Koszt zaniedbanej strony - dlaczego backup i regularna opieka się opłacają

Backup - czyli kopia zapasowa strony, zapisana wersja wszystkich jej plików i treści z konkretnego momentu w czasie - to jedna z tych rzeczy, które w budżecie firmy wyglądają jak zbędny koszt, dopóki nagle nie okazuje się, że to jedyna rzecz, która oddziela "przywracamy stronę w piętnaście minut" od "budujemy wszystko od zera".

Dwa scenariusze obok siebie

Najłatwiej to zrozumieć na dwóch przeciwstawionych sobie historiach, obie zresztą bardzo typowe. W pierwszej firma płaci niewielką, stałą kwotę miesięcznie za automatyczny backup i podstawowy monitoring. Pewnego dnia wtyczka po aktualizacji powoduje błąd krytyczny opisany w jednym z wcześniejszych wpisów tej serii - strona wraca do działania w kilkanaście minut, bo wystarczy przywrócić wersję sprzed awarii. Koszt: praktycznie zerowy, poza kilkunastoma minutami niedostępności strony.

W drugiej firma nigdy nie inwestowała w backup, bo "strona działała bez problemu od lat". Dochodzi do włamania, które zostaje zauważone dopiero po kilku tygodniach, kiedy Google oznacza stronę jako niebezpieczną. Odzyskanie dostępu do panelu, oczyszczenie plików, sprawdzenie, co dokładnie zostało zmienione, i odbudowa zaufania w wyszukiwarce zajmuje tygodnie, a część treści - jeśli nie było żadnej kopii - przepada bezpowrotnie. Koszt: wielokrotność tego, co przez lata kosztowałby regularny backup.

Koszt zapobiegania - niski i przewidywalny

Regularny backup, wykonywany automatycznie, na przykład codziennie albo raz w tygodniu, to zwykle niewielki, stały koszt - porównywalny z innymi drobnymi opłatami abonamentowymi, które firma i tak ponosi. To samo dotyczy podstawowego monitoringu bezpieczeństwa, który sprawdza, czy z plikami strony nie dzieje się nic niepokojącego, i regularnych aktualizacji, o których pisałem w jednym z wcześniejszych wpisów. Wszystko to razem to koszt niewielki, ale przewidywalny - wiadomo z góry, ile to kosztuje każdego miesiąca.

Koszt braku zapobiegania - nieprzewidywalny i często dużo wyższy

W poprzednim wpisie opisywałem sygnały włamania i pierwsze kroki po jego wykryciu. Kluczowe pytanie brzmi jednak: co się dzieje, jeśli backupu nie ma? Odpowiedź bywa brutalna - czasem odzyskanie strony w ogóle nie jest możliwe, a jedyną drogą naprzód jest budowa strony od nowa. To oznacza nie tylko koszt samej pracy programisty, ale też utratę treści, którą zbierano latami - artykułów na blogu, opisów usług, opinii klientów, historii sklepu.

Do tego dochodzą koszty trudniejsze do policzenia wprost, ale realne:

• Utrata pozycji w Google. Strona, która przez dłuższy czas jest niedostępna albo oznaczona jako niebezpieczna, traci pozycję w wynikach wyszukiwania. Odbudowanie tej pozycji po powrocie strony do normalności zajmuje tygodnie lub miesiące - to nie włącza się z powrotem automatycznie w dniu naprawy.
• Utrata zaufania klientów. Ostrzeżenie "ta strona może być niebezpieczna" widziane przez potencjalnego klienta zostaje w pamięci, nawet gdy problem jest już dawno naprawiony. Część odwiedzających po prostu się nie wraca.
• Czas poświęcony na kryzys zamiast na biznes. Awaria strony bez zabezpieczenia to zwykle kilka dni nerwowego poszukiwania kogoś do pomocy, tłumaczenia sytuacji, czekania na wycenę naprawy w trybie awaryjnym - czas, który dałoby się poświęcić na cokolwiek innego, gdyby backup po prostu istniał.

Dlaczego to tak łatwo odłożyć na później

Backup i monitoring to typowy przykład kosztu, którego efekt widać dopiero wtedy, gdy się z niego skorzysta - a to sprawia, że łatwo go pominąć w budżecie, bo "przecież nic się nie dzieje". To trochę jak z ubezpieczeniem - dopóki nic się nie stało, wygląda na zbędny wydatek. Różnica polega na tym, że w przypadku strony internetowej "coś się stanie" nie jest pytaniem czy, tylko kiedy - z uwagi na skalę automatycznych ataków opisaną w pierwszym wpisie tej serii.

Co poza samym backupem wchodzi w skład rozsądnego zabezpieczenia

Backup to fundament, ale nie jedyny element. Warto pomyśleć o nim razem z kilkoma innymi rzeczami, o których pisałem w poprzednich wpisach tej serii: regularnymi aktualizacjami wtyczek i WordPressa, przeglądem tego, kto ma dostęp do strony, i podstawowym monitoringiem, który wychwytuje coś niepokojącego zanim zamieni się w pełnoprawne włamanie. Żaden z tych elementów osobno nie daje pełnej gwarancji bezpieczeństwa - ale razem, jako stały nawyk, drastycznie zmniejszają zarówno ryzyko awarii, jak i jej potencjalny koszt.

Jak na to patrzeć w praktyce

Zamiast pytać "czy stać mnie na regularną opiekę nad stroną", warto zadać pytanie odwrotne: czy stać mnie na to, żeby strona nie działała przez tydzień, straciła treści zbierane latami i musiała odbudowywać pozycję w Google od zera? Dla większości firm odpowiedź na drugie pytanie jest znacznie bardziej jednoznaczna niż na pierwsze - zwłaszcza gdy strona jest realnym źródłem klientów, a nie tylko wizytówką, o której nikt nie pamięta.