Utilsigtet sletning af data i Arkibas

I maj 2021 oplevede vi desværre det, som vi alle går og frygter, nemlig at der utilsigtet blev slettet data i Arkibas. Sletningen var heldigvis ikke forårsaget af ubudne gæster i systemet, men af en fejl i en slettefunktion, som var blevet lagt i drift få dage tidligere.

Baggrunden for hændelsen

I løbet af vinter og forår 2021 arbejdede vi sammen med vores udviklere på at lave nye funktioner i Arkibas og på arkiv.dk, så vi bedre kan efterleve reglerne i persondataforordningen, persondataloven og cookiebekendtgørelsen. Primært drejede det sig om funktioner, som skulle forbedre sikkerheden omkring login og muligheden for permanent at slette journaler og registreringer. Og på arkiv.dk var det et nyt cookiebanner, som levede op til cookiebekendtgørelsen.

En anden vigtig sletteservice, som blev implementeret, var en service, som om natten og i weekenderne skulle slette logs, mails sendt via arkiv.dk, filer uden tilknytning til en registrering, nedlagte arkiver mv. – data som vi ikke må have i systemet efter en vis periode.

Servicen, der sletter nedlagte arkiver, viste sig dog at skabe en del problemer i Arkibas. Først var servicen blevet bygget ind i selve Arkibasprogrammet. Funktionen trak dog så mange ressourcer, at den lagde hele systemet ned. Herefter blev servicen helt skrevet om og ændret til at blive afviklet i selve databasen. Problemet med denne fremgangsmåde er dog, at her har man ikke samme kontrol over, hvad der slettes, som man har, når slettefunktionen kører igennem klienten/programmet. Og det skulle også vise sig, at vi netop fik problemer med, at der ikke blot blev slettet data i nedlagte arkiver, der blev også slettet visse typer data i aktive arkiver.

Problemerne opdages

Sletteservicen blev lagt i drift den 18. maj og kørte første gang sidst på eftermiddagen, og de første problemer med manglende data i feltet materialetype blev meldt ind fredag den 21. maj sidst på formiddagen.

Sletteservicen blev straks stoppet, og vores udviklere gik i gang med at undersøge problemets omfang og havde midt på eftermiddagen mistanke om, at følgende datafelter kunne være berørt:

n Aftaler på journaler n Fotografer på registreringstyperne enkelte billeder og billedserier n Fotografer på indholdsblokke i billedserier n Materialetyper på registreringstyperne enkelte billeder og billedserier n Kommentarer på arkiv.dk n Ordre ved billedkøb på arkiv.dk

Reetablering af data fra backup

Udviklerne rekvirerede en backup fra vores hostingfirma, inden de lukkede ned for weekenden, hvorefter de arbejdede hele eftermiddagen og aftenen på at undersøge sagens omfang.

Fredag kl. 21.00 fik vi en melding om, at udviklerne kunne konstatere, at der ved sammenhold med den sidste samlede fulde backup fra den 15. maj kl. 03.07 manglede følgende data i Arkibas:

n Aftaler på journaler (omfang: 297.369) n Fotografer på enkelte billeder (omfang: 2) n Materialetyper på enkelte billeder (omfang: 3.086.366) n Materialetyper på billedserier (omfang: 71.242)

Udviklerne satte et reetableringsarbejde i gang ud fra backuppen fra den 15. maj, og dette arbejde blev afsluttet i løbet af lørdag eftermiddag, hvor alle ovennævnte data var reetableret.

Et af de billeder, der ved en fejl var blevet slettet i Arkibas, er dette portræt af fisker Christian Laurits Kristiansen fra Skrillinge fra 1970 (Kauslunde-Gamborg lokalhistoriske Arkiv).

Fra den 15. maj, hvor vi havde den seneste samlede fulde backup, og indtil den 20. maj kl. 09.06, hvor slettejobbet kørte sidste gang, havde vi timebackups, hvor alle ændringer i Arkibas var gemt, og som de sidste data kunne reetableres ud fra.

Følgende timebackups blevet hentet til brug for dette arbejde: n Den 18. maj kl. 17 (umiddelbart før slette-servicen kørte) n Den 19. maj kl. 02 (umiddelbart før slette-servicen kørte) n Den 20. maj kl. 02 (umiddelbart før slette-servicen kørte) n Den 21. maj kl. 16 (da vi reetablerede data første gang) n Den 26. maj kl. 09 (umiddelbart før vi lukkede databasen for at hente time-backups)

På baggrund af disse timebackups kunne vi identificere de nye registreringer, som var kommet til efter den 15. maj, og de ændringer, der er blevet lavet til eksisterende data fra før den 15. maj, hvor vi første gang reetablerede data fra en backup.

Følgende data blev herefter reetableret: n Aftaler på journaler (omfang: 24) n Fotografer på enkelte billeder (omfang: 218) n Materialetyper på enkelte billeder (omfang: 1.299) n Fotografer på billedserie (omfang: 2) n Materialetyper på billedserier (omfang: 6) n Fotografer på indholdsblokke i billedserier (omfang: 2) Hermed var alle data, som blev slettet i Arkibas, blevet reetableret, eller det troede vi i hvert fald, indtil vi den 9. juni fik en henvendelse fra et arkiv, som manglede en del billeder i Arkibas.

