النسخ الاحتياطي والتعافي من الكوارث لنظام الموافقات

لماذا يختلف نظام الموافقات عن أي نظام آخر

أغلب خطط النسخ الاحتياطي تُبنى للملفات وقواعد البيانات العامة. لكن نظام الموافقات يحمل نوعًا خاصًا من البيانات: قرارات موثّقة بختم زمني وهوية. فقدان ملف يمكن تعويضه؛ فقدان سجل يثبت من اعتمد صرف مليون ريال ومتى، لا يمكن تعويضه ويُسقط حجّتك في أول مراجعة أو نزاع.

المشكلة أن كثيرًا من المنشآت تعامل نظام الموافقات كتطبيق عادي ضمن خطة نسخ موحّدة، دون تمييز أن سجل التدقيق فيه هو الأصل الأثمن. عند الكارثة، تكتشف أن النسخة الأخيرة عمرها أسبوع، وأن مئات الاعتمادات التي جرت بعدها اختفت بلا أثر.

ولأن هذه البيانات مترابطة مع التشفير والصلاحيات، فإن خطة النسخ ترتبط مباشرة بـتشفير بيانات سير العمل وإدارة الأدوار والصلاحيات؛ فالنسخة المشفّرة تحتاج إدارة مفاتيح سليمة وإلا صارت عديمة الفائدة.

ماذا يكلّفك فقدان نظام الموافقات يومًا واحدًا

التوقف ليس مجرد إزعاج تقني؛ له فاتورة محسوبة. تخيّل جهة حكومية أو شركة كبرى تعالج مئات الطلبات يوميًا: صرفيات، أوامر شراء، اعتمادات عقود، طلبات موظفين. عندما يتوقف النظام، تتوقف هذه القرارات كلها معًا.

حساب واقعي لتكلفة يوم توقف

• صرفيات معلّقة: 300 طلب صرف يوميًا متوسطها 40,000 ريال يعني أكثر من 12 مليون ريال من التدفقات النقدية تتجمّد ليوم واحد.
• غرامات تأخّر تعاقدي: اعتماد أمر شراء أو دفعة مقاول قد يترتب عليه شرط جزائي يوميّ في العقد.
• وقت الموظفين المهدور: 500 موظف يعيدون المحاولة ويسألون عن طلباتهم — ساعات ضائعة تتحول إلى رواتب دون إنتاج.
• قرارات تُتخذ خارج النظام: الأخطر — الاعتماد عبر الواتساب والبريد بلا أثر، فتفقد الحوكمة كلها ليوم كامل.

هذه الأرقام ليست تخويفًا؛ إنها مدخل قرار الاستثمار في النسخ الاحتياطي. تكلفة يوم واحد من التوقف تفوق غالبًا كلفة سنوات من التوزيع الجغرافي والاختبار الدوري.

الأخطر أن التكلفة لا تقف عند اليوم الواحد. حين يعود النظام، تجد كومة طلبات متراكمة تحتاج معالجة عاجلة، وثقة داخلية مهتزّة تدفع الإدارات للاعتماد خارج النظام «تحسّبًا» لمرة قادمة. استعادة انضباط الإجراء بعد انقطاع طويل أصعب من الانقطاع نفسه، ولهذا يُقاس نجاح خطة التعافي بسرعة عودة الثقة لا عودة الخادم فقط.

RPO وRTO: مؤشران يفهمهما صانع القرار قبل التقني

قبل شراء أي حل، اتفق على رقمين. هما لغة القرار التي تترجم «نريد نظامًا آمنًا» إلى التزام قابل للقياس والتعاقد.

المعادلة بسيطة: كلما صغر الرقمان، ارتفعت الكلفة. نظام موافقات مالية حسّاس قد يحتمل RPO بخمس دقائق وRTO بساعة؛ نظام طلبات إدارية بسيطة قد يقبل RPO بيوم. لا يوجد رقم صحيح مطلق — يوجد رقم يناسب أثر التوقف على منشأتك.

استراتيجية 3-2-1 والتوزيع الجغرافي

القاعدة الأكثر رسوخًا في النسخ الاحتياطي بسيطة الحفظ: 3-2-1. ثلاث نسخ من البيانات، على وسيطي تخزين مختلفين، مع نسخة واحدة خارج الموقع. هذه القاعدة تحميك من ثلاثة أنواع فشل في آن: تلف البيانات، وعطل جهاز التخزين، وكارثة الموقع كاملًا.

1. 3 نسخ: النسخة الحيّة العاملة، ونسختان احتياطيتان مستقلتان.
2. 2 وسيطين: ألا تعتمد على نوع تخزين واحد؛ فعطل منظومة واحدة لا يبتلع كل النسخ.
3. 1 خارج الموقع: نسخة في مركز بيانات آخر جغرافيًا، لتصمد لو فُقد الموقع الرئيسي كليًا بحريق أو انقطاع.

