Definisci e verifica RTO e RPO

Definisci due obiettivi separati

Il Recovery Time Objective (RTO) fissa l’interruzione massima accettabile prima che torni un servizio utile. Il Recovery Point Objective (RPO) fissa la perdita massima accettabile di dati misurata in tempo. Concorda gli obiettivi con il responsabile aziendale per un servizio e uno scenario di guasto definiti.

Un obiettivo di disponibilità descrive le prestazioni del servizio in un periodo. RTO e RPO descrivono le aspettative di recupero. Rispondono a domande diverse.

Per un servizio fittizio di ordini, il responsabile fissa l’RTO a 60 minuti e l’RPO a 15 minuti. Sono valori di esempio, non raccomandazioni generali. Un altro servizio può richiedere limiti diversi, perché ordini mancanti e report in ritardo hanno conseguenze diverse.

Misura il recupero completo

Il servizio si ferma alle 10:00. Il team registra questa esercitazione:

Il tempo totale di recupero è di 55 minuti. L’esercitazione soddisfa l’RTO di 60 minuti. Contare solo i 25 minuti dell’operazione di ripristino nasconderebbe gran parte dell’interruzione.

L’ultimo punto di recupero utilizzabile è alle 09:40. L’intervallo fino all’interruzione delle 10:00 è di 20 minuti. Supera l’RPO di 15 minuti di 5 minuti. Ripristinare più velocemente gli stessi dati non ridurrebbe quell’intervallo.

Esamina i record effettivamente mancanti o incoerenti. Un intervallo temporale descrive l’esposizione; non conta gli ordini interessati. Riconcilia i record esterni di pagamento ed evasione degli ordini prima di riprendere la normale elaborazione. Prova ipotesi diverse nell’esercizio di recupero.

Scegli una strategia di recupero

La strategia deve coprire servizio, dati e dipendenze richiesti. Confronta questi modelli con gli obiettivi misurati:

Non esistono tempi universali di recupero per questi modelli. Implementazione, volume dei dati, dipendenze e condizioni di test determinano il risultato. Includi nella decisione costi operativi e capacità del team.

Proteggiti da più della sola interruzione

Una replica può copiare un’eliminazione indesiderata o un record corrotto. Mantieni versioni recuperabili o recupero point-in-time dove richiesto. Verifica conservazione, permessi di ripristino e accesso alle chiavi di cifratura. Adegua l’isolamento dei backup allo scenario, inclusa la perdita di accesso all’account principale.

Per il recupero regionale, verifica la collocazione ammessa dei dati e l’intera catena delle dipendenze. Includi identità, DNS, certificati, segreti, artefatti di deployment, quote e accesso di rete. Un ambiente di recupero privo di una sola chiave necessaria può essere inutilizzabile.

Definisci chi può dichiarare l’evento, chi esegue il recupero e chi accetta il servizio ripristinato. Pianifica il ritorno all’ambiente principale o il proseguimento nell’ambiente di recupero. Impedisci scritture in conflitto e riconcilia i dati prima di un nuovo passaggio.

Trasforma il piano in prove

Scrivi un runbook e provalo in condizioni controllate. Registra scenario, dimensione del dataset, orari di inizio e fine, punto dati recuperato, passi falliti e responsabili. Verifica un’operazione aziendale reale con record di test sicuri.

Ripeti l’esercitazione dopo modifiche pertinenti e secondo il calendario concordato. Una modifica dello schema, una nuova dipendenza esterna o un volume di dati diverso possono invalidare i risultati precedenti. Collega le prove dell’esercitazione al rilascio e alle responsabilità operative.