Varmuuskopiointi selitettynä: 3-2-1-sääntö käytännössä

Varmuuskopio on kopio tiedoista jostakin menneestä hetkestä, joka säilyy vaikka alkuperäiselle tapahtuisi mitä tahansa. Tämä yksi lause erottaa sen synkronoinnista, joka pitää yllä nykyhetkeä kaikilla laitteilla. Molempia tarvitaan, mutta ne torjuvat eri onnettomuuden.

Peilaavan pilvikansion perusmekanismi käydään läpi artikkelissa pilvipalvelu selitettynä. Tässä mennään siihen, mitä sen tilalle tai rinnalle rakennetaan: miten kopiot mitoitetaan, miten ne suojataan kiristyshaittaohjelmalta ja miten varmistetaan, että palautus todella onnistuu silloin kun sitä tarvitaan.

Menneisyyden kopio vastaan nykyhetken peili

Synkronointi on suunniteltu tekemään yksi asia hyvin: pitämään kaikki laitteet samassa tilassa. Kun poistat tiedoston, poisto on muutos, ja muutos leviää. Kun ohjelma tallentaa tiedoston päälle vahingossa tyhjänä, tyhjä versio on muutos, ja se leviää. Järjestelmä toimii moitteettomasti myös silloin, kun lopputulos on katastrofi.

Varmuuskopiointijärjestelmä toimii päinvastaisella logiikalla. Se lisää tietoa eikä korvaa sitä. Uusi kopio ei poista vanhaa, ja poistettu tiedosto säilyy kopiossa niin kauan kuin säilytysaika sallii. Käytännön ero näkyy siinä, mitä palvelu tekee, kun tiedosto katoaa lähteestä: synkronointi poistaa sen myös kohteesta, varmuuskopiointi merkitsee sen poistetuksi mutta säilyttää sisällön.

Tästä seuraa yksinkertainen tunnistustesti. Jos voit tuhota kopion tekemällä jotain omalla koneellasi, se ei ole varmuuskopio. Se on peili, joka sattuu olemaan toisessa paikassa.

Peili ei ole hyödytön. Se suojaa hyvin siltä vialta, joka on tilastollisesti tavallisin: laite hajoaa, katoaa tai varastetaan. Se ei vain suojaa siltä vialta, joka aiheuttaa eniten lopullisia menetyksiä, eli käyttäjän omalta virheeltä ja haitalliselta ohjelmalta. Kumpikin näistä on nimenomaan muutos, ja muutosten välittäminen on synkronoinnin tarkoitus.

3-2-1-sääntö vikatyypeittäin

3-2-1-sääntö esitetään yleensä muistilistana, mikä tekee siitä mielivaltaisen tuntuisen. Se on helpompi ymmärtää, kun jokainen numero luetaan vastauksena tiettyyn vikatyyppiin.

Alalla on yleistynyt laajennus, jota merkitään 3-2-1-1-0. Ensimmäinen lisätty ykkönen tarkoittaa yhtä kopiota, joka on irti verkosta tai lukittu muuttumattomaksi, ja nolla tarkoittaa nollaa virhettä testatussa palautuksessa. Kyseessä ei ole standardi vaan vakiintunut muistisääntö, mutta kaksi lisäystä osuvat juuri niihin kohtiin, joissa kotikäyttäjän varmuuskopio yleensä pettää.

Kotona sääntö toteutuu tyypillisesti näin: työkopio koneella, automaattinen kopio ulkoiselle levylle, joka irrotetaan kopioinnin jälkeen, ja versioiva pilvivarmuuskopiointi kolmantena. Tärkeintä ei ole tallennusvälineiden merkki vaan se, ettei mikään yksittäinen tapahtuma yllä kaikkiin kolmeen.

Sääntöä kannattaa lukea myös toisinpäin, tarkistuslistana. Kirjoita ylös, missä kopiosi ovat, ja kysy jokaisesta kuvitellusta onnettomuudesta, montako niistä katoaisi. Jos vastaus on kaikki, kopioita on todellisuudessa vain yksi riippumatta siitä, montako tiedostoa levyillä on. Tavallisin kotitalouksien virhe on kaksi levyä samassa kaapissa, ja toiseksi tavallisin on kaksi pilvipalvelua saman sähköpostitilin takana.

Kaksi lukua, jotka määrittävät koko ratkaisun

Varmuuskopioinnin mitoitus palautuu kahteen kysymykseen, joille on vakiintuneet nimet muun muassa NIST:n jatkuvuussuunnittelun ohjeistossa.

Palautuspistetavoite

Kuinka paljon työtä saa kadota. Jos kopio otetaan kerran vuorokaudessa, menetät pahimmillaan vuorokauden työn. Tämä luku määrää kopiointivälin.

Palautusaikatavoite

Kuinka kauan palautus saa kestää. Jos tarvitset tiedostot samana päivänä, kopio ei voi olla vain toisella paikkakunnalla säilytettävällä levyllä. Tämä luku määrää tallennustavan ja sijainnin.

