Правило 3-2-1 в деньгах: лента, диски или облако — что выбрать под резервное копирование

Копия, которую ни разу не восстанавливали, копией не является. Разбираем, сколько на самом деле стоит хранение терабайта в трёх схемах, почему офлайн-носитель вернулся в моду из-за шифровальщиков и как посчитать допустимое время простоя до того, как оно случится.

У резервного копирования есть неприятное свойство: пока оно не понадобилось, невозможно понять, работает оно или нет. Компания годами видит зелёные галочки в интерфейсе, а в день аварии выясняется, что задание падало последние восемь месяцев, или что копия лежала на том же массиве, который вышел из строя, или что она зашифрована вместе со всем остальным.

Ниже — разбор того, из чего складывается работающая схема: что означает правило 3-2-1 на практике, во сколько обходится терабайт в трёх вариантах хранения и как выбрать между ними, отталкиваясь от двух чисел, которые нужно определить до всякой закупки.

Любой разговор о бэкапе, начатый с выбора железа, обречён на бессмысленную закупку. Начинать нужно с двух величин, и обе определяет не ИТ-служба, а руководство.

Сколько данных допустимо потерять. Если копия снимается раз в сутки ночью, а авария случилась в шесть вечера, вы теряете весь рабочий день. Для бухгалтерии это, возможно, приемлемо. Для склада с непрерывной отгрузкой — нет. От этого числа зависит частота копирования, а от частоты — нагрузка на сеть и объём хранилища.

Сколько времени допустимо простоять. Восстановление сорока терабайт с ленты — это не минуты. Восстановление из облака по обычному офисному каналу может занять несколько суток. Если бизнес не может стоять больше четырёх часов, схему нужно строить под это, а не надеяться.

Эти два числа переводятся в деньги просто: стоимость часа простоя умножается на допустимое время. Дальше становится видно, какой бюджет на резервное копирование оправдан — и обычно он оказывается больше, чем компания планировала, но меньше, чем стоит один серьёзный инцидент.

Формулировка известная: три копии данных, на двух разных типах носителей, одна из них — вне основной площадки. Проблема не в том, что правило сложное, а в том, что его соблюдают наполовину и считают, что соблюли.

Три копии — это оригинал плюс две резервных. Одна копия — это не бэкап, а иллюзия: носитель с ней может выйти из строя ровно тогда, когда он понадобился.

Два разных носителя. Часто трактуется как «два диска в одном массиве». Это не два носителя: контроллер один, питание одно, помещение одно. Смысл требования в том, чтобы одна причина не убила обе копии сразу.

Одна копия вне площадки. Самый нарушаемый пункт. Второй сервер в соседней комнате — это не другая площадка: пожар, затопление и отключение электричества действуют на обе комнаты одинаково.

К классическому правилу в последние годы добавляют ещё два требования: одна копия должна быть неизменяемой или физически отключённой, и ноль ошибок при проверке восстановления. Оба появились из-за шифровальщиков.

Раньше бэкап защищал от отказа оборудования, ошибки человека и пожара. Все три причины одинаковы в одном: они не ищут ваши копии специально.

Шифровальщик ищет. Современная атака начинается не с шифрования, а с разведки: злоумышленник получает доступ, неделями осматривается, находит систему резервного копирования, удаляет или шифрует архивы и только потом запускает шифрование основных данных. К моменту, когда вы заметили проблему, восстанавливаться уже не из чего.

Отсюда практический вывод: копия, до которой можно дотянуться из сети под учётной записью администратора, ненадёжна по определению. Спасает одно из двух — носитель, физически отключённый от всего (картридж в сейфе), или хранилище с неизменяемостью, где запись нельзя перезаписать или удалить до истечения срока.

Именно поэтому ленточные накопители, которые двадцать лет подряд объявляли устаревшими, никуда не делись. Картридж, вынутый из привода, недоступен по сети в принципе — это не настройка, которую можно обойти, а физика.

Дисковое хранилище — это сетевой накопитель или дисковая полка, куда система копирования складывает архивы.

Сильная сторона — скорость. Восстановить отдельный файл или виртуальную машину можно за минуты, потому что доступ произвольный: не нужно перематывать носитель до нужного места. Для оперативных копий за последнюю неделю-две это лучший вариант, и почти во всех схемах именно они лежат на дисках.

Слабых сторон две. Первая — цена за терабайт при длительном хранении: диски крутятся, потребляют электричество и выходят из строя, а массив нужно обслуживать. Вторая — доступность по сети. Дисковое хранилище видно из сети, и всё, что видно из сети, потенциально достижимо для атакующего. Частично лечится неизменяемыми снимками и отдельными учётными записями, но полностью проблему не снимает.

