عندما تنطفئ Microsoft: ما الذي يُبقي مؤسستك قادرة على الحركة؟

عندما يتعرض مزود سحابي كبير لانقطاع، يطرح الجميع السؤال نفسه: «كيف يمكن أن يحدث هذا؟»

السؤال الأجدى هو: «ما الذي استمر في العمل، وما الذي تجمّد؟»

لأن الألم نادرًا ما يكون فقدان تطبيق واحد. الألم الحقيقي هو انهيار الوصلات بين التطبيقات: الهوية، البريد الإلكتروني، ثقة الأجهزة، مسارات العمل، وعادة البشر في «إعادة تسجيل الدخول». عندما تنهار هذه الوصلات يتوقف العمل في أماكن لم تصنفها أصلًا على أنها «حرجة لـ IT».

الواقعة الدنماركية الموصوفة في Microsoft-nedbrud rammer hele Danmark: »Den centrale nerve i kommunikationen er ramt« مفيدة لسبب واحد: إنها تضغط خطرًا يتراكم ببطء إلى يوم واحد. البلديات والمناطق والشركات الخاصة كلها شعرت به، ولكن بدرجات غير متساوية. هذا الفارق هو الدرس كاملًا.

فيما يلي قالب سأستخدمه لإدارة post-mortem، ثم تحويل نتائجه إلى بنية معمارية وعقود «تفشل بسلاسة» fail softly، لا مجرد وعود “best effort”.

الانقطاع الحقيقي غالبًا هو الهوية لا التطبيقات

تعتقد معظم المؤسسات أنها تشتري SaaS. عمليًا، هي تشتري رسمًا بيانيًا للاعتماديات، والعقدة الأعلى فيه هي الهوية.

عندما تصبح الهوية غير متاحة أو غير متسقة، تحدث ثلاثة أمور بسرعة:

• لا يستطيع الناس بدء العمل: لا يمكنهم المصادقة على الأدوات التي تحتوي مهام اليوم.
• لا يستطيع الدعم المساعدة: سيناريوهات مكتب المساعدة تفترض طبقة الهوية نفسها التي تتعطل.
• تُحجب الحلول المحلية السريعة: سياسات الوصول المشروط وMFA والامتثال على مستوى الجهاز تمنع حلول «استخدم هاتفك فقط».

لهذا ينجح توصيف المقال لـ Microsoft بوصفها «العصب المركزي في التواصل». الأمر ليس تواصلًا فقط. بل طبقة الصلاحيات التي تُمكّن العمل.

إذا أردت نقاشًا داخليًا أدق، توقف عن قول «انقطاع Microsoft» وابدأ بقول: انقطاع طبقة الهوية. هذا التغيير في التسمية يفرض المتابعة الصحيحة: «ما الذي يعتمد أيضًا على هذه الطبقة؟»

ارسم الاعتماديات وفق مسارات العمل لا وفق المورّد

مخاطر التركّز لا تُحل بإضافة مورّد ثانٍ بشكل متفرق. تُحل بمعرفة مسارات العمل التي يجب أن تبقى، ثم تصميم الحد الأدنى القابل للحياة لكل مسار.

طريقة بسيطة: اختر خمسة مسارات عمل تُبقي مؤسستك آمنة، ممتثلة، وقادرة على توليد النقد. ثم تتبع ما تتطلبه من البداية إلى النهاية في يوم اعتيادي.

في سياقات البلديات والخدمات الصناعية، تميل الاعتماديات المؤثرة إلى التمركز في أربعة مواضع.

1) الهوية والوصول

• SSO وMFA
• سياسات الوصول المشروط
• تدفقات إعادة تعيين كلمة المرور
• أدوات الوصول المميّز

إذا كانت حسابات “break glass” لديك ضمن نظام الهوية نفسه، فهي ليست “break glass”. إنها استعراض.

2) البريد الإلكتروني والتقويم (لأنه أيضًا ناقل لمسارات العمل)

ما زال البريد هو طريقة إنجاز الموافقات، وتصعيد الحوادث، والتنسيق الارتجالي عندما تتعطل الأنظمة. إذا كان البريد مقترنًا بفشل الهوية نفسه، تفقد قناة التواصل الاحتياطية في اللحظة التي تحتاجها فيها.

3) إدارة الأجهزة والثقة

الأطراف الحديثة تُدار بحوكمة، وهذا صحيح. لكن إدارة الأجهزة قد تتحول إلى نقطة فشل وحيدة خفية: فحوصات الامتثال، تجديد الشهادات، إعدادات VPN، والقدرة على دفع تهيئة طارئة.

