Блекаут: як захистити ІТ-інфраструктуру бізнесу

Відключення електроенергії для українського бізнесу — сценарій, до якого готуються заздалегідь, а не під час першої аварії. Коли світло зникає, важливо не лише те, скільки протримаються сервери, а й чи буде до них доступ, чи не пошкодяться дані та як швидко все запуститься знову.

Нижче — практичний план для ІТ-керівника чи власника бізнесу: що перевірити, у якому порядку і як не витратити бюджет на резервування того, що можна спокійно зупинити.

Почніть із питання: що має працювати без світла

Резервувати «все» дорого й зазвичай не потрібно. Спершу складіть перелік систем і для кожної дайте відповідь на два питання:

Скільки часу система може не працювати, перш ніж це зашкодить бізнесу. Це цільовий час відновлення — RTO (Recovery Time Objective).
За який період дані допустимо втратити. Це цільова точка відновлення — RPO (Recovery Point Objective): момент, до якого дані мають бути відновлені після збою.

Обидва поняття визначені в настановах NIST з планування безперервності ІТ-систем (SP 800-34 Rev. 1). На практиці системи розподіляються на три групи:

Група	Приклади	Що робимо
Мають працювати під час відключення	облік і платежі, CRM, пошта, VPN, телефонія	резервне живлення, другий канал зв’язку або перенесення за межі офісу
Можуть зачекати кілька годин	внутрішні портали, звітність, тестові середовища	кероване вимкнення та запуск за планом
Можна зупинити	архіви, системи для разових задач	вимикаємо першими, щоб подовжити роботу від батарей

Ця таблиця — основа всіх наступних рішень і бюджету. Без неї неможливо оцінити, чи достатньо поточних ДБЖ, генератора й каналів зв’язку.

Живлення серверної: ДБЖ, генератор і порядок вимкнення

ДБЖ купує час, а не години роботи

Джерело безперебійного живлення (ДБЖ) потрібне, щоб пережити перемикання на генератор або коректно вимкнути системи. Розраховувати, що батареї триматимуть серверну всю тривалість відключення, зазвичай неекономно.

Що перевірити:

Тип ДБЖ. Для серверів і мережевого ядра обирають онлайн-ДБЖ із подвійним перетворенням: навантаження постійно живиться через інвертор, тож перехід на батареї та стрибки напруги його не зачіпають. Лінійно-інтерактивні моделі дешевші й підходять для менш критичного обладнання.
Реальний час автономної роботи. Рахуйте за фактичним навантаженням, а не за паспортом. Ємність батарей із часом падає, тому час роботи варто регулярно перевіряти тестом під навантаженням.
Що саме підключено. Сервери без живлення комутаторів, маршрутизатора й міжмережевого екрана працюють, але недоступні. Мережеве обладнання має бути на ДБЖ так само, як і сервери.

Генератор і АВР

Для довгих відключень потрібен генератор з автоматичним введенням резерву (АВР). ДБЖ у цій схемі покриває проміжок між зникненням мережі та запуском генератора й згладжує якість живлення від нього. Перевіряйте запуск генератора під реальним навантаженням, а не лише на холостому ходу, і майте запас пального та домовленість про його доставку.

Проєктування електроживлення — робота профільних електриків. ІТ-команда має дати їм точні вихідні дані: споживання обладнання, перелік критичних систем і допустимий час перемикання.

Кероване вимкнення та запуск

Якщо батареї сідають, а генератора немає або він не запустився, системи мають вимкнутися самі — у правильному порядку. Різке знеструмлення може пошкодити бази даних, файлові системи та дискові масиви.

Підключіть ДБЖ до мережі через карту керування та налаштуйте агент вимкнення на хостах віртуалізації (VMware, Hyper-V).
Задайте порядок: спершу застосунки й бази даних, потім віртуальні машини, хости й сховища. Мережу вимикайте останньою.
Запуск — у зворотному порядку: мережа, сховища, хости, бази даних, застосунки. Пропишіть, хто перевіряє, що все піднялося.

Не забудьте про охолодження

Кондиціонер у серверній зазвичай не підключений до ДБЖ. Сервери працюють від батарей, а температура в приміщенні росте. Налаштуйте моніторинг температури зі сповіщеннями й автоматичне вимкнення, якщо температура перевищить поріг, допустимий за документацією виробника обладнання.

