع النسخ. من غير الكافي أيضًا القول إن كل عميل فقد بياناته فشل في شراء نسخ احتياطي. اختلفت نماذج الخدمة. احتفظ بعض العملاء بمسؤولية النسخة الوحيدة الدائمة، واختار البعض خيارات المزود بمواقع مختلفة، واستهلك البعض خدمات يتحكم OVH في استردادها.

النسخ الاحتياطي لا يُعرّف فقط بوظيفة نسخ ناجحة. إنه وعد متحكم به أنه بعد حالات فشل محددة، يمكن للمنظمة استرداد نسخة حديثة بما يكفي وسليمة من معلوماتها واستخدامها لاستعادة خدمة ذات أولوية في غضون وقت مقبول. يحتوي هذا الوعد على ست خصائص على الأقل:

1. النطاق:البيانات وحالة النظام والتكوينات ومخازن الهوية والمفاتيح والبرامج والتبعيات الخارجية المضمنة أو المستبعدة عمدًا.
2. النقطة:الحد الأقصى المقبول لعمر البيانات المستعادة، معبرًا عنه عادةً بهدف نقطة الاسترداد، وسجل الاحتفاظ اللازم للفساد أو الاكتشاف المتأخر.
3. العزل:الأعطال المادية والمنطقية والإدارية والمزود التي لا يمكنها تدمير أو تغيير كل نسخة معًا.
4. الوصول:بيانات الاعتماد ومفاتيح التشفير والفهارس والأدوات ومسارات الشبكة والأشخاص المصرح لهم المطلوبون لاسترداد النسخة أثناء الأزمة.
5. الوقت:المدة المختبرة للحصول على السعة ونقل البيانات وإعادة بناء التبعيات والتوفيق بين المعاملات وإعادة وظيفة العمل إلى حالة مقبولة.
6. الأدلة:مراقبة أن النسخ الاحتياطي اكتمل، وفحوصات السلامة، وعمليات الاستعادة العينة، وتمارين الخدمة الكاملة، والسجلات المحفوظة التي تظهر النتيجة.

كانت ستراسبورغ بشكل أساسي اختبارًا للعزل المادي ووقت الاسترداد، لكنها كشفت عن الستة جميعًا. صورة قرص بدون سجلات DNS أو أسرار أو كود نشر أو اتساق قاعدة بيانات قد لا تعيد تشغيل تطبيق. نسخة بعيدة مشفرة بمفاتيح متاحة فقط من خلال المنطقة الفاشلة قد تكون دائمة وغير قابلة للاستخدام. أرشيف متعدد التيرابايت يستغرق أيامًا لاسترداده قد يفوت هدف عمل مدته اثنتي عشرة ساعة. نسخة احتياطية مخزنة في نفس نطاق الطاقة والنار يمكن أن تكون حديثة تمامًا حتى الحدث الذي كان من المفترض أن تغطيه.

هيئة حماية البيانات الفرنسية CNIL تذكر الآن الدرس المادي بوضوح في إرشادات أمان النسخ الاحتياطي: الاحتفاظ بنسخة واحدة على الأقل في موقع متميز جغرافيًا، وعزل نسخة واحدة على الأقل دون اتصال بالإنترنت، وحماية النسخ الاحتياطية بنفس مستوى أمان الإنتاج، واختبار السلامة والاستعادة. إرشادات أمان السحابة لـ CNIL تخبر العملاء بالتحقق من أن مزود السحابة لديه مواقع نسخ احتياطي بعيدة جغرافيًا عن مراكز البيانات الخاصة به. هذه المواد الصادرة في 2024 هي إرشادات لاحقة، وليست دليلاً على الواجب التعاقدي الدقيق لكل خدمة OVH في 2021. إنها معيار واضح للممارسة الحالية.

قضية Bati Courtage جعلت لغة المنتج ذات عواقب

نزاع عميل واحد يعطي حدود النسخ الاحتياطي خصوصية قانونية. استخدمت France Bati Courtage خادمًا خاصًا افتراضيًا من OVH وخيار نسخ احتياطي أوتوماتيكي مدفوع. وفقًا للسجل، أبلغتها OVH في أبريل 2021 أن النسخ الاحتياطي قد دُمر بالكامل وبشكل لا رجعة فيه لأن النسخ كانت في نفس مبنى الخادم الأساسي. سعى العميل للحصول على ملايين اليورو لفقدان البيانات وأضرار تجارية مزعومة في المراحل اللاحقة.

