Poczytaj jak możesz się przygotować na awarie serwerów w firmie hostingowej. Dowiedz się jak przygotować plan utrzymania ciągłości działania bloga, gazety, sklepu internetowego lub strony internetowej.

W poprzednim artykule poruszyłem tematykę bezpiecznej rejestracji domen internetowych. Szybki dostęp do konfiguracji domeny internetowej zapewnia sprawną zmianę jednego hostingu na inny hosting. Pod pojęciem hostingu rozumiem serwer przeznaczony na dedykowane usługi internetowe oferowany przez firmę świadczącą takie usługi.

Dostęp do konfiguracji domeny

Ustawienia domeny możesz zmienić u rejestratora domen,czyli w firmie, gdzie zarejestrowałeś domenę. W tym celu musisz mieć pod ręką dane dostępowe do panelu klienta u rejestratora domen (adres, nazwa użytkownika i hasło). Po zalogowaniu do panelu klienta u możesz skonfigurować swoją domenę.  Konfigurowanie domeny polega na wpisaniu adresów serwerów DNS, które będą wskazywały Twoją domenę w Internecie. Jeśli rejestrator domeny oferuje dodatkowo usługi hostingowe, możesz z nich skorzystać, aczkolwiek nie ma takiego obowiązku. Możesz skorzystać z usług hostingowych w innej firmie, której oferta jest bardziej dopasowana do Twoich potrzeb.

Usługi rejestratorów domen

U rejestratora domen wpisujesz adresy serwerów DNS, które z reguły znajdują się w zupełnie innej firmie, zwykle to firma oferująca usługi hostingu stron internetowych. W konfiguracji domeny musisz wpisać co najmniej 2 rekordy NS (name servers). Zwykle mają postać:
ns1.example.com    216.058.678.001
ns2.example.com    216.058.079.002
przy czym example.com to nazwa serwera DNS a ciąg cyfr to adres IP serwera DNS, który ma obsługiwać domenę. Adres IP służy do identyfikacji nazwy domeny, która dzięki temu będzie  odnajdowana i dostępna w Internecie.

Warto mieć świadomość, że po drodze, pomiędzy rejestratorem domen a firmą hostingową może wystąpić inna firma, która oferuje usługę serwerów DNS. W sektorze MSP to rzadko spotykana sytuacja, niemniej jednak warto brać pod uwagę taką możliwość. Jeśli korzystasz z usług takiej firmy, weź pod uwagę, że dostęp do panelu klienta wymaga danych dostępowych jak w poniższym przykładzie.

Usługi firm hostingowych

Jeśli zamierzasz uruchomić stronę internetową, sklep internetowy lub chcesz udostępniać pliki w Internecie to pewnie skorzystasz z usług firmy hostingowej. Każda firma hostingowa udostępnia adresy serwerów DNS dla klientów. To właśnie te adresy serwerów DNS wpiszesz do ustawień konfiguracyjnych domeny u rejestratora domen. Dostęp do panelu klienta w firmie hostingowej składa się z kilku danych, które każdy klient powinien sobie zapisać w bezpiecznym miejscu, np. w programie do zarządzania hasłami. Podobnie jak w przypadku rejestratora domen występują:
-adres dostawcy hostingu,
-nazwa użytkownika,
-hasło użytkownika,
-niekiedy 2-gi element uwierzytelnienia 2-składnikowego (np. SMS na numer telefonu).

Rekordy DNS w hostingu

Dostęp do panelu klienta w firmie oferującej serwery DNS umożliwia konfigurację różnych usług internetowych, np. WWW, FTP, poczta elektroniczna. Konfigurację usług internetowych możesz wykonać poprzez odpowiednie wpisy w rekordach DNS. Za pomocą rekordów DNS możesz wskazać różnych dostawców usług hostingowych. Np. możesz wskazać na Google jako na dostawcę poczty elektronicznej, firmę hostingową X jako odpowiedzialną za przechowywanie strony internetowej a firmę hostingową Y jako odpowiedzialną za przechowywanie (hostowanie) bloga.

