RPO in RTO: koliko podatkov in koliko časa si lahko privoščite
Vsak načrt varnostnega kopiranja in obnove po katastrofi (disaster recovery, DR) se začne z dvema številkama. RPO (Recovery Point Objective) pove, koliko podatkov lahko največ izgubite, merjeno v času. Če je RPO 4 ure in sistem odpove ob 15.00, morate imeti točko obnove najpozneje od 11.00. RTO (Recovery Time Objective) pove, v kolikšnem času mora sistem po incidentu znova delovati.
RPO torej določa, kako pogosto varnostno kopirate ali replicirate, RTO pa, kako obnavljate: s klasično obnovo iz kopije, s takojšnjim zagonom navideznega stroja neposredno iz varnostne kopije (Instant Recovery) ali s preklopom na repliko v drugem podatkovnem centru. Obe številki mora določiti poslovanje, saj je odgovor na vprašanje »koliko nas stane ura izpada« poslovni in ne tehnični.
| Skupina sistemov | Primer | Tipičen RPO | Tipičen RTO | Običajen pristop |
|---|---|---|---|---|
| Kritični | ERP, spletna trgovina, proizvodni sistemi, identitete | do 15 min – 1 h | 1–4 h | Replikacija ali CDP in varnostne kopije |
| Pomembni | E-pošta, datotečni strežniki, CRM | 4–12 h | 8–24 h | Več varnostnih kopij na dan, takojšnja obnova |
| Ostali | Arhivi, razvojna in testna okolja | 24 h | 72 h ali več | Dnevne varnostne kopije |
Vrednosti v tabeli so le izhodišče. Krajši RPO in RTO pomenita višji strošek, zato sisteme razvrstite v skupine in ciljev ne določajte za vse enako. Kako hitro bi lahko obnovili posamezne skupine in ali vaša pogostost kopiranja zadošča, preverite s kalkulatorjem na tej strani.
Pravilo 3-2-1-1-0
Klasično pravilo 3-2-1 zahteva tri kopije podatkov na dveh različnih medijih, od katerih je ena na drugi lokaciji. Ker izsiljevalski virusi danes najprej napadejo varnostne kopije, se je pravilo razširilo v 3-2-1-1-0.
| Številka | Zahteva | Pred čim ščiti |
|---|---|---|
| 3 | Vsaj tri kopije podatkov (produkcija in dve varnostni kopiji) | Odpoved posamezne kopije |
| 2 | Dve različni vrsti medijev ali shramb | Napaka ali odpoved ene vrste shrambe |
| 1 | Ena kopija na drugi lokaciji (offsite) | Požar, poplava, izpad lokacije |
| 1 | Ena kopija nespremenljiva ali fizično ločena | Izsiljevalski virus, zlonamerni skrbnik, napaka pri brisanju |
| 0 | Nič napak pri samodejnem preverjanju in preizkusih obnove | Kopije, iz katerih obnova ne deluje |
Vsaka dodatna kopija zahteva prostor. Koliko ga potrebujete, je odvisno od količine podatkov, dnevne stopnje sprememb, hrambe in razmerja stiskanja. Kalkulator oceni prostor za eno kopijo in za vse kopije skupaj.
Nespremenljive in ločene kopije proti izsiljevalskim virusom
Napadalec, ki pridobi skrbniški dostop do domene, praviloma najprej poišče strežnik za varnostno kopiranje in izbriše ali šifrira kopije. Šele nato sproži šifriranje produkcije. Če nimate kopije, ki je ne more uničiti, ostaneta le plačilo odkupnine ali ponovna vzpostavitev sistemov iz nič.
- Nespremenljive kopije (immutable). V določenem obdobju jih ni mogoče spremeniti ali izbrisati, niti s skrbniškimi pravicami. Izvedemo jih z utrjenim repozitorijem Linux, objektno shrambo z zaklepanjem objektov (S3 Object Lock) ali pri ponudniku storitve.
- Fizično ločene kopije (air gap). Kopije na trakovih ali odklopljenih medijih, ki niso dosegljive prek omrežja.
- Ločene poverilnice. Sistem za varnostno kopiranje naj ne bo v produkcijski domeni, dostop do njega pa naj bo zaščiten z večfaktorsko avtentikacijo (MFA).
- Dovolj dolgo obdobje nespremenljivosti. Napadalci so v omrežju pogosto več dni ali tednov, preden se razkrijejo. Obdobje nespremenljivosti naj zato pokrije vsaj dnevno hrambo.
Več o pripravi na napad in o prvih urah po njem preberite v vodniku kibernetski napad: ocena pripravljenosti.
Varnostno kopiranje, replikacija in obnova po katastrofi
Izrazi se pogosto mešajo, a pokrivajo različne potrebe. Varnostno kopiranje hrani zgodovino točk obnove in omogoča vrnitev na stanje pred napako, izbrisom ali napadom. Replikacija vzdržuje skoraj sprotno kopijo sistema na drugi lokaciji, zato omogoča kratek RPO in RTO, vendar na kopijo hitro prenese tudi napake in šifriranje. Neprekinjena zaščita podatkov (CDP) zmanjša RPO na nekaj sekund.
