Status „zakończono pomyślnie” w konsoli systemu kopii zapasowych oznacza jedno: dane zostały zapisane. Nie oznacza, że da się je odczytać, że są kompletne, że są spójne ani że ktokolwiek w zespole wie, jak je przywrócić w rozsądnym czasie. Między „mamy backup” a „potrafimy odtworzyć środowisko” jest różnica, którą odkrywa się w najgorszym możliwym momencie.
Zacznij od dwóch liczb
Zanim ktokolwiek wybierze narzędzie lub harmonogram, organizacja powinna odpowiedzieć na dwa pytania, osobno dla każdego systemu:
- RPO (Recovery Point Objective): ile danych można stracić. Godzina? Dzień? Dla systemu księgowego i dla serwera plików z materiałami marketingowymi odpowiedzi będą różne.
- RTO (Recovery Time Objective): jak długo system może nie działać. Odpowiedź „zero” jest niemal zawsze nieprawdziwa i zawsze droga.
Te liczby określają częstość kopii, ich lokalizację i to, ile trzeba zainwestować w szybkość odtwarzania. Bez nich strategia kopii jest zgadywaniem.
Trzy, dwa, jeden
Klasyczna zasada 3-2-1 nie zestarzała się, zmieniło się tylko znaczenie ostatniego elementu:
- trzy kopie danych, licząc produkcyjną,
- na dwóch różnych nośnikach lub systemach, tak by awaria jednego nie dotykała drugiego,
- jedna poza lokalizacją, a w praktyce także odłączona od sieci lub niezmienna.
Ostatni punkt jest dziś najważniejszy. Ransomware, które dostaje uprawnienia administratora domeny, szyfruje również kopie zapasowe, jeśli tylko może do nich dotrzeć. Kopia w tej samej domenie, na udziale dostępnym z konta serwisowego, nie jest kopią zapasową w scenariuszu, przed którym ma chronić. Potrzebna jest kopia, której nie da się zmodyfikować ani usunąć z poziomu produkcji: przechowywanie z blokadą zmian, oddzielne poświadczenia, nośnik wyjmowany lub repozytorium poza zasięgiem domeny.
Poza danymi
Odtworzenie środowiska wymaga więcej niż danych. Lista rzeczy, których brak zatrzymuje odtwarzanie:
- dokumentacja z kolejnością odtwarzania: usługi katalogowe i DNS zwykle idą pierwsze, bo od nich zależy wszystko inne,
- hasła, klucze i certyfikaty, w tym hasło do samego systemu kopii, przechowywane w miejscu dostępnym również wtedy, gdy domena nie działa,
- nośniki instalacyjne i licencje,
- konfiguracja urządzeń sieciowych i firewalla,
- dla środowisk kontenerowych: repozytorium z manifestami, sekrety oraz wolumeny z danymi; sam klaster da się odbudować, dane nie.
Test odtworzenia
Jedyną miarą wartości kopii jest udane odtworzenie. Testy powinny być cykliczne, zaplanowane i rotować między scenariuszami:
- Pojedynczy plik lub obiekt z konkretnej daty.
- Pojedyncza maszyna wirtualna w odizolowanej sieci.
- Baza danych do wskazanego punktu w czasie.
- Usługa katalogowa w odizolowanym środowisku.
- Cała lokalizacja: co najmniej raz w roku, na papierze lub w środowisku testowym, z pomiarem czasu.
Każdy test kończy się porównaniem faktycznego czasu odtworzenia z założonym RTO. Jeśli odtworzenie serwera plików trwa osiem godzin, a RTO wynosi dwie, kopia formalnie istnieje, ale nie spełnia swojej funkcji.
Monitoruj wiek, nie status
System kopii zapasowych raportuje status zadań. Znacznie bardziej użyteczną metryką jest wiek ostatniej udanej kopii każdego systemu. Zadanie może nie uruchomić się w ogóle, bo ktoś wyłączył harmonogram lub zmienił hasło konta serwisowego, i konsola pokaże brak błędów. Alert „ostatnia udana kopia systemu X ma więcej niż 26 godzin” wychwytuje to, czego lista zadań nie pokaże.
Podsumowanie
Kopia zapasowa jest tyle warta, ile ostatni udany test jej odtworzenia. Zdefiniowane RPO i RTO, kopia poza zasięgiem produkcji, komplet rzeczy potrzebnych poza danymi i cykliczne testy z pomiarem czasu zamieniają nocny status „sukces” w coś, na czym można oparć decyzje.