Лекция «Бэкап, который восстановили»

Около 70 минут на 18 тем. Прогресс сохраняется, поэтому лекцию можно проходить частями и возвращаться к ней позже.

Начало — да: первые 1 тема открыты сразу, без регистрации. После бесплатной регистрации откроются темы до 2-й — вместе с частью из 45 тестов и монетами за верные ответы. Полная лекция — 99 ₽ навсегда, либо подписка на все лекции платформы от 499 ₽ в месяц.

Восемнадцать тем вокруг одного определения: бэкап, из которого ни разу не восстанавливали, учитывается как отсутствующий. RPO и RTO как два разных числа, которые назначает владелец процесса из стоимости простоя, а не инженер из технических возможностей, и действующий ГОСТ Р ИСО 22301-2021 вместо утратившей силу редакции 2014 года. Перевод этих чисел в деньги двумя грубыми счётами — ценой простоя и объёмом ручного ввода заново. Четыре технологии, которые копией не являются: RAID, репликация, синхронизация папок и снимок на том же хранилище. Правило 3-2-1 Питера Крога с уточнением про два типа носителя, а не два устройства, и его расширение 3-2-1-1-0, где ноль — это ноль ошибок при проверке восстановления. Копия как первая цель атаки: 94% пострадавших зафиксировали попытки добраться до копий, 57% попыток удались, медианная стоимость восстановления при скомпрометированных копиях выше примерно в восемь раз — данные вендорских опросов Sophos и Veeam, помеченные как вендорские. Неизменяемое хранение с разницей между режимами governance и compliance и шестью типовыми ошибками, включая маркер удаления поверх заблокированной версии. Разделение доступов, при котором администратор защищаемой системы не может удалить её копии. Четыре разбора: GitLab 31 января 2017 года с пятью не сработавшими техниками и случайно снятым снимком, Maersk 2017 года с единственным уцелевшим контроллером домена в Гане, пожар в SBG2 10 марта 2021 года с утратой копий вместе с оригиналами и трёхдневный простой СДЭК в мае 2024 года. Проверка восстановления как единственное доказательство, с записью измеренных RTO и RPO и типовым расхождением между назначенными четырьмя часами и измеренным тридцатью одним. Мониторинг, который ловит незапущенное задание и показывает возраст последней проверенной копии. Глубина хранения, пять лет по подпункту 8 пункта 1 статьи 23 Налогового кодекса и статье 29 402-ФЗ, средства воспроизведения электронных документов. Меры ОДТ.4, ОДТ.5 и ЗСВ.8 приказа ФСТЭК России от 18.02.2013 № 21 и требования приказа от 11.04.2025 № 117, действующие с 1 марта 2026 года. Заканчивается лекция рабочим порядком первой недели из семи пунктов.

Реплика создана для того, чтобы повторять происходящее с оригиналом, и она честно это делает. От отказа узла и целой площадки она защищает. От ошибочного удаления таблицы и от работы шифровальщика — нет: разрушительная операция доезжает до реплики за секунды, потому что в этом и состоит её работа. Проверка, которая отличает копию от второго экземпляра, одна: переживёт ли она уничтожение оригинала вместе с той системой, где оригинал лежал, и переживёт ли того, у кого есть права на оригинал. Реплика не переживает ни первого, ни второго.

Ориентир такой: критичные системы — не реже квартала, остальные — не реже года, плюс обязательно после каждого значимого изменения системы: обновления базы данных, смены схемы хранения, переезда, смены версии платформы. Нормативно периодичность задаёт сам оператор — усиление меры ОДТ.4 приказа ФСТЭК России от 18.02.2013 № 21 требует проверять работоспособность средств копирования, хранения копий и восстановления с установленной оператором периодичностью. Дополнительно стоит развести два вида проверки: частичная — восстановить одну таблицу, один почтовый ящик, один каталог — дёшева и делается часто, она ловит поломку процесса; полная дорога, делается редко и нужна для того, чтобы измерить фактическое время восстановления.

Нет. Неизменяемость защищает копии от уничтожения, а не инфраструктуру от заражения: проникновение, кражу данных и простой она не предотвращает. Корректная формулировка — последняя линия обороны. К тому же у неё есть шесть типовых ловушек: блокировка применяется только к новым объектам, включается при создании контейнера хранения, требует версионности, не защищает от маркера удаления поверх заблокированной версии, не отменяет правил жизненного цикла и оплачивается весь срок удержания, потому что досрочно удалить заблокированный объект нельзя. И отдельно про режимы: governance держит случайное удаление и рядовую скомпрометированную учётную запись, но не защищает от инсайдера и украденного административного ключа — это умеет только compliance.

Прямого требования «делайте резервное копирование» в федеральном законе нет, и утверждение «этого требует 152-ФЗ» неверно. Требования живут в подзаконных актах и зависят от типа системы. Для персональных данных это приказ ФСТЭК России от 18.02.2013 № 21: мера ОДТ.4 — периодическое резервное копирование персональных данных на резервные машинные носители, мера ОДТ.5 — обеспечение возможности восстановления с резервных копий в течение установленного временного интервала, а для виртуальной инфраструктуры мера ЗСВ.8. Для государственных информационных систем действуют требования, утверждённые приказом ФСТЭК России от 11.04.2025 № 117, — они действуют с 1 марта 2026 года и заменили приказ № 17; среди обязательного там закрепление требований к резервному копированию в организационно-распорядительных документах оператора и организация копирования вместе с тестированием восстановления.