Восстановление IT-систем после сбоя начинается не с ремонта, а с двух чисел: RTO — за какое время система должна вернуться в работу, и RPO — какой объём данных бизнес готов потерять. От них зависят схема резервного копирования, резервирование серверов и порядок действий, который пишут заранее, а не в момент аварии.
Коротко
Причины инцидентов повторяются из года в год, и почти все они предсказуемы. Разница между компаниями не в том, случаются ли аварии, а в том, сколько длится простой и что удаётся вернуть.
Против каждой причины есть свои меры, но объединяет их одно: действовать нужно по заранее записанному плану, а не по памяти того, кто первым увидел проблему.
RTO и RPO — параметры, которые превращают разговор о надёжности в инженерную задачу. По определениям NIST из руководства SP 800-34 Rev. 1 RTO (recovery time objective) — предельное время, в течение которого система может оставаться в состоянии восстановления, не нанося недопустимого ущерба работе организации, а RPO (recovery point objective) — момент времени, к которому данные должны быть восстановлены после сбоя.
На практике это два вопроса: сколько часов бизнес проживёт без системы и за какой период не жалко потерять данные. Ответы на них назначает не IT-служба, а руководитель: это решение о допустимых потерях, и оно определяет бюджет.
| Система | Что останавливается при простое | Что теряется без свежей копии | Что задаёт цифры |
|---|---|---|---|
| Приём заказов и оплаты | Выручка: клиент не может оформить и оплатить заказ | Оплаты и заказы, не записанные в систему | Число заказов в час и доля клиентов, которые не вернутся |
| CRM | Работа отдела продаж: звонки, переписка, сделки в работе | История общения и договорённости за период | Сколько сделок в работе и как быстро клиент уходит к другим |
| Учётная система | Отгрузки, приёмка товара, закрытие документов | Проводки и движения по складу за период | График отгрузок и сроки отчётности |
| Корпоративная почта | Переписка с клиентами, подтверждения, счета | Входящие письма за период | Доля договорённостей, которые живут только в почте |
| Сайт и личный кабинет | Заявки, самообслуживание клиентов, реклама в пустоту | Изменения контента и заявки, не дошедшие до CRM | Доля обращений, которые приходят через сайт |
Когда цифры назначены, становится понятно, за что платить. Короткий RTO требует запасных мощностей и отработанного переключения, короткий RPO — частых копий и репликации. Обратное тоже верно: для систем, простой которых терпит до следующего рабочего дня, дорогая схема не нужна.
Правило 3-2-1 — базовая схема копирования: три копии данных, на двух разных типах носителей, одна копия — за пределами площадки. В рекомендациях CISA для малого и среднего бизнеса оно сформулировано так: три копии важных файлов, два разных типа хранения — например, жёсткий диск и облако, — и одна копия вне площадки компании.
Каждая цифра закрывает свой тип аварии, и вместе они дают запас прочности.
Отдельно стоит копия, до которой нельзя дотянуться из рабочей сети: отключённая от сети или защищённая от изменения. Те же рекомендации CISA советуют проверять восстановление и полностью, и частично, а также убедиться, что данные можно откатить как минимум на семь дней назад.
Важно Копия, которую ни разу не восстанавливали, — гипотеза, а не защита. Проверка — это развёртывание данных в тестовой среде с замером времени, а не просмотр журнала о том, что задание завершилось успешно.
Самая дорогая ошибка в этой теме — считать резервной копией то, что ею не является. Все четыре технологии ниже полезны, но защищают от разных вещей.
Резервная копия отличается от всего перечисленного тем, что это отдельный, неизменяемый на момент создания экземпляр данных, из которого можно вернуться к состоянию на нужный момент времени.
План восстановления отвечает на вопросы до того, как они превратятся в панику: что чиним первым, кто принимает решения, где лежат копии, как связаться с командой, если почта не работает. Это рабочий документ на несколько страниц, а не том для полки.
План проверяют учениями: выбирают систему, восстанавливают её из копии в тестовой среде и замеряют, сколько это заняло на самом деле. Расхождение с назначенным RTO — это и есть результат учений, ради которого их проводят.
Порядок в первый час определяет масштаб последствий и то, останутся ли данные для разбора. Универсальная последовательность выглядит так.
Отдельный пункт — связь с клиентами. Молчание во время простоя обходится дороже самого простоя, поэтому текст уведомления готовят заранее и держат рядом с планом.