Obnova po katastrofi (DR) ni tehnologija, temveč načrt: kateri sistemi se obnovijo prvi, kje bodo tekli, kdo odloča o preklopu, kako se preusmeri omrežje in kako se uporabniki povežejo. Dober načrt DR za kritične sisteme združuje replikacijo za hiter preklop in nespremenljive varnostne kopije za primer, ko je okužena tudi replika.
Ali se višja raven DR izplača, je poslovna odločitev. Kalkulator izračuna strošek ure izpada in pričakovano letno izgubo ter ju primerja z letnim stroškom boljše ravni DR. Če razmišljate tudi o zamenjavi strežnikov ali prehodu v oblak, si oglejte kalkulator nakup, najem ali oblak.
Preizkušanje obnove
Varnostna kopija, iz katere obnove še niste preizkusili, je le predpostavka. Pri incidentih se pogosto izkaže, da kopije niso vsebovale vseh podatkov, da obnova traja nekajkrat dlje od pričakovanj ali da manjkajo gesla, licence in dokumentacija.
- Samodejno preverjanje. Programska oprema, kot je Veeam, lahko ob vsakem opravilu preveri celovitost kopij in v izoliranem okolju zažene navidezni stroj ter preveri, ali se storitve odzivajo.
- Redni preizkusi obnove. Celotne kritične sisteme obnovite vsaj četrtletno in izmerite dejanski čas. Rezultat primerjajte s ciljnim RTO.
- Letna vaja DR. Vsaj enkrat letno preizkusite celoten načrt, vključno z vrstnim redom obnove, omrežjem, identitetami in komunikacijo.
- Dokumentacija. Navodila za obnovo, kontakti in poverilnice morajo biti dosegljivi tudi takrat, ko produkcijski sistemi ne delujejo.
Pri oceni RTO ne pozabite, da se obnova ne začne ob izpadu. Pred tem je treba incident zaznati, sprejeti odločitev in pripraviti okolje. Pri izsiljevalskem virusu je treba najprej najti čisto točko obnove, kar lahko traja dlje kot sam prenos podatkov.
Oblak in zunanja kopija: Veeam Cloud Connect
Druga lokacija je za mnoga podjetja največja ovira pri pravilu 3-2-1. Lastni drugi podatkovni center pomeni strojno opremo, prostor, povezave in vzdrževanje. Alternativa je zunanja kopija pri ponudniku storitev.
Veeam Cloud Connect omogoča, da obstoječa namestitev Veeam Backup & Replication pošilja varnostne kopije ali replike v podatkovni center ponudnika prek šifrirane povezave. Kopije so lahko nespremenljive, ponudnik pa jih hrani ločeno od vaše domene, zato pokrijejo hkrati zahtevi za drugo lokacijo in za nespremenljivo kopijo. Pri replikah v oblaku lahko ob katastrofi kritične sisteme zaženete kar v podatkovnem centru ponudnika.
Pri izbiri ponudnika preverite lokacijo podatkovnega centra in skladnost z GDPR, raven podatkovnega centra (na primer TIER III), hitrost povezave za začetni prenos in obnovo, obdobje nespremenljivosti ter podporo pri obnovi. Pri velikih količinah podatkov je prenos iz oblaka lahko počasnejši od lokalne obnove, zato hitrost obnove iz zunanje kopije vključite v oceno RTO.
Humanfrog je ponudnik Veeam Silver Cloud Service Provider s podatkovnimi centri TIER III v Sloveniji. Zagotavljamo varnostno kopiranje kot storitev, zunanje in nespremenljive kopije, replikacijo in načrtovanje obnove po katastrofi.
Kontrolni seznam za varnostno kopiranje in DR
- Popišite sisteme in jih razvrstite v skupine glede na pomen za poslovanje.
- Za vsako skupino z vodstvom določite RPO in RTO ter strošek ure izpada.
- Preverite, ali pogostost varnostnega kopiranja dosega RPO; za RPO pod eno uro uporabite replikacijo ali CDP.
- Zagotovite tri kopije na dveh medijih, eno na drugi lokaciji in eno nespremenljivo.
- Ločite sistem za varnostno kopiranje od produkcijske domene in ga zaščitite z MFA.
- Ocenite prostor za vse kopije in hrambo ter predvidite rezervo za rast.
- Določite vrstni red obnove: identitete, omrežje, kritične aplikacije, komunikacija.
- Samodejno preverjajte kopije in vsaj četrtletno preizkusite obnovo kritičnih sistemov.
- Vsaj enkrat letno izvedite vajo DR in posodobite dokumentacijo.
Če želite rezultate kalkulatorja preveriti s strokovnjakom ali potrebujete zunanjo in nespremenljivo kopijo v slovenskem podatkovnem centru, nam pišite.