تغيرت النتيجة عند الاستئناف. في حكم 24 أبريل 2025، احتفظت محكمة استئناف Douai بخرق تعاقدي لأن OVH لم تستطع ترك العميل مع إمكانية الوصول إلى النسخ الاحتياطي المكتمل والحفاظ عليه للاسترداد. لم تؤيد مطالبة العميل المنفصلة بأن OVH كانت مخطئة لعدم وضع الخدمات في مواقع معزولة جغرافيًا. كما احتفظت بالنتيجة السابقة بأن OVH لم ترتكب خطأ جسيمًا أو انتهاكات خطيرة لسلامة الحرائق في ذلك النزاع، ورفضت دفاع OVH بالقوة القاهرة، وأيدت حدود المسؤولية ذات الصلة، وخفضت مبلغ التعويض إلى 1,800.48 يورو.

ذلك الحكم أضيق وأكثر إفادة من حكم الدرجة الأولى المنشور على نطاق واسع. لا يثبت أن كل عقد نسخ احتياطي لـ OVH وعد بمركز بيانات بعيد. لا يضع قاعدة عامة بأن أي نسخ احتياطي في نفس الموقع معيب قانونيًا. لكنه يظهر أن المسؤولية لا يمكن حلها بقول "العميل يملك سياسة النسخ الاحتياطي" عندما دفع العميل للمزود لأداء نسخ احتياطي وكان للمزود التزامات تعاقدية بشأن النسخة الناتجة.

توضح القضية أيضًا لماذا تحتاج ملصقات العقود إلى طوبولوجيا خلفها. مصطلحات مثل "معزول ماديًا" و"بنية تحتية" و"محلي" و"منطقة" و"بعيد" يمكن أن تحمل معانٍ مختلفة. صفيف أقراص منفصل معزول عن فشل خادم. غرفة منفصلة قد تكون معزولة عن حريق حامل. مبنى منفصل يمكنه النجاة من بعض أحداث الغرفة لكن ليس بالضرورة من قطع الكهرباء على مستوى الحرم أو إغلاق المحيط. منطقة منفصلة أقوى، بشرط ألا تشترك المناطق في التبعيات من التحكم أو الحساب أو المفتاح أو الشبكة التي تمنع الاسترداد.

لا ينبغي للعملاء أن يستنتجوا تلك الحدود من صفة تسويقية. يجب أن يذكر وصف الخدمة نطاق فشل النسخة، وما إذا كان الموقع محددًا افتراضيًا أو باختيار، وما إذا كان الموقع يمكن أن يتغير، والمخاطر التي صمم التصميم لمواجهتها، وهدف الاسترداد، وواجبات العميل المتبقية. يجب على المزودين الاحتفاظ بالنسخة التاريخية لتلك التمثيلات لأن الواجهة والوثائق المتاحة عند شراء الخدمة قد تصبح دليلًا مركزيًا لاحقًا.

الحدود التعاقدية والمساءلة التشغيلية تتباعد أيضًا. كان مبلغ الاستئناف صغيرًا لأن المحكمة طبقت الحدود المتفق عليها بعد تقييم المطالبات والشروط المعروضة عليها. حد المسؤولية لا يجعل فقدان البيانات الدائم مقبولًا تشغيليًا، ولا خسارة كبيرة مزعومة تثبت أن المزود مدين قانونيًا بهذا المبلغ. العقود تخصص التعرض المالي. لا تستعيد المعلومات أو تثبت أن الرقابة كانت مصممة بشكل مناسب.

المسؤولية المشتركة يجب أن تكون محددة بما يكفي للعمل

المسؤولية المشتركة غالبًا ما تستخدم كطريقة مهذبة للقول إن كلا الطرفين كان لديه عمل ليقوم به. ما لم يُسمى العمل، فإن العبارة توزع اللوم بعد الفشل بدلاً من تعيين الضوابط قبله. ستراسبورغ تدعم تقسيمًا أكثر دقة.

كانت OVH تمتلك احتمالية نمو حدث كهربائي محلي إلى خسارة مبنى. اختارت التصميم المادي، وكشف الحرائق وإخمادها، والتقسيم، وعزل المرافق، وإجراءات الطوارئ، وإطار الصيانة، وموارد المياه، والعلاقة مع رجال الإطفاء العموميين. لم يستطع العملاء تركيب رشاشات في SBG2 أو إنشاء قطع طاقة طارئ. تلك ضوابط المزود حتى عندما تحد العقود من أضرار العميل.

كانت OVH تمتلك أيضًا الحقيقة حول منتجاتها. فقط المزود يمكنه معرفة أين وقعت النسخة الاحتياطية الأوتوماتيكية، وأي الخدمات ينسخها احتياطيًا افتراضيًا، وأي المناطق تشترك في الأنظمة، وكيف تتصرف لوحة التحكم أثناء فقدان ستراسبورغ. كان عليها وصف تلك الخصائص بدقة كافية لتمكين العميل من اتخاذ قرار مخاطرة. حيث تعهدت OVH بخدمة النسخ الاحتياطي، فإنها تمتلك أداء الخدمة الموعودة والأدلة حول النسخة الناتجة.

