Bu ayın başlarında, ABD’nin Pensilvanya eyaletindeki iki kamu sektörü BT sistemi veri kaybetti ve bunun sorumlusu insan hatasıydı.
Kayıp veri kümelerinden biri, cezai işlemlerde delillerin yönetilmesi ve kaydedilmesi için polis departmanına yapılan başvuruydu. Diğeri ise kullanıcı tarafından oluşturulan emeklilik tahminleriyle ilgiliydi.
Ancak insan hatası varsa, bakımı gerçekleştiren ve verileri kaybeden yöneticiyi suçlamak ve bu vakada olduğu gibi işten çıkarmak adil olur mu? Yoksa rutin BT çalışmaları sırasında veri kaybıyla ilgili oldukça düzenli haberler, politika ve prosedür düzeyindeki başarısızlıklara ve özellikle de yedeklemenin önemine mi işaret ediyor?
Pensilvanya polis verilerini nasıl kaybetti?
İki olaydan, polis delil kayıtlarının kaybı, adalet sisteminin işleyişi üzerindeki etkisi nedeniyle çok daha ciddi görünüyor, ancak polis hiçbir fiziksel delilin kaybolmadığını belirtmekte istekliydi. Muhtemelen sadece polis sistemine sunulduğuna dair kayıtlar var.
Devlet idare ofisi, 1 ve 3 Ocak tarihlerinde ve 77 sunucuda “rutin sunucu bakımı” sırasında “sınırlı veri kaybı” nedeniyle “insan hatasını” suçladı. Bu yazının yazıldığı sırada tüm veriler kurtarılmamıştı.
Eyalet polisi, kanıtları takip etmek için kullanılan iki bilgisayar sisteminden birinin 15 Ocak’ta tekrar çevrimiçi olduğunu açıkladı. Bu arada bazı ilçe yetkilileri veri kaybını küçümsedi. Biri ellerinde zaten kağıt üzerinde kanıt bulunduğunu söyledi; diğerinin kendi adli tıp laboratuvarı vardı. Her iki yanıt da asıl önemli noktayı ele almıyor; yani bu tür veriler ilk etapta geri alınamayacak şekilde kaybolmamalı.
Veri koruma stratejisinde yedeklemenin önemi nedir?
Bu örnekten çıkarılacak temel sonuç, kuruluşların her zaman verilerinin yedeklerini bulundurması gerektiği ve bu yedeklerin, verilerin işlendiği birincil sistemlerden uzakta saklanması gerektiğidir.
Bu durumda, mevcut sınırlı bilgiye göre, bir miktar sunucu bakımı yapılmış gibi görünüyor. Şu ana kadar çok sıradan. Ancak sunucu bakımı, yükseltmeler vb. yanlış gidebilir. Bu, aşırı durumlarda, içinde sunucu bulunan binaların su basabileceği, yanabileceği veya başka felaketlere maruz kalabileceği ihtimalini bir kenara bırakıyor.
Bu nedenle, kuruluşların her zaman verilerin ikinci bir kopyasına sahip olması, yedeklenmesi ve tercihen tesis dışına kopyalanması BT veri korumasının temelidir. Pensilvanya’nın polis delil kayıtlarında yedek olmadığını varsaymak oldukça doğru olur. Eğer öyle olsaydı, veriler kesinlikle en fazla birkaç gün içinde geri yüklenebilirdi.
Peki bu veri kaybında insan hatası unsuru var mıydı? Neredeyse kesinlikle, sunucu bakımından sorumlu yönetici, bir şeyler ters gittiğinde geri alınacak yedeklere sahip olmadan bir şeyler yapmaya devam etti.
Ancak temel hata burada yatmıyor.
Aslına bakılırsa buradaki en büyük hata, devletin BT operasyonunun sunucularının korunmasını sağlama konusundaki başarısızlığı, yedeklerin tamamen farklı bir sistemde güvenli bir şekilde saklanması, tercihen site dışında olması ve düzenli olarak test edilmesidir.
Belki de yalnızca “sunuculardan” bahsedilmesi, bilgi işlem ve depolama arasında bir miktar ayrım sağlayacak SAN veya NAS gibi paylaşılan bir depolamanın bulunmadığını gösterir. Böyle bir mimari, verileri olduğu gibi bırakırken sunuculardaki hatalara karşı bir düzeyde koruma sağlamış olabilir.
Yani hata insaniydi; ancak BT stratejisi düzeyinde ve yedeklemelerin düzenli olarak alınmasının ve sistemlerin veri kaybetmesi durumunda hızlı geri dönüşe olanak sağlamak için güvenli bir yerde saklanmasının sağlanması düzeyinde.