Luvut kannattaa asettaa tiedostoryhmittäin eikä kerralla kaikelle. Perhevalokuvien palautuspistetavoite voi olla viikko, koska uusia kuvia syntyy hitaasti, mutta niiden palautusaikatavoite on käytännössä ääretön: kunhan ne joskus saadaan takaisin. Keskeneräisen opinnäytetyön suhde on päinvastainen. Kun nämä kaksi lukua on kirjoitettu ylös, ratkaisun valinta muuttuu tekniikkakeskustelusta laskutoimitukseksi.

Kiristyshaittaohjelma ja irrotettu kopio

Kiristyshaittaohjelma salaa tiedostot ja vaatii lunnaita avaimesta. Varmuuskopio on tätä vastaan tehokkain suoja, mutta vain jos kaksi ehtoa täyttyy.

Kopion pitää olla ulottumattomissa. Haittaohjelma toimii käyttäjän oikeuksilla. Kaikki, mihin kirjautunut käyttäjä yltää, on sen ulottuvilla: liitetyt ulkoiset levyt, kotiverkon verkkolevyt ja pilvitilit, joihin asiakasohjelma on kirjautuneena. Nykyiset haittaohjelmat etsivät varmuuskopioita erikseen ja tuhoavat ne ennen lunnasvaatimuksen näyttämistä.

Kopion pitää ulottua riittävän kauas taaksepäin. Tartunta voi olla koneessa viikkoja ennen kuin salaus käynnistyy. Jos säilytät vain viimeisimmän kopion tai kahden viikon versiohistorian, kaikki säilyneet versiot voivat olla jo saastuneita. Käytännön ohje on säilyttää vähintään muutaman kuukauden mittainen versiohistoria ja tarkistaa palvelun todellinen säilytysaika asetuksista.

Tartunta alkaa yleensä liitteestä tai linkistä, joten sama valppaus, jota huijausviestien tunnistaminen opettaa, on osa varmuuskopiointisuunnitelmaa. Jos vahinko on jo tapahtunut, älä palauta kopiota saastuneelle koneelle. Puhdista tai asenna järjestelmä uudelleen ensin, muuten uudet tiedostot salataan saman tien.

Mitä varmuuskopioidaan ja mitä ei

Kaiken kopioiminen tekee varmuuskopiosta hitaan, kalliin ja siksi käytännössä tekemättä jäävän. Valintaan riittää yksi kysymys: voiko tämän hankkia uudelleen?

Varmuuskopioitavaa ovat käytännössä korvaamattomat tiedot: valokuvat ja videot, omat asiakirjat ja taulukot, kirjanpito ja veroliitteet, koodiprojektit, harrastusten kertyneet aineistot sekä salasanojen hallintaohjelman tietokanta ja sen palautusavain.

Varmuuskopiointi kannattaa yleensä jättää väliin ohjelmien asennustiedostoista, suoratoistopalveluista ladatuista elokuvista ja musiikista, käyttöjärjestelmän omista tiedostoista sekä välimuisteista ja väliaikaistiedostoista. Nämä saa takaisin lataamalla uudelleen, ja ne kasvattavat kopion kokoa moninkertaisesti tuottamatta mitään.

Rajanveto ei ole aina itsestään selvä. Sähköposti on tyypillinen välitapaus: se on palveluntarjoajan palvelimella, mutta tili voidaan sulkea, ja arkisto on monelle korvaamaton. Sama koskee sosiaalisen median sisältöä ja pilvessä syntyneitä asiakirjoja, joita ei koskaan ole tallennettu omalle koneelle. Näissä tapauksissa palvelun oma tietojen vientitoiminto on se työkalu, jolla sisältö saadaan varmuuskopioitavaan muotoon, ja vienti kannattaa tehdä kerran vuodessa.

Yksi ryhmä jää väliin ja ansaitsee oman huomionsa: pääsy palveluihin. Tunnukset, kaksivaiheisen tunnistautumisen varakoodit ja tunnistussovelluksen siirtoavain eivät ole tiedostoja, joten mikään tavallinen varmuuskopio ei kata niitä. Ne on varmistettava erikseen, ja tapa käydään läpi artikkeleissa salasanojen hallintaohjelma ja kaksivaiheinen tunnistautuminen.

Puhelimen varmuuskopiot ja niiden tunnetut aukot

Molemmat valtajärjestelmät varmuuskopioivat puhelimen automaattisesti pilveen, kun laite on latauksessa ja wifi-yhteydessä. Kattavuus on hyvä mutta ei täydellinen, ja aukot ovat järjestelmällisiä.

Automaattinen kopio kattaa yleensä kuvat ja videot, yhteystiedot ja kalenterin, laitteen asetukset ja kotinäkymän sekä osan sovellusten datasta. Sen ulkopuolelle jäävät tyypillisesti viestisovellusten keskusteluhistoriat, joilla on oma erillinen varmuuskopiointinsa, tunnistussovellusten koodit, sovellukset jotka ovat kehittäjän asetuksella kieltäneet varmuuskopioinnin sekä maksukorttien ja henkilöllisyystodistusten digitaaliset versiot.

