【作者】張志強，某大型制造企業(yè)IT基礎設施部高級經理
概述
在大數據、云計算、物聯(lián)網等新技術的發(fā)展下，我們已經從信息時代邁入數字化時代。
信息技術已成為最活躍的生產力要素，促使生產模式發(fā)生重大的變革，引發(fā)互聯(lián)網經濟蓬勃發(fā)展。作為企業(yè)數字化轉型的基礎與支撐，得到了企業(yè)高層的高度重視。
隨著數字化在各個企業(yè)的深耕，服務于大眾吃、喝、住、行、用等多個方面，每天源源不斷的產生巨大的數據量,為企業(yè)的運營提供有力的決策，數據已經成為決定企業(yè)命運的核心資產。數據量呈指數級的增長已經成為常態(tài)，數據備份和災難恢復就成為炙手可熱的主題，也是信息安全技術領域中的一個重要的研究方向和發(fā)展重點。
2020年至今，全球勒索事件、數據泄漏等安全事件層出不窮，呈現逐年上升趨勢。據不完全統(tǒng)計，受損失的企業(yè)達到數萬家，造成的直接經濟損失數以億計。僅2018年上半年 ，全球每天有超過2500萬條個人數據遭到入侵或泄露，涉及金融、醫(yī)療、制造等多個行業(yè)。直至現在，越來越多的網絡安全事件爆發(fā)，黑客攻擊手法也越來越復雜和多樣化。面對如何嚴峻的形勢，我們亟需構建一套屬于自己的災難恢復架構，構建企業(yè)最后一道生命線。
什么是災難恢復？
災難恢復聽起來有點高大上，不好理解，其實它有個最基礎的元素，也是管理員定期都會做的，就是數據備份。我們做數據備份的目的就是防止系統(tǒng)出現操作失誤或者系統(tǒng)故障導致數據丟失時候，可以迅速的恢復數據，恢復生產。而災難恢復要稍微復雜一些，除了考慮數據本身，還要考慮硬件、軟件和應用自身，是涵蓋面更廣的業(yè)務連續(xù)性規(guī)劃的一部分，其核心是對企業(yè)的災難性風險做評估、防范，特別是對關鍵性業(yè)務數據、流程予以及時記錄、貝恩和保護。翻譯成大白話就是災難發(fā)生后，可以迅速將生產平臺恢復到正常運營的能力。
災難恢復的重要性？
災難恢復的重要性不言而喻，為什么稱它為企業(yè)經營的最后一根稻草，絕不是危言聳聽。
給大家簡述一個現實的例子，說明一下災難恢復的重要性。
前面已經介紹過了，目前的勒索病毒已經瞄準金融業(yè)、制造業(yè)及醫(yī)療等重要行業(yè)。我的一個朋友是某零部件產品制造企業(yè)的安全負責人，學歷高、技術牛、經驗豐富，典型的I T界“高、富、帥”。但是他在2018年經歷了人生第一個重大安全事件，讓他終生難忘，甚至回想起來還冒一身冷汗。
當天他正在開會，突然電話響起，對方告知公司的一個銷售系統(tǒng)宕機，服務起不來，當時沒有意識到時大事，只是說會后過去支持。到現場才發(fā)現，所有銷售的數據庫被加密，只留下txt勒索文件，告知如何交付贖金進行解密，此時他才意識到大事不妙。經過全系統(tǒng)排查，共發(fā)現中毒系統(tǒng)30多套，整個生產瞬間停滯 。
幸虧大多數系統(tǒng)都進行了數據備份，除個別系統(tǒng)需要手動錄單外，其余的系統(tǒng)均已通過備份系統(tǒng)恢復，將損失降低到最小。
天有不測風云，人有旦夕禍福，通過這個血淋淋的案例，大家應該意識到災難恢復（ 不僅僅是數據備份 ）對 IT人員的重要性和企業(yè)最后一根救命稻草的含義了 。
災難恢復要點
任何系統(tǒng)在設計和建設階段都會有相關的指標和規(guī)格約束，確保系統(tǒng)的完整性、穩(wěn)定性和可用性。
災難恢復資源要素
根據大多數的專家經驗，總結了一些信息系統(tǒng)災難恢復管理規(guī)范中，關于災難恢復資源的描述，僅供參考，災備負責人可以根據企業(yè)實際需求進行斟酌：
備用的基礎設施：
? 主用基礎設施以外的備用基礎設施選址尤為重要，無論從距離上、備份線路上還是政策上都是考慮的重點；
? 基礎設施建設符合國家機房建設標準，具體級別參考主機房；
? 備用基礎設施具備完善的工作輔助設施和生活設施。
數據備份系統(tǒng)：
? 根據業(yè)務系統(tǒng)特性，提前定義數據備份的范圍和頻率；
? 定期整體RPO和RTO指標，分解到不同的業(yè)務系統(tǒng)；