لماذا التوزيع الجغرافي داخل السعودية تحديدًا

التوزيع الجغرافي يحمي من كارثة الموقع، لكن موقع النسخ نفسه مسألة امتثال لا تقنية فقط. تبقى بيانات الموافقات ونسخها داخل المملكة يدعم متطلبات استضافة بيانات الموافقات داخل السعودية ويتسق مع توجّهات ضوابط الهيئة الوطنية للأمن السيبراني. اختر مركزَي بيانات متباعدين جغرافيًا لكن كليهما داخل الحدود.

الصمود أمام برامج الفدية

برامج الفدية غيّرت قواعد اللعبة. لم يعد الخطر أن تفقد البيانات، بل أن يُشفّرها مهاجم ويطلب فدية — وأن تشمل هجمته النسخ الاحتياطية نفسها. كثير من الضحايا اكتشفوا أن نسخهم كانت متصلة بالشبكة، فشُفّرت مع الأصل.

حماية نظام الموافقات من الفدية تقوم على مبادئ عملية:

• نسخ غير قابلة للتعديل: نسخة لا يستطيع أحد — ولا مدير النظام — حذفها خلال مدة الحماية.
• فصل النسخ عن الشبكة: نسخة معزولة (air-gapped أو منطقيًا) لا يصلها المهاجم من الشبكة المخترقة.
• تعدد الإصدارات: الاحتفاظ بنسخ لعدة نقاط زمنية سابقة، فلو مرّ التشفير أيامًا قبل اكتشافه، تجد نسخة نظيفة سابقة له.
• مراقبة سجل الوصول: رصد أي وصول أو حذف غير معتاد للنسخ يعطي إنذارًا مبكرًا؛ راجع تسجيل الوصول والتغييرات في الموافقات.

المبدأ الجوهري: افترض أن الشبكة ستُخترق يومًا، وابنِ خطتك بحيث تبقى نسخة نظيفة واحدة على الأقل خارج متناول المهاجم. هذه النسخة هي الفرق بين استعادة في ساعات ودفع فدية لا تضمن شيئًا.

اختبار الاستعادة: النسخة التي لم تُختبر ليست نسخة

أخطر وهم في أمن المعلومات هو نسخة احتياطية لم يجرّب أحد استعادتها. المنشآت تكتشف عند الكارثة أن النسخ كانت تالفة، أو ناقصة، أو أن أحدًا لا يعرف خطوات الاستعادة أصلًا. النسخة تُثبت قيمتها لحظة الاستعادة، لا لحظة الأخذ.

ما الذي يثبته الاختبار الدوري

• سلامة البيانات: أن النسخة تُقرأ وتُفكّ تشفيرها وتُستعاد كاملة دون تلف.
• تحقق RPO وRTO فعلًا: أن الاستعادة تنتهي ضمن الزمن الموعود بالأرقام الحقيقية لا التقديرية.
• اكتمال الترابط: أن الطلبات والمسارات والصلاحيات وسجل التدقيق تعود متسقة ومترابطة.
• جاهزية الفريق: أن الإجراء موثّق وأن الفريق نفّذه فعليًا لا قرأه فقط.

وثّق نتائج كل اختبار في سجل مستقل. هذا السجل يدعم متطلبات الحوكمة ويتكامل مع سجل التدقيق ليعطي صورة كاملة عن جاهزية المنشأة.

مثال تطبيقي: مسار اعتماد استعادة بعد تعطّل

الاستعادة نفسها قرار حسّاس يجب أن يمرّ بمسار موافقة، لا أن يُنفّذها فرد بمفرده. تخيّل جهة حكومية اكتشف فريق التشغيل فيها صباحًا أن نظام الموافقات لا يستجيب بسبب تلف في قاعدة البيانات. بدل الارتجال، يسير القرار هكذا:

لماذا مسار موافقة للاستعادة؟ لأن استعادة نسخة خاطئة قد تعيد بيانات مصابة بالفدية، أو تكتب فوق بيانات سليمة. تمرير الأمر عبر مسؤول الأمن السيبراني يضمن أن النسخة المختارة نظيفة ومن نقطة زمنية سليمة، واعتماد المدير التنفيذي للتقنية يوثّق القرار ويحدد المسؤولية.

الفارق أن الاستعادة صارت إجراءً منضبطًا له مالك وأثر، لا محاولة فردية تحت الضغط. وكل خطوة مسجّلة، فعند مراجعة الحادثة لاحقًا يجيب السجل عن كل سؤال دون نقاش.