Test odtworzenia kopii zapasowej

Test odtworzenia to ćwiczenie: z kopii przywracamy plik, bazę albo całą maszynę i sprawdzamy, czy da się na tym pracować. Zielony status zadania w konsoli mówi tylko, że bajty poszły na repozytorium. Nie mówi, czy baza wstanie, czy hasła się zgadzają i ile minut zajmie powrót ludzi do pracy. Na stronie o backupie i archiwizacji ten test jest częścią usługi, nie dodatkiem „gdy będzie czas”.

Ćwiczenie ma scenariusz. „Przywróć jeden plik z wczoraj” to inny test niż „postaw serwer księgowy od zera”. Oba są potrzebne, bo różne awarie bolą inaczej. Programy takie jak Veeam i Xopero ułatwiają odtworzenie, ale nie wybierają scenariusza za firmę. Scenariusz wybiera właściciel procesu: co boli najbardziej przy braku dostępu.

Czas od decyzji „odtwarzamy” do chwili, w której użytkownik wystawia dokument, to prawdziwe RTO. Mierzymy je stoperem, nie optymizmem. Wchodzi w to znalezienie nośnika, odtworzenie, sprawdzenie spójności i komunikat do ludzi. Test, który kończy się na „maszyna pinguje”, jest niepełny.

Częsty błąd to test tylko przy wdrożeniu i cisza przez dwa lata. Drugi błąd to odtwarzanie zawsze na tę samą maszynę testową, która ma inne sterowniki niż produkcja. Trzeci błąd to brak zapisu: nikt nie wie, kiedy ostatnio coś przywracano i z jakim wynikiem. Po zmianie hasła do repozytorium albo po migracji storage stary test nic nie mówi o nowym układzie.

Ransomware i przypadkowe skasowanie to dwa powody, dla których test musi sięgać też do kopii starszej niż wczoraj. Jeśli jedyny udany test to „ostatnia noc”, a atak trwał trzy dni zanim go zauważono, potrzebujecie punktu sprzed infekcji. Retencja bez umiejętności sięgnięcia wstecz jest tylko zajętym miejscem na dysku.

Po teście spisujemy datę, scenariusz, czas, wynik i co poprawić. Krótka notatka wystarczy. Ważne, żeby trafiła do miejsca, które przeżyje zmianę pracownika. Gdy test się nie uda, najpierw naprawiamy backup albo procedurę, a dopiero potem odhaczamy temat w kalendarzu. Firma, która nigdy nie widziała nieudanego testu, zwykle nigdy naprawdę nie testowała. Nieudany test w kontrolowanych warunkach jest sukcesem: wychodzi przed awarią, a nie w dniu, w którym produkcja już stoi i wszyscy patrzą na zegar.

Środowisko testowe do odtworzenia nie musi być tak samo duże jak produkcja. Musi być wystarczające, żeby uruchomić krytyczny system i sprawdzić spójność. Izolacja sieci testowej chroni przed przypadkowym „podpięciem się” odtworzonej domeny do produkcji. To klasyczny błąd ćwiczeń. Po teście kasujemy odtworzone maszyny według checklisty, żeby nie zostały jako zapomniane kopie z prawdziwymi danymi. Harmonogram testów wpisujemy w kalendarz opieki, obok okien serwisowych. Firma, która testuje tylko po awarii u sąsiada z branży, zwykle odkrywa brakujące hasło do repozytorium w najgorszym momencie. Lepiej odkryć je w środę o 10:00 przy kawie. Koszt takiego ćwiczenia jest znany. Koszt braku ćwiczenia poznajecie dopiero przy liczeniu godzin przestoju.