? 充分考慮數據備份系統(tǒng)與現有生產系統(tǒng)的兼容性；
? 選擇成熟穩(wěn)定的數據備份系統(tǒng)，同時一定要考慮后期服務支持。
網絡系統(tǒng)：
? 備用基礎設施網絡通信系統(tǒng)的選擇，建議與主用基礎設施保持一致；
? 備用通信線路要冗余，避免單點故障；
? 要定期對備用通信線路的使用情況進行監(jiān)控 。
災難恢復預案：
? 要提前做好災難恢復預案：
? 根據業(yè)務實際需求提出備份的管理要求；
? 制定備份恢復流程；
? 定期進行培訓和演練。
運維管理：
? 定義運維管理組織架構；
? 制定運維管理制度；
? 制定相關的考核指標。
技術支持能力：
? 培養(yǎng)自身的技術支持能力；
? 引入專業(yè)的災備團隊進行支持；
? 軟件、硬件和網絡等方面的技術支持要求。
災難恢復能力等級
災難恢復根據投資和業(yè)務需求的不同，會采用不通的技術實現，自然就會有不同的災難恢復能力之分。以下結合自身總結的一些災難恢復架構方案經驗對其進行等級劃分， 僅供參考。
等級
等級描述
內容描述
特點
基礎
基礎級備份，僅僅滿足一定備份周期內的數據不丟。
· 每周至少進行一次數據備份；· 備份介質本地存儲；· 無專業(yè)備份系統(tǒng)支持；· 周期外數據完整性無保障。
· 定期備份；· 本地存儲；· 不具備統(tǒng)一管理能力。
中級
中等級備份，僅僅滿足一定備份周期內的數據不丟。并可以實現外部介質存儲。
· 每周至少進行一次數據備份；· 備份介質采用外部存儲；· 無專業(yè)備份系統(tǒng)支持；· 周期外數據完整性無保障。
· 定期備份；· 異地存儲；· 不具備統(tǒng)一管理能力。
高級
高級別備份，可以滿足大多數企業(yè)對數據安全的要求，滿足備份數據不丟。
· 每周至少進行一次全量數據備份，每天進行增量備份；· 備份介質支持外部存儲；· 具備專業(yè)備份系統(tǒng)；· 數據完整性有保障；· 實現異步/同步數據復制。
· 定期備份；· 異地存儲；· 業(yè)務性能由同步機制決定；· 具備統(tǒng)一管理能力。
企業(yè)級備份
應用級災備，可以滿足大企業(yè)對業(yè)務和應用級雙活的要求，實現真正意義的災備切換。
· 每周至少進行一次全量數據備份，每天進行增量備份；· 備份介質支持外部存儲；· 具備專業(yè)備份系統(tǒng)；· 數據完整性有保障；· 多數據中心間進行應用級切換，不影響業(yè)務；· 實現異步/同步數據復制。
· 定期備份；· 異地存儲；· 業(yè)務性能由同步機制決定；· 應用切換零宕機；· 具備統(tǒng)一管理能力。
災難恢復關鍵指標
容災恢復的關鍵指標是SLA的前提條件，不同企業(yè)不同要求，個人經驗僅供參考：
指標
描述
RTO-Recovery Time Objective：恢復時間目標
系統(tǒng)宕機導致業(yè)務停頓開始，到系統(tǒng)恢復至可支持業(yè)務運營，兩點間的時間段。即可容許服務中斷的時間長度。
RPO（Recovery Point Objective）：數據恢復點目標
從系統(tǒng)和數據而言，要實現能夠恢復到可以支持業(yè)務運營，使系統(tǒng)及生產數據恢復到何種更新程度。即損失的數據量，即恢復的數據所對應的時間點
災難恢復架構
本例以曾經做過的災備案例為范本進行說明，利用兩地數據中心進行數據級別的災備。
災難恢復的原則
為保證災難恢復架構涉及更符合業(yè)務需求，更貼合企業(yè)實際情況，應遵守以下原則：
注意事項
原則
對業(yè)務運營的影響
應盡量避免或降低對正常業(yè)務系統(tǒng)正常運行的影響
關鍵的業(yè)務周期
測試活動應安排在非業(yè)務高峰期，以避免或降低對業(yè)務運營的風險
分離關鍵的組件
如果測試對特定業(yè)務的中斷無法避免，應當在一個可接受的時間段內，將所涉及的服務組件與會受影響的業(yè)務進行隔離，進行測試
保證足夠的人員支持生產系統(tǒng)
確保有足夠的資源維護和支持生產系統(tǒng)災備活動
恢復流程準備就緒
管理流程開發(fā)完成，編寫相關的災難恢復方案與恢復步驟，并進過適當的測試