Musisz pamiętać, że oprócz konfiguracji rekordów DNS musisz skonfigurować odpowiednie usługi u ich dostawców. To oznacza, że musisz dopisać swoją domenę do określonej usługi w panelu klienta u dostawcy tj usługi (np. dla poczty elektronicznej w Google). To rodzi konieczność zapamiętania przez Ciebie kolejnych danych dostępowych. Jeśli występuje kilku dostawców usług, to musisz zapamiętać wielokrotność tych danych dostępowych (adres, nazwa i hasło użytkownika, numer telefonu klienta).

Przechowywanie danych dostępowych

W przypadku małych firm (MSP) odpowiedzialność za przechowywanie danych dostępowych do różnych usług internetowych często jest rozproszona pomiędzy różnymi ludźmi. Począwszy od webmastera poprzez osoby z nim współpracujące (graficy, programiści). Podobna sytuacja występuje  podczas współpracy z firmą (agencja marketingowa). Weź po uwagę, że dane dostępowe mogą posiadać również pracownicy zatrudnieni ad hoc, na umowy zlecenia lub umowy o dzieło. W takich przypadkach, warto aby właściciel lub kierownictwo firmy zadbali o odpowiednią politykę bezpieczeństwa obejmującą zarządzanie hasłami i danymi dostępowymi.

W przeciwnym wypadku mamy sytuację, w której wielu nieznanych mu ludzi ma dane dostępowe do różnych usług wykorzystywanych przez firmę. Taki bałagan nie służy nikomu, ponieważ rodzi później napięcia pomiędzy stronami.  Ludzie, którzy zakończyli współpracę z daną firmą nie mają obowiązku (i prawa) przechowywać danych dostępowych.

Po zakończeniu współpracy z osobami z zewnątrz, właściciel firmy powinien zmienić dane dostępowe do wszelkich usług internetowych. Jeśli właściciel nie posiada odpowiednich kwalifikacji – może zlecić zmiany osobie z którą podejmuje współpracę w zakresie administracji usługami internetowymi.  Kierownictwo w trosce o interesy firmy może przygotować procesy opisujące przepływ danych dostępowych w firmie. Procesy mogą stanowić element planu BCP/DR uruchamianego w sytuacjach kryzysowych.

Awarie usług internetowych

Jeśli korzystasz z usług firmy hostingowej, która zarazem zajmuje się rejestracją domen, zwróć uwagę na dojrzałość organizacyjną tej firmy. Sprawdź, czy firma ma wdrożone normy związane z ochroną informacji, zwróć uwagę na liczbę i kwalifikacje administratorów systemów. Awaria usług w zorganizowanej firmie trwa na tyle krótko, że klienci nie są nawet w stanie jej zauważyć. Inna sytuacja występuje w firmach hostingowych, gdzie priorytety są ukierunkowane wyłącznie na zarabianie jak najniższym kosztem.

W takich firmach z reguły brak wdrożonych standardów z zakresu bezpieczeństwa i ochrony informacji. W niedojrzałych firmach hostingowych brak opisanych procesów i planów BCP/DR na wypadek awarii lub katastrofy. Niejednokrotnie infrastruktura IT w niedojrzałych firmach hostingowych jest obsługiwana przez jednego administratora wykorzystywanego w wielu równoległych projektach w firmie.

Straty klientów wskutek awarii hostingu

Jeśli trafiłeś na taki niedojrzały hosting, w którym na dodatek zarejestrowałeś domenę – masz poważny problem w sytuacji awarii. Nie działają żadne usługi, nikt nie odbiera telefonów ponieważ w biurze obsługi klienta pracuje jedna lub dwie osoby które mają obsłużyć od kilkuset klientów. Nie działa system obsługi zgłoszeń serwisowych, ponieważ „padły” serwery, względnie nie został wdrożony.  Mija dzień za dniem a Twoja firma ponosi straty nie tylko wizerunkowe lecz również materialne (sklep nie działa). Nie masz dostępu do panelu klienta, w którym możesz odczytać kod authinfo swoich domen.