При аппаратном сбое данные целы, и задача сводится к переносу на исправное оборудование. При атаке шифровальщика данные повреждены намеренно, а инфраструктура считается заражённой до тех пор, пока не доказано обратное — восстанавливать поверх неё нельзя.
По отчёту Verizon Data Breach Investigations Report 2026 вымогатели участвуют в 48% разобранных инцидентов, при этом компании всё чаще отказываются платить выкуп, а суммы требований снижаются. Выплата не возвращает данные автоматически: она лишь показывает злоумышленникам, что компания готова платить.
Как закладывать защиту от таких сценариев ещё на этапе проектирования систем — шифрование, разделение сетей, журналы, — разобрано в статье о безопасности на этапе проектирования.
Спор о бюджете на резервирование остаётся спором о вкусах, пока у простоя нет цены. Считают её просто: часы простоя умножают на сумму потерянной выручки и оплаты труда сотрудников, которые в это время не могут работать, и добавляют разовые расходы на восстановление и внешнюю помощь.
Полученную сумму сравнивают со стоимостью мер: запасного сервера, второй площадки, более частых копий, договора на поддержку. Если час простоя дороже месяца обслуживания, обсуждать нечего. Данные для такого расчёта берут из обследования инфраструктуры — что это за работа и как она проходит, разобрано в статье об аудите IT-инфраструктуры.
Отдельная строка — требования к размещению данных и копий. Где физически лежат резервные копии, кто имеет к ним доступ и что об этом говорит закон, разобрано в статье о выборе между облаком и сервером в Узбекистане.
Syntra Systems начинает работу с чужой инфраструктурой с приёмки: описываем состав систем и их критичность, собираем доступы, проверяем резервные копии и мониторинг, составляем карту рисков. Проверка восстановления входит в приёмку, потому что на этом пункте чаще всего обнаруживается расхождение между отчётами заданий и реальностью.
Дальше инфраструктура живёт по регламенту: мониторинг с оповещениями, копии по расписанию с регулярной проверкой развёртывания, разбор инцидентов до причины и ежемесячный отчёт. Поддержка рабочих систем компании начинается от 700 $ в месяц, поддержка сайта — от 250 $ в месяц; состав работ описан на странице технической поддержки. Что входит в регулярное обслуживание и что фиксируют в договоре, разобрано в статье о технической поддержке IT-инфраструктуры.
Когда план требует второй площадки или переноса систем ближе к клиентам, это отдельная работа: перенос инфраструктуры без простоя — от 900 $, серверы под нагруженные системы с резервированием и проверенными копиями — от 150 $ в месяц, условия на странице серверов и облака.
Обсудим вашу задачу
Расскажите, что нужно сделать, — оценим сроки и стоимость и предложим решение.
Как единственная мера — нет. Диск, постоянно подключённый к компьютеру, шифруется вместе с ним, а копия в том же помещении не переживёт пожар или кражу. Правило 3-2-1 требует второго типа хранения и одной копии за пределами площадки.
Развернуть её в тестовой среде и замерить, сколько это заняло: запись «задание завершено успешно» проверкой не считается. CISA советует проверять и полное, и частичное восстановление и убедиться, что данные можно откатить минимум на семь дней назад.
Выплата не возвращает данные автоматически и показывает злоумышленникам, что компания готова платить. Рабочая стратегия другая: восстановление из копии, до которой вредонос не дотянулся, и закрытие способа, которым он попал в сеть.
Нужен, но короткий. Достаточно нескольких страниц: список систем с приоритетами, где лежат копии, кто принимает решения, контакты вне корпоративной почты и порядок восстановления. Ценность плана не в объёме, а в том, что его хотя бы раз проверили на учениях.
Изолировать затронутые машины от сети, не выключая питание без крайней необходимости, зафиксировать картину и сохранить журналы. Дальше — восстановление из копии, сделанной до заражения, на заново развёрнутое окружение и смена всех учётных данных, которые могли попасть к злоумышленнику.
Закон «О кибербезопасности» ЗРУ-764 обязывает субъектов кибербезопасности уведомлять уполномоченный орган об инцидентах и сохранять цифровые доказательства. Для объектов критической информационной инфраструктуры требования жёстче, поэтому порядок уведомления вписывают в план заранее.
Руководитель, а не IT-служба: это решение о допустимых потерях, и от него зависит бюджет. Считают так: часы простоя умножают на потерянную выручку и оплату труда тех, кто в это время не может работать, и сравнивают со стоимостью запасного сервера или более частых копий.
