Évaluation des dommages aux équipements suite à une frappe de foudre - Aurais-je dû mieux planifier ?

J'ai réfléchi à cette question depuis qu'elle a récemment été rééditée en haut de la page d'accueil.

Je stipule librement que, pour des personnes comme sysadmin1138 qui doivent gérer des installations très attirantes pour de gros coups de foudre sur le toit du centre de données, une planification de contingence spécifique pour un gros coup de foudre a du sens. Mais pour la plupart d'entre nous, il s'agit d'une circonstance unique, et j'ai pensé qu'une réponse plus adaptée au reste d'entre nous pourrait avoir de la valeur.

Il est possible d'imaginer toutes sortes de menaces type scénario de film; des scénarios qui pourraient certainement se produire, prendraient incontestablement votre entreprise si elles se produisaient, mais pour lesquelles il n'y a aucune raison de penser qu'elles ont une probabilité élevée de se produire. Vous connaissez le genre de choses; frappe d'avion / éclair / explosion d'un dépôt de pétrole à proximité / tout autre scénario plausible mais à risque en arrière-plan.

Chacun de ces scénarios a un plan d'atténuation spécifique qui pourrait être mis en place, mais je suggérerais que - en tenant compte de ma stipulation ci-dessus - cela n'a pas de sens commercial de le faire. Comme Schneier tente de le souligner dans le concours lié ci-dessus, le simple fait que vous puissiez imaginer quelque chose de terrible ne fait pas de cela une menace contre laquelle une planification spécifique serait utile, voire souhaitable. Ce qui fait sens sur le plan commercial, c'est un plan généraliste de continuité des activités bien documenté et testé.

Vous devez vous demander quelles sont les coûts pour l'entreprise d'une perte totale de site pour différentes périodes de temps (par ex. 24h, 96h, une semaine, un mois) et essayer de quantifier la probabilité de chaque occurrence. Il doit s'agir d'une analyse honnête des coûts pour l'entreprise, impliquant tous les niveaux de l'entreprise. J'ai travaillé sur un site où le chiffre généralement accepté pour le temps d'arrêt était de 5,5 millions de livres par heure (et c'était il y a 20 ans, quand cinq millions de livres étaient beaucoup d'argent); avoir ce chiffre généralement accepté a rendu tellement de décisions tellement plus faciles, car elles sont devenues simplement une question de calculs simples.

Votre budget est la perte projetée multipliée par la chance annuelle de cette perte; maintenant voyez ce que vous pouvez faire pour atténuer cette menace avec le budget alloué.

Dans certains cas, cela peut nécessiter un centre de données de secours complet, avec un équipement inactif, prêt à fonctionner 24h/24 et 7j/7. Cela peut signifier un petit centre de données de secours, de sorte que l'interaction avec les clients puisse continuer avec un nombre très réduit d'opérateurs téléphoniques, et un site Web de remplacement avertissant de perturbations. Cela peut signifier une deuxième connexion Internet avec routage redondant sur votre site principal, en attente d'utilisation. Cela peut signifier, comme le note Mark Henderson ci-dessus, une assurance (mais une assurance qui couvre les pertes commerciales ainsi que les coûts réels de récupération); si vous pouvez dépenser votre budget de BC pour un simple document qui couvrira tous vos coûts prévus en cas de catastrophe, il peut être judicieux d'acheter ce document - mais n'oubliez pas de prendre en compte le risque de défaillance de l'assureur dans votre plan de gestion des risques commerciaux. Cela peut signifier la mise à niveau des contrats de maintenance sur certains équipements centraux pour des contrats extrêmement coûteux de réparation en quatre heures maximum. Seul vous pouvez savoir ce qui est logique pour votre entreprise.