Harald Poulsen fra Kauslunde, fotograferet på sin gyngehest omkring 1910 (M. Holdt fot., Kauslunde-Gamborg lokalhistoriske Arkiv). Interiør med kassesluse fra den tidligere brugsforening i Kauslunde-Gamborg, 1987 (Martin Lorentzen fot., Kauslunde-Gamborg lokalhistoriske Arkiv).

Manglende billeder i Arkibas

Udviklerne gik igen i gang med at undersøge omfanget af manglende billeder, og hvad der var årsagen til det. Det viste sig, at det drejede sig om syv arkiver, som manglede billeder. I tre arkiver drejede sig blot om et enkelt billede, et arkiv manglede otte billeder, et arkiv manglede 20 billeder, og så var der lige et enkelt arkiv, som manglede 2.621 billeder. Igen stoppede vi straks for sletteservicen.

Årsagen til sletningen skulle vise sig at findes i en anden slettefunktion, som skal slette billeder, der ikke længere har en tilknytning til en registrering, og som dermed er markeret til at være slettet, og havde rødder helt tilbage i konverteringen fra Arkibas4 til Arkibas5 i 2014.

Når man uploader et billede til Arkibas, så skabes der en relation fra registrering til billede og den anden vej fra billede til registrering.

Foto af Harald Poulsen fra Haraldstedgård i Kauslunde – i livgardens uniform omkring 1925 (Kauslunde-Gamborg lokalhistoriske Arkiv).

I forbindelse med konverteringen fra Arkibas4 til Arkibas5 er en del billeder tilsyneladende blevet knyttet til flere registreringer, uden at der reelt var en sammenhæng imellem billede og registrering. I disse tilfælde var det kun billedfilen, som pegede på registreringen og ikke omvendt. Der var med andre ord ikke en komplet sammenknytning mellem billede og registrering. Fil-sletteservicen har så slettet billeder, hvor registreringen ikke pegede tilbage på billedet, men samtidig har disse billeder i andre tilfælde peget rigtig nok både frem og tilbage på en anden registrering, og dermed er der blevet slettet billeder, som ikke burde blive slettet.

Denne gang var vi dog på den, for de billeder, der var blevet slettet fra Arkibas, kunne desværre ikke genfindes i backuppen, da denne kun gemmes i 14 dage. Da vi præcist vidste, hvilke billeder det drejede sig om, så måtte vi ud til de syv arkiver, som var berørte af sletningen for at spørge, om de havde billederne liggende, for så kunne vi godt være behjælpelige med at køre dem ind igen. Alle fik leveret en liste med de registreringer, som det drejede sig om, men alle arkiver valgte selv at sørge for, at billederne blev uploadet til Arkibas igen. Også det arkiv, som havde fået slettet mere end 2.600 billeder, valgte denne løsning, da den måde, filerne var organiseret på i deres filarkiv, ville gøre det nødvendigt at verificere disse op imod Arkibas, inden de blev sendt til os for maskinelupload, og så kunne man lige så godt selv uploade dem, og samtidig kunne man så finpudse registreringerne.

Efterskrift

Siden de to episoder med sletning af data tilbage i maj og juni er alle sletteservices lagt i drift igen, naturligvis efter de nødvendige ændringer og en grundig gennemgang af funktionen, for at noget lignende ikke skulle kunne ske igen.

I alt er der brugt over 60 timer på at få overblik over omfanget af slettede data og billeder og på reetablering af disse. En omkostning, som vores udviklingsfirma også har påtaget sig en del af udgiften til. Både hos os i Arkibas og hos vores udviklingsfirma har vi efterfølgende gjort os mange tanker om hændelsen og ikke mindst, hvad vi kan gøre for at forhindre, at noget lignende sker i fremtiden. Det er naturligvis ikke muligt at give garantier for, at noget lignende aldrig sker igen. Det er en risiko, som altid er til stede, når man arbejder med IT. Det er også derfor, at vi har backup af data. Og vi har naturligvis efter hændelserne med sletning af data også drøftet vores backupstrategi, og hvorvidt den er god nok. Et arbejde med at forbedre alle disse parametre pågår nu i bestyrelsen og diverse arbejdsgrupper.

Til sidst vil vi gerne komme med en lille opfordring til vores brugere i Arkibas. Hvis I oplever problemer af den ene eller den anden art, så kontakt os, og gør os opmærksom på det. Vi sidder nemlig ikke og arbejder med registrering i Arkibas dagligt, som I gør. Og vi kender heller ikke de enkelte arkivers data godt nok til at vide, hvis der pludseligt mangler data af den ene eller anden art, så derfor vil vi ikke opdage problemer så hurtigt som jer. Vi er faktisk dybt afhængige af, at I melder det ind til os. Det kan være alt fra fejl i funktionalitet, langsom drift og andre problemer, som I oplever. Så skriv til os på support@arkibas.dk.

Husk også, at vi har vores ArkibasWiki, hvor man kan finde gode vejledninger til funktionerne i Arkibas, hvis man er i tvivl om, hvordan det virker.

Faktisk ser vi meget gerne, at I kigger her først, om I kan finde løsningen på det problem, som I tumler med, inden I ringer eller skriver til support. Vi oplever dagligt at blive kontaktet med banale spørgsmål, hvor svaret hurtigt kan findes på ArkibasWiki, og så vil vi få mere tid til andre mere komplekse supporthenvendelser og løsning af andre opgaver til glæde for alle arkiver.