灾难恢复：在需要之前没有人愿意支付的保险

有一种投资是每个管理者都知道他们应该进行的，但几乎没有人会优先考虑：这种投资的价值只在最糟糕的一天才会显现。灾难恢复就是一个完美的例子。虽然一切正常，但感觉就像浪费了钱。当服务器着火、勒索软件加密所有内容或数据中心洪水时，它就成为世界上最重要的事情。

问题是，检查你是否有计划的时间不能是灾难发生的时间。在那一刻，要么该计划存在并且有效，要么该组织在最糟糕的情况下发现它的运作没有安全网。

本文是为那些还没有认真对待这个概念的人介绍的。这不是一本技术手册，而是解释为什么灾难恢复应该出现在任何依赖系统运行的领导者的议程上。而今天，几乎所有人都是如此。

灾难恢复到底是什么

灾难恢复是一组计划、流程和资源，允许组织在发生严重扰乱事件后恢复其运营。技术缩写是 DR，代表“灾难恢复”，它存在于一个更大的概念中：业务连续性。

两者之间的区别很重要。业务连续性询问“我们如何在危机期间保持运营运转？”灾难恢复询问“在发生某些事情导致我们崩溃后，我们如何恢复正常运行？”一个负责期间，另一个负责之后。

中心点是，在这种情况下，灾难不仅仅意味着自然灾害。它意味着任何导致您的系统或数据不可用的事件：硬件故障、消除生产基地的人为错误、勒索软件攻击、云提供商的垮台。大多数真正的“灾难”都是平凡的，因此很常见。

思考这个问题最危险的方式是将灾难视为不太可能发生在其他人身上的事情。我的观点恰恰相反：灾难是随着时间的推移而分布的确定性。你不知道什么时候会出问题，但你知道会出问题。

磁盘出现故障。人们会犯错误。攻击者是存在的，而且他们不知疲倦。提供商出现中断。将所有这些加上一个组织多年来的运作，问题不再是“如果”，而是“何时”和“我们将如何准备”。

那些内化这种逻辑的人不再将灾难恢复视为悲观主义，而是开始将其视为基本的风险管理。这与汽车保险或灭火器的推理相同：你购买它不是为了使用它，而是因为当你需要它时却没有它，成本太高。

灾难恢复看起来很抽象，直到您了解了两个使其具体且可衡量的概念。

RTO，目标恢复时间。 在损坏变得严重之前，操作可以停止多长时间？分钟？几小时？天？该数字定义了您的计划恢复系统所需的速度。

RPO，恢复目标点。 您可以承受丢失多少数据？如果上次备份是二十四小时前，而灾难现在发生，您将丢失一天的信息。 RPO 定义了您需要节省的频率。

这两个数字将业务决策转化为技术要求。它们的启示是：许多组织在定义它们时发现，他们容忍的损失和停机时间比他们想象的要少，而且他们拥有的备份也没有想象的那么好。

最常见和最危险的错误：将备份与灾难恢复混淆。它们是不同的东西，而且差异是昂贵的。

备份是数据的复制。恢复是经过验证的恢复运行的能力。许多组织都虔诚地进行了从未经过测试的备份。在灾难发生的那天，他们发现备份已损坏、不完整，或者没有人知道如何恢复它，或者恢复所需的时间远远超出了操作的处理能力。

从未测试过的备份不是计划。这是一个希望。当你无法再纠正它的时候，差异就出现了。

在勒索软件事件中，这种区别已经变得至关重要。现代攻击者在加密生产之前瞄准备份，因为他们知道如果没有备份，受害者将无路可逃。隔离和测试备份不再是一个好的做法，并且已经成为生存问题。

技术计划往往会忽略一个维度：在灾难发生的那天，执行计划的是处于压力之下的人们。如果它只存在于一个人的头脑中，或者存在于一份无人读过的文件中，那么当压力达到最大时，它就不起作用。

真正的计划需要清晰地记录下来，并明确角色：谁决定、谁执行、谁沟通。它需要像消防演习一样进行排练，以便在关键时刻人们知道该怎么做，而不是即兴发挥。并且您需要考虑关键人物当天无法联系的情况。

在公共部门，这会带来额外的影响。当卫生、税收或公民服务系统崩溃时，受影响的不仅仅是组织，还有依赖该服务的民众。连续性存在的是公共责任，而不是操作便利性。

文化陷阱是乐观主义。 “我们什么都没发生过”是大多数未解决的灾难之前的一句话。没有发生事故并不能证明安全，只是幸运的是事情还没有结束。

灾难恢复的核心是对领导成熟度的考验。不成熟的团队只投资于能产生可见结果的事物。成熟的团队也会投资于防止灾难性损失的措施，即使没有掌声。这是为美好的一天进行管理与为不可避免的糟糕的一天进行管理之间的区别。

当灾难真的到来时，做好准备的组织就会经历恐慌和恢复的历史。那些没有做好准备的人会经历危机、损失，有时甚至结束。这两个故事之间的选择是在今天，在看起来不会出问题的那一天做出的。

如果您的组织从未真正测试过数据全部丢失时会发生什么，这可能表明是时候了。博客上还有其他有关安全性、备份和连续性的文章，深入探讨了该主题。如果这确实是您所关心的问题，那么在事情变得紧急之前值得讨论一下。