انقطاع السحابة الأخطر مستثنى أصلاً من بند «القوة القاهرة» في عقدك
الانقطاع السحابي الأقدر على تعطيل عملك عبر عدة مناطق دفعة واحدة هو فعل عدائي متعمد، وهو بالتحديد السيناريو الذي صُمم عقد مزودك، واتفاقية مستوى الخدمة، وبوليصة تأمين انقطاع الأعمال لديك لاستبعاده. هذه الفجوة غير مؤمَّنة، وغير مُسعَّرة، وتقبع بالكامل على ميزانيتك العمومية.
افتح الاتفاقية الرئيسية لمزود الحوسبة السحابية لديك، وابحث عن بند القوة القاهرة. تستثني اتفاقية عملاء AWS الأحداث الخارجة عن السيطرة المعقولة من التزاماتها، وتُدرج الحرب والإرهاب ضمن هذه الأحداث. جملة واحدة تحسم بهدوء من يتحمل الفاتورة حين ينهار كل شيء دفعة واحدة، والإجابة ليست المزوّد. الانقطاع الأقدر على تعطيل عدة مناطق في الساعة نفسها، أي الفعل العدائي المتعمد، هو بالتحديد الفئة التي يستثنيها العقد. اقرأ صياغة عقدك بنفسك؛ فهذه الصياغة شبه معيارية في القطاع. إذن الحدث الأعلى أثراً مترابطاً هو نفسه الحدث الذي أعلن مزوّدك سلفاً أنه لن يموّله.
اتفاقية مستوى الخدمة لا تسد هذه الفجوة، وأرقامها الخاصة تقول ذلك بنفسها. تدفع اتفاقية مستوى خدمة الحوسبة لدى AWS رصيد خدمة بنسبة 10% إذا انخفضت نسبة التشغيل الشهرية عن 99.99%، و25% إذا انخفضت عن 99%، و100% فقط إذا هبطت عن 95%، وكل مستوى منها رصيد يُخصم من فاتورة تلك الخدمة تحديداً، لا نقداً لتعويض تجارة ضائعة. احسب الأمر بنفسك: عند إنفاق شهري بستة أرقام بالدولار، أقصى تعويض ممكن عن انقطاع كارثي يمتد أياماً هو رصيد بالمقياس نفسه لا يمكن إنفاقه إلا لدى المزوّد الذي تسبب في العطل أصلاً. اتفاقية مستوى الخدمة لم تكن يوماً تغطية لاستمرارية الأعمال؛ إنها خصم على جودة الخدمة، ومعاملتها كشبكة أمان مالية هو أول خطأ في التسعير.
يتبقى التأمين، وهنا تتسع الفجوة بدل أن تُغلق. بوالص تأمين انقطاع الأعمال والتأمين السيبراني تحمل استثناءات الحرب والفعل العدائي كمعيار قياسي، وتلجأ إليها شركات التأمين حين تكون الخسارة كبيرة. وأصبحت NotPetya، البرمجية الخبيثة التي شلّت عام 2017 عمليات شركة أدوية متعددة الجنسيات وكلّفتها ما يتجاوز عشرة أرقام بالدولار، القضية المرجعية: رُفضت المطالبة بموجب استثناء «الفعل العدائي وأعمال الحرب»، واستمر النزاع القضائي سنوات. وكان رد سوق التأمين منذ ذلك الحين تشديد الشروط لا تخفيفها، إذ تحرّكت Lloyd's لإلزام بوالص التأمين السيبراني المستقلة باستثناء الهجمات المدعومة من دول بشكل صريح. إذن الأدوات الثلاث التي يفترض مجلس الإدارة أنها ستمتص أثر انقطاع مترابط، عقد المزوّد، واتفاقية مستوى الخدمة، وبوليصة التأمين، مصممة كل منها للتنحي تحديداً أمام سيناريو الفعل العدائي الذي يتسبب في مثل هذا الانقطاع. وأنا هنا أصف العرف السائد في السوق، لا أحكم على صياغة عقدك أنت تحديداً، وعليك قراءة بنودك بنفسك. لكن إن كان الانقطاع المترابط هو نفسه الانقطاع غير المؤمَّن، فإن التعرض لا يختفي؛ إنه فقط ينتقل بهدوء ليستقر عليك أنت.
كم يكلف فعلياً انقطاع سحابي غير مؤمَّن يضرب عدة مناطق؟
لنأخذ شركة إيراداتها السنوية 60 مليون دولار. هذا يعني نحو 165,000 دولار من الإيرادات تعتمد على كل يوم تداول عادي. لنفترض أن حدثاً مترابطاً يُسقط المناطق الأوروبية لدى المزوّد الرئيسي ثلاثة أيام، ولنفترض، كما تسمح الصياغة أعلاه، أن كلاً من اتفاقية مستوى الخدمة وتغطية انقطاع الأعمال يعاملان السبب على أنه مستثنى. الإيراد المباشر المعرَّض للخطر نحو نصف مليون دولار، قبل احتساب الغرامات التعاقدية، وقبل احتساب أثر السمعة، وقبل العملاء الذين يجربون منافساً بهدوء بينما أنت خارج الخدمة. هذه أرقام توضيحية، ضع أرقامك أنت فيها، لكن البنية ثابتة: الخسارة غير محدودة سقفاً، وتقع بالكامل على ميزانيتك العمومية، لأن الأدوات التي افترضت أنها ستمتصها تنحّت جميعها جانباً.
