Na pytanie „jak długo firma może pracować bez systemu księgowego” zwykle pada odpowiedź „ani godziny”. Na pytanie „ile godzin pracy możesz stracić, jeśli system trzeba będzie przywrócić z kopii zapasowej” odpowiedź brzmi „żadnej”. Obie odpowiedzi są zrozumiałe, ale żadna nie jest użyteczna: system kopii zapasowych zaprojektowany pod takie odpowiedzi kosztowałby więcej niż sama firma.
Prawdziwa odpowiedź zawsze mieści się gdzieś między „ani godziny” a „tydzień” i dla każdego systemu jest inna. Poczta, księgowość, sterowanie produkcją i serwer plików mają różne granice. Żeby mówić o tych granicach konkretnie, istnieją dwie miary: RTO i RPO.
W tym artykule wyjaśniamy je bez teorii: co oznaczają, jak ustalić je tak, by zrozumiał to menedżer bez wykształcenia informatycznego, jak przekładają się na częstotliwość kopii zapasowych i miejsce odtwarzania oraz jak je zapisać, żeby nadawały się do audytu NIS2 lub DORA.
RTO: jak długo możesz czekać
RTO (Recovery Time Objective) to najdłuższy dopuszczalny czas od zatrzymania systemu do jego ponownego uruchomienia. Nie czas, w którym IT obiecuje go przywrócić, lecz czas, po którym firma zaczyna ponosić realne szkody.
Przykłady z codzienności naszych klientów:
- Księgowość. W firmie handlowej bez systemu księgowego nie można wystawiać faktur ani przyjmować towaru. RTO wynosi cztery godziny: przez pół dnia można pracować na papierowych dokumentach dostawy i wprowadzić je później, przez cały dzień już nie.
- Poczta. W firmie usługowej, w której cała komunikacja z klientami odbywa się mailowo, RTO wynosi godzinę. W magazynie logistycznym, w którym zamówienia przychodzą przez system, a poczty używa się do komunikacji wewnętrznej, wynosi dzień.
- System sterowania produkcją. Jeśli linia staje bez systemu, RTO liczy się w minutach lub dziesiątkach minut, a przywracanie z kopii zapasowej nie jest wcale pierwszą odpowiedzią. Pierwszą odpowiedzią jest zdublowany system.
RTO ustala biznes, nie IT. IT odpowiada na pytanie, czy ustalone RTO da się osiągnąć i ile to będzie kosztować.
RPO: ile pracy możesz stracić
RPO (Recovery Point Objective) to najdłuższy dopuszczalny okres danych, które możesz stracić. W praktyce: ile czasu minęło między ostatnią działającą kopią zapasową a incydentem.
Te same przykłady:
- Księgowość. Jeśli kopia robi się co noc, w najgorszym razie przepada cały dzień roboczy: wszystkie faktury, płatności i ruchy magazynowe z tego dnia. Dwie księgowe wprowadzałyby je ponownie przez dzień lub dwa. Firma decyduje, że RPO wynosi cztery godziny, i kopie robi się co cztery godziny.
- Poczta. Wiadomości, które przyszły po ostatniej kopii, nie znikają w tenancie Microsoft 365, więc RPO dotyczy tu częściej usuniętych lub zaszyfrowanych danych niż czasu. Zwykle wystarczy dzień.
- System produkcyjny. Utracone godziny oznaczają, że nie wiadomo, co wyprodukowano i z jakich materiałów. RPO wynosi minuty, co oznacza już nie kopie zapasowe, lecz ciągłą replikację.
RTO i RPO są od siebie niezależne. Możesz mieć system, który odtwarzasz w godzinę, ale tracisz dzień danych, i odwrotnie.
Jak oszacować koszt przestoju bez euro
Menedżerowie często utykają na próbie wyceny przestoju. To niepotrzebne. Dla każdego systemu wystarczą trzy prostsze pytania:
- Ilu ludzi przestaje pracować, gdy system nie działa? Dziesięciu magazynierów i dwie księgowe to dwanaście osób siedzących i czekających. Pomnóż przez godziny.
- Ile zamówień, wysyłek lub faktur na godzinę przechodzi przez ten system? Tyle trzeba będzie wprowadzić ponownie albo tyle przepadnie całkowicie.
- Co dzieje się z klientem? Nie dostaje przesyłki, nie dostaje odpowiedzi, nie może zapłacić. Tu zaczynają się zobowiązania umowne i reputacja.
