Stabiliți și testați RTO și RPO

Definiți două obiective separate

Recovery Time Objective (RTO) stabilește întreruperea maximă acceptabilă înainte de revenirea serviciului util. Recovery Point Objective (RPO) stabilește pierderea maximă acceptabilă de date, măsurată ca timp. Conveniți aceste obiective cu responsabilul de afaceri pentru un serviciu și un scenariu de defecțiune definite.

Un obiectiv de disponibilitate descrie performanța serviciului pe o perioadă. RTO și RPO descriu așteptările privind recuperarea. Răspund la întrebări diferite.

Pentru un serviciu fictiv de comenzi, responsabilul stabilește RTO la 60 de minute și RPO la 15 minute. Sunt valori de exemplu, nu recomandări generale. Alt serviciu poate necesita limite diferite, deoarece comenzile lipsă și rapoartele întârziate au consecințe diferite.

Măsurați recuperarea completă

Serviciul se oprește la 10:00. Echipa consemnează acest exercițiu:

Timpul scurs pentru recuperare este de 55 de minute. Exercițiul îndeplinește RTO de 60 de minute. Numărarea doar a operațiunii de restaurare de 25 de minute ar ascunde cea mai mare parte a întreruperii.

Cel mai recent punct utilizabil de recuperare este 09:40. Intervalul până la întreruperea de la 10:00 este de 20 de minute. Acesta depășește RPO de 15 minute cu 5 minute. Restaurarea mai rapidă a acelorași date nu ar reduce intervalul.

Inspectați înregistrările efectiv lipsă sau inconsistente. Un interval de timp descrie expunerea; nu numără comenzile afectate. Reconciliați înregistrările externe de plăți și executare a comenzilor înainte de reluarea prelucrării normale. Încercați ipoteze diferite în exercițiul de recuperare.

Alegeți o strategie de recuperare

O strategie trebuie să acopere serviciul, datele și dependențele necesare. Comparați aceste modele cu obiectivele măsurate:

Nu există timpi universali de recuperare pentru aceste modele. Implementarea, volumul datelor, dependențele și condițiile de testare determină rezultatul. Includeți costul operării și capacitatea echipei în decizie.

Protejați împotriva altor evenimente, nu doar a întreruperilor

O replică poate copia o ștergere nedorită sau o înregistrare coruptă. Păstrați versiuni recuperabile sau recuperare la un moment dat unde este necesar. Verificați păstrarea datelor, permisiunile de restaurare și accesul la cheile de criptare. Adaptați izolarea copiilor de siguranță scenariului, inclusiv pierderii accesului la contul principal.

Pentru recuperare regională, verificați locația permisă a datelor și întregul lanț de dependențe. Includeți identitatea, DNS-ul, certificatele, secretele, artefactele de instalare, cotele și accesul la rețea. Un mediu de recuperare fără o singură cheie necesară poate fi inutilizabil.

Definiți cine poate declara evenimentul, cine execută recuperarea și cine acceptă serviciul restaurat. Planificați revenirea în mediul inițial sau continuarea operării în mediul de recuperare. Preveniți scrierile conflictuale și reconciliați datele înainte de o nouă comutare.

Transformați planul în dovezi

Scrieți un runbook și exersați-l în condiții controlate. Consemnați scenariul, dimensiunea setului de date, orele de început și sfârșit, punctul datelor recuperate, pașii eșuați și responsabilii. Verificați o operațiune reală de afaceri cu înregistrări de test sigure.

Repetați exercițiul după schimbări relevante și conform programului convenit. O schimbare de schemă, o dependență externă nouă sau alt volum de date poate invalida rezultatele anterioare. Legați dovezile exercițiului de lansare și de responsabilitățile operaționale.