العملاء يمتلكون نموذج العواقب. لا يمكن للمزود أن يعرف، بدون ترتيب مُدار محدد، ما إذا كان خادم افتراضي صغير يضم موقع اختبار قابل للتصرف أو النسخة الوحيدة من سنوات من سجلات الأعمال. كان على العميل تصنيف البيانات، وتحديد أهداف الاسترداد، واختيار هندسة تتناسب مع التأثير، والاحتفاظ بنسخ خارج نطاق الفشل الأساسي، واختبار إعادة البناء. شراء البنية التحتية لم ينقل واجب العميل في تحديد المدة التي يمكن أن يتحملها العمل لفقدانه.

الحدود تتحرك مع نموذج الخدمة. في المعدن العاري غير المُدار أو البنية التحتية كخدمة، يملك العميل عادةً النسخ الاحتياطي المتسق مع التطبيق والتبديل. في قاعدة بيانات مُدارة أو منتج بريد مستضاف أو خدمة نسخ احتياطي صريحة، يملك المزود المزيد من النسخة والاحتفاظ والاتساق ومسار الاستعادة. بائع تجزئة في السوق أو مزود خدمة مُدارة يقدم طبقة أخرى: قد يختار OVH، ويكوّن النسخ الاحتياطي، ويمثل المرونة لعملائه، ويحتفظ بالوصول الإداري الوحيد. العملاء النهائيون يحتاجون إلى معرفة تلك السلسلة.

أسس النسخ الاحتياطي الحالية للوكالة الفرنسية للأمن السيبراني ANSSI تحول هذه الواجبات إلى ضوابط عملية. تدعو إلى أهداف نقطة ووقت الاسترداد، ونمط 3-2-1، ونسخة واحدة على الأقل خارج الموقع أو محمية بشكل مناسب دون اتصال، واختبار استعادة منتظم، وترتيب الاستعادة، وحماية وسائط التثبيت وتكوينات التطبيق. للنسخ الاحتياطي الخارجي، تسلط ANSSI الضوء على موقع الاتحاد الأوروبي، وسلوك النسخ المتماثل للمزود، والتشفير الذي يتحكم فيه العميل، ووقت الاسترداد. هذا تذكير مفيد بأن المرونة المادية والعزل السيبراني والسيادة وقابلية الاسترداد تحتاج إلى أن تُصمم معًا.

المحلية تجيب على عدة أسئلة مختلفة

هوية OVHcloud الأوروبية كانت مهمة في 2021 وما زالت. للحكومات والمنظمات المنظمة التي تبحث عن بديل لمزودي الخدمات السحابية الضخمة غير الأوروبيين، يمكن لمزود فرنسي يدير مراكز بيانات أوروبية أن يقدم مزايا قضائية واقتصادية وتشغيلية ذات معنى. حريق ستراسبورغ لم يجعل سيادة البيانات غير ذات صلة. أظهر أن السيادة ليست بديلاً لهندسة التوفر.

"أين البيانات؟" يمكن أن تعني خمسة أشياء على الأقل:

• الموقع القانوني:قوانين حماية البيانات والإفصاح والإفلاس والقطاع في أي بلد تحكم التخزين والمعالجة والوصول.
• التحكم المؤسسي:أي شركات أم ومسؤولين ومعالجين فرعيين ومطالب قانونية أجنبية يمكن أن تؤثر على الخدمة.
• الموقع المادي:أي مبنى وسهل الفيضان وشبكة كهرباء وإمداد مياه وحرم وخطر إقليمي يحتوي كل نسخة.
• الموقع المنطقي:أي منطقة ومنطقة وحساب ومستأجر ونظام مفاتيح ولوحة تحكم يجب أن تعمل لاسترداد البيانات أو تجاوز الفشل.
• المسافة التشغيلية:كم من زمن الوصول وعرض النطاق والتوظيف ووقت الاسترداد يفصل الإنتاج عن مستخدميه وعن نسخة الاسترداد.

سياسة تقول "يجب أن تبقى جميع البيانات في فرنسا" تجيب على جزء من السؤال الأول وتقيد الثالث. لا تتطلب أن يشغل الإنتاج والنسخ الاحتياطي نفس المبنى. فرنسا تحتوي على عدة مناطق حضرية ومناطق سحابية. سياسة تتطلب تخزين الاتحاد الأوروبي تسمح بتنوع جغرافي أكبر مع الحفاظ على محيط قانوني أوروبي. ما إذا كان ذلك كافيًا يعتمد على قانون المنظمة ونموذج التهديد وحساسية البيانات وهدف الاسترداد.