對真實場景的模擬程度
測試的場景設計應當最大程度的反應最壞的災難情況
容災演練
演練過程中應當盡可能的不要降低生產系統(tǒng)的容災保護程序；如果無法避免，應考慮采用一些措施保證演練期間生產系統(tǒng)的容災保護備份
應用系統(tǒng)的分組
具有高度依賴性和多個應用，應當盡可能安排在同一次演練中
常用災難恢復方式
在工業(yè)互聯(lián)網的大背景下，制造行業(yè)不管是大企業(yè)還是小企業(yè)在日常運營中都需要服務器、 網絡等基礎架構來部署業(yè)務，保持業(yè)務的穩(wěn)定持續(xù)運行。制定和執(zhí)行一個可用的災難恢復方案就顯得至關重要。一旦發(fā)生不可預知的災難，尤其數據丟失造成的損失是無法計算的。
隨著災備技術的發(fā)展，各種災備方式突顯，如本地災備、異地災備、云災備、混合災備等等方式。根據不同的災備需求和業(yè)務重要程度，所采用的災備技術也是不同的。從開源的到商用的，從新興的到成熟的，各有千秋，各有不同。以下舉三個常用災備方式：
本地：
本地備份按照上文所說的要素和等級來看，投資最小、效果較差，但是適應小型企業(yè)和對數據完整性要求不高的場景?？梢酝ㄟ^軟件自帶的數據復制功能、底層存儲的remote copy功能進行本地存儲間備份。數據可以快速恢復，但是備份周期內的數據無法恢復，有丟失數據風險。同時如果本地基礎設施被破壞，已造成全部數據丟失或失效。
兩地三中心：
我們知道金融行業(yè)的數據幾乎沒有丟失的情況，那是因為他們在災備方案上煞費苦心。為了確保數據中心的可靠性，基本都會在不同區(qū)域各建一個數據中心用來放置服務器和存儲數據，實現主備分離。正常情況下主中心工作，另外兩個作為災備中心，三個數據中心的數據實時同步更新。確保所有服務器不會放在同一個地方，就算戰(zhàn)爭、地震等損毀了兩個中心，也不會影響業(yè)務的正常辦理。萬一發(fā)生極端情況三個中心全部遭到破壞，還有離線備份的數據，數據安全性得到保障。
混合云：
隨著云計算的發(fā)展，混合云架構越來越被企業(yè)所重視。利用混合云架構實現云災備是個不錯的選擇。云災備作為災備領域的一種新的災備方式，正在被更多的企業(yè)所接受。通過引入專業(yè)的云災備服務商，按需付費使用災備服務，實現線上線下相結合?？梢岳梅仗峁┥痰膬?yōu)勢技術資源、豐富的災備項目經驗和成熟的運維管理流程，快速實現業(yè)務的災備目標，降低災備系統(tǒng)的運維成本和災備系統(tǒng)的總體擁有成本。
災難恢復的思考
運維一個完整的災備系統(tǒng)離不開技術與管理，正所謂“三分技術，七分管理”。要保障災備系統(tǒng)的穩(wěn)定性和數據的安全性，除了有必要的技術手段支持以外，還要考慮組織和管理的因素，也就是人、流程與制度的因素。
組建合理的災備組織架構
災備作為企業(yè)的最后一道防火墻一直以來都是IT領導最重視的領域，會在企業(yè)內設立專門的災備小組或者委員會，制定集團整體災備系統(tǒng)的解決方案，并負責災備工作的指導與推廣。
同時在企業(yè)內會設立災備架構師，對集團災備工作進行具體的規(guī)劃與執(zhí)行，確保企業(yè)核心數據的可用性、完整性和可靠性。
流程化管控
企業(yè)的災備系統(tǒng)按照規(guī)劃建設完成，這只是數據安全保障的第一步，或者說是前提 。之后大部分的工作都是在系統(tǒng)的運營中。結合PDCA，通過迭代更新的方法論，對災難恢復策略和運營進行持續(xù)化改進 ，增強企業(yè)數據災備及應用級災備的整體能力。
正所謂“制度管人，流程管事 ”?；诹鞒袒芾?，災備團隊可以根據不同的業(yè)務需求、備份場景進行快速響應和精確處理，為企業(yè)核心數據安全提供保障。
結束語
在災難備份系統(tǒng)建設中，數據備份是關鍵，也是基礎，做好災難備份建設，通過有效的災難恢復機制，以確保企業(yè)業(yè)務連續(xù)性，減少因為數據丟失等給企業(yè)帶來的損失。本文簡述了災備的重要性，并未深度解析災備的各種技術和實現，在后續(xù)發(fā)布在社區(qū)的文章中將陸續(xù)更新。
原題：淺談災難恢復架構對企業(yè)的重要性
