Một chiến lược backup và disaster recovery (DR) trả lời câu hỏi: nếu mất dữ liệu hoặc cả một region, chúng ta có thể mất bao nhiêu dữ liệu, phục hồi nhanh đến đâu, và có thật sự restore được không? Nó dựa trên quy tắc 3-2-1, các mục tiêu RPO/RTO rõ ràng, và — quan trọng nhất — .
3 bản sao của dữ liệu
2 loại phương tiện / lưu trữ khác nhau
1 bản đặt offsite (region hoặc nhà cung cấp khác)
→ không một sự cố đơn lẻ nào (đĩa, host, datacenter, ransomware) phá hủy được mọi bản sao
Backup nên được tự động hóa (không phụ thuộc con người nhớ chạy) và offsite để một thảm họa cấp region không cuốn theo cả backup lẫn primary.
Hai mục tiêu này chi phối mọi lựa chọn thiết kế:
backup / replication thường xuyên → RPO nhỏ hơn (mất ít dữ liệu hơn)
hạ tầng standby "nóng" hơn → RTO nhỏ hơn (phục hồi nhanh hơn)
cả hai đều tốn tiền → chọn mục tiêu theo mức trọng yếu của nghiệp vụ
Backup & restore → rẻ nhất; restore từ backup khi cần (RTO: vài giờ)
Pilot light → lõi tối thiểu đang chạy, scale up khi thảm họa (RTO: vài chục phút)
Warm standby → bản live thu nhỏ, scale up để tiếp quản (RTO: vài phút)
Multi-site active → bản live đầy đủ đang phục vụ traffic (RTO: ~vài giây)
Một backup bạn chưa từng restore không phải là backup — đó là một niềm hy vọng. Lên lịch diễn tập restore định kỳ: thật sự dựng lại từ backup vào một môi trường sạch và kiểm tra tính toàn vẹn. Điều này phát hiện backup hỏng, thiếu mảnh, và runbook sai trước khi thảm họa thật xảy ra.
Mất dữ liệu và sự cố cấp region là lúc sự sống còn của một công ty bị thử thách. 3-2-1 đảm bảo một bản sao sống sót qua bất kỳ sự cố đơn lẻ nào; RPO/RTO biến câu "chúng ta có backup" mơ hồ thành những cam kết đo lường được; các tầng DR cho phép khớp chi phí với mức trọng yếu; và restore được test là bằng chứng duy nhất cho thấy cả hệ thống thật sự hoạt động. Bỏ qua bài test chính là cách các đội phát hiện, giữa lúc sự cố, rằng backup của họ vô dụng.