Obnova po havárii: plánování a testování postupů

Co je Obnova po havárii (Disaster Recovery) a proč na ní záleží

Obnova po havárii (DR) je soubor technik, procesů a organizačních opatření, jejichž cílem je obnovit IT služby a data na akceptovatelnou úroveň po narušení způsobeném havárií, chybou, kybernetickým útokem, lidským selháním či přírodní katastrofou. DR je podmnožinou Business Continuity Managementu (BCM), který řeší širší kontinuitu podnikových procesů. Smyslem DR je minimalizovat následky – zejména nedostupnost služeb, ztrátu dat, finanční škody a reputační rizika.

Terminologie a cílové metriky: RTO, RPO, RLO, MTD

RTO (Recovery Time Objective): maximální přípustná doba nedostupnosti služby. Určuje, jak rychle musí proběhnout obnova.
RPO (Recovery Point Objective): maximální přípustná ztráta dat v čase. Řídí frekvenci záloh nebo replikací.
RLO (Recovery Level Objective): cílová úroveň obnovy funkčnosti (například pouze kritické funkce versus plný provoz).
MTD (Maximum Tolerable Downtime): hranice, za kterou je dopad pro organizaci nepřijatelný. Slouží k prioritizaci.

RTO a RPO vycházejí z analýzy dopadů na podnikání (BIA) a posouzení rizik. Pro každou službu je nezbytné stanovit priority a přiřadit k nim technologie a procesy, které dané cíle splní.

Typy hrozeb a scénáře incidentů

Technické selhání: porucha disku, napájení, síťových prvků, datového centra, hypervizoru či orchestrátoru.
Kybernetické incidenty: ransomware, exfiltrace dat, zneužití identity, kompromitace dodavatelského řetězce, DDoS útoky.
Provozní a lidská chyba: chybné nasazení, smazání dat, výpadek závislostí (DNS, IdP, PKI).
Externí vlivy: požár, povodeň, výpadky energií, legislativní restrikce, výpadek poskytovatele cloudu.

Architektonické vzory DR: on-prem, cloud, hybrid

On-prem → on-prem: sekundární lokalita (teplá / horká), synchronní nebo asynchronní replikace, dedikované linky.
On-prem → cloud: zálohy do objektového úložiště, replikace virtuálních strojů či kontejnerů, „pilot light“ infrastruktura.
Cloud → cloud: multi-regionální, multi-AZ, případně multi-provider s důrazem na přenositelnost dat a Infrastructure as Code (IaC).
Hybrid: kombinace podle datové suverenity, latence, nákladů a požadavků na řízení identity.

Stupně připravenosti: cold / warm / hot

Režim	Popis	Výhoda	Nevýhoda	Typické RTO/RPO
Cold standby	Pouze zálohy a šablony; infrastruktura se buduje až při havárii.	Nejnižší náklady	Nejdelší doba obnovy, vyšší riziko chyb	Hodiny až dny / hodiny až dny
Warm standby (pilot light)	Minimalistická běžící kostra (replikace databází, základní sítě), škáluje se při incidentu.	Dobrý poměr cena/výkon	Složitější orchestraci škálování	Minuty až hodiny / minuty až hodiny
Hot standby (active-active / active-passive)	Plně připravené prostředí, provoz v reálném čase či s krátkým přepnutím.	Nejrychlejší obnova	Nejvyšší náklady a komplexita	Sekundy až minuty / sekundy až minuty

Strategie datové ochrany: 3-2-1-1-0 a konzistence

Pravidlo 3-2-1-1-0: 3 kopie dat, 2 různé typy médií, 1 kopie mimo lokalitu, 1 immutable/air-gapped, 0 chyb ve verifikačním testu.
Konzistence dat: využívejte application-aware snapshoty, quiescing a write-order fidelity.
Replikace: synchronní (nulové či nízké RPO, ale vyšší latence) versus asynchronní (nižší náklady, krátké RPO).
Šifrování a správa klíčů: správa v KMS, obnova klíčů v DR lokalitě, principy split knowledge a dual control.

Obnova aplikací: monolity, mikroservisy, databáze

Stateless vrstvy: lze rychle pře-deployovat (registrované obrazy, IaC, CI/CD artefakty).
Stateful vrstvy: databáze, fronty, objektové úložiště – vyžadují pečlivé definování RPO a pořadí startu závislostí.
Kompatibilita schémat: backward a forward kompatibilita pro minimalizaci schema driftu při failoveru.
Transakční konzistence: preferujte point-in-time recovery (PITR), replay WAL nebo binlogů.

Síť a směrování při DR

DNS řízení provozu: nízké TTL, health checks, weighted a geo routing.
Anycast, BGP, SD-WAN: urychlení konvergence a kontrola cesty k DR lokalitě.
Zero Trust a identity: federace IdP, conditional access, opětovné navázání tajemství a certifikátů v DR prostředí.
Závislosti třetích stran: platební brány, SMTP, webhooks – předem povolit DR IP rozsahy, limity a firewally.