شرح المفوضية الأوروبية للتحويلات الدولية يمنع أيضًا تبسيطًا معاكسًا: لا تفرض اللائحة العامة لحماية البيانات قاعدة مطلقة بأن البيانات الشخصية لا يمكن أبدًا مغادرة المنطقة الاقتصادية الأوروبية. إنها توفر الكفاية والضمانات والإعفاءات المحدودة للتحويلات. بعض المنظمات تتبنى مع ذلك متطلبات محلية أكثر صرامة بسبب قانون قطاعي أو سياسة عامة أو وعود تعاقدية أو التعرض لولاية أجنبية.

إرشادات تأهيل SecNumCloud من ANSSI توضح نموذج السيادة الأكثر ثراءً. تتناول موقع الاتحاد الأوروبي ليس فقط لبيانات العملاء ولكن أيضًا للإدارة والإشراف والنسخ الاحتياطية والأدلة والبيانات التقنية، مع النظر في التحكم المؤسسي والتعرض للقانون غير الأوروبي. ذلك الإطار يدور حول السيطرة على الخدمة والبيانات، وليس فقط خط العرض والطول لقرص واحد.

الاستنتاج العملي بناء: السيادة وفصل الكوارث يمكن أن يعزز كل منهما الآخر. هيئة عامة فرنسية يمكنها الاحتفاظ بالإنتاج الحساس في بيئة أوروبية مؤهلة واحدة، والاحتفاظ بنسخة استرداد أوروبية متميزة جغرافيًا، واستخدام تشفير ومفاتيح يتحكم فيها العميل، والاحتفاظ بإجراءات تصدير مختبرة إلى بيئة معتمدة أخرى. قد تكلف الهندسة أكثر وتتطلب مراجعة قانونية دقيقة. يجب أن تكون المقايضة صريحة بدلاً من إخفائها داخل كلمة "محلي".

التركيز هو خاصية تطبيقية وكذلك خاصية سوقية

أثر الانقطاع على بوابات حكومية وتجارة وإعلام وألعاب وخدمات مواجهة للجمهور لأن العديد من المنظمات اختارت مزودًا واحدًا أو ورثته من خلال مورد. هذا هو تركيز السحابة على مستوى السوق. كان هناك أيضًا تركيز داخل التطبيقات الفردية: الإنتاج والنسخ الاحتياطية وDNS والبريد الإلكتروني والإدارة وأدوات النشر يمكن أن تشترك في OVH أو ستراسبورغ حتى عندما تظهر كمنتجات منفصلة.

يتطلب الشكلان معالجة مختلفة. يمكن للجهات التنظيمية مراقبة الاعتماد النظامي على مجموعة صغيرة من مزودي السحابة. يمكن لفرق المشتريات تجنب تركيز المزود غير المدروس عبر الأقسام. يجب على مالكي التطبيقات رسم التبعيات التي تحدد ما إذا كانت خدمتهم الخاصة يمكن أن تتعافى. شركة قد تستخدم ثلاثة مزودي سحابة عبر محفظتها بينما لا يزال لدى نظام حاسم واحد نسخة مستقلة. أخرى قد تبقى مع مزود واحد ولكنها تستخدم مناطق منفصلة حقًا ونسخًا احتياطية قابلة للتصدير وDNS مستقلة ومواد استرداد دون اتصال.

التنظيم المالي يعبر بشكل متزايد عن مسؤولية العميل المحتجزة هذه. تتطلب إرشادات الاستعانة بمصادر خارجية لعام 2019 من هيئة المصرفية الأوروبية من المؤسسات الخاضعة حوكمة مخاطر الاستعانة بمصادر خارجية والبقاء قادرة على الإشراف بدلاً من أن تصبح قذائف فارغة. يتطلب قانون المرونة التشغيلية الرقمية للاتحاد الأوروبي (DORA) لاحقًا من الكيانات المالية الخاضعة الحفاظ على ترتيبات النسخ الاحتياطي والاستعادة والتعافي واختبارها دوريًا. تتضمن متطلبات مادته 12 فصلًا ماديًا ومنطقيًا عندما تستعيد الكيانات بيانات احتياطية باستخدام أنظمتها الخاصة. لهذه القواعد نطاقات محددة ولا ينبغي إسقاطها بأثر رجعي على كل عميل OVH في 2021.

تُظهر اتجاه الممارسة المسؤولة: الاستعانة بمصادر خارجية لا تستعين بمصادر خارجية لمسؤولية الهيئة الحاكمة عن الاستمرارية.

إطار تنفيذ DORA التفصيلي يذهب إلى أبعد من ذلك. يتضمن اللوائح المفوضة لعام 2024 بشأن إدارة مخاطر تكنولوجيا المعلومات والاتصالات سيناريوهات تنطوي على خسارة جزئية أو كاملة للمباني ومراكز البيانات، وفشل خدمة الطرف الثالث، والتحويلات إلى سعة زائدة، وانقطاعات واسعة النطاق للتيار الكهربائي. ستراسبورغ هي بالضبط نوع الحدث المادي المشترك للحدث مع المورد الذي يجب أن تمارسه تمرين جاد.