Kaksi käytännön varaumaa. Ilmainen pilvitila loppuu useimmilla kesken, jolloin varmuuskopiointi hiljaisesti keskeytyy ja ilmoitus jää huomaamatta asetusnäkymään. Ja koska tämä kopio elää samalla tilillä kuin puhelin, tilin menetys vie molemmat kerralla. Puhelinvarmuuskopio on siis yksi kopio kolmesta, ei koko ratkaisu.

Salaus ja palautusavaimen säilytys

Kotoa lähtevä kopio kannattaa salata. Kadonnut salaamaton muistitikku on tietovuoto siinä missä murtautuminen palveluun, ja seuraukset ovat samat kuin artikkelissa tietovuoto ja mitä tehdä kuvataan.

Salaus siirtää kuitenkin riskin uuteen paikkaan. Aidosti päästä päähän salatussa varmuuskopiossa palveluntarjoaja ei näe sisältöä, mikä on hyvä asia tietosuojan kannalta ja huono asia silloin, kun avain katoaa. Silloin kopiota ei saa auki kukaan, ei asiakaspalvelu eikä sinä. Tässä ei ole salasanan palautusta.

Palautusavain kannattaa siksi säilyttää kahdessa muodossa: salasanojen hallintaohjelmassa ja paperilla eri paikassa kuin varmuuskopiolevy. Avaimen pitää olla pitkä ja satunnainen, ja perusteet siihen selittää artikkeli mikä tekee salasanasta vahvan.

Palautuksen testaaminen

Varmuuskopio, jota ei ole koskaan palautettu, on oletus. Testaus ei vaadi erikoisosaamista, ja se paljastaa käytännössä aina jotain.

1. Valitse kaksi tiedostoa umpimähkään, mieluiten eri kansioista ja eri tiedostotyypeistä.
2. Palauta ne eri laitteelle tai vähintään eri kansioon kuin alkuperäinen. Jos palautat alkuperäisen päälle, et testaa palautusta vaan tuhoat vertailukohdan.
3. Avaa tiedostot ja tarkista, että sisältö on kunnossa. Erityisesti tietokannat ja projektitiedostot voivat kopioitua vajaina, jos ohjelma oli auki kopiointihetkellä.
4. Mittaa aika. Jos palautus kesti kaksi vuorokautta, se on nyt tiedossa etukäteen eikä kriisin keskellä.
5. Tarkista vanhin palautettavissa oleva versio. Se kertoo, kuinka kauas taaksepäin suojasi todella ulottuu.

Testi kannattaa tehdä vähintään kerran vuodessa ja aina, kun vaihdat laitetta, palvelua tai kopiointitapaa. Sama väli toistuu Kyberturvallisuuskeskuksen ohjeistuksessa.

Kun varmuuskopio on ainoa jäljellä oleva kopio

Joskus tilanne on jo se, että alkuperäinen on mennyttä ja jäljellä on yksi levy tai yksi tili. Silloin sääntö muuttuu: älä koske siihen enempää kuin on pakko.

Tee ensimmäiseksi kopio kopiosta toiselle välineelle ja työskentele vain jäljennöksen kanssa. Jos levy antaa lukuvirheitä tai kolisee, älä yritä uudelleen toistuvasti, koska jokainen yritys voi huonontaa tilannetta. Poistettujen tiedostojen palautusohjelmat kirjoittavat usein samalle levylle, jolta ne yrittävät lukea, joten kohdelevyn pitää olla eri laite.

Tallennusvälineiden arkistokestosta ei ole yhtä luotettavaa lukua. Valmistajien ilmoittamat arvot koskevat käyttöikää eivätkä hyllyssä säilytettävää levyä, ja olosuhteet vaikuttavat paljon. Käytännön johtopäätös on varovainen: älä oleta, että vuosia irrotettuna ollut levy toimii, vaan liitä varmuuskopiolevy koneeseen kerran vuodessa ja varmista, että se luetaan.

Mitä varmuuskopiointi ei ratkaise

Varmuuskopio palauttaa tiedot, ei salassapitoa. Jos tiedot on jo kopioitu ulos, kopion olemassaolo ei auta mitään: kiristyshaittaohjelmien nykyinen toimintatapa yhdistää salauksen ja tietojen julkaisu-uhkauksen juuri tästä syystä.

Varmuuskopio ei myöskään korjaa virhettä, jota ei ole huomattu. Jos taulukkoon on livahtanut väärä kaava kuukausia sitten, jokainen kopio sisältää saman virheen. Versiohistoria auttaa vain, jos ulotut virhettä edeltävään aikaan.

Kolmas raja on inhimillinen. Varmuuskopiointi, joka vaatii muistamista, jää tekemättä. Automatisoitu kopio, jonka onnistumisesta tulee ilmoitus ja jonka palautus on testattu, on huomattavasti arvokkaampi kuin täydellinen suunnitelma, jota kukaan ei toteuta. Käsitteet on selitetty myös digisanastossa.