Наши счета в банках скоро обнулят?
После прилетов по ДЦ наши граждане (а вернее, украинские спецслужбы, а уже потом граждане) немедленно побежали разгонять привычную истерику, только на новый лад: информация о счетах с деньгами обнулится, всё пропало, снимаем деньги, банковские дата-центры стояли там же и уже уничтожены, а если нет, то скоро точно будут. И все ваши денежки пропадут.
Это прекрасный момент для того, чтобы узнать, как же устроены все эти «записи о деньгах» в банках и платежных системах, и почему они будут в порядке. Если вы надеялись не платить ипотеку — сорян, ничего не выйдет.
Итак. Табличка с информацией о том, у кого сколько денег это не один файл на одном диске. И даже не два на двух.
У кого сколько денег выясняется через производную от журнала транзакций, который по требованию регулятора и по архитектуре существует одновременно в нескольких физически разнесенных местах, плюс отдельно отражается в учете контрагентов.
Чтобы «обнулить» информацию о том, у кого сколько денег и кредитов, нужно одновременно и согласованно уничтожить все эти копии у всех участников, включая ЦБ, вплоть до оффлайн-ленты в сейфах.
Core-banking уровня банка из топ-50 работает в режиме, где COMMIT возвращается клиенту только после подтверждения записи журнала во втором ЦОДе. Второй ЦОД стоит на расстоянии 20-100 км, то есть достаточном для того, чтобы не попасть под один пожар, отключение или удар БПЛА.
В момент уничтожения площадки А площадка Б содержит все до единой подтверждённые транзакции. Никакой «последней секунды» и уже тем более «последнего дня» не теряется, потому что транзакция, не дошедшая до Б, не была подтверждена и даже не будет показана клиенту.
А есть еще и третья площадка, которая обычно подключена асинхронно (сотни–тысячи километров), на случай региональной катастрофы.
Поверх репликации существуют регулярные полные копии и непрерывная выгрузка архивных журналов на отдельные носители: ленточные библиотеки, WORM-хранилища, immutable object storage с запретом удаления на N дней, физически вывезенные картриджи и т.п. Это требование нормативов (в России 683-П/716-П ЦБ и ГОСТ 57580). Регулятор проверяет не наличие бэкапа, а факт учений по восстановлению с заданным RTO.
Даже в гипотетическом случае полной потери всех копий банком (а по банкам у нас никто не стрелял, напоминаю), его баланс восстанавливается сверкой с внешними источниками. Это долгая и неприятная процедура, но даже в этом случае всё будет учтено и посчитано.
Национальный расчётный депозитарий, где ваши акции с Мосбиржи учтены, защищается ровно по тем же принципам. А в части структуры учёта даже с большей избыточностью, чем у банков.
Физическая атака почти бесполезна против данных, она бьет лишь по доступности сервиса. То есть, можно ожидать простоя, очереди, невозможности провести платёж в течение часов у Яндекса, но это никакое не обнуление