التصميم متعدد المزودين يمكن أن يقلل بعض التبعيات لكنه ليس أفضل تلقائيًا. يضيف تعقيدًا في الهوية والشبكات واتساق البيانات والمهارات والمراقبة وتنسيق الحوادث. الهدف الصحيح هو استرداد محمول وقابل للاختبار للوظائف المهمة، وليس شعارًا معماريًا. أحيانًا يعني ذلك خدمة نشطة عبر مناطق مستقلة. أحيانًا يعني سعة دافئة في منطقة أخرى. أحيانًا نسخة احتياطية محمية بالإضافة إلى البنية التحتية ككود وإعادة بناء ممارسة تلبي حاجة العمل بتكلفة أقل بكثير.

يجب إثبات الاستعادة من جانب العميل

استعادة المزود واسترداد العميل ليسا نفس الساعة. يمكن لـ OVH أن تعلن مركز بيانات جاهزًا للتشغيل عندما تكون الطاقة والشبكة ونسبة كبيرة من الخوادم متاحة. لا يزال على العميل التحقق من أنظمة الملفات وقواعد البيانات وقوائم الانتظار والشهادات و DNS والتكاملات والمعاملات التجارية. إذا تم تدمير الخادم الأصلي، كان على العميل توفير بديل واسترداد البيانات وإعادة بناء التطبيق والتوفيق بين كل ما حدث بعد آخر نسخة قابلة للاستخدام.

تمرين الاسترداد الناضج يبدأ بخسارة مفترضة، وليس تصديرًا مناسبًا. يجب أن يتظاهر الفريق بأن المنطقة الأساسية غير قابلة للوصول، وأن المسؤولين العاديين لا يمكنهم تسجيل الدخول من خلال مسار الهوية الخاص بها، وأن دعم المزود مشبع. يجب أن يحصل على النسخ الاحتياطي باستخدام بيانات الاعتماد والمفاتيح المخزنة خارج البيئة الفاشلة، ويبني سعة نظيفة في الوجهة المعتمدة، ويستعيد التبعيات بالترتيب الموثق، ويتحقق من سلامة البيانات، ويعيد توجيه المستخدمين، ويقيس نتيجة العمل.

يجب أن تجيب الأدلة على أسئلة عملية. ما هو الطابع الزمني لقاعدة البيانات المستعادة؟ أي عمليات كتابة فُقدت؟ هل تضمنت جميع إصدارات مخزن الكائنات؟ هل يمكن استرداد المفاتيح دون إضعاف التحكم في الوصول؟ هل تغير DNS في الوقت المتوقع؟ هل قبلت خدمات الدفع والبريد الإلكتروني والهوية الخارجية العناوين الجديدة؟ كم من الوقت حتى أول معاملة آمنة، وكم حتى السعة الكاملة؟ من وافق على العودة، وما التوفيق الذي بقي؟

مراقبة النسخ الاحتياطي وحدها لا يمكنها الإجابة على تلك الأسئلة. وظيفة خضراء تثبت أن البرنامج كتب شيئًا إلى هدف. اختبار سلامة يثبت أن البيانات المختارة يمكن قراءتها. استعادة تقنية تثبت أن الأنظمة يمكن إعادة بنائها. تمرين خدمة يثبت أن المنظمة يمكنها تقديم وظيفتها ذات الأولوية في ظل الفشل المفترض. كل مفيد؛ لا ينبغي تمثيل أي منها على أنه التالي.

هذا مهم بشكل خاص للمنظمات الصغيرة. قد لا تحتاج إلى بنية تحتية نشطة-نشطة أو سحابة ثانية مخصصة. تحتاج إلى طريق متناسب للخروج. شركة صغيرة يمكنها تصدير قاعدة بياناتها ومستنداتها الهامة إلى وجهة مشفرة تحت حساب منفصل، والاحتفاظ بنطاقها وبيانات اعتماد النشر بشكل مستقل، وتوثيق إعادة بناء نظيفة، واختبار استعادة عينة. يجب أن يتطابق التحكم مع تكلفة فقدان السجلات، وليس السعر الشهري للخادم.

معالجة OVHcloud عالجت السلسلة المادية

استجابة OVH لـ BEA-RI وصفت برنامج "المرونة الفائقة" الكبير. قالت الشركة إنها ستعزز الكشف، وتعميم الإطفاء التلقائي حيث غائب، وإعادة تصميم المناطق والتقسيم، وزيادة مقاومة الحرائق العادية من 60 إلى 120 دقيقة، ووضع غرف الطاقة والبطاريات خارج مباني مراكز البيانات للمواقع الجديدة وحيثما كان ذلك ممكنًا في المواقع الحالية. خططت لقطع كهربائي عن بعد حسب المنطقة حتى يتمكن المستجيبون من عزل الخطر دون تعطيل المناطق غير المتأثرة دون داع.