أثناء انقطاع واسع، تكون الأعراض الفورية غالبًا: «جهازي يعمل، لكن لا أستطيع الوصول إلى أي شيء». والسبب البنيوي أن الجهاز لم يعد يُعد موثوقًا.

4) مسارات عمل ملاصقة لـ SCADA (ليست حلقة التحكم بل حلقة البشر)

في البنية التحتية الحرجة، يكون نظام التحكم غالبًا معزولًا. الجزء الهش هو كل ما حوله: تذاكر الصيانة، الإنذارات التي تُوجّه إلى أدوات التعاون، جداول المناوبة، تسليم النوبات، إجراءات وصول المورّد عن بُعد، والتقارير.

قد تستمر حلقة التحكم في العمل، لكن المؤسسة تفقد الرؤية والتنسيق. هكذا تتحول الأعطال الصغيرة إلى أعطال طويلة.

أسلوب عملي: لكل مسار عمل، اكتب «الحد الأدنى ليوم الصفر». وهو أصغر مجموعة أفعال يجب أن تظل قادرًا على تنفيذها إذا تعطلت الهوية والبريد وإدارة الأجهزة لمدة 24 ساعة.

صمّم على أساس fail-soft: أوضاع متدهورة يمكنك التدرب عليها

تميل خطط استمرارية الأعمال إلى أن تُقرأ كأمنيات. تصميم fail-soft مختلف: هو هندسة وضع متدهور أقل راحة عمدًا، لكنه متاح بشكل موثوق.

ثلاثة أنماط تصميم تتكرر باستمرار.

النمط A: صلاحية محلية ضمن إطار زمني

تحتاج إلى طريقة تُمكّن عددًا محدودًا من الأشخاص من التصرف دون نظام الهوية المركزي. هذا لا يعني «غياب الأمن». بل يعني أمنًا بديلًا.

• اعتمادات تعمل دون اتصال تُخزّن ضمن إجراء مادي آمن (مغلف مختوم، تحكم مزدوج، وسجل تدقيق لاحقًا).
• حسابات محلية محددة المدة على الأنظمة الرئيسية يمكن تفعيلها عبر سلسلة موافقات يدوية.
• إجراءات وصول طارئ تُمارس ربع سنويًا، لا تُكتفى بإعجاب سنوي بها.

النمط B: اتصالات بديلة لا تشترك في نطاق الفشل نفسه

إذا كانت قناة الحوادث لديك هي Teams والهوية هي Entra، فهذا نطاق واحد. وإذا كان نظام الهاتف لديك مُدارًا سحابيًا عبر حسابات الإدارة نفسها، فقد يكون النطاق نفسه أيضًا.

اختر قناة واحدة على الأقل منفصلة تشغيليًا. قد تكون ببساطة شجرة SMS متفقًا عليها لأدوار الحوادث، مدعومة بقائمة مطبوعة. الهدف ليس الأناقة. الهدف مسار ينجو من نصف قطر الانفجار نفسه.

النمط C: وصول إلى البيانات لا يتطلب حزمة الإنتاجية كاملة

عندما يُصاب «العصب المركزي»، تكون العوائق الفورية غالبًا أمورًا يومية: قوائم جهات الاتصال، الإجراءات، سجلات الأصول، أوامر العمل الحالية، ومن هو في المناوبة.

أتح جزءًا صغيرًا في صيغة للقراءة فقط، دون اتصال أو مستضافة بديلًا. الخطأ هو محاولة استنساخ كل شيء. المكسب هو إتاحة 20 صفحة التي تُبقي المؤسسة منسقة عندما يختفي كل ما عداها.

شاهدتُ مرة مؤسسة تعمل على منتج متصل تكتشف، أثناء اضطراب في الهوية، أن أكبر خسارة تشغيلية لم تكن لوحات المتابعة. بل العجز عن الوصول إلى الفني الميداني المناسب بالسياق الصحيح. كانت الأنظمة «تعمل بالقدر الكافي». العمل نفسه لم يكن كذلك. هذا غيّر طريقة تعاملنا مع بيانات الاتصال، وقوائم الأدوار، وتسليم المناوبات. ليس كتفاصيل إدارية، بل كمدخلات إنتاج.

تعاقد على تعافٍ يمكنك اختباره، لا وعود يمكنك اقتباسها

غالبًا ما تُفاوض عقود السحابة بعقلية المشتريات. مخاطر التركّز تتطلب التفاوض بعقلية مالك المخاطر.

أربع بنود أهم من نقطة خصم إضافية.