Отдельно про диски: в круглосуточную запись нужны накопители, рассчитанные на такой режим. Обычные десктопные в массиве живут заметно меньше заявленного, и экономия на этой строке стабильно оборачивается заменой через полтора года.

Ленточная схема устроена иначе: есть привод и есть картриджи, которые можно вынимать и увозить.

Сильные стороны — стоимость хранения и офлайн. Картридж не потребляет энергию, не требует обслуживания и хранится годами. Чем больше объём и чем длиннее срок хранения, тем заметнее выигрыш: для архивов, которые нужно держать пять-семь лет, альтернативы по цене за терабайт практически нет.

Слабые стороны — доступ и организация. Восстановление последовательное: чтобы достать нужное, привод физически перематывает ленту. Плюс лентой нужно управлять — вести учёт картриджей, возить их в другое место, следить за сроком службы привода и чистящим картриджем. Это процесс, а не только оборудование.

Практическое замечание: лента почти никогда не используется как единственный носитель. Типовая рабочая схема — оперативные копии на дисках, а с них раз в неделю или месяц выгрузка на ленточные картриджи, которые уезжают в сейф или другой офис.

Облачное хранилище закрывает пункт «вне площадки» без логистики: копия уезжает сама, возить ничего не нужно.

Преимущество очевидное — нулевой порог входа. Не нужно покупать привод, массив и шкаф, платёж идёт по объёму. Для малых компаний это часто единственный реалистичный способ выполнить правило 3-2-1.

Ограничения начинаются на объёмах. Первое — канал: выгрузить двадцать терабайт по офисному интернету можно, но долго, а восстанавливать придётся столько же в обратную сторону. Второе — тарификация: хранение бывает дешёвым, а операции чтения и исходящий трафик оплачиваются отдельно, и счёт за восстановление становится неприятным сюрпризом именно в тот момент, когда всем и так плохо. Третье — учётная запись: если доступ к облачному хранилищу лежит в той же скомпрометированной инфраструктуре, защита от шифровальщика иллюзорна. Нужна отдельная учётная запись и включённая неизменяемость.

Чтобы сравнивать корректно, приведите все три варианта к одной величине: сколько стоит хранить один терабайт в течение пяти лет с учётом всего.

Шаг 1. Определите реальный объём. Не объём данных, а объём хранилища: он зависит от глубины хранения и числа точек восстановления. Ежедневные копии за месяц плюс еженедельные за год — это кратно больше исходных данных даже с дедупликацией.

Шаг 2. Для дисков сложите: стоимость накопителей и полки, замену дисков за пять лет, электричество, место в шкафу, лицензию системы копирования. Разделите на объём и на пять.

Шаг 3. Для ленты сложите: привод, картриджи под нужное число поколений, чистящий картридж, хранение вне офиса, время сотрудника на ротацию. Привод — разовая и заметная сумма, поэтому на малых объёмах лента проигрывает, а с ростом объёма быстро выигрывает.

Шаг 4. Для облака сложите платёж за хранение за 60 месяцев плюс оценочную стоимость одного полного восстановления. Именно вторая часть обычно и меняет картину.

Шаг 5. Добавьте к каждому варианту стоимость простоя, умноженную на реалистичное время восстановления. Дешёвое хранение с трёхсуточным восстановлением может оказаться самым дорогим вариантом из трёх.

До 20 человек, единицы терабайт. Диск для оперативных копий плюс облако как внешняя копия. Ленту здесь ставить не нужно: привод не окупится. Главное — включить неизменяемость в облаке и отдельную учётную запись для бэкапа.

20–100 человек, десятки терабайт. Дисковое хранилище под оперативные копии, ленточный накопитель для выгрузки и офлайн-хранения, картриджи уезжают в сейф или второй офис. Облако — опционально, как третья копия для критичного минимума.

Больше 100 человек или регуляторные требования к срокам хранения. Та же схема плюс автозагрузчик, чтобы ротация не зависела от того, зашёл ли администратор в серверную. Сюда же — отдельная площадка для быстрого восстановления критичных систем.

Во всех трёх случаях действует одно правило: восстановление нужно проверять по расписанию, а не в день аварии. Регулярный тестовый откат на изолированный стенд — единственный способ узнать, что копии рабочие.

И главное, что стоит запомнить: резервное копирование измеряется не объёмом архивов, а временем восстановления. Схема, из которой вы ни разу не восстанавливались, не является резервным копированием — это просто расходы на хранение.

Если нужно подобрать решение под конкретный объём и срок хранения, передайте менеджерам e2e4 объём данных, глубину хранения и допустимое время восстановления: посчитаем нужное число картриджей, подберём привод и дисковую часть. Каталог ленточных накопителей, картриджей LTO и сетевых накопителей — на сайте.