قالت الاستجابة أيضًا إن خدمات الإطفاء المحلية زارت كل موقع OVH في غضون أربعة أشهر من الحادث، وراجعت الوثائق الطارئة وإجراءات قطع التيار، وأنشئت إدارة جديدة للمخاطر الصناعية. في ستراسبورغ، ركبت OVH خزان مياه خاص بسعة 120 مترًا مكعبًا بالتعاون مع SIS67. قالت إن جميع المواقع تلقت تحليل مخاطر الحريق وأن الفعالية ستُقاس من خلال دراسة الضعف عند اكتمال العمل. تم تقديم SBG5، الذي افتتح في يوليو 2022، كمثال على المعايير الجديدة.

هذه الإجراءات تتطابق جيدًا مع سلسلة السبب والانتشار للتحقيق. الإطفاء يعالج النمو المبكر. أقسام الحريق الأقوى تعالج الانتشار الرأسي والمباني. غرف الطاقة الخارجية تفصل مخاطر الاشتعال عن غرف الخوادم. القطع حسب المنطقة يعالج التأخير ونصف قطر الانفجار للعزل الكهربائي. تخزين المياه يعالج سعة الاستجابة الأولى. زيارات وتمارين خدمة الإطفاء تعالج عدم الألفة والخطط وقرارات القيادة.

يقول وثيقة التسجيل العالمي لـ OVHcloud لعام 2025 إن المجموعة واصلت رسم خرائط مخاطر الموقع خلال 2025 ويصف المرونة الفائقة بأنها تعزز سلامة مركز البيانات فوق توصيات الجهات التنظيمية وشركات التأمين. كما يسجل مخصصًا مستمرًا لعواقب حريق ستراسبورغ، بما في ذلك دعاوى المسؤولية. هذا دليل على برنامج مستمر ومعالجة مالية، وليس شهادة إتمام مستقلة لكل موقع.

الإغلاق المسؤول سينشر أو يوفر للعملاء المؤهلين والمدققين مصفوفة تحكم: أي المواقع لديها إطفاء تلقائي في كل غرفة طاقة وغرفة تكنولوجيا معلومات ذات صلة؛ أي منها لديها أقسام 120 دقيقة؛ أي غرف بطاريات خارجية؛ أي مناطق لديها عزل يعمل عن بعد؛ أي متطلبات تدفق المياه تم اختبارها؛ أي تمارين خدمة إطفاء حدثت؛ أي نتائج تظل مفتوحة؛ وأي طرف مستقل تحقق من التشغيل. التزام سياسي هو بداية العلاج. التغطية والتمرين العدائي يظهران ما إذا كان يعمل.

تستحق الشركة أيضًا الثناء للحفاظ على سجل تحديث عام مفصل أثناء استعادة صعبة، وتعبئة قدرات التنظيف والاسترداد المتخصصة، واستبدال البنية التحتية، وإبلاغ التقدم الخاص بالمنتج، ونشر استجابة رسمية لتوصيات السلامة. الشفافية ليست كاملة لمجرد أن التحديثات متكررة، لكن تلك السجلات تسمح للعملاء والمحققين بإعادة بناء القرارات التي كانت ستختفي لولا ذلك.

تصميم المنتج تقدم، لكن التكوين لا يزال يحدد المرونة

الوثائق الحالية لـ OVHcloud أكثر وضوحًا بشأن نطاقات الفشل من اللغة السابقة للحريق المرئية في نزاع Bati Courtage. يميز دليل وضع النشر بين مناطق ذات منطقة توفر واحدة، ومناطق ثلاثية المناطق، ومناطق محلية. ينص على أن المنطقة ذات منطقة توفر واحدة تظل عرضة للأعطال التي تؤثر على مركز بيانات بأكمله، بينما تستخدم الهندسة ثلاثية المناطق مناطق مستقلة لحالات الإنتاج والتعافي من الكوارث الأكثر تطلبًا.

نظرة عامة على المنطقة ومنطقة التوفر للشركة تقول بالمثل إن العملاء الذين يسعون إلى مرونة أعلى يجب أن يختاروا منطقة متعددة المناطق مدعومة ويبنوا لمناطق متعددة. الأفعال مهمة: المزود يوفر المناطق؛ يجب على العميل توزيع الموارد وحالة التطبيق عبرها. مجرد التشغيل في منطقة ثلاثية المناطق لا يضمن أن جهازًا افتراضيًا واحدًا أو قاعدة بيانات واحدة أو وحدة تخزين موضوعة يدويًا تمتد عبر المناطق.