Зв’язок: два незалежні канали

Під час відключень часто першим зникає не сервер, а інтернет: обладнання провайдера на шляху до офісу теж залежить від живлення.

Два провайдери з різними фізичними трасами. Уточніть у кожного, чи мають їхні вузли резервне живлення і на скільки годин його вистачає.
Третій канал на крайній випадок — мобільний або супутниковий зв’язок для найкритичніших сервісів.
Автоматичне перемикання. Міжмережевий екран нового покоління (NGFW) стежить за станом каналів і сам переводить трафік на робочий. Наприклад, у FortiGate з SD-WAN маршрути через канал, що вийшов з ладу, прибираються, і трафік іде іншими каналами. Детальніше — у розділі мережева безпека та NGFW.
IP-телефонія. Якщо телефони живляться через PoE-комутатор, він теж має бути на ДБЖ.

Винесіть критичне за межі офісу

Ще надійніше — коли критичні системи взагалі не залежать від світла в офісі.

Комерційний дата-центр. Власне обладнання розміщують у ЦОД із резервним живленням і кількома каналами зв’язку. Офіс тоді лише підключається до систем.
Приватна хмара. Сервери, об’єднані в кластер, дають високу доступність: якщо вузол вийшов з ладу, його роль переходить до іншого. Про підхід — на сторінці приватні хмари.
Публічна хмара та гібрид. Частину навантажень — пошту, файли, резервні копії, вебсервіси — можна перенести в хмару, залишивши локально те, що має бути поруч. Як обрати платформу й спланувати перенесення — на сторінці хмарні рішення.
Віддалена робота. Якщо системи доступні через VPN або хмарні сервіси, співробітники працюють там, де є світло, і офіс перестає бути єдиною точкою відмови.

Резервні копії, які переживуть відключення

Резервне копіювання — остання лінія захисту, якщо щось пішло не так: аварійне знеструмлення, пошкоджений диск після стрибка напруги, помилка під час запуску.

Дотримуйтеся правила 3-2-1: три копії даних, на двох різних типах носіїв, одна — поза офісом.
Перевіряйте цілісність копій автоматично й регулярно пробуйте відновлення: копія, з якої ніколи не відновлювались, нічого не гарантує.
Після кожного аварійного знеструмлення перевіряйте стан баз даних, файлових систем і дискових масивів.

Як ми будуємо резервне копіювання й моніторинг — на сторінці ІТ-інфраструктура.

План дій і тренування

Технічні засоби не спрацюють без людей, які знають, що робити.

Опишіть сценарій: хто вирішує про вимкнення, хто перевіряє запуск, як повідомити співробітників і клієнтів.
Зберігайте контакти й інструкції там, де вони доступні без серверів і корпоративної пошти, — зокрема на папері.
Налаштуйте моніторинг доступності, стану ДБЖ і каналів зв’язку зі сповіщеннями на телефон відповідальних.
Регулярно проводьте тренування — наприклад, планове вимкнення живлення у вихідний. Так слабкі місця знайдуться до справжньої аварії.

Чек-лист готовності до блекауту

Як допоможе Bereg-IT

Ми оцінимо, які системи критичні саме для вашого бізнесу, і покажемо слабкі місця: живлення серверів, зв’язок, резервні копії, моніторинг. За результатами спроєктуємо й налаштуємо резервні канали, кероване вимкнення, резервне копіювання та моніторинг, а за потреби перенесемо навантаження в приватну чи публічну хмару. Почати можна з консультації або аудиту.

Перша консультація — безкоштовна. Залиште запит — з вами зв’яжеться ІТ-інженер.

Джерела

NIST SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems (2010) — планування безперервності, RTO і RPO: https://csrc.nist.gov/pubs/sp/800/34/r1/upd1/final
NIST CSRC Glossary — визначення Recovery Time Objective і Recovery Point Objective (джерело — SP 800-34 Rev. 1).
Fortinet, FortiGate / FortiOS 7.0 Administration Guide — Link monitoring example (SD-WAN): https://docs.fortinet.com/document/fortigate/7.0.1/administration-guide/478384