Genopretningsmål (RTO/RPO)

NIST SP 800-34 Rev. 1 (§3.2) definerer tre beslægtede værdier, der kommer ud af konsekvensanalysen. Den maksimalt tålelige nedetid (MTD) er den samlede tid, en forretningsproces kan være afbrudt, før konsekvensen bliver uacceptabel. Recovery time objective (RTO) er den længste tid, en systemressource kan være utilgængelig, før det påvirker de processer, der afhænger af den, og den skal være kortere end MTD. Recovery point objective (RPO) er det tidspunkt før afbrydelsen, som data skal kunne gendannes til, med andre ord det størst acceptable datatab. En udbredt opdeling er MTD = RTO + WRT, hvor work recovery time dækker verifikation af gendannede systemer, genindtastning af data og afvikling af efterslæb, før forretningsprocessen er helt tilbage. ISO 22301 bruger det tilsvarende begreb maksimalt tålelig afbrydelsesperiode (MTPD), hvor RTO'erne fastsættes inden for den, og tilføjer det minimale kontinuitetsniveau (MBCO) for det reducerede serviceniveau, der er acceptabelt under afbrydelsen.

RPO styrer designet af databeskyttelsen. En natlig backup giver en RPO på op til omkring 24 timer; snapshots hver time eller log shipping bringer den ned på minutter; synkron replikering kommer tæt på nul, men giver skrivelatens, der vokser med afstanden, og replikerer logisk korruption og ransomwarekryptering øjeblikkeligt, så den skal kombineres med kopier fra bestemte tidspunkter. RTO styrer designet af genopretningen: gendannelseshastighed, tiden til at etablere infrastruktur, rækkefølgen af afhængigheder og medarbejdernes tilgængelighed om natten og i weekender. For store datamængder er gendannelseshastigheden fra backuplageret eller over en WAN-forbindelse ofte den begrænsende faktor, og gendannelse af flere titals terabyte kan tage dage, selv når selve backuppen er intakt.

Målene er mål, ikke målinger. Den faktiske genoprettelsestid og det faktiske gendannelsespunkt måles ved øvelser, og forskellen mellem mål og virkelighed er det mest nyttige resultat af en DR-test. En hyppig fejl er at fastsætte én RTO pr. system uden at tænke på scenariet: failover af en virtuel maskine efter en hardwarefejl kan tage minutter, mens genopbygning efter ransomware i hele domænet kræver forensisk frigivelse, ren infrastruktur og nulstilling af adgangsoplysninger, hvilket kan tage uger. Målene bør derfor testes mod et ødelæggende cyberscenarie og ikke kun mod en teknisk fejl.

RTO og RPO adskiller sig fra service level objectives. En SLO beskriver pålideligheden i normal drift, fx 99,9 % tilgængelighed over en måned, og styres med fejlbudgetter, mens genopretningsmål beskriver den tålelige konsekvens, når en afbrydelse allerede er sket. Begge skal hænge sammen med kontrakterne: en SLA, der lover genopretning inden fire timer, er meningsløs, hvis DRP'ens testede genoprettelsestid er to døgn.