Et une fois que vous avez ce plan, vous devez vraiment le tester (à l'exception éventuelle de ceux basés sur l'assurance). J'ai travaillé sur un site où nous avions un petit site d'exploitation à petite échelle complet, prêt à être transféré, à 45 minutes de route de notre installation principale. Lorsque nous avons eu un problème qui a arrêté le réseau central, nous avons fini par essayer de le réparer en direct au lieu de transférer vers le site d'urgence et ensuite réparer le réseau central et revenir au site principal. Une des raisons de l'échec du transfert était que nous n'avions pas réellement idée de combien de temps le transfert prendrait et pour revenir en arrière. Par conséquent, personne ne savait vraiment combien de temps les choses devaient fonctionner sans transfert avant de prendre la décision de transférer, donc - tout à fait compréhensible -, il y avait hésitation à décider de transférer. Des têtes sont tombées après notre rétablissement, 14 heures plus tard; non pas en raison de l'arrêt per se, mais parce qu'une somme d'argent considérable avait été dépensée pour une installation destinée à atténuer un arrêt d'un jour ou plus qui était restée inutilisée pendant un tel arrêt.

Enfin, notez que les composants externalisés de votre plan d'entreprise ne sont pas garantis de fonctionner. Votre direction supérieure pourrait se dire "si nous mettons les serveurs dans le cloud, ils seront simplement toujours là, et nous pourrons licencier les administrateurs système". Ce n'est pas le cas. Les clouds peuvent échouer comme tout le reste; si vous avez externalisé des composants critiques à un prestataire, vous avez simplement supprimé votre capacité à estimer les chances de défaillance de ces composants. Les SLA sont très bien, mais sauf s'ils sont accompagnés de pénalités substantielles en cas de non-performance, ils sont insignifiants - pourquoi votre fournisseur dépenserait-il plus d'argent pour rester disponible s'il pouvait simplement garder l'argent et rembourser vos frais de service pour la période d'inaccessibilité? Pour être fiables, vos SLA doivent être assortis de pénalités qui approchent les coûts pour votre entreprise de l'arrêt. Oui, cela augmentera considérablement les coûts de l'externalisation; et oui, cela est tout à fait attendu.

Cela dépend toujours de combien vous êtes prêt à dépenser. Je n'ai pas assez de connaissances approfondies pour parler longuement de cela, mais j'ai été dans un grand centre de données pharmaceutiques qui a été frappé par la foudre et a traversé quelque chose qui était censé être un parafoudre à redondance multiple (et qui était conçu correctement, mais a été mis en œuvre de manière incorrecte, donc quelque chose est passé à travers).

Quelle était la plus grande pointe que votre UPS aurait pu éviter? Il devrait avoir une cote. Apparemment, la frappe était assez directe pour dépasser cela, ou quelque chose a fui autour de l'alimentation UPS, comme une mauvaise mise à la terre. Donc, peut-être que vous examinez votre conception de l'alimentation, déterminez à quel point une autre frappe est probable, comparez le coût de l'arrêt X probabilité par rapport à la remédiation, et peut-être demandez à un électricien de réaliser un bon survey de l'installation pour s'assurer que tout est correctement mis à la terre - et une lecture rapide montre que la mise à la terre pour la sécurité/codes n'est pas aussi intensive que la mise à la terre pour la prévention des dommages dus à la foudre.

Je ne suis pas certain si cela est mis en œuvre dans l'un des scénarios ci-dessus mais,... Aucune salle MDF ou IDF ne devrait avoir une source de mise à la terre qui se connecte au cadre structurel des bâtiments ou au circuit de mise à la terre de l'équipement. Cela inclut l'alimentation du panneau électrique, du rack, et tous les boîtiers de l'équipement. Ils devraient avoir ce qu'on appelle une Terre Propre qui remonte jusqu'au point de mise à la terre d'origine sur l'alimentation entrant dans le bâtiment. En ce qui concerne l'arc électrique à travers l'air, vous êtes un peu coincé sur ce point. Voici les normes à suivre : ANSI/TIA-942, J-STD-607-A-2002, et les normes IEEE 1100. J'espère que cela vous sera utile.