لماذا لا يزيل التكرار الذي دفعت ثمنه هذا الخطر؟
لأن التكرار مُسعَّر لمواجهة الحوادث، والضربة الموجَّهة ليست حادثاً. تقوم بنية المناطق المتعددة على افتراض واحد: أن الأعطال مستقلة. احتمال سقوط منطقتين في النافذة الزمنية نفسها يقارب حاصل ضرب احتمالين صغيرين، وهو رقم أصغر بكثير، فتوزيع الحمل يجعل الانقطاع الكامل بعيد الاحتمال. أمام الأعطال الكهربائية، والأعطال الفنية، وخطأ الإعداد، والطقس، هذه الحسابات سليمة. لكن الخصم يُبطلها في خطوة واحدة، فيختار منطقتيك في فرانكفورت ودبلن في الساعة نفسها، لأنه اطّلع على مخطط البنية نفسه الذي رسمته أنت. وحين يصبح الفشل مُختاراً لا عشوائياً، يسقط افتراض الاستقلالية، ويسقط معه الشعور المريح بأن حساب الاحتمالات المركّب يحميك. المعلومات التي يستخدمها العميل لتصميم آلية التعافي من الفشل هي غالباً المعلومات نفسها التي يستخدمها المهاجم لتعطيلها، والمزوّدون ينشرون الشكل العام لهذه البنية بتصميم متعمد كي تتمكن أنت من البناء حولها.
لماذا أصبحت مخاطر تركز الحوسبة السحابية مشكلة استمرارية أعمال الآن؟
تحوّلان أخرجا هذا الملف من خانة المخاطر النادرة إلى أفق التخطيط الفعلي. الأول أن قاعدة المزوّدين انكمشت: تُظهر بيانات Synergy Research Group العلنية أن أكبر ثلاثة مزوّدين يستحوذون على نحو ثلثي إيرادات البنية التحتية السحابية عالمياً، ما يعني أن معظم قدرة المؤسسات اليوم تقع داخل حفنة من منظومات المزوّدين، وهذا بالتحديد ما يحوّل فعلاً عدائياً واحداً إلى حدث مترابط يطال عملاء متعددين دفعة واحدة. والثاني أن الإطار السياسي تحوّل معه: تصف الإدارة الأمريكية الحالية خطتها لعمل الذكاء الاصطناعي بأنها استراتيجية للحفاظ على الريادة التكنولوجية الأمريكية، وهو تصنيف يعيد وضع مراكز البيانات التجارية ضمن خانة الأصول الاستراتيجية في نظر أي طرف معادٍ لتلك الحكومة. هذا التحول يتقاطع مباشرة مع سباق دول الخليج نحو التحول الرقمي والذكاء الاصطناعي، من رؤية السعودية 2030 إلى استراتيجية الإمارات الوطنية للذكاء الاصطناعي، وما يرافقهما من استثمارات سيادية ضخمة في السحابة والذكاء الاصطناعي، إلى جانب أطر تنظيمية لحماية البيانات مثل نظام حماية البيانات الشخصية السعودي (PDPL)، وهو ما يجعل مخاطر تركز البنية السحابية معياراً لا يمكن لأي جهة موصولة بهذا السباق تجاهله. لا تحتاج إلى حادثة محددة كي تُسعّر هذا الخطر؛ التركز ومنطق الاستهداف كافيان وحدهما. الحوادث فقط تجعل الأمر ملموساً، وقد وُجدت بالفعل ادعاءات، ينبغي التعامل معها بالتشكك الذي يستحقه أي تفاخر في زمن الحرب، باستهداف بنية تحتية تجارية للبيانات: فقد أعلن الحرس الثوري الإيراني مسؤوليته عن ضربة استهدفت بنية بيانات تابعة لأمازون في البحرين، وهو تصريح صادر عن طرف في النزاع دون أي رد يؤكده. وحتى لو ظل غير مثبت، فإنه يكشف أن جهة ما باتت تنظر إلى مركز بيانات تجاري باعتباره هدفاً عسكرياً مشروعاً. المباني نفسها لم تتغير. أسوارها وعقودها وتأمينها لم تتغير. ما تغيّر وحده هو قائمة الأهداف.
هل يمكنك التخطيط لانقطاع لا يمكنك التأمين ضده؟
لا يمكنك شراء هذا الخطر بعيداً عن منظومة واحدة، ولا يمكنك تأمين الجزء الذي يهم فعلاً، لذا يجب أن يكون التخفيف تشغيلياً. توقف عن سؤال ما إذا كان مزوّدك مرناً؛ فالإجابة تعتمد على أمن موقع غيرك ونوايا غيرك. اسأل السؤال الذي تملكه أنت: ماذا يستطيع هذا العمل أن يقدّم فعلياً عند 90%، و50%، و10% من طاقته، ولأي مدة، وبأي تكلفة على العملاء والسمعة؟ معظم خطط استمرارية الأعمال ثنائية: يعمل أو لا يعمل. «الانتقال إلى منطقة أخرى» افتراض يرتدي زي خطة. أما التدهور المتدرّج فرخيص التحديد، وقابل للاختبار، ويصمد أمام انقطاع مترابط لا يستطيع أي شيك تفاديه.