Orchestrace a automatizace obnovy

Runbooky: sekvenční postupy s jasnými předpoklady, rolemi a rollback body.
Infrastructure as Code (IaC): definujte síť, výpočetní zdroje, storage i identity tak, aby šly znovu vybudovat „na zelené louce“.
Automatizované testy obnovy: izolované „recovery sandboxy“, validace kontrolních bodů a post-recovery smoke testy.
Observabilita: metriky, logy, trasy, syntetické testy – stejné panely a alarmy i v DR prostředí.

Testování DR: typy, frekvence a kritéria úspěchu

Table-top cvičení: scénářové „suché“ průchody pro vyjasnění rolí a komunikace.
Technická zkouška dílčí: obnova jednotlivé služby či databáze do izolovaného prostředí.
Plný failover/failback: plánovaný přechod provozu do DR a návrat. Ověřte RTO/RPO, integritu dat, výkonnost a náklady.
Chaos a game days: kontrolované poruchy k odhalení skrytých závislostí a „sněhových vloček“.

Ransomware a odolnost: specifika strategie

Immutabilní zálohy: WORM politiky, oddělené identity pro správu záloh, air-gap vrstvy.
Detekce anomálií: sledování rychlosti změn, entropie, netypických přístupů k zálohám.
Obnova po kompromitaci: znovu vytvoření golden images, rotace klíčů a tajemství, credential hygiene.

Řízení informací a komunikace v krizi

Krizový tým: technický velitel, koordinátor komunikace, právní a compliance zástupci, business partneři.
Komunikační kanály: mimo primární doménu (nezávislé účty, krizová wiki, hotline), předpřipravené šablony oznámení.
Evidence a audit: časová osa, rozhodnutí, důkazy a post-incident review s konkrétními akcemi.

Governance, role a odpovědnosti

Vlastníci služeb: definují RTO/RPO a rozhodují o prioritách obnovy.
IT provoz / SRE: implementuje a testuje mechanismy obnovy, monitoruje měřitelné cíle.
Bezpečnost (SecOps/GRC): dohlíží na integritu, šifrování, přístupová práva a shodu s normami.
Management: schvaluje náklady, tolerance rizik a komunikuje externě.

Právní a regulační hlediska

Ochrana osobních údajů: zohlednit lokalitu dat, přenos přes hranice, povinnosti hlášení incidentů.
Smluvní závazky: SLA/OLA, penále za nedostupnost, požadované testy DR a reporty.
Odvětvové normy: finanční sektor, zdravotnictví, telekomunikace – specifická minimální RTO/RPO a auditní stopy.

Ekonomika DR: TCO, CAPEX/OPEX a rozhodovací rámec

Rozpočet DR odráží cílové metriky. Čím kratší RTO/RPO, tím vyšší náklady na redundantní zdroje, síť, licence a provoz. Při volbě variant porovnejte:

CAPEX vs. OPEX: vlastní sekundární lokalita versus DRaaS či cloudové služby.
TCO model: 3–5letý horizont, zahrňte energie, podporu, údržbu, testy, lidské zdroje a rizikovou prémii.
Marže rizika: odhad ztrát při nedosažení RTO/RPO (zastavení výroby, smluvní pokuty, reputace).

Metriky a KPI pro průběžné zlepšování

Podíl služeb s aktuálním RTO/RPO a ověřeným testem (minimálně 1× ročně).
Průměrný a 95. percentil reálného RTO při cvičeních.
Úspěšnost obnovy ze záloh (bez chyb) a průměrná doba obnovy dat.
Počet identifikovaných skrytých závislostí a doba jejich odstranění.

Ukázková osnova DR plánu

Úvod a rozsah: služby, systémy, lokality, zodpovědné role.
BIA a cíle: RTO/RPO, prioritizační matice.
Architektura DR: topologie, datové toky, identity, síť a DNS.
Runbooky: krokové postupy pro jednotlivé služby včetně pre-checks a post-checks.
Zálohování a replikace: retenční politiky, testy obnovy, immutabilita, správa klíčů.
Testovací plán: typy cvičení, frekvence, kritéria úspěchu, evidence.
Krizová komunikace: kontakty, eskalace, šablony, kanály.
Compliance a audit: požadavky, záznamy, revize.
Údržba plánu: verze, zodpovědnost, periodická aktualizace, lessons learned.

Modelová prioritizační matice

Služba	Kritičnost	Cílové RTO	Cílové RPO	Režim DR	Poznámky
Platební brána	Vysoká	< 5 min	< 1 min	Hot, multi-region	Active-active, přísná identita
ERP	Střední	2 hod	15 min	Warm	PITR, replikace databáze
DMS/Archiv	Nižší	24 hod	4 hod	Cold	Immutabilní zálohy

Časté chyby a protiopatření

Nerealistické RTO/RPO bez rozpočtu: slaďte cíle s náklady a testovací praxí.
Opomenuté závislosti: DNS, IdP, licence, tajemství, e-mail, monitoring – zahrnout do runbooků.
Netestované zálohy: zaveďte pravidlo „obnova je součást zálohy“ (automatizované restore testy).
„Snowflake“ servery: standardizujte přes IaC a image pipeline.
Jedna kopie záloh v kompromitovaném doménovém modelu: oddělené identity a break-glass přístupy.