Reguła backupu 3-2-1

Dysk przyjechał w pudełku po butach z karteczką „zdjęcia dzieci, proszę o pomoc". Był jedyną kopią rodziny. Padał od miesięcy — dane SMART pokazywały to wyraźnie, tylko nikt nigdy tam nie zajrzał, bo nic nie mówi Ci, żeby zajrzeć.

Odzyskałem większość. Większość to nie całość, a rozmowy o tym, której części brakuje, wolałbym nie powtarzać. Wszystko w tym tekście istnieje z powodu takich rozmów, a frustrujące jest to, że zasada temu zapobiegająca jest stara, dobrze znana i wymaga jednego popołudnia.

Trzy, dwa, jeden

Trzy kopie wszystkiego, czego nie da się odtworzyć. Na dwóch różnych rodzajach nośnika. Jedna z nich fizycznie gdzie indziej. To cała zasada, a każda liczba odpowiada na konkretny sposób tracenia rzeczy.

Trzy kopie, bo dyski padają niezależnie i losowo. Dwie kopie znaczą, że jesteś o jedną awarię od posiadania jednej kopii, a jedna kopia to było to, co przyjechało w pudełku. Oryginał plus dwie to nie paranoja; to najmniejsza liczba, przy której pojedyncza awaria jest niedogodnością, a nie wydarzeniem.

Dwa rodzaje nośnika, bo identyczne urządzenia padają w sposób skorelowany. Dwa dyski z tej samej partii, kupione razem, pracujące w tej samej maszynie w tej samej temperaturze, to nie są dwie niezależne szanse. Widziałem dobraną parę padającą w odstępie dwóch tygodni, czyli dokładnie ten scenariusz, któremu ta liczba ma zapobiegać.

Jedna kopia gdzie indziej, bo pożar, woda i kradzież nie interesują się tym, ile dysków stoi w szafce. To jest liczba, którą ludzie pomijają, bo jest niewygodna, i to ona zamienia zły dzień w dzień do przeżycia.

Czym nie jest RAID

Zasługuje na własny nagłówek, bo to nieporozumienie jest niemal powszechne, a musiałem je tłumaczyć osobom całkiem rozsądnie przekonanym, że są zabezpieczone.

Dwa dyski w NAS-ie lustrujące się nawzajem znaczą, że kiedy jeden padnie, maszyna pracuje dalej, a Ty wymieniasz uszkodzony. To jest dostępność. Utrzymuje firmę w ruchu przez awarię sprzętu i naprawdę warto ją mieć.

To nie jest backup, a powód jest prosty: skasuj plik, a zniknie z obu dysków natychmiast, bo na tym polega sens lustra. Ransomware zaszyfruje oba. Zasilacz, który pada destrukcyjnie, może zabrać oba. Zalanie zabiera oba. Lustrzenie chroni przed dokładnie jedną rzeczą — śmiercią dysku — i przed niczym innym z tej listy.

NAS z lustrzanymi dyskami jest więc jedną kopią w liczeniu 3-2-1. Dobrą, na dobrym sprzęcie, przeżywającą najczęstszą awarię — ale jedną. Mówię to każdemu klientowi przy wydaniu, bo maszyna wygląda jak dwie kopie, a nie jest.

Jak faktycznie to układam

Wzorzec, który ustawiam na każdej maszynie, po ludzku.

Kopia robocza żyje na komputerach i telefonach, których ludzie używają. Serwer trzyma drugą kopię, automatycznie, bez udziału kogokolwiek — jeśli backup wymaga, żeby człowiek pamiętał, w końcu przestanie się dziać i nikt tego nie zauważy, dopóki nie zacznie mieć znaczenia. Trzecia kopia opuszcza budynek, albo jako zaszyfrowana kopia u dostawcy, albo jako dysk fizycznie leżący gdzie indziej i wymieniany według harmonogramu.

Dwie właściwości tej trzeciej kopii znaczą więcej niż to, gdzie leży. Musi być zaszyfrowana, zanim wyjedzie, żeby jej miejsce docelowe stało się pytaniem o trwałość, a nie o poufność. I musi trzymać historię — wersje wstecz, żeby plik po cichu uszkodzony dwa miesiące temu dało się odtworzyć sprzed uszkodzenia. Backup trzymający wyłącznie stan bieżący już skopiował Twój problem.

Krok, który naprawdę rozstrzyga, czy to działa

Odtworzenie, którego nigdy nie wykonałeś, nie jest backupem. Jest przekonaniem o backupie, a te dwie rzeczy rozróżnia się wyłącznie w dniu, w którym jedna z nich jest potrzebna.

Spotykałem backupy chodzące wiernie od lat i bezużyteczne: archiwum kopiujące pusty folder, bo zmieniła się ścieżka; zaszyfrowany zestaw, którego hasła nikt nie zapisał; zadanie, które po cichu kończyło się błędem od jedenastu miesięcy, bo maile z powiadomieniami szły na nieistniejący już adres. Każdy z nich wyglądał z zewnątrz dobrze. Każdy został odkryty w najgorszym możliwym momencie.

Praktyka wygląda więc tak i zajmuje dwadzieścia minut dwa razy do roku: wybierz losowy plik, odtwórz go z najstarszej kopii, którą trzymasz, i otwórz. Nie sprawdź, czy backup się wykonał — otwórz plik. Jeśli nie umiesz tego zrobić, nie masz backupu, niezależnie od tego, co pokazuje strona statusu.

Rodzina z pudełka po butach ma teraz trzy kopie, dwa rodzaje nośnika, jedną u krewnych, i raz odtworzyli z niej zdjęcie, ze mną obok, żeby wiedzieli, że działa. Ta ostatnia część zajęła dziesięć minut i jest jedynym elementem tego układu, którego odmówiłbym pominięcia.