تحديد مسبق للخدمات التي تُضحّى بها أولاً، وتلك التي تُصان مهما كلّف الأمر، وما يعنيه فعلياً «العمل عند 10%» بالنسبة لاستقبال الطلبات أو السلامة، هو نفس الانضباط اللازم لتصميم أنظمة تبقى قابلة للتحكم تحت الضغط، وينبغي أن يكون جزءاً من استراتيجيتك التقنية، لا بنداً مدفوناً في ملحق لا يُراجعه أحد. الحوسبة متعددة السحاب تستحق تكلفتها بالنسبة لحفنة من الأحمال التي يجب أن تنجو مهما حدث، لأنها تزيل الترابط الذي يستغله المهاجم داخل منظومة واحدة، لكنها تجلب تعقيداً حقيقياً أيضاً. تعامل معها كتأمين موجَّه لما يجب أن ينجو، لا كإعادة بناء شاملة.
السحابة ليست المشكلة، والمزوّدون بنوا فعلاً آلات جيدة لأنماط الفشل التي طُلب منهم حلّها. الفجوة تكمن في خطتك أنت: البند الذي لم تقرأه حتى نهايته، واتفاقية مستوى الخدمة التي ظننتها تغطية، والتعرض الذي لم تُسعّره قط. اعرف ما تستثنيه فعلياً صياغة القوة القاهرة لديك وبوليصة انقطاع الأعمال، ثم قرّر ما الذي يمكنك تشغيله حين يقع المستثنى. هذا عمل ينبغي إنجازه قبل المشروع القادم، لا بعد العنوان الرئيسي القادم.
أسئلة شائعة
هل تُغطي اتفاقية مستوى الخدمة أو تأمين انقطاع الأعمال هجوماً متعمداً على مركز بيانات؟
غالباً لا. بنود القوة القاهرة لدى مزوّدي السحابة تُدرج الحرب والإرهاب ضمن الأحداث الخارجة عن التزامات المزوّد، وبوالص التأمين السيبراني وتأمين انقطاع الأعمال تحمل استثناءات للفعل العدائي تلجأ إليها شركات التأمين عند الخسائر الكبيرة، كما أظهرت قضية NotPetya. أما أرصدة اتفاقية مستوى الخدمة فلا تعوّض سوى نسبة محدودة سقفاً من فاتورتك عن الخدمة المتأثرة، ولا تعوّض أبداً التجارة الضائعة. اقرأ صياغة عقد مزوّدك الفعلي وبوليصة تأمينك بنفسك، ولا تفترض أن السيناريو الأخطر مغطى.
كيف أُقدّر تعرضي غير المؤمَّن لمخاطر تركز الحوسبة السحابية؟
ابدأ بالإيراد اليومي المعتمد على الأنظمة المتأثرة، اضربه في مدة انقطاع واقعية لحدث مترابط، ثم أضف الغرامات التعاقدية وتقديراً معقولاً لفقدان العملاء والأثر على السمعة. اطرح فقط ما ستدفعه فعلياً بوليصتك واتفاقية مستوى الخدمة بموجب سبب مستثنى، وغالباً ما يكون هذا المبلغ قريباً من الصفر. الباقي هو الرقم الذي يقبع دون تسعير على ميزانيتك العمومية.
كيف أبني خطة تدهور متدرّج لمواجهة انقطاعات السحابة؟
حدد ما يستطيع العمل تقديمه عند 90%، و50%، و10% من الطاقة، وقرر أي الخدمات تُضحّى بها أولاً وأيها تُصان مهما كلّف الأمر، وقيّم الأثر على العملاء والسمعة لكل مستوى. ثم تدرّب على تنفيذها فعلياً. الهدف هو تحويل افتراض «يعمل أو لا يعمل» الثنائي إلى قرارات مُختبرة يمكنك تنفيذها تحت الضغط، لأن هذا هو التخفيف الذي تملك زمامه فعلاً حين يتنحى التأمين واتفاقيات مستوى الخدمة جانباً.
مواضيع ذات صلة
- علاوة السيادة: لماذا تكسب حلول الذكاء الاصطناعي السيادي للمؤسسات الرهان على حرية الوصول لا على السرعة
- الكاميرا لم تعد مرئية بعد الآن: إعادة صياغة سياسة النظارات الذكية في مكان العمل
- سياسة أمان الذكاء الاصطناعي: خندق حماية لا كابح
- Security & Trust
كُتب بواسطة شخصية تحريرية بالذكاء الاصطناعي ضمن نظام التحرير الخاص بـ Abyshire وروجع من فريقنا.