وثائق النسخ الاحتياطي للمثيلات الحالية تميز الآن بين النسخ الاحتياطية المحلية والبعيدة. النسخ الاحتياطي المحلي يبقى في نفس المنطقة. النسخ الاحتياطي البعيد ينشئ نسخة في منطقة أخرى محددة ويُفوتر بشكل منفصل. هذه لغة نطاق فشل أوضح بكثير. كما تحافظ على اختيار صريح للعميل، مما يعني أن المشتريات والتكوين يظلان جزءًا من التحكم.

لا ينبغي استخدام الوثائق الحالية لإعادة بناء ما عُرض على كل عميل في مارس 2021. إنها ذات صلة بسؤال المساءلة الحالي: هل تعلم السوق أن يفضح المحلية والمرونة بشكل منفصل؟ OVHcloud تفعل ذلك الآن في أدلة المنتج هذه. خطوة التأكيد التالية هي جعل التمييز متسقًا عبر صفحات المنتج والعقود وإعدادات لوحة التحكم الافتراضية وواجهات برمجة التطبيقات والفواتير واستجابات الدعم، بما في ذلك المنتجات التي تتبع النسخ الاحتياطية المُدارة من المزود قواعد مختلفة.

التصميم الأكثر أمانًا يمكنه أيضًا استخدام إعدادات افتراضية متدرجة. خدمة تطوير منخفضة التكلفة قد تفترض بشكل معقول النسخ الاحتياطي المحلي إذا كانت الواجهة تسميه حماية من فشل المثيل، وليس كارثة إقليمية. قاعدة بيانات إنتاج أو منتج يحمل علامة نسخ احتياطي يمكن أن يتطلب من العميل تأكيد نطاق الفشل، وعرض تحذير عندما تشارك جميع النسخ موقعًا واحدًا، وتقديم وجهة بعيدة في نفس المنطقة القانونية. الهدف هو قبول المخاطر المستنير، وليس إجبار كل عبء عمل على أغلى هندسة.

مجلس الإدارة يحتاج إلى أدلة عبر مستويي تحكم

حريق ستراسبورغ عبر مستوى تحكم المرفق ومستوى تحكم استرداد العميل. مجلس إدارة وإدارة مخاطر OVH يحتاجان إلى ضمان على كليهما. لا يمكن معاملة هندسة الحرائق كحاشية عقارية، ولا يمكن معاملة منتجات النسخ الاحتياطي كإيرادات تخزين فقط.

لطبقة المرفق، يجب أن تعرف القيادة الحد الأقصى للخسارة المحتملة في كل موقع، وليس مجرد تكرار المعدات. يجب أن تظهر التقارير تغطية الإطفاء، وسلامة التقسيم، وفصل غرفة الطاقة، وأداء الكشف، والمياه الطارئة، ووقت عزل الطاقة، ومدى إلمام خدمة الإطفاء، واستثناءات الصيانة، والعمل التصحيحي المتأخر. يجب أن تفترض التمارين أن الضوابط العادية تفشل وأن رجال الإطفاء يحتاجون إلى سلطة فورية ودقيقة لعزل الطاقة.

لطبقة الخدمة، يجب أن تعرف القيادة كيف يتم تمثيل واختبار نطاقات فشل المنتج. يجب أن تظهر التقارير عدد الخدمات المسوقة بلغة نسخ احتياطي أو توفر عالي تخزن كل نسخة في موقع أو منطقة واحدة؛ وعدد العملاء الذين اختاروا حماية بعيدة؛ ونجاح الاستعادة حسب المنتج والحجم؛ وتبعيات المفتاح والهوية؛ وتوزيع وقت الاسترداد؛ وانحراف الوثائق؛ والشكاوى التي تشير إلى أن العملاء أساءوا فهم الموقع.

يجب أن يتلقى مجلس الإدارة أيضًا استثناءات، وليس فقط متوسطات. معدل نجاح 99.99% لوظائف النسخ الاحتياطي يمكن أن يتعايش مع آلاف النسخ في مجال مادي واحد. نسبة إطفاء عالمية يمكن أن تخفي مبنى قديمًا عالي الكثافة. متوسط وقت الاسترداد يمكن أن يخفي أكبر مجموعات البيانات وأكثرها عواقب. التعرض للذيل ينتمي إلى الحوكمة لأن ستراسبورغ كانت حدثًا ذيلًا بتأثير مركز.

يجب أن يتتبع التحدي المستقل وعد العميل وصولاً إلى الأسفل. اختر خدمة تُباع كمنسوخة احتياطيًا. سجل ما تقوله الواجهة والعقد. حدد موقع كل نسخة وبيانات التحكم الخاصة بها. أزل الموقع الأساسي من التمرين. امنع مسارات الهوية والدعم العادية. استعد في وجهة تفي بقواعد المحلية للعميل. قارن النتائج المقاسة بهدف الاسترداد الموعود. أي كسر هو فجوة قابلة للتنفيذ، سواء كانت مملوكة للمنتج أو البنية التحتية أو الدعم أو العميل.