Zapisz odpowiedzi w tabeli z trzema kolumnami: system, co staje po godzinie, co staje po dniu. RTO i RPO wynikają z niej naturalnie i zwykle okazuje się, że z dwudziestu systemów naprawdę krytycznych jest cztery lub pięć. To one zasługują na większą część budżetu na kopie zapasowe.
Jak RTO i RPO przekładają się na technologię
Tu zaczyna się praca IT. Obie miary napędzają dwie decyzje.
RPO określa częstotliwość kopii
Jeśli RPO wynosi dzień, wystarczy kopia nocna. Jeśli cztery godziny, kopie lub migawki co cztery godziny, co jest już wymaganiem wobec magazynu i sieci. Jeśli minuty, kopie przestają wystarczać i potrzebna jest replikacja w czasie rzeczywistym do drugiej lokalizacji. Każdy kolejny krok w dół jest droższy, więc RPO nie powinno być krótsze, niż biznes faktycznie zdecydował.
RTO określa, gdzie i z czego odtwarzasz
Czas odtwarzania ma trzy części: do zauważenia problemu, do znalezienia miejsca odtwarzania i do samego odtworzenia. Jeśli serwerownia spłonęła, druga część może w ogóle nie istnieć, bo nie ma dokąd odtwarzać. Krótkie RTO oznacza więc miejsce przygotowane z wyprzedzeniem.
| RTO | Co to oznacza w praktyce |
|---|---|
| Tydzień | Wystarczy kopia zapasowa; nowy serwer można zamówić i przygotować |
| Dzień | Potrzebna jest zapasowa lokalizacja, w której serwer da się uruchomić z kopii |
| Godziny | Potrzebne są wcześniej przygotowane środowisko i przetestowana procedura |
| Minuty | Potrzebny jest zdublowany system działający cały czas |
Nasze odtwarzanie infrastruktury PlanB jest zaprojektowane właśnie dla wierszy „dzień” i „godziny”: kopie Twoich serwerów przechowujemy w naszej chmurze, a obok jest przygotowane środowisko, w którym te kopie uruchamia się jako działające serwery, podczas gdy Twoja infrastruktura jest naprawiana. Stronę kopii obejmują kopie zapasowe serwerów z częstotliwością, którą ustalisz.
Jeszcze jedna uwaga: RTO, którego nikt nie zmierzył, to tylko liczba w dokumencie. Prawdziwy czas odtwarzania poznasz dopiero wtedy, gdy odtworzysz system w izolowanym środowisku i spojrzysz na zegar.
Jak to udokumentować dla NIS2 i DORA
W obu regulacjach RTO i RPO to informacje zarządcze, a nie techniczne. NIS2 wymaga środków w zakresie ciągłości działania i zarządzania kopiami zapasowymi, a DORA wymaga polityki ciągłości działania ICT z jasnymi celami odtwarzania dla ważnych funkcji. W praktyce audytorowi wystarczy jeden dokument o takiej strukturze:
- Lista systemów z oceną krytyczności.
- Dla każdego systemu RTO, RPO i informacja, kto zatwierdził je po stronie biznesu.
- Który środek techniczny zapewnia każdą miarę: częstotliwość kopii, miejsce przechowywania, miejsce odtwarzania.
- Kiedy ostatnio sprawdzono, że miary są osiągalne, i jaki był wynik.
- Kiedy dokument jest przeglądany: co najmniej raz w roku i po większych zmianach.
Gdy przygotowujemy firmy do wymagań DORA, zwykle tworzymy ten dokument jako pierwszy, bo od niego zależą wszystkie późniejsze decyzje o kopiach zapasowych i odtwarzaniu.
Od czego zacząć
- Wypisz wszystkie systemy firmy i dla każdego odpowiedz na pytanie, co staje po godzinie, a co po dniu.
- Dla pięciu najważniejszych systemów ustal RTO i RPO razem z ich właścicielami biznesowymi, a nie samym IT.
- Porównaj z tym, jak kopie robi się dziś: jeśli RPO wynosi cztery godziny, a kopia jest nocna, masz lukę, o której wiesz tylko Ty.
- Odtwórz jeden krytyczny system w izolowanym środowisku i zmierz prawdziwe RTO.
- Jeśli chcesz, żebyśmy wykonali tę pracę razem z Tobą i przygotowali dokument nadający się do audytu, napisz do nas przez formularz kontaktowy.