Zdobycie kodu authinfo umożliwia Ci przeniesienie domen do innego rejestratora domen.  W dalszej kolejności mógłbyś kupić usługi hostingowe w nowej, dojrzałej organizacyjnie firmie. Niestety to niemożliwe, ponieważ związałeś się z firmą hostingową która nie przykładała wystarczającej wagi do wysokiej jakości obsługi klientów. Wskutek takiego podejścia Ty i inni klienci ponosicie wymierne straty. W takiej sytuacji znaleźli się ostatnio (1-szy KW 2016r.) klienci pewnej firmy hostingowej z Polski. Poniższa grafika przedstawia proces zmiany dotychczasowej firmy hostingowej (+rejestratora domen) na nową firmę hostingową oraz na nowego rejestratora domen.

Dywersyfikacja zagrożeń

Klienci mogą dywersyfikować takie zagrożenia poprzez korzystanie z usług dwóch niezależnych firm: rejestratora domen i firmy hostingowej.  W przypadku dłuższej niedostępności usług w firmie hostingowej, Ty jako klient możesz szybko zmienić ustawienia konfiguracyjne domeny i wskazać adresy serwerów DNS w innej firmy hostingowej. Wcześniej musisz wykupić usługę hostingu w takiej firmie.

W/w działania pozwolą Ci szybko odtworzyć stronę internetową lub blog na serwerach w nowej firmie hostingowej pod warunkiem, że masz ich kopie zapasowe. A co w sytuacji, gdy nie masz kopii zapasowej danych (backup)?  A Twoja dotychczasowa firma hostingowa nie jest w stanie określić, czy posiada kopie danych klientów i kiedy jest w stanie je odtworzyć?

Ufaj ale sprawdzaj

Stare, niemieckie powiedzenie sprawdza się w każdych okolicznościach. Ty jako klient hostingu od czasu do czasu możesz poprosić o odtworzenie kopii swoich danych (pliki + baza danych) z określonego dnia w przeszłości. W ten sposób przekonasz się, czy składane przez firmę obietnice to jedynie PR lub marketing, czy też mają pokrycie w rzeczywistości.

W trosce o interesy swojej firmy – Ty również możesz samodzielnie wykonywać kopie zapasowe swoich serwisów internetowych. Ważne, abyś miał do nich szybki dostęp i aby kopia danych (backup) była łatwo osiągalna, zarazem zabezpieczona przed odczytem przez osoby nieuprawnione. Jeśli korzystasz z systemu CMS Joomla, Drupal, WordPress lub innych opartych na PHP, to zainteresuj się Akeeba Backup. Ten sprawdzony przez społeczność Open Source program wykonuje kopie zapasowe plików i baz danych.

Kopie zapasowe serwisów internetowych

Wydaje się, że najbezpieczniej przechowywać kopie w dwóch różnych miejscach, np. w tzw. chmurze (np. Dropbox, Dysk Google) oraz na lokalnym dysku (np. przenośny dysk USB). Przed wysłaniem do chmury lub zapisaniem na dysku, pamiętaj aby zaszyfrować plik zawierający kopią zapasową. Dlaczego? Plik z kopią zapasową zawiera szereg danych, które nie powinny trafić w ręce niepowołanych osób.

Polityki bezpieczeństwa w firmie

Jeśli jesteś właścicielem firmy, to zapewne masz świadomość, że to Ty odpowiadasz za odpowiednie zabezpieczenie i ochronę danych firmowych. Odpowiednia polityka organizacyjno-kadrowa zaspokaja wymagania biznesowe firmy. Zapewne dostrzegłeś w poprzednich akapitach, że dojrzałe firmy cechuje przygotowanie na sytuacje awaryjne. Awarie mogą obejmować nie tylko firmy hostingowe, troska o kopie zapasowe danych dotyczy praktycznie każdej firmy.

Zadbaj o przygotowanie polityki bezpieczeństwa regulującej  zarządzanie danymi i uprawnieniami użytkowników. Procedury firmowe powinny obejmować politykę zarządzania kopiami zapasowymi. Jeśli potrzebujesz pomocy w tym zakresie – skorzystaj z doświadczenia innych, np. specjalistów ds ochrony informacji z ISSA Polska, którzy w ramach wolontariackiej pracy przygotowali Rekomendacje dla MSP  oparte na normie ISO 27001:2013.