1) أوضاع فشل صريحة وتصعيد دعم محدد

عندما تسوء الأمور، تحتاج إلى وضوح حول ما سيتم إبلاغك به، وبأي سرعة، وعبر أي قناة لا تتطلب نظام الهوية نفسه. «صفحة الحالة» ليست كافية إذا انكسر الوصول إلى مركز الإدارة لديك.

2) RTO وRPO حيث تحتاجهما فعليًا

تكتب معظم المؤسسات أرقامًا عامة تبدو مهنية ولا تفعل شيئًا. اربط الأهداف بمسارات العمل التي رسمتها سابقًا. إذا لم تستطع المشتريات إرسال أوامر شراء، أو لم تستطع منطقة تنسيق التوظيف/المناوبات، فهذا ليس «تدهورًا طفيفًا».

3) خروج وقابلية نقل تشمل الهوية ووضع الجهاز

تركز خطط الخروج عادة على تصدير البيانات. في الانقطاعات الفعلية، تكون الهوية ووضع الجهاز هما نقاط الاختناق. يجب أن تشمل حقوق الخروج ما يلزم لإعادة تأسيس المصادقة وثقة الطرفيات ووصول الإدارة في مكان آخر، تحت ضغط الوقت.

4) الحق في إجراء تدريبات

لا يمكنك الادعاء بمرونة لم تختبرها. ضمّن الحق في إجراء اختبارات مخططة لأوضاعك المتدهورة. ليس chaos engineering لمجرده. بل تدريب مضبوط: «لمدة ساعتين، افترض أن الهوية غير متاحة. أثبت الحد الأدنى ليوم الصفر».

إذا بدا هذا عملًا أكثر مما يستحق، فتذكر البديل: ستقوم بالعمل على أي حال، لكنك ستقوم به أثناء الانقطاع، مع أشخاص مرهقين وضغط سياسي.

قالب post-mortem يمكنك تشغيله الأسبوع المقبل

استخدم الانقطاع كأداة فرض. حتى إن لم تتأثر مباشرة، اعتبره near-miss بالنسبة لك.

1. اكتب الخط الزمني بصياغة بشرية: متى لاحظ الناس أول مرة؟ ماذا جرّبوا؟ ما الذي فشل أولًا؟ أي عمل توقف؟
2. اختر 5 مسارات عمل يجب أن تصمد 24 ساعة. سمِّ مالك مسار العمل لكل واحد.
3. تتبّع الاعتماديات: الهوية، البريد، إدارة الأجهزة، التذاكر، الاتصالات، الوصول للملفات، أدوات المناوبة.
4. عرّف الحد الأدنى ليوم الصفر لكل مسار عمل في فقرة واحدة. دون مصطلحات فضفاضة.
5. صمّم مسارًا متدهورًا واحدًا لكل مسار عمل، حتى إن كان يدويًا.
6. عيّن شخصًا واحدًا مسؤولًا بالمحاسبة لتحويله إلى واقع: التوثيق، الوصول، التدريب.
7. فاوض على فروقات العقد التي تجعل المسار المتدهور قابلًا للدعم، بما في ذلك حقوق التدريب وقنوات التصعيد.

هنا تكتشف كثير من المؤسسات حقيقة غير مريحة: قصة المرونة لديها في الغالب ضمنية. والضمني يساوي غير مملوك.

إذا أردت نموذجًا ذهنيًا قريبًا، فأنا أحب سؤال «ما الذي ينكسر أولًا؟» لأنه يفرض الدقة بدل الشعارات. أستخدم النهج نفسه في بنية الأسواق، حيث سلاسل الفشل ليست نظرية. وهو السؤال ذاته وراء What breaks first in 24/7 tokenized equities: halts or dividends?

رأيي: fail-soft قرار قيادة، لا ميزة سحابية

الهدف ليس الاستقلال عن المزوّدين الكبار. بالنسبة لمعظم المؤسسات، ذلك غير واقعي وغير ضروري.

الهدف هو الاستقلال عن فشل واحد. إذا تعطلت الهوية، تظل قادرًا على التنسيق. إذا تأخر البريد، تظل قادرًا على الموافقة. إذا تدهورت إدارة الأجهزة، تظل قادرًا على الوصول إلى الأنظمة الحرجة. إذا تباطأت المسارات الملاصقة لـ SCADA، فهي تبطئ ولا تعميك.

هكذا تبدو «مخاطر تركّز السحابة» في الواقع. ليست بندًا في سجل المخاطر، بل يوم ثلاثاء لا يستطيع فيه الناس أداء عملهم.

إذا صممت لهذا الثلاثاء، فأنت لا تصبح أكثر أمانًا فقط. تصبح أسرع بقية العام، لأنك أخيرًا تفهم ما الذي تعتمد عليه مؤسستك فعليًا.