ما يجب أن يطلبه العملاء قبل تسمية خدمة مرنة

المنظمات لا تحتاج إلى وصول خاص إلى كل مخطط مركز بيانات. تحتاج إلى إجابات مفصلة بما يكفي لتقرر ما إذا كانت الخدمة تناسب عواقب الفشل. الأسئلة التالية تحول دروس ستراسبورغ إلى أدلة شراء:

يجب ربط الإجابات بالمنتج الدقيق. تقرير مرونة الشركة للمزود قد لا يصف VPS ذو الميزانية المحدودة أو اللقطة المحلية أو قاعدة البيانات المُدارة التي يتم شراؤها. الشهادات يمكنها إنشاء ضوابط مفيدة لكن قد يكون لها استثناءات النطاق. اتفاقية مستوى توفر الخدمة توفر علاجًا بعد فقدان حد؛ لا تصف بحد ذاتها متانة البيانات أو تضمن الاسترداد.

يجب على العملاء أيضًا التحقق من التركيز دون أسماء البائعين. بائع نسخ احتياطي مُدار قد يخزن مستودعه في نفس منطقة OVH مثل الإنتاج. علامة استضافة ثانوية قد تستخدم OVH تحتها. DNS والبريد الإلكتروني والكود المصدر والأسرار واتصالات الحوادث قد تشارك جميعها المزود. التنوع يُقاس بمسارات النجاة، وليس عدد الفواتير.

أخيرًا، يجب على العميل تحديد مقدار الخسارة المقبولة. صفر فقدان بيانات وصفر توقف تقريبًا عبر الكوارث الإقليمية يتطلب نسخًا مستمرًا وتصميم تطبيق وسعة واختبار تشغيلي يمكن أن يكون مكلفًا. نسخة أسبوعية دون اتصال قد تكون مناسبة لأرشيف ثابت وكارثية للمعاملات. المساءلة لا تتطلب نفس التحكم في كل مكان. تتطلب علاقة واعية بين العواقب والاسترداد الموعود والهندسة والأدلة.

الإشارة الدائمة

حريق ستراسبورغ لم يكن مجرد اشتعال مؤسف متبوع بتذكير بأخذ نسخ احتياطية. كان توضيحًا لكيفية فشل التجريدات تحت الضغط المادي. المباني المنفصلة شكلت موقع طوارئ واحد. أصبحت الخوادم السليمة غير متاحة مع التالفة. نسخة احتياطية مكتملة يمكن أن تختفي مع الإنتاج. موقع أوروبي يخدم السيادة وزمن الوصول يمكن أن يصبح تركيزًا لمخاطر الحريق. خادم بديل يمكن أن يستعيد البنية التحتية دون استعادة عمل العميل.

السجل العام يحتوي أيضًا على تحسن ذي معنى. الكشف والطاقم الليلي حمى الأرواح. رجال الإطفاء وزورق EUROPA حدوا من الانتشار. نفذت OVH استعادة صعبة وشفافة، وقبلت توصيات BEA-RI من الناحية التشغيلية، وأطلقت برنامج مرونة مادية واسع. وثائق منتجاتها الحالية تميز بشكل أكثر وضوحًا بين النسخ الاحتياطي المحلي والبعيد والنشر أحادي المنطقة ومتعدد المناطق. هذه ليست تغييرات تجميلية.

معيار المساءلة المتبقي هو الأدلة على مر الزمن. يجب أن تكون OVH قادرة على إظهار أن الضوابط المادية المحددة بعد الحريق مثبتة ومُصانة ومُمارسة عبر المواقع ذات الصلة؛ وأن لغة المنتج تتطابق مع نطاقات الفشل الحقيقية؛ وأن الاسترداد المُدار يعمل عندما تكون المنطقة ومسارات التحكم العادية غائبة. يجب أن يكون العملاء قادرين على إظهار أن البيانات الهامة لديها نسخة قابلة للاستخدام خارج الخطر الأساسي، ضمن الحدود القانونية المعتمدة، وأن فرقهم يمكنها استعادتها ضمن هدف العمل.

لا يمكن لأي مزود سحابة أن يعد بأن مبنى لن يحترق أبدًا. لا يمكن لأي عميل القضاء على كل تبعية. الوعد الموثوق أضيق: حدث مادي متوقع لن يستهلك بصمت الإنتاج والاسترداد ووسيلة فهم ما فقد؛ خيارات المحلية ستكون صريحة بشأن كل من الاختصاص والخطر؛ وكلمة "نسخ احتياطي" ستدعمها الأدلة الوحيدة التي تهم في النهاية، وهي استعادة ناجحة في الظروف التي اشتُريت النسخة من أجلها.