#odtwarzanie po awarii

Kopia zapasowa odpowiada na pytanie, czy dane przetrwały. Nie odpowiada na pytanie, po ilu godzinach firma znowu wystawi fakturę, i to drugie pytanie zadaje zwykle ktoś, kto nie pracuje w informatyce.

Czym jest odtwarzanie po awarii

Odtwarzanie po awarii to procedura przywrócenia pracy firmy po zdarzeniu, które zatrzymało jej systemy. Obejmuje kolejność uruchamiania, listę osób, zależności między systemami i sposób sprawdzenia, że wszystko wróciło naprawdę, a nie tylko się włączyło.

Wyznaczają je dwa parametry, które ustala zarząd, a nie informatyk. Pierwszy mówi, ile ostatnich godzin pracy wolno stracić, i z niego wynika, jak często robi się kopie. Drugi mówi, ile godzin przestoju firma wytrzyma, i z niego wynika technologia oraz kolejność, w jakiej systemy mają wstawać.

Jak działa plan odtworzenia

Najbliżej temu do planu ewakuacji budynku. Gaśnica jest sprzętem i wisi na ścianie, natomiast plan ewakuacji jest dokumentem dla ludzi: mówi, kto sprawdza piętra, którędy się wychodzi i gdzie jest miejsce zbiórki. Budynek z gaśnicami i bez planu ma wyposażenie, a nie gotowość.

Konkret dotyczy kolejności. Serwer aplikacji uruchomiony przed kontrolerem domeny nie wpuści nikogo, a system magazynowy wstaje bez bazy danych i wygląda na sprawny dopóty, dopóki ktoś nie spróbuje wystawić dokumentu. Kolejność startu jest więc częścią planu na równi z samymi kopiami i wypisuje się ją wcześniej, bo w dniu awarii nikt nie odtworzy jej z pamięci.

Czym różni się od kopii zapasowej

Kopia zapasowa jest plikiem na nośniku. Plan odtworzenia jest procedurą dla ludzi. Firma może mieć komplet kopii i nie mieć planu, i wtedy dane są bezpieczne, a przestój trwa tydzień, bo nikt nie wie, od czego zacząć ani kogo zawiadomić.

Zależność działa też w drugą stronę. Plan oparty na kopiach, których nikt nie sprawdził, opisuje czynności wykonywane na danych mogących nie istnieć, ponieważ komunikat o poprawnie zakończonym zadaniu potwierdza wyłącznie zapis, a wady ujawniają się przy próbie odczytu.

Po jakich zdarzeniach to działa

Nie tylko przy pożarze i zalaniu, choć te obrazy pojawiają się pierwsze. Znacznie częściej chodzi o awarię macierzy dyskowej, o zaszyfrowanie danych przez oprogramowanie żądające okupu, o pomyłkę przy aktualizacji, która wywraca serwer bazy, oraz o awarię zasilania w budynku, po której część maszyn nie wstaje.

Plan przydaje się także poza dniem awarii. Firmy, które odpowiadają na ankiety bezpieczeństwa od kontrahentów albo podlegają przepisom, dostają pytanie o ustalone parametry przestoju i o datę ostatniego testu, a jedno i drugie da się pokazać wyłącznie wtedy, gdy istnieje dokument.

Na co uważać

Jedynym dowodem sprawności jest odtworzenie próbne z mierzonym czasem, wykonane wtedy, gdy nic się nie pali. Bez takiej próby prawdziwy stan zabezpieczenia ujawnia się dopiero podczas awarii, a typowe niespodzianki to uszkodzony nośnik, niekompletny zestaw danych oraz klucz szyfrujący zapisany wyłącznie wewnątrz systemu, który właśnie przestał działać.

Druga rzecz to miejsce, w którym leży kopia. Nośnik stojący obok chronionego serwera dzieli z nim gniazdko, przełącznik oraz ewentualny pożar, a magazyn wpięty w tę samą domenę logowania pada razem z chronionymi maszynami, bo jedno wykradzione konto o wysokich uprawnieniach sięga wszędzie tam, gdzie sięgało wcześniej. Trzecia rzecz to dokumentacja: plan zapisany wyłącznie w systemie, który właśnie padł, jest planem, którego w dniu awarii nikt nie przeczyta.

Czego planem się nie załatwi

Rozbudowany plan nie jest odpowiedzią na problem, którego źródłem jest jeden serwer bez zapasowego zasilania i bez umowy serwisowej. Skrócenie przestoju z dwóch dni do dwóch godzin bywa wtedy kwestią sprzętu i części zamiennych, a nie procedury.

Nie każdy system w firmie potrzebuje zresztą tej samej gotowości. Nie wszystko musi wstać w pierwszej godzinie, a próba przypisania najkrótszego dopuszczalnego przestoju do każdej usługi kończy się kosztem, którego nikt nie zaakceptuje. Podział systemów na te, bez których firma nie pracuje, i te, które mogą poczekać do wtorku, jest częścią planu, a nie jego brakiem.