Jak zaprojektować strategię tworzenia kopii zapasowych i odzyskiwania po awarii?

Question

Accepted Answer

Strategia tworzenia kopii zapasowych i odzyskiwania po awarii (DR) odpowiada na pytania: jeśli stracimy dane lub całą region, **ile danych możemy stracić, jak szybko możemy wrócić do normy i czy jesteśmy w stanie rzeczywiście przywrócić system?** Opiera się na **regule 3-2-1**, jasnych celach **RPO/RTO** i — co krytycznie ważne — **regularnie testowanych przywróceniach**.

## Reguła 3-2-1

```text
3 copies of the data
2 different media / storage types
1 copy offsite (different region or provider)
→ no single failure (disk, host, datacenter, ransomware) destroys every copy
```

Kopie zapasowe powinny być **zautomatyzowane** (bez polegania na pamięci człowieka) i **przechowywane poza lokacją** tak aby awaria regionalna nie odebrała kopii zapasowej wraz z serwerem podstawowym.

## RPO i RTO

Te dwa cele napędzają każdy wybór projektowy:

- **RPO (Recovery Point Objective)** — ile straty danych jest akceptowalne, mierzone w czasie. RPO na poziomie 1 godziny oznacza utratę co najwyżej ostatniej godziny zapisów, co określa częstość tworzenia kopii zapasowych/replikacji.
- **RTO (Recovery Time Objective)** — jak długo może trwać odzyskiwanie. RTO 30 minut oznacza, że system musi być przywrócony i działać w ciągu 30 minut, co określa architekturę DR.

```text
frequent backups / replication → smaller RPO (less data lost)
hotter standby infrastructure  → smaller RTO (faster recovery)
both cost money → pick targets per business criticality
```

## Poziomy DR (koszt a RTO)

```text
Backup & restore  → cheapest; restore from backups on demand   (RTO: hours)
Pilot light       → minimal core running, scale up on disaster  (RTO: tens of min)
Warm standby      → scaled-down live copy, scale up to take over (RTO: minutes)
Multi-site active → full live copies serving traffic            (RTO: ~seconds)
```

## Testuj swoje przywrócenia

**Kopia zapasowa, którą nigdy nie przywróciłeś, nie jest kopią zapasową — to nadzieja.** Zaplanuj regularne ćwiczenia przywracania: faktycznie przebuduj z kopii zapasowej w czystym środowisku i zweryfikuj integralność. To wyłapuje uszkodzone kopie zapasowe, brakujące elementy i zepsute instrukcje *zanim* nastąpi rzeczywista awaria.

## Dlaczego to ważne

Utrata danych i awarie regionalne to momenty, gdy testowana jest przetrwanie firmy. Reguła 3-2-1 zapewnia, że kopia przetrwa każdą pojedynczą awarię; RPO/RTO zamieniają niejasne "mamy kopie zapasowe" w mierzalne zobowiązania; poziomy DR pozwalają dostosować koszt do krytyczności; a testowane przywrócenia to jedyna potwierdzenie, że cały system rzeczywiście działa. Pominięcie testu to sposób, w jaki zespoły odkrywają, w środku awarii, że ich kopie zapasowe były bezużyteczne.